En 2026 muchas empresas están revisando su canal de denuncias o, más exactamente, su Sistema Interno de Información. La razón no es solo que la Ley 2/2023 lo exija en muchos casos, sino que ahora la Autoridad Independiente de Protección del Informante (AIPI) ya ha empezado a concretar cómo debe implantarse y qué debe notificarse. En esta guía te explicamos de forma clara qué ha cambiado en 2026, qué empresas están obligadas a tener canal de denuncias, qué debe tener para cumplir y cómo implantarlo bien, especialmente en pymes. Y al final encontrarás una checklist rápida y seis dudas habituales sobre este tema.

Una aclaración importante desde el principio: cuando hablamos de canal de denuncias, muchas veces pensamos en un formulario web, un correo electrónico o un teléfono. Y eso puede ser efectivamente el canal. Pero la ley no exige solo un canal. Exige un Sistema Interno de Información. La diferencia es importante: el formulario puede ser el canal; lo que no puede ser es todo el sistema.

 

Qué ha cambiado en 2026 con el canal de denuncias

La base legal no es nueva: sigue siendo la Ley 2/2023, que regula la protección del informante y la obligación de implantar sistemas internos de información. Lo que cambia ahora es que la Autoridad Independiente de Protección del Informante (AIPI) ha empezado a concretar cómo debe aplicarse la norma en la práctica.

La novedad más importante es esta: muchas empresas que ya tienen implantado su Sistema Interno de Información deben revisar si tienen un Responsable del Sistema correctamente designado y si esa designación ya se ha comunicado ante la autoridad competente cuando corresponde. Este es uno de los motivos por los que muchas empresas están revisando ahora su canal de denuncias o, más exactamente, su Sistema Interno de Información. A veces no se trata de empezar de cero, sino de comprobar si hay un responsable formalmente designado, si esa designación ya se ha comunicado cuando procede y si el sistema está completo también en lo demás. Todo eso es lo que vamos a ver paso a paso a continuación.

Responsable del Sistema: qué debes revisar ahora

En 2026 esta figura ha cobrado más importancia porque la AIPI ha publicado una guía específica, unas FAQ y el formulario para comunicar el nombramiento o cese del Responsable del Sistema.

La regla general es que el nombramiento y el cese deben notificarse en el plazo de diez días hábiles. Además, se abrió una fase inicial para comunicar los nombramientos y ceses realizados desde la entrada en vigor de la Ley 2/2023: ese plazo comenzó el 10 de febrero de 2026 y finaliza el 10 de abril de 2026. Antes de presentar la comunicación, conviene comprobar ante qué autoridad debe hacerse en cada caso: si la empresa opera en varias comunidades autónomas, la referencia será normalmente la AIPI; si opera solo en una, hay que revisar antes si existe una autoridad autonómica competente.

Qué empresas están obligadas a tener canal de denuncias

Tu empresa está obligada a tener canal de denuncias si:

• tiene 50 o más trabajadores; o
  
• aunque tenga menos de 50, pertenece a alguno de los sectores en los que la ley exige Sistema Interno de Información con independencia de la plantilla.
  

En ese segundo grupo están, en esencia, las entidades del sector privado sujetas a normativa europea en materias como:

• servicios, productos y mercados financieros;
  
• prevención del blanqueo de capitales y de la financiación del terrorismo;
  
• seguridad del transporte;
  
• protección del medio ambiente.

Dicho de otra manera: sí, una pyme puede estar obligada a tener canal de denuncias. La obligación no es solo para grandes compañías.

Qué exige la Ley para cumplir con el canal de denuncias

Como decíamos al principio, la obligación no consiste simplemente en habilitar una vía para comunicar irregularidades. Lo que exige la Ley 2/2023 es disponer de un Sistema Interno de Información que permita comunicar determinadas infracciones o incumplimientos y gestionarlos de forma adecuada, protegiendo a la persona informante y preservando la confidencialidad del proceso. El planteamiento de la ley deja claro que el sistema incluye el canal, el Responsable del Sistema y el procedimiento.

Cómo implantar un canal de denuncias en una pyme

Si eres una pyme obligada, no necesitas montar una estructura enorme. Lo que necesitas es un Sistema Interno de Información bien pensado, bien organizado y adaptado al tamaño de tu empresa.

Ese sistema debe incluir al menos estos elementos:

• un canal interno de información que permita presentar comunicaciones por escrito o verbalmente; incluida la posibilidad de comunicar por vía verbal a través de teléfono, sistemas de mensajería de voz o reunión presencial, que debe ofrecerse dentro de un plazo máximo de siete días si la persona informante lo solicita; y que además admita denuncias anónimas;
  
• un Responsable del Sistema Interno de Información formalmente designado;
  
• un procedimiento de gestión claro, que regule cómo se reciben, analizan, investigan, responden y documentan las comunicaciones;
  
• información clara y accesible sobre la existencia del canal de denuncias, el funcionamiento del sistema y también sobre el canal externo;
  
• y una correcta gestión documental y de protección de datos, con trazabilidad, libro-registro en los términos legales y tratamiento adecuado de la información personal.

Además, la ley permite cierta flexibilidad. Las entidades privadas de entre 50 y 249 trabajadores pueden compartir medios y recursos para la recepción y tramitación de comunicaciones, siempre que se respeten las garantías legales. Y también es posible apoyarse en un tercero externo para la gestión de la recepción, siempre que ofrezca independencia, confidencialidad, protección de datos y secreto de las comunicaciones.

 

Errores frecuentes al implantar un canal de denuncias

Uno de los errores más habituales es pensar que un formulario web ya equivale a tener un canal de denuncias conforme a la ley. Puede ser una herramienta útil, pero por sí sola no sustituye al resto: Responsable del Sistema, procedimiento, garantías de confidencialidad, posibilidad de comunicaciones verbales, admisión de anonimato y gestión conforme a plazos.

Otro error frecuente es pensar que el sistema está pensado solo para empleados. No es así. La ley protege también, en determinados supuestos, a otras personas vinculadas con la organización en un contexto laboral o profesional, como exempleados, candidatos, autónomos, proveedores, accionistas, becarios o personas que trabajen bajo la supervisión de contratistas y subcontratistas.

Cómo debe ser un canal de denuncias bien implantado

Un canal de denuncias bien implantado no tiene por qué ser complejo, pero sí debe reunir cinco cualidades básicas: accesibilidad, confidencialidad, utilidad, trazabilidad y credibilidad.

En otras palabras: debe ser fácil de usar, proteger la identidad del informante, admitir comunicaciones anónimas, permitir una gestión real de las comunicaciones, dejar constancia de las actuaciones y generar confianza en la organización.

Plazos clave del Sistema Interno de Información

Cuando entra una comunicación, el sistema debe permitir enviar acuse de recibo en un plazo máximo de siete días naturales, salvo que ello pueda poner en riesgo la confidencialidad o concurran otras circunstancias justificadas. Además, la persona informante debe recibir información sobre las actuaciones previstas o adoptadas en un plazo que, como regla general, no supere tres meses desde el acuse de recibo o desde que venza ese plazo de siete días si no hubo acuse.

Esto no significa que toda investigación tenga que estar cerrada por completo en tres meses, pero sí que el sistema debe estar preparado para dar seguimiento diligente y no dejar la comunicación sin gestión.

Canal de denuncias en grupos de empresas

La ley permite que exista un Sistema Interno de Información común dentro de un grupo de empresas. La sociedad dominante puede aprobar una política general y el sistema puede ser común para todo el grupo. Además, el Responsable del Sistema puede ser único para todo el grupo o uno por sociedad, según se articule internamente.

Aun así, conviene revisar bien cómo se ha organizado ese sistema común y qué corresponde comunicar en cada caso, porque la AIPI ha aclarado aspectos relevantes sobre la notificación del responsable en grupos de empresas.

Sanciones y riesgos por no contar con un sistema adecuado

La Ley 2/2023 tipifica como infracción, entre otras conductas, no disponer de un Sistema Interno de Información en los términos exigidos por la norma. En el caso de las personas jurídicas, las sanciones por infracciones muy graves pueden llegar hasta 1.000.000 de euros.

Además del impacto económico, un sistema insuficiente puede generar más conflictividad interna, menos control sobre incidencias relevantes y más riesgo reputacional. Por eso un buen canal de denuncias no solo ayuda a cumplir: también ayuda a ordenar la respuesta interna y a detectar problemas antes.  Incluso en organizaciones que no están obligadas a implantarlo, puede ser una herramienta útil para gestionar mejor riesgos, conflictos e incumplimientos.

Checklist rápida para saber si tu empresa va bien encaminada

Tu empresa va bien encaminada si ya puede responder “sí” a casi todo esto:

• tiene un canal interno de información accesible;
  
• admite denuncias anónimas;
  
• permite comunicaciones verbales;
  
• tiene Responsable del Sistema designado;
  
• dispone de procedimiento escrito;
  
• puede cumplir los plazos;
  
• informa también del canal externo;
  
• y sabe cómo proteger la confidencialidad y los datos.

Y todavía tiene puntos importantes que revisar si el sistema se reduce a un correo genérico, si no está claro quién lo gestiona, si no existe procedimiento, si no se contempla la vía verbal o si no se ha previsto correctamente la confidencialidad y el seguimiento.

Para muchas empresas, especialmente pymes, la clave no está en implantar un sistema complejo, sino en implantar uno claro, útil y bien gestionado.

Preguntas frecuentes sobre el canal de denuncias

 

¿Es obligatorio tener canal de denuncias en una pyme?

Sí, si la pyme tiene 50 o más trabajadores, con carácter general. También puede estar obligada con menos plantilla si opera en sectores regulados previstos por la ley.

¿Un correo electrónico sirve como canal de denuncias?

No por sí solo. Puede formar parte del sistema, pero la ley exige además responsable, procedimiento, garantías, posibilidad de comunicaciones verbales y anónimas y gestión conforme a plazos.

¿El canal de denuncias tiene que permitir comunicaciones anónimas?

Sí. El Sistema Interno de Información debe admitir comunicaciones anónimas.

¿Se pueden comunicar por el canal temas de seguridad y salud laboral?

Sí. El canal de denuncias también puede servir para comunicar incumplimientos relevantes en materia de seguridad y salud en el trabajo. La propia Ley 2/2023 no los deja fuera, aunque aclara que este ámbito convive con su normativa específica. No necesariamente cualquier incidencia ordinaria de prevención tiene que ir por esta vía, pero sí puede ser adecuada cuando hablamos de incumplimientos relevantes o riesgos graves.

¿Puede usar el canal de denuncias cualquier persona?

Sí. La Ley 2/2023 protege a cualquier persona que haya conocido la información en un contexto laboral o profesional. Eso incluye no solo a empleados, sino también a autónomos, accionistas, miembros del órgano de administración, proveedores, contratistas, subcontratistas, exempleados, candidatos, becarios y personas en formación.

¿Y qué pasa con la persona a la que se refiere la denuncia?

La ley también protege a la persona afectada por la comunicación. Durante la tramitación, tiene derecho a la presunción de inocencia, al derecho de defensa y al acceso al expediente en los términos previstos por la norma. Además, su identidad debe preservarse y el procedimiento debe gestionarse con confidencialidad. La AIPI también insiste en que debe informarse a la persona afectada de los hechos que se le atribuyen y garantizar su derecho a ser oída, sin frustrar la investigación.