Canal de denuncias obligatorio (Ley 2/2023): requisitos, plazos y buenas prácticas en la empresa

El canal de denuncias (también llamado sistema interno de información) dejó de ser una “buena idea” para convertirse en una obligación legal para muchas organizaciones en España con la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Para un área de Recursos Humanos, comunicación interna o compliance, implantarlo bien no solo evita sanciones: también reduce conflictos, mejora la confianza y permite detectar problemas antes de que escalen.

Qué es el canal de denuncias según la Ley 2/2023

La Ley 2/2023 exige disponer de un sistema seguro para recibir y tramitar informaciones sobre posibles infracciones. No se trata de un buzón genérico de sugerencias, sino de un mecanismo con garantías: confidencialidad, protección frente a represalias, trazabilidad del expediente y plazos de respuesta.

En el contexto laboral, el canal suele concentrar comunicaciones relacionadas con:

Fraude, corrupción, conflictos de interés y malas prácticas.
Incumplimientos normativos (por ejemplo, en contratación, subvenciones o competencia).
Riesgos para la salud y seguridad, o vulneraciones graves de derechos.
Conductas internas contrarias a políticas corporativas cuando están alineadas con el objeto del sistema (por ejemplo, código ético o protocolos anticorrupción).

Una clave práctica: el canal de denuncias no sustituye a otros circuitos de RR. HH. (quejas, clima, mediación), pero sí conviene coordinarlo para no duplicar procedimientos ni generar confusión entre la plantilla.

Quién está obligado a implantarlo

Con carácter general, están obligadas a disponer de un sistema interno de información:

Empresas del sector privado con 50 o más personas trabajadoras.
Entidades del sector público en los términos previstos en la ley.
Determinadas organizaciones, con independencia de su tamaño, cuando operan en sectores específicos o están sometidas a normativa particular (por ejemplo, prevención del blanqueo, mercados financieros u otras áreas reguladas).

Además, los grupos de empresas pueden articular soluciones comunes en ciertos casos, pero cada organización debe asegurar que el sistema es accesible, eficaz y que se respetan las garantías legales en su ámbito.

Plazos de implantación: qué debes revisar en tu caso

La Ley 2/2023 fijó plazos de adaptación que, a efectos prácticos, ya han vencido para la mayoría de sujetos obligados. Si tu organización aún no lo tiene plenamente operativo o lo tiene “a medias”, el foco debe estar en regularizar cuanto antes: la obligación no es solo disponer de una herramienta, sino contar con un sistema completo (política, procedimiento, responsable, registros, medidas de protección y comunicación).

En la práctica, conviene revisar estos hitos internos:

Fecha real de puesta en marcha (no solo contratación del proveedor).
Publicación del procedimiento y accesibilidad para plantilla y terceros.
Formación y comunicación interna efectivas (registro de acciones).
Capacidad real para cumplir plazos de acuse y respuesta.

Requisitos esenciales del sistema interno de información

Para que el canal cumpla con la Ley 2/2023, no basta con habilitar un correo o formulario. Debe configurarse un sistema con garantías concretas.

Accesibilidad y cobertura

El canal debe estar disponible, de forma clara y visible, para:

Personas trabajadoras (incluyendo temporales y en prácticas).
Autónomos, candidatos en procesos de selección, ex empleados, becarios.
Proveedores, subcontratas y cualquier persona que se relacione profesionalmente con la organización.

Buenas prácticas de RR. HH.: integrar el acceso al canal en onboarding, intranet y documentación de proveedores, evitando que sea un “enlace escondido” que nadie encuentra.

Confidencialidad y protección de la identidad

La confidencialidad es el núcleo del sistema. Debe impedirse que la identidad del informante (y de las personas afectadas) sea conocida por personal no autorizado. Esto implica medidas organizativas y técnicas:

Control de accesos y perfiles (principio de necesidad de saber).
Canales seguros y trazables (evitar correos compartidos o bandejas genéricas).
Procedimientos para gestionar documentación sensible y entrevistas.

También debe contemplarse la posibilidad de comunicaciones anónimas si el sistema se configura para ello, lo que suele aumentar la detección temprana en culturas con baja confianza.

Independencia y ausencia de conflicto de interés

La ley exige designar un Responsable del Sistema (persona u órgano colegiado) con autonomía. En una empresa, RR. HH. puede colaborar activamente, pero conviene evitar que el canal se perciba como “una herramienta de RR. HH. para sancionar”, porque eso reduce el uso legítimo y aumenta el miedo a represalias.

Una práctica habitual es que el responsable se ubique en compliance, asesoría jurídica o un órgano colegiado con participación de varias áreas, manteniendo protocolos claros de escalado y recusación si existe conflicto.

Gestión diligente: acuse de recibo y respuesta en plazo

El procedimiento debe asegurar:

Acuse de recibo al informante dentro de un plazo máximo (salvo excepciones justificadas para proteger la confidencialidad).
Respuesta o información sobre actuaciones en un plazo máximo de tres meses desde el acuse (ampliable en supuestos complejos, con criterios documentados).
Un flujo de tramitación que evite dilaciones: triage inicial, admisión, investigación, propuesta de medidas y cierre.

Desde la óptica de gestión, un buen indicador interno es el “tiempo medio de tramitación” y el porcentaje de casos cerrados en plazo.

Derechos de las personas afectadas

El canal no puede convertirse en un espacio de acusaciones sin garantías. Deben protegerse los derechos de las personas mencionadas en la comunicación:

Presunción de inocencia y derecho de defensa.
Tratamiento confidencial y respeto a su reputación.
Información adecuada cuando proceda, sin comprometer la investigación.

En la práctica, esto exige protocolos para entrevistas, custodia de evidencias y documentación de decisiones (por qué se investiga, qué se descarta y con qué criterio).

Protección frente a represalias

La Ley 2/2023 protege a quienes informan de buena fe frente a represalias laborales o profesionales. Para RR. HH. esto implica un cambio operativo: cualquier decisión que afecte a una persona informante (cambio de puesto, evaluación, sanción, no renovación) debe revisarse con especial cuidado para asegurar que está motivada por causas objetivas y documentadas.

Buenas prácticas:

Activar una “alerta interna” confidencial para que RR. HH. evalúe riesgos de represalia antes de ciertas decisiones.
Ofrecer acompañamiento y medidas de apoyo cuando sea necesario (por ejemplo, canal de apoyo psicológico o medidas organizativas).

Registro, trazabilidad y evidencias

El sistema debe permitir registrar las comunicaciones y el estado de tramitación, manteniendo la confidencialidad. Esto es crítico si hay inspecciones o procedimientos judiciales: la empresa debe poder demostrar que recibió, analizó y actuó diligentemente.

Recomendación práctica: definir un estándar de documentación mínimo por expediente (fechas clave, decisiones de admisión, actuaciones, entrevistas, evidencias, medidas adoptadas y comunicación de cierre).

Integración con protección de datos

El canal implica tratamiento de datos personales (a menudo sensibles). Debe alinearse con el RGPD y la normativa española aplicable:

Definir base de legitimación, información a interesados y plazos de conservación.
Limitar accesos y asegurar confidencialidad.
Evaluar riesgos y medidas de seguridad (en algunos casos, análisis de impacto).

Es importante coordinar Responsable del Sistema, DPO (si existe) y asesoría legal para evitar fallos típicos: accesos indebidos, conservación excesiva o comunicaciones internas innecesarias.

Cómo diseñar el procedimiento: de la recepción al cierre

Un procedimiento eficaz suele estructurarse en fases claras, con responsables y tiempos definidos:

Recepción: entrada por web/plataforma, correo específico, vía telefónica o presencial (si se ofrece). Confirmación de recepción.
Triage: verificación de que la comunicación entra en el ámbito del canal; identificación de urgencias (riesgo penal, seguridad, fraude en curso).
Admisión: aceptación o inadmisión motivada. Derivación a otros canales (por ejemplo, quejas laborales ordinarias) cuando no corresponda.
Investigación: recopilación de evidencias, entrevistas y análisis; gestión de conflictos de interés; protección del informante y de la persona afectada.
Resultado: medidas correctoras (disciplinarias, organizativas, formativas, controles), y si procede, comunicación a autoridades.
Cierre: comunicación al informante sobre el estado o resultado (respetando confidencialidad), archivo y lecciones aprendidas.

Un punto fino de RR. HH.: cuando el resultado incluya medidas disciplinarias, conviene separar claramente la investigación del canal (confidencial) del expediente laboral formal, para que cada uno tenga su documentación y finalidad, minimizando accesos y riesgos de filtración.

Errores frecuentes que ponen en riesgo el canal (y cómo evitarlos)

Convertir el canal en un buzón de “todo”: aumenta ruido y ralentiza lo importante. Solución: criterios de alcance claros y derivaciones a otros circuitos.
Gestionarlo con una cuenta de correo compartida: difícil de auditar y proteger. Solución: plataforma o sistema con permisos, registro y cifrado.
No comunicar ni formar: el canal existe “en papel” pero nadie lo usa o se usa mal. Solución: comunicación recurrente y formación por colectivos (mandos, RR. HH., compras, etc.).
Prometer anonimato sin poder garantizarlo: genera desconfianza. Solución: explicar con precisión qué se protege y cómo.
Conflictos de interés: investiga alguien implicado o cercano. Solución: reglas de recusación y comité u órgano alternativo.
Plazos incumplidos: el informante deja de confiar y aumenta el riesgo de escalado externo. Solución: SLAs internos y capacidad real (recursos y soporte legal).

Buenas prácticas para RR. HH. y comunicación interna

Un canal legalmente correcto puede fracasar culturalmente. Estas prácticas aumentan el uso responsable y reducen el miedo:

Política clara y lenguaje comprensible

Redacta la política del canal con ejemplos reales y límites claros. Evita jerga legal en exceso. Incluye:

Qué se puede comunicar y qué no (y a dónde van las otras cuestiones).
Qué ocurre tras presentar una comunicación.
Qué protección existe y qué se considera represalia.
Qué pasa si se comunica de mala fe (sin criminalizar el error honesto).

Formación específica para mandos

Los mandos intermedios son un punto crítico: pueden recibir avisos informales antes que nadie. Forma en:

Cómo reaccionar ante una alerta (escuchar, no investigar por su cuenta, derivar).
Qué conductas pueden considerarse represalia (también las sutiles: aislamiento, cambios de turno injustificados).
Cómo documentar decisiones laborales sensibles cuando haya un informante involucrado.

Coordinación con otros protocolos internos

En portales de RR. HH. suele aparecer una duda recurrente: “¿El canal de denuncias es lo mismo que el protocolo de acoso?”. No. Puede haber solapamientos, pero conviene definir un mapa de rutas:

Canal de denuncias: infracciones normativas y hechos graves con garantías de la Ley 2/2023.
Protocolo de acoso: procedimiento específico (laboral y preventivo) con su propia normativa y pasos.
Quejas y clima: circuitos de mejora continua, no sancionadores.

La buena práctica es acordar criterios de derivación y coordinación, para no duplicar entrevistas ni revictimizar a quien comunica.

Indicadores y mejora continua

Sin métricas, el canal se estanca. Algunas métricas útiles (siempre cuidando la confidencialidad):

Número de comunicaciones por trimestre y tipología.
Porcentaje de admisión/inadmisión y motivos.
Tiempos medios hasta acuse, investigación y cierre.
Medidas correctoras implementadas (controles, formación, cambios de proceso).

Además, es útil realizar revisiones periódicas del procedimiento y simulacros internos de gestión de casos complejos.

Sanciones y riesgos de no cumplir

La Ley 2/2023 prevé un régimen sancionador que puede ser relevante, especialmente si se demuestra que no existe canal, que es ineficaz, que se vulnera la confidencialidad o que hay represalias. Más allá de la multa, los riesgos más dañinos para una empresa suelen ser:

Daño reputacional por escalado a canales externos o medios.
Conflictos laborales y pérdida de confianza interna.
Riesgo jurídico por gestión inadecuada de investigaciones y datos personales.

Desde RR. HH., implantar y sostener el canal como parte de la cultura de integridad es una inversión en prevención: reduce la rotación ligada a entornos tóxicos, mejora la percepción de justicia organizacional y profesionaliza la gestión de conflictos sensibles.

Checklist rápido de implantación (orientado a empresa)

Gobernanza: Responsable del Sistema designado, reglas de recusación, coordinación con DPO/Legal/RR. HH.
Canales: herramienta segura, posibilidad de anonimato si se decide, accesible para terceros.
Procedimiento: admisión, investigación, cierre, plazos y comunicaciones tipo.
Confidencialidad: permisos, registros, custodia documental, formación de quienes gestionan.
Protección anti-represalia: medidas internas, revisión de decisiones laborales, documentación objetiva.
Comunicación y formación: onboarding, recordatorios periódicos, formación a mandos.
Mejora continua: métricas, auditorías internas y actualización del sistema.