Se a sua empresa tem 50 ou mais trabalhadores, ou atua em serviços financeiros ou prevenção à lavagem de dinheiro com qualquer número de empregados, a Lei 2/2023 obriga você a ter um sistema interno de informação. Nós o desenhamos, documentamos e ajudamos você a geri-lo sem colocar em risco a confidencialidade.
Sua empresa está obrigada? Diagnóstico gratuito
Conte-nos quantos empregados tem e o seu setor, e diremos se você precisa de canal de denúncias e o que está faltando.
Um canal de denúncias não é só uma caixa de correio: a lei exige um Responsável, uma política, um procedimento, um registro e garantias contra retaliações. Cuidamos de todo o sistema.
Analisamos o seu quadro de pessoal, o seu setor e o seu grupo empresarial para confirmar a obrigação do artigo 10 da Lei 2/2023 e se você pode compartilhar o sistema ou os seus recursos com outras sociedades.
Redigimos a política que enuncia os princípios do sistema e o procedimento aprovado pelo órgão de administração: confirmação de recebimento, investigação, prazos e direitos das partes.
Ajudamos você a escolher e designar o Responsável pelo Sistema, a garantir a sua independência e a notificar a sua nomeação à autoridade competente dentro do prazo.
Definimos os meios de comunicação (por escrito, verbalmente ou em reunião presencial, se o informante a solicitar) e garantimos que admitam comunicações anônimas e protejam a identidade.
Se você decidir confiar o recebimento das comunicações a um terceiro, preparamos a contratação com as garantias de independência, confidencialidade e proteção de dados exigidas pelo artigo 6.
Acompanhamos o Responsável na tramitação dos casos, nas investigações internas e no livro-registro, e no encaminhamento ao Ministério Público (Ministerio Fiscal) quando há indícios de crime.
A obrigação depende do seu número de empregados e, em alguns setores, da sua atividade; não do seu faturamento.
Toda pessoa física ou jurídica do setor privado com cinquenta ou mais trabalhadores deve dispor de um sistema interno de informação.
Se a sua atividade está no âmbito dos serviços financeiros ou da prevenção à lavagem de dinheiro, a obrigação existe independentemente do número de trabalhadores.
A sociedade controladora aprova uma política geral, e o grupo pode ter um único sistema e um único Responsável.
As empresas que têm entre 50 e 249 trabalhadores podem compartilhar entre si o sistema interno de informação e os recursos para geri-lo.
Dados da Lei 2/2023, que regula a proteção das pessoas que informem sobre infrações normativas e o combate à corrupção.
Prazo para enviar ao informante a confirmação de recebimento da sua comunicação.
Prazo máximo para responder às ações de investigação, prorrogável por mais três meses em casos de especial complexidade.
Prazo para notificar à autoridade a nomeação ou a destituição do Responsável, com os motivos em caso de destituição.
Se não foram iniciadas ações de investigação, os dados devem ser eliminados, exceto para deixar evidência do funcionamento do sistema.
Prazo máximo de conservação dos dados do livro-registro, que não é público.
Multa máxima para pessoas jurídicas por infrações muito graves, como não dispor do sistema ou adotar retaliações.
Verificamos se você está obrigado, o que falta e como fechar as lacunas antes que chegue a primeira comunicação ou uma inspeção.
Ficha legal · Lei 2/2023
A obrigação depende do número de empregados, do setor e de a entidade receber ou não recursos públicos. Não ter o sistema é infração muito grave (art. 63.1.g).
| Entidade | Obrigação | Artigo |
|---|---|---|
| Pessoas físicas ou jurídicas do setor privado com 50 ou mais trabalhadores | Obrigatório | 10.1.a |
| Pessoas jurídicas no âmbito das normas da UE sobre serviços financeiros, prevenção à lavagem de dinheiro, segurança dos transportes e meio ambiente | Obrigatório com qualquer número de empregados, pela sua norma específica e, no que ela não regular, pela Lei 2/2023 | 10.1.b |
| Entidades estrangeiras que operam na Espanha nesses âmbitos por meio de sucursal, agentes ou livre prestação de serviços | Obrigatório | 10.1.b |
| Partidos políticos, sindicatos, organizações empresariais e suas fundações | Obrigatório se recebem ou administram recursos públicos | 10.1.c |
| Demais pessoas jurídicas privadas | Voluntário; se o implantarem, devem cumprir a lei | 10.2 |
| Grupos de sociedades | A controladora aprova a política geral para todo o grupo | 11 |
| Empresas de 50 a 249 trabalhadores | Podem compartilhar o sistema e os recursos | 12 |
| Infração | Pessoa jurídica | Pessoa física |
|---|---|---|
| Leve | Até € 100.000 | € 1.001–10.000 |
| Grave | € 100.001–600.000 | € 10.001–30.000 |
| Muito grave | € 600.001–1.000.000 | € 30.001–300.000 |
Nas infrações muito graves, a Autoridade Independente de Proteção do Informante pode determinar também, entre outras medidas, a advertência pública e a proibição de obter subvenções ou outros benefícios fiscais por até quatro anos (art. 65.2).
Em regra, não, salvo se estiver no âmbito das normas da União Europeia sobre serviços financeiros, prevenção à lavagem de dinheiro, segurança dos transportes ou meio ambiente: nesse caso, está obrigada com qualquer número de empregados (art. 10.1.b). Se implantar o canal de forma voluntária, precisa cumprir a lei (art. 10.2).
Para pessoas jurídicas: até € 100.000 nas leves, de € 100.001 a € 600.000 nas graves e de € 600.001 a € 1.000.000 nas muito graves. Para pessoas físicas: de € 1.001 a € 10.000, de € 10.001 a € 30.000 e de € 30.001 a € 300.000 (art. 65.1).
Sim, as que têm entre 50 e 249 trabalhadores podem compartilhar o sistema e os recursos de gestão, seja ele gerido por uma delas, seja terceirizado (art. 12). Em um grupo de sociedades, a controladora aprova a política geral e garante que ela seja aplicada em todas (art. 11).
Fontes: Lei 2/2023 (BOE-A-2023-4513): arts. 10, 11, 12, 63 e 65. Revisado em 5 de novembro de 2026.
As do setor privado com 50 ou mais trabalhadores e, independentemente do número de empregados, as que atuam em serviços, produtos e mercados financeiros, prevenção à lavagem de dinheiro, segurança dos transportes ou proteção do meio ambiente (artigo 10 da Lei 2/2023). Também os partidos políticos, sindicatos e organizações empresariais que recebam ou administrem recursos públicos.
Não exatamente. O canal é a via pela qual chegam as comunicações; o sistema interno de informação inclui, além disso, o Responsável pelo Sistema, a política, o procedimento de gestão, o livro-registro e as garantias de proteção do informante. A lei exige o sistema completo.
Sim. O canal deve permitir a apresentação e a posterior tramitação de comunicações anônimas (artigo 7.3). Além disso, quando o informante se identifica, a sua identidade deve ser mantida em sigilo.
Sim, o recebimento das comunicações pode ser confiado a um terceiro externo que ofereça garantias de independência, confidencialidade, proteção de dados e sigilo das comunicações (artigo 6). Mas a responsabilidade continua sendo do Responsável pelo Sistema, e o terceiro atua como operador (subcontratante) do tratamento de dados.
Ele é designado pelo órgão de administração. No setor privado, deve ser um diretor que exerça o cargo com independência; se o órgão for colegiado, deve delegar a gestão do sistema a um de seus membros. A nomeação e a destituição são notificadas à autoridade em dez dias úteis.
Confirmação de recebimento em sete dias corridos e resposta em no máximo três meses, prorrogáveis por mais três em casos de especial complexidade. Se os fatos puderem constituir crime, a informação é encaminhada imediatamente ao Ministério Público.
Não dispor do sistema interno de informação é uma infração muito grave. Para pessoas jurídicas, a multa vai de 600.001 a 1.000.000 de euros, e podem ser impostas sanções acessórias, como a advertência pública ou a proibição de contratar com o setor público.
A Lei 10/2010 já exige dos sujeitos obrigados um procedimento interno para comunicar possíveis descumprimentos, inclusive de forma anônima (artigo 26 bis), que pode ser integrado ao sistema geral. A Lei 2/2023 se aplica no que essa norma específica não regular; por isso, o mais eficiente é um único sistema bem desenhado.
Um sistema que funciona se revela na primeira comunicação: o informante sabe aonde recorrer, o Responsável sabe o que fazer e a empresa consegue demonstrar que agiu corretamente.
O número de empregados, o setor e o grupo determinam se você está obrigado e se pode compartilhar o sistema com outras sociedades.
Um diretor com autoridade, sem conflitos de interesse e com meios para tramitar e investigar as comunicações.
O livro-registro, as confirmações de recebimento, os prazos e as decisões documentadas demonstram à autoridade que o sistema funciona.
Fonte: Lei 2/2023, de 20 de fevereiro (artigos 5 a 12, 26, 32, 36 a 38 e 63 a 65).
Estes termos aparecem na Lei 2/2023 e em qualquer revisão do seu sistema. Entendê-los ajuda você a implantá-lo corretamente desde o início.
Conjunto formado pelo canal, pelo Responsável, pela política, pelo procedimento e pelas garantias de proteção.
Diretor designado pelo órgão de administração para gerir o sistema com independência.
Quem comunica uma infração conhecida em um contexto de trabalho ou profissional e fica protegido contra retaliações.
Pessoa a quem os fatos são atribuídos: tem direito a ser informada sobre eles e a ser ouvida.
Autoridade estatal criada pela Lei 2/2023, com Estatuto aprovado pelo Real Decreto 1101/2024. Gere o canal externo.
Via para informar diretamente a autoridade, ou depois de usar o canal interno. A existência dele não dispensa ter o canal interno.
Qualquer prejuízo por ter informado: demissão, rebaixamento, listas negras ou recusa de treinamento, entre outros.
Registro das comunicações recebidas e das investigações internas. Não é público.
Fornecedor que recebe as comunicações em nome da empresa e atua como operador (subcontratante) do tratamento de dados.
Gestão interna: designado pelo órgão de administração.
Recebimento terceirizado: continua sendo interno: a responsabilidade não se transfere.
Gestão interna: é feito pela própria empresa, com os seus meios.
Recebimento terceirizado: é feito por um terceiro com garantias de independência e confidencialidade.
Gestão interna: a empresa é a responsável pelo tratamento.
Recebimento terceirizado: o terceiro atua como operador (subcontratante) do tratamento.
Gestão interna: é dirigida pelo Responsável pelo Sistema.
Recebimento terceirizado: continua sendo dirigida pelo Responsável pelo Sistema.
Gestão interna: independência real em relação à direção.
Recebimento terceirizado: controle do fornecedor e rastreabilidade dos prazos.
São falhas que uma revisão detecta na hora e que deixam a empresa sem defesa.
Conte-nos o número de empregados, o seu setor e se você já tem algum canal, e diremos o que é preciso para cumprir a Lei 2/2023.
A Lei 2/2023, de 20 de fevereiro, que regula a proteção das pessoas que informem sobre infrações normativas e o combate à corrupção, transpõe a Diretiva (UE) 2019/1937 e obriga muitas empresas a dispor de um sistema interno de informação, conhecido como canal de denúncias. O seu objetivo é que quem tome conhecimento de uma infração possa comunicá-la com garantias e sem medo de retaliações.
O artigo 10 obriga as pessoas físicas ou jurídicas do setor privado com cinquenta ou mais trabalhadores e, qualquer que seja o seu número de empregados, as que atuam no âmbito dos serviços, produtos e mercados financeiros, da prevenção à lavagem de dinheiro ou ao financiamento do terrorismo, da segurança dos transportes e da proteção do meio ambiente. Os grupos podem ter um sistema único, e as empresas de 50 a 249 trabalhadores podem compartilhar o sistema e os recursos.
O órgão de administração implanta o sistema, após consulta à representação legal dos trabalhadores, e é o responsável pelo tratamento dos dados. O sistema deve permitir comunicações escritas ou verbais, inclusive anônimas, e contar com um Responsável pelo Sistema, uma política, um procedimento de gestão e um livro-registro. Os prazos são exigentes: confirmação de recebimento em sete dias corridos e resposta em três meses, prorrogáveis por mais três.
A lei proíbe qualquer retaliação, incluídas as ameaças e as tentativas. Quando o informante sofre um prejuízo, cabe a quem adotou a medida provar que ela se baseou em motivos justificados alheios à comunicação. Não dispor do sistema, violar a confidencialidade ou adotar retaliações são infrações muito graves, com multas de até um milhão de euros para pessoas jurídicas.
A Autoridade Independente de Proteção do Informante, A.A.I., cujo Estatuto foi aprovado pelo Real Decreto 1101/2024, funciona desde 1º de setembro de 2025. Ela gere o canal externo e é a autoridade à qual se notifica a nomeação do Responsável pelo Sistema no âmbito estatal; algumas comunidades autônomas contam com a sua própria autoridade.
O canal é também uma peça do modelo de compliance e do plano de prevenção de crimes, e a porta de entrada das investigações internas. Se você é sujeito obrigado de prevenção à lavagem de dinheiro, convém integrá-lo ao procedimento do artigo 26 bis da Lei 10/2010.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .