El canal de denuncias obligatorio es una de las obligaciones legales que más empresas industriales siguen sin cumplir en España. Desde la entrada en vigor de la Ley 2/2023, toda organización con 50 o más trabajadores debe disponer de un sistema interno de información que permita comunicar infracciones con garantías de confidencialidad y protección del informante. No se trata de un trámite menor: el régimen sancionador contempla multas que pueden alcanzar el millón de euros para personas jurídicas. Esta guía desglosa quién está obligado, qué requisitos exige la norma y cómo abordar la implantación con orden.
Solicita diagnóstico de cumplimiento: te conectamos con consultorías verificadas. Sin compromiso.
¿Qué es un canal de denuncias?
Un canal de denuncias —denominado formalmente «sistema interno de información» por la Ley 2/2023— es un mecanismo que permite a empleados, proveedores, accionistas y otras personas vinculadas a la organización comunicar indicios de infracciones normativas de forma confidencial y protegida frente a represalias.
No debe confundirse con un buzón de sugerencias ni con un formulario genérico de quejas. El canal de denuncias regulado exige procedimientos formales de recepción, acuse de recibo, investigación y respuesta dentro de plazos definidos por la ley, además de garantizar la identidad reservada del informante.
Canal de denuncias obligatorio: qué dice la Ley 2/2023
La Ley 2/2023, de 20 de febrero, transpone al ordenamiento español la Directiva (UE) 2019/1937 sobre protección de las personas que informen sobre infracciones del Derecho de la Unión. Esta norma establece la obligación de implantar un sistema interno de información, regula los canales externos ante la Autoridad Independiente de Protección del Informante (A.A.I.) y define un régimen de protección frente a represalias.
El Real Decreto 1101/2024 complementa el marco institucional desarrollando aspectos del sistema de protección del informante. Ambas normas configuran el marco legal vigente que toda empresa obligada debe conocer.
¿Qué empresas están obligadas a tener un canal de denuncias?
La obligación no afecta solo a grandes corporaciones. La Ley 2/2023 establece umbrales claros que incluyen a buena parte del tejido industrial español:
| Tipo de entidad | Umbral de obligación |
|---|---|
| Empresas del sector privado | 50 o más trabajadores |
| Partidos políticos, sindicatos y organizaciones empresariales | Siempre, sin umbral |
| Fundaciones que reciban fondos públicos | Siempre, conforme a los umbrales de la Ley |
| Entidades obligadas en prevención del blanqueo de capitales | Siempre, independientemente del tamaño |
| Administraciones públicas y entidades del sector público | Según los umbrales establecidos en la Ley |
Para una empresa industrial de entre 50 y 250 empleados —el perfil habitual del decisor que llega a esta página— la obligación es clara e inmediata. El canal de denuncias obligatorio aplica con independencia del sector de actividad: metalurgia, alimentación, química, construcción o servicios técnicos.
Nuevas obligaciones para el sector público y privado
La Ley 2/2023 extiende la obligación más allá del ámbito privado. En el sector público, los ayuntamientos, diputaciones y organismos autónomos con 50 o más empleados, o que gestionen municipios de más de 10.000 habitantes, deben disponer de canal de denuncias. Esta exigencia afecta también a universidades públicas, empresas públicas y fundaciones del sector público.
En el sector privado, la norma no distingue por actividad económica: cualquier empresa que alcance el umbral de 50 trabajadores queda obligada. Esto incluye a asesorías, despachos profesionales, empresas de ingeniería y cualquier organización que supere esa cifra de plantilla. La obligación del canal de denuncias en asesorías es una de las consultas más frecuentes, y la respuesta es inequívoca: si tienen 50 o más empleados, están obligadas.
Plazos para implementar el canal de denuncias obligatorio
Los plazos establecidos en la disposición transitoria segunda de la Ley 2/2023 ya están vencidos:
- Empresas de 250 o más trabajadores y entidades del sector público: debían tener operativo su sistema interno de información en un plazo de tres meses desde la entrada en vigor de la Ley (es decir, antes del 13 de junio de 2023).
- Empresas de entre 50 y 249 trabajadores: el plazo venció el 1 de diciembre de 2023.
En 2025 y 2026, toda empresa que supere el umbral de 50 trabajadores y aún no disponga de canal está fuera de plazo y expuesta al régimen sancionador. La Inspección de Trabajo y la propia A.A.I. tienen competencia para actuar de oficio.
¿Qué se puede denunciar en el canal de denuncias?
El canal de denuncias no está limitado a fraudes internos o corrupción. La Ley 2/2023 contempla la comunicación de infracciones que afecten a:
- Contratación pública y subvenciones
- Prevención del blanqueo de capitales y financiación del terrorismo
- Seguridad de productos, del transporte y medioambiental
- Protección de datos personales y seguridad de las redes
- Infracciones del Derecho de la Unión Europea en las materias cubiertas por la Directiva 2019/1937
- Infracciones penales y administrativas graves o muy graves
En el contexto industrial, esto abarca desde el incumplimiento de normativa medioambiental hasta irregularidades en prevención de riesgos laborales, pasando por el tratamiento indebido de datos personales. La conexión con otras áreas de cumplimiento —compliance penal y protección de datos— es directa.
Requisitos indispensables del canal de denuncias
No cualquier buzón o formulario web cumple con la Ley. Un canal de denuncias obligatorio que se ajuste a la normativa debe reunir, como mínimo, estos elementos:
Confidencialidad y gestión del sistema
- Confidencialidad garantizada: la identidad del informante debe protegerse en todo momento. Solo el responsable del sistema y las personas expresamente autorizadas para la investigación tienen acceso.
- Responsable del sistema: la empresa debe designar a un responsable con autonomía e independencia funcional para gestionar las comunicaciones.
- Canal accesible: debe permitir comunicaciones por escrito y, si es posible, verbales. Accesible para empleados y para terceros vinculados a la organización.
Procedimiento de gestión
- Acuse de recibo: en un plazo máximo de siete días naturales desde la recepción.
- Plazo de resolución: tres meses desde el acuse de recibo para comunicar las actuaciones realizadas.
- Registro de comunicaciones: un libro-registro no público con todas las informaciones recibidas, conservado durante un mínimo de diez años.
- Protección de datos: el tratamiento de datos personales derivado del canal debe cumplir el RGPD y la LOPDGDD, con las especificidades que establece la propia Ley 2/2023.
Cómo funciona un canal de denuncias en la práctica
El proceso tipo, una vez implantado, sigue esta secuencia:
- Recepción: el informante accede al canal (plataforma digital, correo dedicado o vía presencial) y presenta su comunicación.
- Acuse de recibo: el responsable del sistema confirma la recepción dentro de los siete días.
- Admisión a trámite: se evalúa si la comunicación entra dentro del ámbito de la Ley.
- Investigación interna: se recaban pruebas y testimonios manteniendo la confidencialidad. Si procede, se comunica al informante el estado de las actuaciones.
- Resolución y cierre: en el plazo de tres meses, se comunica el resultado y las medidas adoptadas.
- Archivo: la comunicación y su expediente se conservan en el registro durante el plazo legal.
La implantación del sistema —selección de la plataforma, redacción del procedimiento, designación del responsable y formación— la ejecuta una consultoría especializada en cumplimiento normativo. La empresa formaliza el contrato directamente con esa consultoría.
Solicita diagnóstico de cumplimiento: te conectamos con consultorías de compliance verificadas. Sin compromiso.
Protección del informante: a quiénes protege la Ley 2/2023
La protección no se limita al empleado que denuncia. La Ley 2/2023 extiende el paraguas de protección frente a represalias a:
- Empleados actuales y antiguos, incluidos los que se encuentren en periodo de prueba o en proceso de selección.
- Trabajadores autónomos y profesionales vinculados contractualmente con la organización.
- Accionistas, partícipes y miembros de órganos de dirección.
- Personas que asistan al informante y familiares que puedan sufrir represalias en un contexto laboral.
Se prohíben expresamente las represalias: despido, suspensión, cambio de puesto, acoso, discriminación o cualquier trato desfavorable vinculado a la comunicación. La carga de la prueba se invierte: es la organización la que debe demostrar que sus decisiones no constituyen represalia.
Régimen sancionador: consecuencias de no disponer de canal
La Ley 2/2023 clasifica las infracciones en tres niveles y establece cuantías significativas para personas jurídicas:
- Infracciones muy graves: multas de 600.001 a 1.000.000 de euros. Incluyen la adopción de represalias contra el informante o el incumplimiento de la obligación de confidencialidad.
- Infracciones graves: multas de 30.001 a 600.000 euros. Incluyen no disponer de sistema interno de información estando obligado.
- Infracciones leves: multas de hasta 30.000 euros.
No se trata de cifras teóricas. La Autoridad Independiente de Protección del Informante y la Inspección de Trabajo disponen de competencia sancionadora. Para una empresa industrial de tamaño medio, una sanción grave puede equivaler a varios meses de beneficio operativo.
Canal de denuncias en empresas de menos de 50 trabajadores
Las empresas con menos de 50 empleados no están obligadas por la Ley 2/2023 a implantar un sistema interno de información, salvo que operen en sectores específicamente regulados (prevención del blanqueo, servicios financieros u otros contemplados en la normativa sectorial).
No obstante, disponer voluntariamente de un canal de denuncias puede aportar valor en contextos concretos: homologación como proveedor de grandes clientes que lo exigen, participación en licitaciones públicas, o como parte de un modelo de compliance penal que atenúe la responsabilidad penal de la persona jurídica conforme al artículo 31 bis del Código Penal.
Caso tipo: empresa industrial de 80 empleados ante la obligación
Escenario de referencia: taller de fabricación de componentes metálicos en el País Vasco, 80 empleados, facturación de 12 millones de euros. Un cliente del sector automoción comunica que, para renovar el contrato marco, exige evidencia de canal de denuncias operativo conforme a la Ley 2/2023.
La dirección identifica que el plazo legal venció en diciembre de 2023 y que, además del riesgo de sanción, está en juego un contrato que representa el 25 % de la facturación. La consultoría de compliance seleccionada realiza un diagnóstico del estado de cumplimiento, diseña el procedimiento del canal, selecciona la plataforma tecnológica, designa al responsable del sistema, forma al equipo y deja operativo el canal. El plazo típico del sector para una empresa de este perfil oscila entre cuatro y ocho semanas, según la complejidad organizativa. El plazo concreto lo confirma la consultoría tras el diagnóstico inicial.
Preguntas frecuentes sobre el canal de denuncias obligatorio
¿Cuándo es obligatorio tener un canal de denuncias?
Desde el 1 de diciembre de 2023 para todas las empresas de 50 o más trabajadores. Las de 250 o más y las entidades del sector público debían tenerlo operativo desde el 13 de junio de 2023. Los plazos están vencidos: cualquier empresa obligada que aún no lo tenga está fuera de norma.
¿Es obligatorio que las asesorías tengan un canal de denuncias?
Sí, si cuentan con 50 o más empleados. La Ley 2/2023 no distingue por sector de actividad. Además, las asesorías que operen como sujetos obligados en materia de prevención del blanqueo de capitales pueden tener obligaciones adicionales independientemente de su tamaño.
¿Cuál es la multa por no tener un canal de denuncias?
No disponer de sistema interno de información estando obligado se tipifica como infracción grave, con multas de 30.001 a 600.000 euros para personas jurídicas. Si además se producen represalias contra un informante o se vulnera la confidencialidad, la infracción pasa a muy grave, con multas de hasta 1.000.000 de euros.
¿Pueden varias empresas compartir un mismo canal de denuncias?
Sí. La Ley 2/2023 permite que empresas de entre 50 y 249 trabajadores compartan recursos y medios para la gestión de su sistema interno de información, incluyendo la plataforma tecnológica. El requisito es que cada empresa mantenga la independencia en la gestión de sus comunicaciones y garantice la confidencialidad.
¿Qué diferencia hay entre un canal de denuncias y un buzón de sugerencias?
El canal de denuncias es un instrumento regulado por ley: exige confidencialidad, protección del informante frente a represalias, responsable del sistema designado, acuse de recibo en siete días, resolución en tres meses y registro durante diez años. Un buzón de sugerencias no cumple ninguna de estas garantías y no sustituye la obligación legal.
Solicita diagnóstico de cumplimiento: te conectamos con consultorías de compliance verificadas. Sin compromiso.
Normatia no ejecuta directamente el análisis, la implementación ni la verificación del cumplimiento normativo; esa responsabilidad recae en la consultoría habilitada con la que el cliente formaliza el contrato. La certificación de los sistemas de gestión la emite, en su caso, una entidad de certificación acreditada por ENAC, independiente de la consultoría. Normatia tampoco presta asesoramiento jurídico: la aplicación concreta de cada obligación reglamentaria depende de las circunstancias de cada empresa y debe confirmarse con un profesional cualificado.