Dejan Jasnic · Cofundador y responsable de Compliance, Trusty · Más de 20 años en lucha contra el fraude y compliance · Junta del Capítulo Suizo de ACFE
Según la Ley 2/2023, están obligadas a tener un canal de denuncias todas las empresas privadas con 50 o más trabajadores y todas las entidades del sector público. Algunas entidades privadas deben tenerlo con independencia de su plantilla: las sujetas a la normativa europea sobre servicios financieros, prevención del blanqueo de capitales, seguridad del transporte y medio ambiente, así como los partidos políticos, sindicatos y organizaciones empresariales que reciban fondos públicos. El Sistema interno de información debe admitir comunicaciones por escrito o verbales, permitir las anónimas y contar con un Responsable del Sistema. No implantarlo cuando es obligatorio puede ser una infracción muy grave, con multas de hasta 1 millón de euros para las empresas.
Esta guía explica quién debe cumplir la normativa, qué debe hacer el canal y quién la hace cumplir. Para una visión general de la ley, consulte nuestro artículo sobre la Ley 2/2023: Protección de los Informantes.
la Ley 2/2023
Un canal interno conforme a la ley sin tener que crearlo usted mismo. Trusty Whistleblowing cumple con la Ley 2/2023 con denuncias anónimas, una bandeja de entrada bidireccional y seguimiento automático de los plazos de 7 días y 3 meses.
Respuesta breve: quién debe tener un canal
- Sector privado: personas físicas y empresas con 50 o más trabajadores (artículo 10.1.a).
- Sectores y organizaciones específicos: independientemente del número de empleados (artículos 10.1.b y 10.1.c).
- Sector público: todas las entidades que conforman el sector público (artículo 13).
Los plazos ya han vencido. La mayoría de las entidades obligadas tenían hasta el 13 de junio de 2023. Las entidades privadas con hasta 249 trabajadores y los municipios con menos de 10.000 habitantes tenían hasta el 1 de diciembre de 2023. Las entidades no obligadas pueden implantar un sistema de forma voluntaria.
Empresas que deben cumplir independientemente de su tamaño
El artículo 10.1.b cubre a las entidades privadas dentro del ámbito de los actos de la UE enumerados en las Partes I.B y II del Anexo de la Directiva de protección de informantes, Directiva (UE) 2019/1937. Estos incluyen:
- servicios, productos y mercados financieros;
- prevención del blanqueo de capitales y la financiación del terrorismo;
- seguridad del transporte;
- protección del medio ambiente.
El artículo 10.1.c añade a los partidos políticos, sindicatos, organizaciones empresariales y las fundaciones que estos creen, cuando reciban o gestionen fondos públicos.
Si no tiene claro si su actividad entra dentro de alguno de estos actos de la UE, consulta con un asesor. En un grupo, cada empresa debe evaluar si está obligada por sí misma, tal y como señala la Recomendación 1/2026 de la AAI.
Qué debe hacer el canal
- Por escrito, verbal o ambos. Las denuncias pueden presentarse por escrito, verbalmente o de ambas formas. A petición del denunciante, debe celebrarse una reunión presencial en un plazo de siete días (artículo 7.2).
- Denuncias anónimas. Los canales internos deben permitir la presentación y el seguimiento de denuncias anónimas (artículo 7.3).
- Confidencialidad. El sistema debe proteger la identidad del denunciante y de cualquier tercero mencionado en una denuncia.
- Responsable del Sistema. El órgano de gobierno designa a la persona responsable del sistema, que en el sector privado debería ser un alto cargo directivo. El nombramiento y cualquier cese deben notificarse a la AAI, o a la autoridad autonómica competente, en un plazo de diez días hábiles (artículo 8.3).
- Plazos. Acusar recibo en un plazo de siete días naturales (artículo 9.2.c). Responder en un plazo máximo de tres meses desde la recepción, ampliable hasta tres meses más en casos especialmente complejos (artículo 9.2.d).
- Derechos de la persona afectada. Tiene derecho a ser informada de los hechos u omisiones que se le atribuyan (artículo 9.2.f).
- Registro. Llevar un libro-registro de las denuncias recibidas. Los datos no pueden conservarse nunca durante más de diez años (artículo 26). Los datos deben eliminarse del sistema a los tres meses de su recepción si no se ha iniciado una investigación, salvo que se conserven para acreditar el funcionamiento del sistema (artículo 32.4).
- Consulta. El órgano de gobierno implanta el sistema tras consultar a los representantes legales de los trabajadores (artículo 5).
Nuestro protocolo del canal de denuncias y nuestra guía sobre qué tipos de denuncias se pueden presentar explican el procedimiento con más detalle.
bajo control
Mantenga a la vista los plazos de 7 días y 3 meses. Trusty envía acuses de recibo automáticos, controla todos los plazos y mantiene registros de casos a prueba de manipulaciones, con periodos de conservación configurables y recordatorios de eliminación.
Grupos de empresas y canales compartidos
- Grupos. La sociedad matriz aprueba una política general sobre el Sistema interno de información, y el grupo puede contar con un único sistema y un solo Responsable del Sistema (artículo 11).
- Recursos compartidos. Las empresas de entre 50 y 249 trabajadores pueden compartir el sistema y sus recursos si así lo deciden (artículo 12).
- Externalización. La gestión del sistema, incluida la recepción de denuncias, puede encomendarse a un tercero externo. La responsabilidad sigue recayendo en la entidad obligada (artículo 6).
- Sector público. Los municipios con menos de 10.000 habitantes pueden compartir recursos (artículo 14). Las entidades públicas solo pueden externalizar la gestión cuando demuestren que sus propios recursos son insuficientes (artículo 15).
Multas
La Ley 2/2023 clasifica las infracciones en muy graves, graves o leves. No disponer de un Sistema interno de información cuando la ley lo exige puede constituir una infracción muy grave. Para las infracciones muy graves, las multas van de 600.001 € a 1.000.000 € para personas jurídicas y de 30.001 € a 300.000 € para personas físicas. Las infracciones graves y leves conllevan multas menores.
Las infracciones muy graves también pueden conllevar medidas accesorias: una amonestación pública, la prohibición de recibir subvenciones públicas o de contratar con el sector público y, para las personas jurídicas, la publicación de la sanción en el Boletín Oficial del Estado (BOE).
Quién lo hace cumplir: la AAI y las autoridades autonómicas
La Autoridad Independiente de Protección del Informante (A.A.I.) es la autoridad nacional. Su estatuto fue aprobado por el Real Decreto 1101/2024, de 29 de octubre. Manuel Villoria Mendieta fue nombrado presidente en abril de 2025, y la autoridad comenzó a funcionar el 1 de septiembre de 2025.
Desde octubre de 2026, la AAI gestiona un canal externo que acepta denuncias, incluidas las anónimas. Abrió su sede electrónica para las notificaciones del Responsable del Sistema en febrero de 2026 y ha emitido recomendaciones, entre ellas la Recomendación 1/2026 sobre los Sistemas internos de información. El sector privado está dentro de su ámbito de competencia. Su página de noticias no recoge sanciones hasta la fecha.
Varias comunidades autónomas cuentan con sus propias autoridades, como la Oficina Antifrau de Cataluña, la Agència Valenciana Antifrau, cuyo ámbito se limita al sector público, y la Oficina andaluza contra el Fraude y la Corrupción. En septiembre de 2026, la AAI se reunió con autoridades autonómicas de nueve comunidades para coordinar su trabajo. Más información sobre la Autoridad Independiente de Protección del Informante.
Cómo ayuda Trusty Whistleblowing
Trusty Whistleblowing cumple con la Ley 2/2023 con un canal de denuncias que acepta denuncias anónimas o identificadas, según decida la organización, y permite a los denunciantes anónimos continuar el diálogo a través de una bandeja de entrada segura. Los denunciantes pueden solicitar una reunión a través de la bandeja de entrada, y el plan Avanzado añade denuncias por voz desde el navegador. Los acuses de recibo son automáticos, se controlan los plazos de 7 días y 3 meses, y los registros de casos son a prueba de manipulaciones.
Los periodos de conservación son configurables con recordatorios de eliminación, los datos se alojan en un centro de datos certificado ISO 27001 en Alemania, y hay disponible un acuerdo de tratamiento de datos para cada cliente.
¿Busca un canal de denuncias para su empresa? Trusty configura un canal de denuncias interno desde 49 € al mes.
Este artículo es información general, no asesoramiento legal. Fuentes: Ley 2/2023, de 20 de febrero (BOE); AEPD, Informe 0060/2023; Agència Valenciana Antifrau, 88 preguntas y respuestas; Real Decreto 1101/2024; Real Decreto 328/2025; Orden PJC/908/2025; Autoridad Independiente de Protección del Informante; Noticias de la AAI, 22 de septiembre de 2026.
Preguntas frecuentes
Sí, para los empleadores privados con 50 o más trabajadores, para todas las entidades del sector público y para determinadas entidades independientemente de su tamaño, como aquellas dentro del ámbito de las normas de la UE sobre servicios financieros, blanqueo de capitales, seguridad del transporte y medio ambiente.
En general, no. Sí lo necesita si entra dentro de la norma sectorial del artículo 10.1.b, o si es un partido político, sindicato, organización empresarial o fundación vinculada que recibe o gestiona fondos públicos. Las empresas más pequeñas también pueden implantar un canal de forma voluntaria.
Sí. El artículo 6 permite encomendar la gestión del sistema, incluida la recepción de denuncias, a un tercero externo. La empresa sigue siendo responsable del cumplimiento.
Sí. El artículo 7.3 exige que los canales internos permitan la presentación y el seguimiento de denuncias anónimas.
No disponer de un Sistema interno de información obligatorio puede constituir una infracción muy grave, con multas de 600.001 € a 1.000.000 € para personas jurídicas y de 30.001 € a 300.000 € para personas físicas, además de posibles medidas accesorias.
con la Directiva de la UE y el RGPD
Software de whistleblowing simplificado, creado por expertos en compliance.