Sanciones por no tener canal de denuncias y cómo contratarlo
Las sanciones por no tener canal de denuncias pueden ser importantes para aquellas empresas y entidades que estén obligadas a disponer de un Sistema interno de información conforme a la Ley 2/2023.
La obligación afecta, con carácter general, a las empresas privadas con 50 o más trabajadores, aunque existen otros supuestos y sectores en los que también puede resultar exigible. Por eso, antes de implantar el sistema conviene comprobar qué obligaciones concretas afectan a cada organización.
Un canal de denuncias permite que empleados, colaboradores y otras personas relacionadas con la empresa puedan comunicar posibles irregularidades a través de una vía segura. Además de facilitar la detección temprana de determinados problemas, debe ofrecer garantías de confidencialidad y permitir la presentación de comunicaciones anónimas.
No disponer del sistema cuando existe obligación legal puede provocar consecuencias económicas y reputacionales. Para evitarlo, la empresa necesita algo más que habilitar un formulario: debe definir responsables, procedimientos y medidas que permitan gestionar correctamente cada comunicación.
Marco legal y sanciones por no disponer de canal de denuncias
La Ley 2/2023, de 20 de febrero, incorporó al ordenamiento español la Directiva (UE) 2019/1937 y estableció un marco específico para proteger a las personas que informan sobre determinadas infracciones.
En el sector privado, están obligadas con carácter general las empresas con 50 o más trabajadores, además de determinadas organizaciones pertenecientes a sectores específicamente regulados.
Cuando una entidad obligada no dispone de un Sistema interno de información conforme a la normativa, puede enfrentarse a sanciones por no tener canal de denuncias.
La Ley 2/2023 diferencia entre infracciones leves, graves y muy graves. Para las personas jurídicas, las multas pueden alcanzar 1.000.000 de euros en los casos más graves.
Además de las sanciones económicas, determinadas infracciones muy graves pueden llevar aparejadas otras consecuencias, como la prohibición temporal de obtener subvenciones o determinados beneficios fiscales, así como la imposibilidad de contratar con el sector público durante el periodo previsto por la normativa. Puede consultar directamente la Ley 2/2023, de 20 de febrero.
Qué es un canal de denuncias y por qué es obligatorio
Un canal de denuncias interno es una vía que permite comunicar posibles infracciones conocidas dentro de un contexto laboral o profesional. Puede ser utilizado por empleados y otras personas vinculadas con la organización para trasladar información sobre determinadas irregularidades sin necesidad de recurrir a los canales habituales de comunicación de la empresa.
La Ley 2/2023 exige que el sistema interno de información garantice aspectos especialmente importantes como:
- La confidencialidad de las comunicaciones.
- La protección de la identidad del informante.
- La posibilidad de presentar comunicaciones anónimas.
- El acceso limitado a la información.
- La existencia de un procedimiento de gestión.
- La designación de un Responsable del Sistema.
- El cumplimiento de los plazos establecidos.
Los plazos iniciales de implantación finalizaron en 2023. Las empresas privadas con 249 trabajadores o menos dispusieron hasta el 1 de diciembre de 2023, mientras que las organizaciones incluidas en el plazo general tuvieron que adaptarse anteriormente.
Actualmente, aquellas entidades que se encuentren dentro de los supuestos previstos por la ley ya deberían disponer de su sistema. Si tiene dudas sobre si su empresa se encuentra dentro de estos supuestos, puede consultar nuestra guía sobre cuando un canal de denuncias obligatorio.
Proceso del canal de denuncias
Una vez implantado el canal, la empresa necesita disponer de un procedimiento para gestionar las comunicaciones que reciba. Aunque cada expediente puede presentar particularidades, el proceso suele dividirse en varias fases:
- Recepción de la comunicación.
- Registro del caso.
- Acuse de recibo cuando corresponda.
- Análisis inicial.
- Investigación.
- Adopción de medidas.
- Cierre del expediente.
La Ley 2/2023 exige además que el Sistema interno de información cuente con un Responsable del Sistema que ejerza sus funciones con independencia y autonomía.
En organizaciones de mayor tamaño también pueden participar otras áreas, como compliance, recursos humanos o asesoría jurídica, dependiendo de la naturaleza de cada caso y siempre limitando el acceso a la información a quienes realmente necesiten conocerla.
Recepción y registro de la denuncia
El proceso comienza cuando una persona presenta una comunicación a través de alguno de los medios habilitados. El canal interno debe permitir comunicaciones por escrito o verbalmente. La normativa contempla, entre otras posibilidades, medios electrónicos, correo postal, vía telefónica o sistemas de mensajería de voz. Además, cuando el informante lo solicita, puede realizarse una reunión presencial dentro del plazo establecido.
Una vez recibida la información, debe registrarse de forma que sea posible realizar el seguimiento del caso sin comprometer la confidencialidad. Cuando corresponda, el informante debe recibir un acuse de recibo en un plazo máximo de 7 días naturales, salvo que hacerlo pueda poner en peligro la confidencialidad de la comunicación.
La seguridad también resulta especialmente importante en esta fase. El acceso a la información debe limitarse a las personas autorizadas y deben existir medidas para evitar que los datos puedan quedar expuestos.
Investigación interna y plazos
Después de recibir y analizar inicialmente la comunicación, puede resultar necesario iniciar actuaciones para comprobar los hechos. Esta fase puede incluir:
- Revisión de la información aportada.
- Recopilación de documentación.
- Solicitud de información adicional.
- Entrevistas con las personas implicadas.
- Análisis de las circunstancias comunicadas.
- Documentación de las actuaciones realizadas.
La Ley 2/2023 establece un plazo máximo general de 3 meses para dar respuesta a las actuaciones de investigación. Cuando el asunto presente una especial complejidad, este periodo puede ampliarse hasta otros tres meses.
Durante todo el procedimiento debe protegerse la confidencialidad de las personas implicadas y respetarse la presunción de inocencia y los derechos de la persona afectada.
Comunicación al denunciante y cierre del caso
Una vez finalizadas las actuaciones, se adoptan las medidas que correspondan y se documenta el resultado del expediente. El informante puede recibir información sobre la tramitación dentro de los límites que permitan la confidencialidad, la protección de datos y los derechos del resto de personas implicadas.
También debe existir un procedimiento para conservar la documentación durante el periodo legalmente permitido. Aquí conviene hacer una distinción importante: la Ley 2/2023 permite conservar los datos incluidos en el libro-registro durante un máximo de diez años, pero eso no significa que toda la información pueda permanecer indefinidamente dentro de la plataforma utilizada para gestionar las comunicaciones.
Una correcta documentación del procedimiento ayuda a demostrar qué actuaciones se han realizado y permite revisar posteriormente cómo se gestionó cada caso.
Mejores prácticas para implementar el canal de denuncias
Evitar las sanciones por no tener canal de denuncias empieza por disponer del sistema cuando sea obligatorio, pero su implantación no debería limitarse únicamente a cumplir un requisito formal.
Para que resulte útil conviene aplicar algunas buenas prácticas:
- Facilitar un acceso sencillo al canal.
- Informar sobre su existencia.
- Explicar claramente para qué puede utilizarse.
- Definir quién gestionará las comunicaciones.
- Proteger la confidencialidad.
- Permitir comunicaciones anónimas.
- Establecer procedimientos antes de recibir el primer caso.
- Formar a las personas responsables.
- Controlar los plazos.
- Revisar periódicamente el funcionamiento del sistema.
También es importante evitar procesos excesivamente complicados. Cuantos más obstáculos encuentre una persona para realizar una comunicación, menos probable será que utilice el canal. Puede consultar esta información sobre las funciones y garantías de un tercero externo en la gestión del canal de denuncias.
Diseño de un canal accesible y seguro
La accesibilidad es uno de los puntos que deben tenerse en cuenta desde el principio. El canal debe ser fácil de encontrar y utilizar por las personas que puedan necesitarlo. También conviene adaptar su funcionamiento a los diferentes perfiles que mantengan una relación laboral o profesional con la organización.
Desde el punto de vista técnico, resulta importante disponer de medidas que protejan la información, como:
- Controles de acceso.
- Sistemas de autenticación adecuados.
- Cifrado de la información cuando corresponda.
- Registro de las actuaciones.
- Separación de permisos según las responsabilidades.
- Protección de los datos personales.
Las recomendaciones publicadas por la AIPI en 2026 también inciden en cuestiones como la accesibilidad, la seguridad, la documentación y la capacidad del canal para admitir comunicaciones anónimas.
Garantías de confidencialidad y protección contra represalias
Una persona difícilmente utilizará el canal si piensa que su identidad terminará siendo conocida por personas que no deberían acceder a ella. Por este motivo, la confidencialidad debe protegerse desde el momento en que se recibe la comunicación.
La organización debe limitar el acceso a la información y establecer medidas para evitar que puedan producirse filtraciones o usos indebidos del sistema. La Ley 2/2023 también prohíbe las represalias contra aquellas personas que cumplan los requisitos previstos para recibir protección.
Esto incluye diferentes formas de perjuicio laboral o profesional que puedan producirse como consecuencia de haber realizado una comunicación protegida por la normativa.
Formación y cultura ética en la empresa
La tecnología por sí sola no consigue que un canal funcione. Las personas que pueden utilizarlo deben saber que existe, para qué sirve y dónde encontrarlo. Al mismo tiempo, quienes se encargan de gestionar las comunicaciones necesitan conocer correctamente el procedimiento.
La formación puede incluir aspectos como:
- Uso del canal.
- Tipos de situaciones que pueden comunicarse.
- Confidencialidad.
- Protección del informante.
- Gestión de los expedientes.
- Conflictos de interés.
- Plazos.
- Protección de datos.
También resulta útil revisar indicadores como los tiempos de gestión o las incidencias detectadas durante la tramitación para identificar posibles puntos de mejora.
Gestión interna vs. externalización del canal
La Ley 2/2023 permite que la gestión del Sistema interno de información pueda llevarse a cabo internamente o contar con el apoyo de un tercero externo.
Externalizar determinados aspectos puede resultar interesante para empresas que buscan apoyo especializado, mayor independencia operativa o recursos adicionales para gestionar las comunicaciones.
Sin embargo, contratar a un tercero no elimina las responsabilidades de la organización.
La propia Ley 2/2023 establece que el tercero externo que gestione el sistema tendrá la consideración de encargado del tratamiento a efectos de protección de datos.
A la hora de elegir un proveedor conviene valorar:
- Experiencia.
- Seguridad de la plataforma.
- Confidencialidad.
- Protección de datos.
- Posibilidad de gestionar comunicaciones anónimas.
- Soporte.
- Control de accesos.
- Trazabilidad.
- Gestión de plazos.
- Condiciones contractuales.
Si quiere comprobar primero si su organización se encuentra obligada, puede consultar nuestra guía sobre cuando es obligatorio un canal de denuncias.
Cómo contratar un proveedor externo de canal de denuncias: guía paso a paso
Una forma sencilla de abordar el proceso es seguir estas fases:
- Analizar las necesidades de la empresa. Revisar plantilla, estructura, centros de trabajo y requisitos específicos.
- Comprobar las obligaciones legales. Determinar qué requisitos de la Ley 2/2023 afectan a la organización.
- Definir las funcionalidades necesarias. Anonimato, permisos, seguimiento, idiomas, documentación o integraciones.
- Comparar proveedores. Revisar experiencia, seguridad, soporte y condiciones contractuales.
- Configurar el sistema. Definir usuarios, responsables, permisos y procedimientos.
- Realizar pruebas. Comprobar que tanto la parte técnica como el procedimiento funcionan correctamente.
- Formar a las personas responsables. Asegurarse de que saben cómo actuar cuando llegue una comunicación.
- Comunicar el canal. Informar a empleados y demás personas que puedan necesitar utilizarlo.
En Canal de Denuncias Seguro ofrecemos una solución orientada a facilitar la recepción y gestión de este tipo de comunicaciones dentro de un entorno centralizado.
También puede consultar nuestra guía sobre canal de denuncias compliance para conocer mejor los aspectos relacionados con su implantación y funcionamiento.
Impacto de no cumplir: sanciones y otras consecuencias
Las Sanciones por no tener canal de denuncias pueden alcanzar cantidades importantes cuando una organización incumple la obligación de disponer del Sistema interno de información.
Para las personas jurídicas, la Ley 2/2023 establece:
- Infracciones leves: hasta 100.000 euros.
- Infracciones graves: entre 100.001 y 600.000 euros.
- Infracciones muy graves: entre 600.001 y 1.000.000 de euros.
No disponer de un Sistema interno de información cuando existe obligación legal está tipificado como una infracción muy grave. A estas consecuencias económicas pueden añadirse otras medidas previstas por la normativa y un posible impacto reputacional.
Una empresa que carece de un procedimiento para recibir comunicaciones puede además tardar más en detectar determinados problemas internos. Esto puede hacer que una situación inicialmente limitada termine generando consecuencias de mayor alcance.
Por eso, implantar correctamente el canal no debería entenderse únicamente como una forma de evitar una multa. También permite disponer de un procedimiento para conocer determinadas irregularidades, analizarlas y actuar antes de que el problema aumente.
Si la organización se encuentra dentro de los sujetos obligados, contar con una herramienta adecuada y un procedimiento bien definido es la mejor forma de reducir el riesgo de Sanciones por no tener canal de denuncias y, al mismo tiempo, conseguir que el sistema funcione cuando alguien realmente necesite utilizarlo
FAQ
¿Qué sanciones implica no contar con un canal de denuncias?
¿Cómo se calcula la multa según la Ley 2/2023?
¿Cuándo es obligatorio tener un canal de denuncias?
¿Qué ventajas ofrece externalizar el canal de denuncias?
¿Qué pasos seguir para contratar un proveedor externo?
