Protocolo canal de denuncias ley 2 2023: todo lo que tu empresa debe saber
El protocolo es el procedimiento que establece cómo deben gestionarse las comunicaciones recibidas a través del Sistema interno de información. No debería limitarse a explicar dónde se encuentra el canal, sino que debe ordenar las diferentes fases del proceso y determinar quién tiene capacidad para intervenir en cada una.
La propia Ley 2/2023 establece que el órgano de administración o de gobierno debe aprobar el procedimiento de gestión y que el Responsable del Sistema responderá de su tramitación diligente. Entre otros aspectos, el procedimiento debe identificar los canales internos, informar sobre la existencia de canales externos, contemplar el acuse de recibo, fijar los plazos de investigación y garantizar la confidencialidad durante toda la gestión.
Qué es el protocolo canal de denuncias ley 2 2023
La Ley 2/2023 establece los requisitos y principios para la implementación de un canal de denuncias en las empresas, con el objetivo de proteger a los empleados y terceros que denuncien irregularidades.
El canal de denuncias debe garantizar la confidencialidad y protección del denunciante, y puede ser interno o externo, según lo establezca la empresa.
Para más información sobre la legislación del canal de denuncias en España, se puede consultar legislación del canal de denuncias, que detalla los artículos clave y principios de confidencialidad.
Es importante destacar que la Ley 2/2023 busca promover una cultura de transparencia y responsabilidad en las empresas, y el canal de denuncias es un elemento clave en este proceso.
La implementación de un canal de denuncias efectivo puede ayudar a prevenir y detectar irregularidades, y a proteger a los empleados y terceros que denuncien malas prácticas.
Quién debe aprobar y gestionar el protocolo
La implantación del Sistema interno de información corresponde al órgano de administración o de gobierno de la organización obligada, previa consulta con la representación legal de las personas trabajadoras cuando corresponda. Esto significa que no debería plantearse como una decisión exclusivamente técnica del departamento de informática o como una tarea aislada de Recursos Humanos.
La empresa también debe designar a un Responsable del Sistema. Puede ser una persona física o un órgano colegiado, aunque en este último caso debe delegarse en uno de sus miembros la gestión ordinaria del sistema y la tramitación de los expedientes. La ley exige que esta figura actúe de manera independiente y autónoma respecto del resto de órganos de la organización.
Esta independencia adquiere especial importancia cuando una comunicación afecta a alguien con capacidad de decisión dentro de la empresa. El protocolo debería prever desde el principio qué ocurre si el propio responsable, un directivo o una persona que normalmente participaría en la investigación aparece mencionada en los hechos.
Paso 1: recibir y registrar correctamente la comunicación
El protocolo debería comenzar definiendo qué sucede en el momento en que llega una comunicación. El objetivo no es únicamente almacenarla, sino incorporarla a un expediente que permita mantener la trazabilidad de todas las actuaciones posteriores.
Una plataforma especializada puede asignar un código al caso, registrar automáticamente la fecha de recepción y limitar el acceso a las personas autorizadas. Esto facilita especialmente la gestión cuando se reciben varias comunicaciones de forma simultánea y evita que la información termine repartida entre correos electrónicos, carpetas o documentos independientes.
También debe contemplarse qué ocurre cuando una persona comunica una irregularidad por una vía distinta de la habilitada. Si, por ejemplo, un empleado traslada información sensible a una persona que no debería gestionarla, el protocolo interno debe evitar que esa comunicación empiece a circular innecesariamente por la organización.
Paso 2: enviar el acuse de recibo
Para que un canal de denuncias sea efectivo, debe cumplir con una serie de requisitos esenciales que garanticen la confidencialidad La Ley 2/2023 establece como regla general el envío de un acuse de recibo al informante dentro de los siete días naturales siguientes a la recepción de la comunicación, salvo que hacerlo pueda poner en peligro su confidencialidad.
Este acuse no significa que la empresa considere ciertos los hechos comunicados. Su función es mucho más sencilla: confirmar que la información ha llegado y que será tratada conforme al procedimiento correspondiente.
Una plataforma puede automatizar parte de este proceso y ayudar a controlar los plazos, aunque la automatización nunca debería sustituir el análisis que debe realizar posteriormente la persona responsable.
Paso 3: realizar un análisis preliminar
Antes de iniciar una investigación completa conviene revisar qué se ha comunicado y determinar si los hechos entran dentro del ámbito del sistema. También puede ser necesario comprobar si existe información suficiente para continuar o si resulta conveniente pedir alguna aclaración al informante.
Esta fase es especialmente importante porque una comunicación no constituye una prueba por sí misma. La empresa no debería partir de la idea de que los hechos son ciertos, pero tampoco descartarlos simplemente porque inicialmente se haya aportado poca documentación.
Cuando la comunicación es anónima, una plataforma que permita mantener conversaciones mediante un código seguro puede resultar especialmente útil. El responsable puede solicitar información adicional sin necesidad de conocer la identidad de la persona que realizó la comunicación.
Paso 4: definir quién investigará los hechos
Una vez decidido que existen elementos suficientes para continuar, el protocolo debe determinar quién realizará la investigación. La elección dependerá de la naturaleza del caso y de la estructura de la organización, pudiendo ser necesaria la intervención de compliance, asesoría jurídica, Recursos Humanos, auditoría interna u otros especialistas.
Lo importante es limitar la participación a las personas estrictamente necesarias. Cuantas más personas tengan acceso a un expediente, más difícil resulta mantener la confidencialidad y controlar adecuadamente la información.
También debe analizarse desde el principio la existencia de posibles conflictos de interés. Si la denuncia afecta a una persona perteneciente al equipo que habitualmente investiga los casos, debe existir una alternativa prevista para evitar que esa situación comprometa la imparcialidad del procedimiento.
Paso 5: investigar sin partir de una conclusión preconcebida
Investigar consiste en comprobar hechos, no en buscar argumentos para confirmar automáticamente lo que dice la denuncia. Dependiendo del asunto, puede resultar necesario revisar documentos, registros internos, operaciones, comunicaciones corporativas o mantener entrevistas con personas relacionadas con el caso.
Las actuaciones deben ser proporcionadas y respetar los derechos de las personas afectadas. La Ley 2/2023 contempla expresamente el respeto a la presunción de inocencia, el derecho de defensa y el derecho al honor durante la tramitación de las informaciones.
El protocolo debería indicar también cómo se documentarán las actuaciones. No hace falta generar papeles innecesarios, pero sí conservar información suficiente para entender qué se revisó, qué decisiones se adoptaron y por qué se alcanzó una determinada conclusión.
Paso 6: controlar los plazos de investigación
Otro elemento importante del protocolo son los plazos. Con carácter general, el plazo máximo para dar respuesta a las actuaciones de investigación no puede superar los tres meses desde la recepción de la comunicación en los términos establecidos por la ley. En casos especialmente complejos puede ampliarse hasta otros tres meses adicionales.
Esto no significa que una empresa tenga que esperar tres meses antes de cerrar un expediente. Si los hechos pueden comprobarse correctamente en menos tiempo, la investigación puede concluir antes.
El protocolo debería permitir controlar estos plazos desde el principio para evitar que una comunicación quede olvidada durante semanas sin una persona responsable de impulsar las actuaciones.
Paso 7: comunicar, cerrar y documentar el resultado
Una vez terminada la investigación deben quedar documentadas las conclusiones y las medidas adoptadas cuando correspondan. No todos los expedientes terminan de la misma forma: algunos pueden archivarse porque no existen elementos suficientes, otros pueden revelar deficiencias internas que requieran cambios y algunos pueden poner de manifiesto hechos que deban trasladarse a las autoridades competentes.
Cuando los hechos pudieran ser indiciariamente constitutivos de delito, la Ley 2/2023 contempla la remisión de la información al Ministerio Fiscal en los términos establecidos por la propia norma.
El cierre del expediente tampoco implica compartir todo el contenido de la investigación con el informante. La comunicación debe respetar la confidencialidad, los derechos de terceras personas y las limitaciones que puedan existir durante el procedimiento.
Confidencialidad y anonimato dentro del protocolo
Confidencialidad y anonimato no significan exactamente lo mismo. Una comunicación identificada puede ser confidencial si la empresa conoce quién la realiza, pero protege esa identidad frente a personas no autorizadas. En una comunicación anónima, en cambio, el sistema no necesita conocer quién se encuentra detrás de la información.
La Ley 2/2023 exige que los canales internos permitan la presentación y posterior tramitación de comunicaciones anónimas. También establece que el sistema debe diseñarse y gestionarse de manera segura, impidiendo el acceso de personal no autorizado y protegiendo tanto al informante como a las terceras personas mencionadas.
Por eso, un buen protocolo debería explicar quién puede consultar los expedientes, en qué circunstancias puede ampliarse el acceso y cómo se mantiene la información separada de otros sistemas internos cuando resulte necesario.
Conservación de datos y libro-registro
La trazabilidad no significa conservar toda la información indefinidamente. La Ley 2/2023 establece reglas específicas sobre protección de datos y obliga a los sujetos correspondientes a disponer de un libro-registro de las informaciones recibidas y de las investigaciones internas que se hayan iniciado.
Los datos personales deben mantenerse únicamente durante el periodo necesario y proporcionado para cumplir con la finalidad prevista. La organización debe distinguir entre la información necesaria para gestionar un expediente y aquellos datos que dejan de tener utilidad una vez terminadas determinadas actuaciones.
Por eso, el protocolo también debería explicar cómo se revisará la información, qué personas pueden acceder a ella y cuándo corresponde suprimir determinados datos.
Qué empresas necesitan este protocolo
Con carácter general, las empresas privadas con 50 o más trabajadores están obligadas a disponer de un Sistema interno de información. Existen además determinados sectores y sujetos para los que la obligación puede aplicarse con independencia del tamaño de la plantilla.
Puede consultar con más detalle los criterios aplicables en nuestra guía sobre empresas obligadas a tener canal de denuncias.
Esto significa que no todas las pymes o startups están automáticamente obligadas por el simple hecho de desarrollar una actividad empresarial. Una empresa con menos de 50 trabajadores debe analizar su sector y situación concreta antes de determinar si se encuentra dentro del ámbito de aplicación.
Qué ocurrió con las fechas límite de implantación
Las fechas de adaptación previstas inicialmente por la Ley 2/2023 ya han pasado. Las empresas con 250 o más trabajadores tuvieron como fecha de referencia el 13 de junio de 2023, mientras que determinadas entidades privadas con 249 trabajadores o menos dispusieron hasta el 1 de diciembre de 2023.
Por eso, en 2026 no resulta adecuado hablar de “prepararse antes de la fecha límite”. Si una empresa está obligada y todavía no dispone del sistema, el problema ya no es anticiparse al plazo, sino regularizar su situación y comprobar que el canal y su procedimiento funcionan correctamente.
Puede consultar nuestra información específica sobre el plazo para implantar el canal de denuncias en España.
¿Puede gestionarse el sistema con ayuda de un proveedor externo?
La Ley 2/2023 permite que la gestión del Sistema interno de información pueda llevarse a cabo mediante un tercero externo. Sin embargo, externalizar determinadas tareas no elimina las responsabilidades que corresponden a la organización obligada ni permite rebajar las garantías exigidas por la normativa.
Un proveedor puede facilitar la plataforma tecnológica, la trazabilidad, el control de accesos o determinadas tareas de soporte, pero el sistema debe seguir integrado dentro de la estructura de cumplimiento de la empresa.
Antes de contratar un Canal de Denuncias conviene comprobar, entre otras cuestiones, cómo gestiona las comunicaciones anónimas, qué controles de acceso incorpora, cómo permite comunicarse con el informante y qué herramientas ofrece para mantener un historial completo de cada expediente.
Errores habituales en el protocolo canal de denuncias ley 2 2023
Uno de los errores más frecuentes es pensar que implantar el canal termina el día que se publica el formulario. Cuando no existe un procedimiento detrás, la primera denuncia real puede generar dudas sobre quién debe responder, quién puede acceder o qué departamento debe investigar.
También es habitual conceder acceso a demasiadas personas. La información recibida a través del sistema puede ser especialmente sensible, por lo que los permisos deben limitarse y revisarse periódicamente.
Otro problema aparece cuando no se contemplan conflictos de interés. Si la persona denunciada forma parte del equipo responsable de investigar, el protocolo debe prever de antemano cómo se reasignará el caso.
Por último, la empresa debería evitar crear reglas internas que contradigan la propia Ley 2/2023, como exigir siempre identificación al informante, establecer plazos incompatibles con la normativa o tratar una denuncia como cierta desde el momento en que se recibe.
Checklist para revisar el protocolo
Una revisión básica puede realizarse comprobando estos diez puntos:
- ¿Existe un procedimiento de gestión aprobado?
- ¿Está designado el Responsable del Sistema?
- ¿El canal permite comunicaciones anónimas?
- ¿Los accesos están limitados a personas autorizadas?
- ¿Se controla el acuse de recibo de siete días?
- ¿Está definido quién realiza el análisis inicial?
- ¿Existe un procedimiento para gestionar conflictos de interés?
- ¿Se controlan los plazos de investigación?
- ¿Queda trazabilidad de las actuaciones realizadas?
- ¿Existe una política adecuada para la conservación y protección de datos?
Esta revisión también puede complementarse con nuestra guia canal de denuncias y con la información sobre cómo Implementar canal de denuncias.
Protocolo canal de denuncias ley 2 2023: de la obligación a un sistema que funcione
El verdadero objetivo de un protocolo canal de denuncias ley 2 2023 no debería ser acumular documentación para demostrar que la empresa tiene un procedimiento. Su utilidad aparece cuando llega una comunicación y las personas responsables saben exactamente qué deben hacer sin poner en riesgo la confidencialidad, los plazos o los derechos de las personas implicadas.
La Ley 2/2023 proporciona la estructura jurídica básica, pero durante 2026 la Autoridad Independiente de Protección del Informante también ha actualizado sus recomendaciones sobre el diseño e implantación de los Sistemas internos de información, incorporando cuestiones relacionadas con las características técnicas de los canales internos.
En Canal de Denuncias Seguro ofrecemos una solución orientada a facilitar la recepción, gestión y seguimiento de comunicaciones dentro del Sistema interno de información. Una plataforma puede simplificar enormemente la parte operativa, pero siempre debe trabajar junto a un protocolo claro, responsables definidos y un procedimiento capaz de funcionar cuando llegue un caso real.
FAQ
¿Cuál es la fecha límite exacta para implementar el canal de denuncias según la Ley 2/2023?
¿Mi empresa de 30 empleados está obligada a tener un canal de denuncias?
¿Puedo usar un canal interno gratuito o debo contratar uno externo?
¿Qué sanciones se aplican si no cumplo con la fecha límite?
¿Cuánto tiempo tarda, en promedio, implementar un canal externo?
¿Qué información debe recopilar el canal de denuncias?
¿Cómo protege la ley la identidad del denunciante?
¿Existe alguna exención para sectores muy regulados como banca o salud?
