Ley 2/2023: Qué es, cómo funciona y qué implica para tu empresa

La Ley 2/2023 ha cambiado la forma en la que muchas empresas y entidades gestionan las comunicaciones sobre posibles irregularidades. Su objetivo es ofrecer protección a las personas que informan sobre determinadas infracciones y establecer un procedimiento claro para recibir y tramitar estas comunicaciones.

La norma obliga a determinadas organizaciones a disponer de un Sistema interno de información, dentro del cual se integra el canal de denuncias. Este sistema debe permitir que las comunicaciones puedan realizarse de forma segura, mantener la confidencialidad y proteger a las personas informantes frente a posibles represalias.

Entre las obligaciones introducidas por la Ley 2/2023 se encuentran la designación de un Responsable del Sistema, la definición de un procedimiento de gestión y el cumplimiento de determinados plazos. No disponer del sistema cuando existe obligación legal puede dar lugar a sanciones importantes.

Una plataforma especializada puede facilitar buena parte de esta gestión, especialmente a la hora de organizar las comunicaciones, controlar los accesos, realizar el seguimiento de los plazos y mantener ordenada la documentación asociada a cada expediente.

Qué es la Ley 2/2023 y su objetivo

La Ley 2/2023, de 20 de febrero, regula la protección de las personas que informan sobre infracciones normativas y la lucha contra la corrupción. La norma incorporó al ordenamiento español la Directiva (UE) 2019/1937, creando un marco específico para proteger a quienes comunican determinados hechos conocidos dentro de un contexto laboral o profesional.

Uno de sus principales objetivos es evitar que una persona pueda sufrir represalias por haber informado de una posible infracción. Para ello, establece garantías relacionadas con la confidencialidad, la protección de la identidad del informante y la forma en que deben gestionarse las comunicaciones.

La norma también desarrolla el funcionamiento del Sistema interno de información, establece la figura del Responsable del Sistema y regula la existencia de una vía externa para comunicar posibles infracciones.

En la práctica, entender la Ley 2/2023 resulta especialmente importante para aquellas organizaciones que deben adaptar sus procedimientos internos y disponer de un sistema que permita recibir y gestionar estas comunicaciones correctamente.

Puede consultarse el texto oficial de la Ley 2/2023 en el BOE.

Ley 2/2023 e informantes: qué protección establece la normativa

La relación entre la Ley 2/2023 e informantes es uno de los aspectos centrales de esta normativa. Su objetivo no es únicamente obligar a determinadas organizaciones a disponer de un Sistema interno de información, sino también proteger a las personas que comunican posibles infracciones conocidas dentro de un contexto laboral o profesional.

Cuando se busca información sobre ley2/2023 informantes, uno de los puntos más importantes es la protección frente a represalias. La norma establece garantías para evitar que una persona pueda sufrir consecuencias negativas por haber comunicado de buena fe una posible infracción dentro del ámbito protegido por la ley.

Entre estas garantías se encuentran la confidencialidad de la identidad del informante, la limitación del acceso a la información y la obligación de gestionar las comunicaciones mediante procedimientos que reduzcan el riesgo de exposición innecesaria.

La Ley 2/2023 también contempla la posibilidad de presentar comunicaciones de forma anónima y establece mecanismos internos y externos para informar de determinadas infracciones. Dentro de la empresa, estas comunicaciones se gestionan a través del Sistema interno de información y bajo la responsabilidad de la persona u órgano designado como Responsable del Sistema.

Además, la protección no se limita únicamente al trabajador que comunica los hechos. Dependiendo de las circunstancias, determinadas personas relacionadas con el informante también pueden quedar protegidas frente a posibles represalias.

Por este motivo, una empresa no debería limitarse a habilitar un formulario de denuncias. Debe garantizar que las personas informantes puedan utilizar el sistema de forma segura, conocer cómo se gestionará su comunicación y confiar en que su identidad y sus derechos estarán protegidos durante todo el procedimiento.

Ámbito de aplicación

La Ley 2/2023 se aplica tanto al sector público como a determinadas organizaciones privadas. En el ámbito privado, están obligadas con carácter general las empresas que tengan 50 o más trabajadores. También existen determinados sectores en los que la obligación puede aplicarse independientemente del tamaño de la plantilla, como ocurre en algunos ámbitos relacionados con los servicios financieros, la prevención del blanqueo de capitales, la seguridad del transporte o la protección del medio ambiente.

La norma contempla además otros supuestos relacionados con partidos políticos, sindicatos, organizaciones empresariales y determinadas fundaciones. Por eso, el número de trabajadores es uno de los criterios que deben revisarse, pero no siempre es el único. Si quiere profundizar en este punto puede consultar nuestra guía sobre canal de denuncias obligatorio para empresas.

Principales disposiciones de la norma

La Ley 2/2023 introduce diferentes obligaciones y garantías que las organizaciones deben tener en cuenta. Entre las principales se encuentran:

• Disponer de un Sistema interno de información cuando exista obligación legal.
• Habilitar una vía para recibir comunicaciones.
• Designar un Responsable del Sistema.
• Proteger la confidencialidad de la información.
• Permitir la presentación de comunicaciones anónimas.
• Proteger al informante frente a posibles represalias.
• Establecer un procedimiento para gestionar cada comunicación.
• Respetar los plazos establecidos por la normativa.
• Cumplir las obligaciones relacionadas con la protección de datos.

La ley también regula el canal externo gestionado por la Autoridad Independiente de Protección del Informante (AIPI), al que puede acudir directamente una persona que se encuentre dentro de su ámbito de protección.

Para conocer con más detalle cómo se traduce la normativa en una solución tecnológica puede consultar nuestra Plataforma canal de denuncias Ley 2/2023.

Obligaciones para las empresas y entidades

Las empresas y entidades incluidas dentro de la Ley 2/2023 deben contar con un Sistema interno de información que permita recibir y gestionar las comunicaciones con las garantías previstas por la norma.

Los plazos iniciales de adaptación finalizaron durante 2023. Las entidades incluidas en el plazo general tuvieron que implantar el sistema durante junio, mientras que las entidades jurídicas privadas con 249 trabajadores o menos y determinados municipios dispusieron hasta el 1 de diciembre de 2023.

Actualmente, por tanto, las organizaciones que se encuentren dentro de los supuestos establecidos ya deberían disponer de su sistema correctamente implantado. Además de habilitar el canal, es necesario nombrar a un Responsable del Sistema. Esta persona —o, en su caso, órgano colegiado— debe desarrollar sus funciones con independencia y autonomía y contar con los medios necesarios para gestionar correctamente las comunicaciones.

La confidencialidad también debe mantenerse durante todo el procedimiento. El acceso a la información debe limitarse a las personas autorizadas y el sistema debe permitir la presentación y tramitación de comunicaciones anónimas.

Para conocer los pasos necesarios para ponerlo en marcha puede consultar nuestra guía sobre implementar canal de denuncias.

Sistema interno de información y canal de denuncias

El Sistema interno de información es un concepto más amplio que el propio canal de denuncias. El canal es la vía utilizada para recibir las comunicaciones, mientras que el sistema incluye también otros elementos, como el Responsable del Sistema, el procedimiento de gestión y las garantías que deben respetarse durante la tramitación.

La comunicación puede realizarse por escrito o verbalmente mediante los medios habilitados por la organización. Si el informante lo solicita, también debe existir la posibilidad de realizar una reunión presencial dentro del plazo establecido. Además, la Ley 2/2023 permite que las comunicaciones puedan presentarse de forma anónima.

Una plataforma digital puede facilitar esta gestión al centralizar las comunicaciones y ofrecer herramientas para controlar los accesos, organizar los expedientes y mantener la trazabilidad de las actuaciones.

Plazos de respuesta y gestión de la denuncia

La Ley 2/2023 establece determinados plazos que deben tenerse en cuenta durante la gestión de las comunicaciones. Cuando corresponda, el acuse de recibo debe enviarse en un plazo máximo de 7 días naturales desde la recepción, salvo que hacerlo pueda poner en peligro la confidencialidad de la comunicación. A partir de ahí se analiza la información recibida y, cuando resulta necesario, se realizan las actuaciones de investigación correspondientes.

El plazo máximo para dar respuesta a estas actuaciones es, con carácter general, de 3 meses desde la recepción de la comunicación. En los casos de especial complejidad puede ampliarse hasta otros tres meses. Durante todo el procedimiento deben mantenerse las garantías de confidencialidad y protección de las personas implicadas, así como permitir la comunicación con el informante cuando resulte necesario solicitar información adicional.

Plazos, sanciones y consecuencias del incumplimiento

Los plazos iniciales previstos para implantar los Sistemas internos de información ya finalizaron. Las organizaciones incluidas en el plazo general tuvieron que adaptarse durante junio de 2023, mientras que las entidades jurídicas del sector privado con 249 trabajadores o menos dispusieron hasta el 1 de diciembre de 2023.

No cumplir con las obligaciones de la Ley 2/2023 puede tener consecuencias económicas importantes. La normativa diferencia entre infracciones leves, graves y muy graves y establece diferentes sanciones dependiendo de la gravedad y de si el responsable es una persona física o jurídica.

No disponer de un sistema interno de información cuando existe obligación legal constituye una infracción muy grave. Además de la sanción económica, determinadas infracciones pueden generar consecuencias adicionales y afectar a la relación de confianza que la organización mantiene con empleados, colaboradores, clientes o proveedores.

Multas y otras penalizaciones

En el caso de las personas jurídicas, la Ley 2/2023 establece los siguientes rangos de sanciones:

• Infracciones leves: hasta 100.000 euros.
• Infracciones graves: entre 100.001 y 600.000 euros.
• Infracciones muy graves: entre 600.001 y 1.000.000 de euros.

Para las personas físicas, las sanciones pueden alcanzar los 300.000 euros en los supuestos más graves.

En determinadas infracciones muy graves también pueden imponerse otras consecuencias, como una amonestación pública, la prohibición de obtener subvenciones o determinados beneficios fiscales durante un periodo máximo de cuatro años o la prohibición de contratar con el sector público durante un máximo de tres años.

Por eso, cumplir con la normativa no debería reducirse únicamente a evitar una posible multa. La organización necesita asegurarse de que el sistema existe y puede funcionar correctamente cuando alguien decida utilizarlo.

Repercusiones reputacionales y legales

Una gestión inadecuada de las comunicaciones puede tener consecuencias que van más allá de una sanción administrativa. Si los empleados perciben que el canal no protege suficientemente su identidad o que las comunicaciones no reciben seguimiento, puede disminuir considerablemente la confianza en el sistema.

También pueden aparecer problemas cuando no existen procedimientos claros, se produce una vulneración de la confidencialidad o las personas responsables no saben cómo actuar ante una comunicación.

Implantar correctamente las medidas previstas por la Ley 2/2023 permite reducir estos riesgos y disponer de un procedimiento conocido para abordar posibles irregularidades antes de que la situación se agrave.

Buenas prácticas y errores habituales

Cumplir formalmente con la Ley 2/2023 es solo una parte del trabajo. Para que el sistema resulte realmente útil debe funcionar correctamente en el día a día.

Una de las primeras buenas prácticas es comunicar su existencia. Los empleados y demás personas que puedan utilizarlo deberían saber dónde se encuentra, para qué sirve y qué ocurre después de enviar una comunicación.

También conviene:

• Establecer protocolos antes de recibir el primer caso.
• Definir claramente las responsabilidades.
• Limitar el acceso a información confidencial.
• Formar a las personas encargadas de gestionar las comunicaciones.
• Mantener un seguimiento de los plazos.
• Documentar las actuaciones realizadas.
• Revisar periódicamente el funcionamiento del sistema.
• Evitar conflictos de interés durante las investigaciones.

Uno de los errores más habituales es pensar que basta con habilitar un formulario. Sin responsables, procedimientos y medidas de seguridad adecuadas, el canal puede terminar funcionando únicamente como un buzón en el que se reciben comunicaciones sin una gestión clara.

Errores habituales al gestionar denuncias

Entre los problemas más frecuentes se encuentra no enviar el acuse de recibo cuando corresponde o no controlar adecuadamente los plazos de gestión.

También pueden producirse errores relacionados con la trazabilidad. Si las actuaciones no quedan correctamente documentadas, después puede resultar difícil reconstruir qué decisiones se tomaron y por qué.

Los conflictos de interés son otro aspecto que debe vigilarse. Una persona directamente relacionada con los hechos comunicados no debería intervenir en su investigación de forma que pueda comprometer la imparcialidad del procedimiento.

La confidencialidad merece igualmente una atención especial. Dar acceso a los expedientes a personas que no necesitan conocer esa información aumenta innecesariamente el riesgo para todas las personas implicadas.

La Ley 2/2023 exige que el Responsable del Sistema desarrolle sus funciones con independencia y autonomía, precisamente para favorecer una gestión adecuada de este tipo de situaciones.

Recomendaciones y mejores prácticas

Una de las primeras medidas consiste en designar correctamente al Responsable del Sistema y proporcionarle los recursos necesarios para desarrollar sus funciones.

También resulta recomendable utilizar una plataforma que facilite aspectos como:

• La recepción de comunicaciones anónimas.
• El control de permisos y accesos.
• El registro de las actuaciones.
• El seguimiento de los plazos.
• La comunicación segura con el informante.
• La organización de documentos.
• La trazabilidad de cada expediente.

La formación de las personas responsables es igualmente importante. Utilizar correctamente la herramienta no significa necesariamente saber cómo gestionar una posible irregularidad.

Por eso conviene combinar tecnología, procedimientos y formación para crear un sistema que pueda responder correctamente cuando llegue una comunicación. Puede consultar también esta guía práctica sobre protección del informante para profundizar en algunos de estos aspectos.

Beneficios de implementar un canal de denuncias eficaz

Un sistema bien implantado permite conocer determinadas situaciones que pueden ser difíciles de detectar mediante los controles habituales de la empresa.

Empleados, proveedores o colaboradores pueden tener conocimiento directo de posibles irregularidades y necesitar una vía segura para comunicar lo ocurrido.

Entre los principales beneficios se encuentran:

• Detectar posibles problemas en una fase temprana.
• Contar con un procedimiento definido para analizarlos.
• Facilitar la protección de las personas informantes.
• Centralizar la gestión de las comunicaciones.
• Reducir el riesgo de que determinados casos queden sin atender.
• Reforzar los mecanismos internos de prevención.

Además de ayudar a cumplir con la Ley 2/2023, un canal correctamente gestionado puede contribuir a crear una mayor confianza en los procedimientos internos de la organización.

No significa que el canal vaya a evitar todas las irregularidades, pero sí proporciona una vía para conocerlas y actuar cuando se producen.

Solución de nuestro producto para cumplir la Ley 2/2023

Nuestra plataforma está diseñada para facilitar a las organizaciones la recepción y gestión de comunicaciones dentro de su Sistema interno de información.

Permite centralizar los expedientes en un mismo entorno y controlar aspectos como la confidencialidad, los accesos, la trazabilidad y el seguimiento de las actuaciones.

Entre las funcionalidades que pueden facilitar la gestión se encuentran:

• Registro de las comunicaciones.
• Gestión del acuse de recibo.
• Seguimiento de los plazos.
• Control de accesos.
• Gestión de comunicaciones anónimas.
• Organización de la documentación.
• Historial de actuaciones.
• Herramientas para realizar el seguimiento de cada expediente.

La tecnología ayuda a reducir buena parte del trabajo administrativo, aunque el cumplimiento de la Ley 2/2023 también requiere que la organización disponga de procedimientos correctamente definidos y de personas responsables de su aplicación.

Para conocer mejor nuestra solución puede consultar la Plataforma canal de denuncias Ley 2/2023.

Contar con una herramienta adecuada permite que las comunicaciones puedan gestionarse de una forma más ordenada y facilita que la organización mantenga un mayor control sobre cada expediente, desde su recepción hasta su cierre.