Cursos · Canal de denuncias: cómo cumplir la Ley 2/2023 (2026)

Lección 2 de 4

Los 5 elementos obligatorios del canal de denuncias (Ley 2/2023, 2026)

Tiempo de lectura: 9 minutos

Resumen rápido: Para que tu canal de denuncias cumpla la Ley 2/2023 necesitas 5 elementos. (1) Un canal seguro que garantice la confidencialidad, admita denuncias anónimas y permita comunicar por escrito, verbalmente o de las dos formas, con reunión presencial en 7 días si la piden. (2) Un Responsable del Sistema (RSI) independiente, designado por el órgano de administración y comunicado a la AIPI en 10 días hábiles, evitando perfiles con conflicto de interés (CEO, RR.HH., asesor jurídico interno). (3) Una política o estrategia del sistema, aprobada por el órgano de administración y difundida en la entidad. (4) Un procedimiento escrito aprobado por el órgano de administración, con sus plazos (acuse en 7 días, respuesta en 3 meses), los derechos del denunciado y la protección de la identidad. (5) Información clara a empleados, candidatos, proveedores y público, y formación al personal clave. Y además, el libro-registro de informaciones que exige el art. 26: tu mejor prueba ante una inspección.

Por qué un email genérico no es un canal de denuncias

Un error frecuente: empresas que dicen "tengo etica@empresa.com" o "tengo un buzón de sugerencias" y creen que con eso ya cumplen la ley.

No basta con eso. Un email puede ser una vía de entrada, pero la Ley 2/2023 exige 5 elementos concretos. Vamos uno por uno.

Antes de empezar: el órgano de administración es el responsable de implantar el sistema y debe hacerlo previa consulta con la representación legal de los trabajadores (art. 5.1), si la hay.

Elemento 1: el canal (la plataforma)

El canal tiene que estar diseñado y gestionado de forma segura. En la práctica, eso suele significar una plataforma específica que garantice:

Qué debe garantizar

Confidencialidad de la identidad del denunciante y de las personas mencionadas.
Posibilidad de anonimato: poder denunciar sin identificarse (art. 7.3).
Acceso amplio: empleados, ex empleados, candidatos, proveedores, contratistas, voluntarios. No solo la plantilla actual.
Seguridad: acceso restringido al RSI y a las personas autorizadas.
Recomendable: cifrado, registro de accesos, varios idiomas si tu plantilla lo necesita y funcionamiento 24 horas.

Por escrito, verbalmente o de las dos formas

La ley exige que el canal permita comunicar por escrito, verbalmente o de las dos formas (art. 7.2). Lo recomendable es ofrecer ambas:

1. Vía escrita: plataforma web, aplicación, formulario online o correo postal.

2. Vía verbal: línea telefónica o sistema de mensajería de voz.

Reunión presencial: si el denunciante la pide, hay que celebrarla en un plazo máximo de 7 días. Es un requisito poco conocido, pero obligatorio.

Todas las vías deben ofrecer las mismas garantías de confidencialidad.

Lo que no vale por sí solo

❌ Email genérico (etica@, denuncias@, compliance@) como único elemento: no garantiza confidencialidad ni trazabilidad. Cualquier administrador de sistemas puede leerlo.
❌ Buzón físico como única vía: dificulta el acuse de recibo y la trazabilidad.
❌ WhatsApp o Telegram corporativo: la mensajería de uso general no está pensada para garantizar la confidencialidad.
❌ Formulario web sin cifrar: vulnerable a accesos no autorizados.
❌ Plataforma gestionada por TI o RR.HH. sin control del RSI: rompe la independencia.

Opciones de mercado

Plataformas especializadas (SaaS): soluciones "llave en mano"; el precio varía según proveedor y tamaño.
Soluciones de código abierto instaladas en tus servidores: más baratas, pero requieren conocimientos técnicos.
Servicios externalizados de gestión del canal.

Elemento 2: el Responsable del Sistema (RSI)

El Responsable del Sistema interno de información (RSI) es la figura clave del canal (art. 8).

Quién puede ser

Una persona física de la propia empresa (por ejemplo, el responsable de cumplimiento normativo, si lo hay).
Un órgano colegiado, que debe delegar la gestión del sistema en uno de sus miembros.
La gestión del sistema (la recepción de las comunicaciones) puede encargarse a un tercero externo que ofrezca garantías adecuadas (art. 6), pero la responsabilidad no se traslada: sigue siendo de la empresa y de su Responsable.

Requisito esencial: actuar con independencia y autonomía, sin recibir instrucciones de nadie, y con los medios necesarios. En el sector privado, por regla general, el RSI debe ser un directivo de la entidad.

Quién no debería serlo

❌ CEO o director general: conflicto de interés evidente.
❌ Responsable de RR.HH.: conflicto con las denuncias laborales (acoso, discriminación).
❌ Asesor jurídico interno: conflicto con las investigaciones y la defensa de la empresa.
❌ Cualquier directivo con poder sancionador.

La ley no prohíbe expresamente estos perfiles, pero exige independencia y que se eviten los conflictos de interés (art. 8). Si nombras a alguien sin independencia real, tu sistema puede no cumplir la ley.

Designación y comunicación

Designación formal por el órgano de administración (acta del consejo o decisión del administrador).
Comunicación a la AIPI en 10 días hábiles, por su sede electrónica. Si tu comunidad tiene autoridad propia, comprueba si también te lo exige.
Ceses (renuncia, sustitución): también en 10 días hábiles, indicando los motivos.

Una empresa sin RSI designado y comunicado incumple la ley, aunque tenga plataforma.

El plazo de 2026 (ya cerrado)

Del 10 de febrero al 10 de abril de 2026 la AIPI abrió el plazo para que las entidades obligadas de su competencia le comunicaran el RSI que ya tenían nombrado. Si no lo hiciste, regularízalo cuanto antes.

Comunícalo a la AIPI por su sede electrónica y, si tu comunidad tiene autoridad propia, comprueba si también te lo exige.

Elemento 3: la política o estrategia del sistema

La ley exige una política o estrategia del Sistema interno de información (art. 5.2.h): un documento que enuncie los principios generales del sistema y de la defensa del denunciante.

Aprobada por el órgano de administración.
Difundida en la entidad, para que la plantilla la conozca.

No es lo mismo que el procedimiento: la política fija los principios; el procedimiento, los pasos y los plazos.

Elemento 4: el procedimiento escrito de gestión

El procedimiento debe estar por escrito y aprobado formalmente (art. 9).

Contenido mínimo

Canales para presentar la denuncia (plataforma, teléfono, reunión presencial) e información sobre los canales externos.
Acuse de recibo en un máximo de 7 días naturales desde la recepción.
Análisis preliminar: admisión o archivo motivado.
Investigación, respetando los derechos del denunciado: ser informado, ser oído, presunción de inocencia y honor.
Plazo de respuesta: 3 meses como máximo, ampliable 3 meses más en casos de especial complejidad.
Comunicación al denunciante: medidas adoptadas o motivos del archivo.
Protección de la identidad del denunciante durante todo el proceso.
Protección de datos personales y su conservación.
Remisión inmediata al Ministerio Fiscal si los hechos pueden ser delito (a la Fiscalía Europea si afectan a los intereses financieros de la UE).

Quién lo aprueba

El órgano de administración:

Sociedades: consejo de administración o administrador único.
Asociaciones y fundaciones: junta directiva o patronato.
Cooperativas: consejo rector.

Guarda el acta: es lo que acredita la aprobación ante una inspección de la AIPI.

Si no está aprobado formalmente

Aunque tengas plataforma y RSI, sin procedimiento escrito y aprobado no cumples.

Elemento 5: información y formación

Información obligatoria

La información sobre el canal tiene que ser clara y fácilmente accesible (art. 25). Si tienes web, debe estar en la página de inicio, en una sección separada y fácil de identificar. Hazla llegar a:

Empleados: al incorporarse y de forma periódica.
Candidatos en procesos de selección.
Proveedores y contratistas.
Público en general, en tu web.

Qué debe explicar:

Que existe el canal interno.
Cómo presentar una denuncia.
Los derechos del denunciante (confidencialidad, protección frente a represalias).
Que también puede acudir al canal externo (AIPI o autoridad autonómica).

Formación al personal clave

La ley no fija un deber de formación concreto, pero es muy recomendable formar a:

RR.HH.: cómo actuar ante denuncias laborales sin conflicto de interés.
Directivos: la prohibición de represalias.
RSI y equipo de investigación: aspectos técnicos y jurídicos.
Plantilla: información básica sobre el canal, al menos una vez al año.

Deja constancia de la formación (asistentes, fecha y contenidos).

Y además: el libro-registro de informaciones

La ley (art. 26) exige llevar un libro-registro de las informaciones recibidas y de las investigaciones internas. No es público.

Qué anotar

En cada denuncia:

Número de expediente (sin datos que rompan el anonimato, si lo hay).
Fecha y hora de recepción.
Canal por el que llegó (escrito, verbal, presencial).
Acuse de recibo enviado y fecha.
Estado: admitida, archivada, en investigación, resuelta.
Fecha de respuesta.
Plazos cumplidos o motivo de la ampliación.
Medidas adoptadas.

Cuánto tiempo se conservan los datos

Solo el tiempo necesario y proporcionado y, en ningún caso, más de 10 años (art. 26).
Si a los 3 meses de recibir la comunicación no se ha iniciado una investigación, hay que suprimir los datos personales, salvo para dejar constancia anonimizada del funcionamiento del sistema (art. 32).
Lo anterior se entiende sin perjuicio de conservarlos si hay un procedimiento judicial en marcha.

Por qué importa

Es la prueba clave ante una inspección de la AIPI. Si no puedes demostrar:

que recibiste las denuncias y diste acuse,
que cumpliste los plazos,
que seguiste el procedimiento,

te expones a una sanción. El libro-registro es tu mejor defensa.

Resumen: lo mínimo que debe tener tu canal

Elemento	Qué incluye
Canal (plataforma)	Vía escrita y/o verbal, anonimato, confidencialidad y reunión presencial en 7 días
RSI	Independiente, designado por el órgano de administración y comunicado a la AIPI en 10 días hábiles
Política o estrategia	Aprobada por el órgano de administración y difundida en la entidad
Procedimiento	Por escrito y aprobado por el órgano de administración
Información y formación	Información a empleados, candidatos, proveedores y público; formación al personal clave
Libro-registro	Registro de todas las denuncias e investigaciones

Si falta alguno de estos elementos, tu sistema no está completo.

¿Quieres implantarlo sin complicaciones?

Empieza por comprobar si estás obligado con nuestro test gratuito de canal de denuncias:

✅ Hacer el test de canal de denuncias

Si quieres que te lo resolvamos

En AsesoraYa.es, la asesoría 100% online de Grupo TREBIA:

Plan Sociedades Plus, desde 119,95 €/mes + IVA: contabilidad, Impuesto sobre Sociedades, cuentas anuales, libros oficiales y gestión fiscal, y además Renta, RGPD, consulta jurídica y el canal de denuncias incluido.
¿No encaja en tu caso? Te preparamos un presupuesto a medida.

Más información en asesoraya.es/servicios, en el formulario de contacto, en el 91 000 47 83 o en info@asesoraya.es.

En la lección 3 vemos qué hacer cuando llega una denuncia: el procedimiento paso a paso y sus plazos.

Última actualización: octubre de 2026. Normativa: Ley 2/2023, de 20 de febrero (arts. 5 a 9, 25, 26 y 32), Directiva (UE) 2019/1937 y Recomendación 1/2026 de la AIPI. Información divulgativa: no sustituye al asesoramiento personalizado.