Desde la entrada en vigor de la Ley 2/2023, disponer de un canal de denuncias empresa ha dejado de ser una buena práctica voluntaria para convertirse en una obligación legal ineludible para un amplio abanico de empresas españolas. Esta norma, que traspone la Directiva (UE) 2019/1937, obliga a implantar un sistema interno de información que permita a empleados, proveedores y colaboradores reportar de forma segura y confidencial posibles infracciones normativas o penales cometidas en el seno de la organización. El incumplimiento no es una cuestión menor: puede acarrear sanciones económicas de hasta un millón de euros y comprometer la responsabilidad penal de la persona jurídica conforme al artículo 31 bis del Código Penal.
¿Qué empresas están obligadas a tener canal de denuncias?
La Ley 2/2023 fija umbrales claros de obligatoriedad. Están obligadas a implantar un canal de denuncias interno:
- Empresas y entidades del sector privado con 50 o más trabajadores, con independencia de su forma jurídica.
- Partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculadas a ellos que reciban o gestionen fondos públicos.
- Entidades que entren en el ámbito de aplicación de normativa sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales, seguridad del transporte y protección del medio ambiente, con independencia de su plantilla.
- Municipios de más de 10.000 habitantes y entidades del sector público.
Las empresas de entre 50 y 249 trabajadores tuvieron de plazo hasta el 1 de diciembre de 2023 para adaptarse, mientras que las de menos de 50 trabajadores, cuando resulten obligadas por pertenecer a un sector regulado, pueden compartir recursos e infraestructura del canal, según prevé expresamente el artículo 5 de la ley.
Requisitos legales del sistema interno de información
No basta con habilitar un simple buzón de correo electrónico. El artículo 9 de la Ley 2/2023 exige que el canal cumpla una serie de garantías mínimas:
- Permitir la presentación de comunicaciones por escrito, verbalmente o de ambas formas, incluida la posibilidad de reunión presencial.
- Garantizar la confidencialidad de la identidad del informante, de las personas afectadas y de cualquier tercero mencionado.
- Admitir denuncias anónimas, aunque la ley no lo impone como requisito general, sí lo recomienda como buena práctica reforzada.
- Acusar recibo de la comunicación en un plazo máximo de siete días.
- Resolver o dar respuesta motivada en un plazo no superior a tres meses desde el acuse de recibo (ampliable a otros tres meses en casos de especial complejidad).
Además, la gestión del canal debe recaer en un Responsable del Sistema de Información, figura independiente y autónoma dentro de la organización, con dedicación suficiente de medios y sin perjuicio de que la gestión operativa pueda externalizarse a un tercero, siempre que se garanticen las mismas condiciones de independencia y confidencialidad.
Protección del informante frente a represalias
Uno de los pilares centrales de la norma es la protección reforzada frente a cualquier tipo de represalia contra quien comunica de buena fe una infracción. La ley prohíbe expresamente el despido, la degradación, la denegación de ascensos, el acoso o cualquier trato desfavorable derivado de la denuncia. Se establece además una inversión de la carga de la prueba: si el informante sufre un perjuicio laboral tras la denuncia, será la empresa quien deba demostrar que esa medida obedece a motivos ajenos a la comunicación realizada.
La Autoridad Independiente de Protección del Informante (A.A.I.), creada por la propia ley, es el organismo estatal encargado de velar por el cumplimiento de estas garantías a nivel nacional, sin perjuicio de las autoridades autonómicas equivalentes que se vayan constituyendo en determinadas comunidades.
Régimen sancionador: consecuencias del incumplimiento
La Ley 2/2023 tipifica infracciones muy graves, graves y leves. Entre las infracciones muy graves se encuentran impedir la presentación de comunicaciones, ejercer represalias contra el informante, revelar su identidad o vulnerar el deber de confidencialidad. Las sanciones a personas jurídicas pueden alcanzar el millón de euros, o hasta el 5% del volumen de negocios anual del ejercicio anterior si esta cifra fuera superior, además de sanciones accesorias como la prohibición de acceder a subvenciones públicas o contratar con la Administración durante un plazo de hasta cuatro años.
Más allá de la sanción administrativa, un canal de denuncias mal diseñado o inexistente debilita gravemente la defensa de la empresa ante una eventual imputación penal, ya que uno de los requisitos que el artículo 31 bis del Código Penal exige para eximir de responsabilidad penal a la persona jurídica es precisamente disponer de canales efectivos de denuncia dentro del modelo de organización y gestión.
Cómo implantar correctamente el canal de denuncias
La implantación efectiva requiere un enfoque integral que va más allá de contratar una herramienta tecnológica. Es imprescindible redactar una política interna de whistleblowing, formar a la plantilla, designar formalmente al responsable del sistema, establecer protocolos de investigación interna y coordinar el canal con el resto del programa de compliance penal de la organización. Muchas empresas optan por externalizar la gestión del canal y apoyarse en asesoramiento especializado que evalúe además los riesgos de responsabilidad civil y profesional derivados de una mala gestión de las comunicaciones recibidas; en este sentido, contar con informes de responsabilidad profesional que analicen la exposición real de administradores y directivos resulta especialmente recomendable antes de poner en marcha el sistema.
También conviene revisar periódicamente el funcionamiento del canal, auditar los plazos de respuesta, documentar cada expediente y mantener un registro de las comunicaciones recibidas conforme a los principios de minimización de datos del RGPD, ya que el tratamiento de datos personales derivado de las denuncias está sometido a un régimen de conservación limitado, normalmente no superior a tres meses desde la recepción salvo que exista investigación en curso.
Externalización del canal: ventajas e inconvenientes
Muchas empresas, especialmente las que rondan el umbral mínimo de 50 trabajadores, se plantean si conviene gestionar el canal de denuncias con medios propios o externalizar su operativa a un proveedor especializado. La externalización presenta ventajas evidentes: refuerza la percepción de independencia frente a la plantilla, aporta herramientas tecnológicas ya homologadas y reduce la carga de gestión diaria sobre el departamento jurídico o de recursos humanos. Sin embargo, la ley es clara en que la responsabilidad última sobre el sistema sigue recayendo en la organización, por lo que externalizar la gestión operativa nunca exime de supervisar activamente el cumplimiento de los plazos, la calidad de las investigaciones y la correcta aplicación de las medidas de protección al informante. Un modelo mixto, en el que el canal tecnológico se externaliza pero la instrucción de los expedientes más sensibles se mantiene bajo supervisión interna con apoyo de asesoría externa, suele ser la fórmula más equilibrada para pymes medianas.
Relación entre el canal de denuncias y otras obligaciones de compliance
El canal de denuncias no debe entenderse como una obligación aislada, sino como una pieza más dentro de un ecosistema normativo que incluye la prevención de blanqueo de capitales para sujetos obligados conforme a la Ley 10/2010, la protección de datos personales bajo el RGPD, y en su caso los protocolos de acoso laboral exigidos por el Estatuto de los Trabajadores. Una empresa que ya cuenta con un programa de compliance penal sólido conforme al artículo 31 bis del Código Penal encontrará más sencillo adaptar el canal de denuncias, ya que muchos de los procedimientos de investigación interna, registro de incidencias y protocolos disciplinarios pueden reutilizarse y ajustarse a las exigencias específicas de la Ley 2/2023, evitando duplicidades innecesarias entre distintos sistemas de control interno.
Conclusión
Disponer de un canal de denuncias interno bien diseñado no es solo una exigencia legal ineludible desde la Ley 2/2023, sino una herramienta estratégica de protección para la empresa, sus administradores y su reputación. En TorreonLegal ayudamos a pymes y grandes empresas a diseñar, implantar y gestionar sistemas de información conformes con la normativa de whistleblowing, integrándolos con el resto del programa de compliance. Si tu empresa aún no cuenta con este canal o necesita revisar el que ya tiene, contacta con nuestro equipo de Cumplimiento Normativo para recibir asesoramiento personalizado y adaptado a tu sector.