En 2026 muchas empresas están revisando su canal de denuncias o, más exactamente, su Sistema Interno de Información. La base legal no es nueva: sigue estando en la Ley 2/2023, que regula la protección de las personas informantes y la obligación de implantar sistemas internos de información. Lo que ocurre es que, en la práctica, cada vez más organizaciones están comprobando si lo que tienen implantado responde de verdad a lo que exige la norma, especialmente en lo relativo al Responsable del Sistema y a su comunicación ante la autoridad competente. En esta guía te explicamos de forma clara qué conviene revisar en 2026, qué empresas están obligadas a tener un Sistema Interno de Información, qué debe incluir para cumplir y cómo implantarlo bien, especialmente en pymes.
Una aclaración importante desde el principio: cuando hablamos de canal de denuncias, muchas veces pensamos en un formulario web, un correo electrónico o un teléfono. Y eso puede ser efectivamente el canal. Pero la ley no exige solo un canal. Exige un Sistema Interno de Información. La diferencia es importante: el formulario puede ser el canal; lo que no puede ser es todo el sistema.
Responsable del Sistema: qué debes revisar ahora
En 2026 esta figura ha ganado relevancia práctica porque la Autoridad Independiente de Protección del Informante (AIPI) ya ha puesto en marcha el procedimiento para comunicar el nombramiento y cese del Responsable del Sistema y ha publicado guía y preguntas frecuentes sobre esta materia. Por eso, muchas empresas que ya tenían implantado su Sistema Interno de Información están revisando ahora si esa figura está correctamente designada y si su nombramiento se ha comunicado cuando corresponde.
El Responsable del Sistema es la persona encargada de supervisar el funcionamiento del Sistema Interno de Información. La ley exige que sea designado por el órgano de administración o de gobierno de la entidad y que actúe con independencia. Además, su nombramiento y su cese deben comunicarse, con carácter general, en el plazo de diez días hábiles a la AIPI o, en su caso, a la autoridad autonómica competente. Además, se abrió una fase inicial para comunicar los nombramientos y ceses realizados desde la entrada en vigor de la Ley 2/2023: ese plazo comenzó el 10 de febrero de 2026 y finaliza el 10 de abril de 2026.
En la práctica, antes de designarlo conviene revisar tres cosas: que la persona elegida tenga suficiente posición y autonomía dentro de la organización; que esté claramente definido su papel dentro del sistema; y que la empresa tenga identificado ante qué autoridad debe comunicar el nombramiento. La AIPI orienta, además, a que esta función recaiga preferentemente en una persona directiva que pueda ejercer el cargo con independencia.
Qué empresas están obligadas a tener canal de denuncias
Tu empresa está obligada a tener canal de denuncias si:
- tiene 50 o más trabajadores; o
- aunque tenga menos de 50, pertenece a alguno de los sectores en los que la ley exige Sistema Interno de Información con independencia de la plantilla.
En ese segundo grupo están, en esencia, las entidades del sector privado sujetas a normativa europea en materias como:
- servicios, productos y mercados financieros;
- prevención del blanqueo de capitales y de la financiación del terrorismo;
- seguridad del transporte;
- protección del medio ambiente.
Dicho de otra manera: sí, una pyme puede estar obligada a tener canal de denuncias. La obligación no es solo para grandes compañías.
Qué exige la Ley para cumplir con el canal de denuncias
Como decíamos al principio, la obligación no consiste simplemente en habilitar una vía para comunicar irregularidades. Lo que exige la Ley 2/2023 es disponer de un Sistema Interno de Información que permita comunicar determinadas infracciones o incumplimientos y gestionarlos de forma adecuada, protegiendo a la persona informante y preservando la confidencialidad del proceso. El planteamiento de la ley deja claro que el sistema incluye el canal, el Responsable del Sistema y el procedimiento.
Cómo implantar un canal de denuncias en una pyme
Si eres una pyme obligada, no necesitas montar una estructura enorme. Lo que necesitas es un Sistema Interno de Información bien pensado, bien organizado y adaptado al tamaño de tu empresa.
Ese sistema debe incluir al menos estos elementos:
- un canal interno de información que permita presentar comunicaciones por escrito o verbalmente; incluida la posibilidad de comunicar por vía verbal a través de teléfono, sistemas de mensajería de voz o reunión presencial, que debe ofrecerse dentro de un plazo máximo de siete días si la persona informante lo solicita; y que además admita denuncias anónimas;
- un Responsable del Sistema Interno de Información formalmente designado;
- un procedimiento de gestión claro, que regule cómo se reciben, analizan, investigan, responden y documentan las comunicaciones;
- Información clara y accesible sobre la existencia del canal interno, el funcionamiento del sistema y la posibilidad de acudir, cuando proceda, al canal externo ante la autoridad competente;
- y una correcta gestión documental y de protección de datos, con trazabilidad, libro-registro en los términos legales y tratamiento adecuado de la información personal.
Conviene no confundir ambos planos: el canal interno forma parte del Sistema Interno de Información de la empresa, mientras que el canal externo es la vía prevista legalmente para comunicar información ante la autoridad competente.
La ley permite cierto margen de organización. Las entidades privadas de entre 50 y 249 trabajadores pueden compartir medios y recursos para la recepción y tramitación de comunicaciones, siempre que se respeten las garantías legales. También es posible externalizar la gestión de la recepción de las comunicaciones, siempre que el tercero externo garantice independencia, confidencialidad, protección de datos y secreto de las comunicaciones.
Errores frecuentes al implantar un canal de denuncias
Uno de los errores más habituales es pensar que un formulario web ya equivale a tener un canal de denuncias conforme a la ley. Puede ser una herramienta útil, pero por sí sola no sustituye al resto: Responsable del Sistema, procedimiento, garantías de confidencialidad, posibilidad de comunicaciones verbales, admisión de comunicaciones anónimas y gestión conforme a plazos.
Otro error frecuente es pensar que el sistema está pensado solo para empleados. No es así. La ley protege también, en determinados supuestos, a otras personas vinculadas con la organización en un contexto laboral o profesional, como exempleados, candidatos, autónomos, proveedores, accionistas, becarios o personas que trabajen bajo la supervisión de contratistas y subcontratistas.
Cómo debe ser un canal de denuncias bien implantado
En la práctica, un canal de denuncias bien implantado debería reunir al menos cinco cualidades básicas: accesibilidad, confidencialidad, utilidad, trazabilidad y credibilidad.
Tener un canal interno de información no significa, por sí solo, que vaya a funcionar bien. En muchas empresas, el problema no está solo en implantar la herramienta, sino en que las personas no tienen claro para qué sirve, cuándo deben utilizarla, qué garantías ofrece o qué ocurre después de presentar una comunicación.
Por eso, además de cumplir formalmente con la ley, conviene que el sistema sea comprensible, creíble y usable dentro de la organización. Si no se entiende bien, no genera confianza o no se explica de forma clara, el riesgo es que se use mal, se infrautilice o directamente no se use.
En otras palabras: debe ser fácil de usar, proteger la identidad del informante, admitir comunicaciones anónimas, permitir una gestión real de las comunicaciones, dejar constancia de las actuaciones y generar confianza en la organización.
Plazos clave del Sistema Interno de Información
Cuando entra una comunicación, el sistema debe permitir enviar acuse de recibo en un plazo máximo de siete días naturales, salvo que ello pueda poner en riesgo la confidencialidad o concurran otras circunstancias justificadas. Además, la persona informante debe recibir información sobre las actuaciones previstas o adoptadas en un plazo que, como regla general, no supere tres meses desde el acuse de recibo o desde que venza ese plazo de siete días si no hubo acuse.
Esto no significa que toda investigación tenga que estar cerrada por completo en tres meses, pero sí que el sistema debe estar preparado para dar seguimiento diligente y no dejar la comunicación sin gestión.
Canal de denuncias en grupos de empresas
La ley permite articular un Sistema Interno de Información común dentro de un grupo de empresas, sobre la base de una política general aprobada por la sociedad dominante. Ahora bien, conviene no perder de vista que la obligación de disponer del sistema sigue recayendo individualmente sobre cada entidad obligada. En ese marco, puede designarse la misma persona como Responsable del Sistema para varias sociedades del grupo, o designarse responsables distintos, según cómo se organice internamente.
Sanciones y riesgos por no contar con un sistema adecuado
La Ley 2/2023 tipifica como infracción, entre otras conductas, no disponer de un Sistema Interno de Información en los términos exigidos por la norma. En el caso de las personas jurídicas, las sanciones por infracciones muy graves pueden llegar hasta 1.000.000 de euros.
Además del impacto económico, un sistema insuficiente puede generar más conflictividad interna, menos control sobre incidencias relevantes y más riesgo reputacional. Por eso, un buen canal de denuncias no solo ayuda a cumplir, sino también a ordenar la respuesta interna y a detectar problemas antes.
Incluso en organizaciones que no están obligadas a implantar un Sistema Interno de Información, puede ser una herramienta útil para detectar antes determinados problemas, gestionar mejor las incidencias internas y reforzar una cultura de cumplimiento y prevención.
Checklist rápida para saber si tu empresa va bien encaminada
Tu empresa va bien encaminada si ya puede responder “sí” a casi todo esto:
- tiene un canal interno de información accesible;
- admite comunicaciones anónimas;
- permite comunicaciones verbales;
- tiene Responsable del Sistema designado;
- dispone de procedimiento escrito;
- puede cumplir los plazos legales;
- informa de la posibilidad de acudir al canal externo ante la autoridad competente;
- y ha previsto cómo proteger la confidencialidad y los datos personales.
Y todavía tiene puntos importantes que revisar si el sistema se reduce a un correo genérico, si no está claro quién lo gestiona, si no existe procedimiento, si no se contempla la vía verbal o si no se ha previsto correctamente la confidencialidad y el seguimiento.
Para muchas empresas, especialmente pymes, la clave no está en implantar un sistema complejo, sino en implantar uno claro, útil y bien gestionado.
Preguntas frecuentes sobre el canal de denuncias
¿Es obligatorio tener canal de denuncias en una pyme?
Sí, si la pyme tiene 50 o más trabajadores, con carácter general. También puede estar obligada con menos plantilla si opera en sectores regulados previstos por la ley.
¿Un correo electrónico sirve como canal de denuncias?
No por sí solo. Puede formar parte del sistema, pero la ley exige además responsable, procedimiento, garantías, posibilidad de comunicaciones verbales y anónimas y gestión conforme a plazos.
¿El canal de denuncias tiene que permitir comunicaciones anónimas?
Sí. El Sistema Interno de Información debe admitir comunicaciones anónimas. Además, la ley exige que también permita presentar comunicaciones verbales.
¿Se pueden comunicar por el canal temas de seguridad y salud laboral?
Sí, puede utilizarse para comunicar infracciones relevantes en materia de seguridad y salud en el trabajo, sin perjuicio de la normativa específica aplicable en ese ámbito. No toda incidencia ordinaria de prevención tiene por qué canalizarse por esta vía, pero sí puede ser adecuada cuando se trate de incumplimientos relevantes o riesgos graves.
¿Puede usar el canal de denuncias cualquier persona?
Sí. La Ley 2/2023 protege a cualquier persona que haya conocido la información en un contexto laboral o profesional. Eso incluye no solo a empleados, sino también a autónomos, accionistas, miembros del órgano de administración, proveedores, contratistas, subcontratistas, exempleados, candidatos, becarios y personas en formación.
¿Y qué pasa con la persona a la que se refiere la denuncia?
La ley también protege a la persona afectada por la comunicación. Durante la tramitación, tiene derecho a la presunción de inocencia, al derecho de defensa y al acceso al expediente en los términos previstos por la norma. Además, su identidad debe preservarse y el procedimiento debe gestionarse con confidencialidad. La AIPI también insiste en que debe informarse a la persona afectada de los hechos que se le atribuyen y garantizar su derecho a ser oída, sin frustrar la investigación.
