Cada vez es más habitual que un empresario nos pregunte lo mismo en la primera consulta: "me han dicho que tengo que tener un canal de denuncias, pero no sé si me afecta ni qué implica". La duda es razonable — la Ley 2/2023 lleva en vigor desde 2023, pero su aplicación práctica en pymes y autónomos sigue generando bastante desconocimiento, y las sanciones no son simbólicas.
En este artículo explicamos, desde nuestra experiencia asesorando a empresas de todos los tamaños, quién está realmente obligado, qué exige la norma y qué conviene tener resuelto para no exponerse a un expediente sancionador.
Qué es exactamente un canal de denuncias
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone en España la Directiva (UE) 2019/1937. Obliga a las empresas a disponer de un Sistema interno de información —el nombre técnico del canal de denuncias— por el que empleados, exempleados, candidatos, proveedores o colaboradores puedan comunicar, de forma protegida y con posibilidad de anonimato, infracciones penales o administrativas graves o muy graves de las que tengan conocimiento en su entorno de trabajo.
No es un buzón de sugerencias ni un correo genérico de recursos humanos. La ley exige garantías muy concretas: anonimato real si el informante lo elige, acuse de recibo en 7 días naturales, un plazo máximo de 3 meses para investigar, y una prohibición expresa de represalias contra quien informa de buena fe.
¿Quién está obligado a tenerlo?
Aquí es donde más confusión encontramos en el despacho. La obligación general alcanza a las empresas de 50 o más trabajadores, pero hay una excepción que sorprende a muchos clientes: determinados sectores están obligados sin importar el tamaño de la plantilla, en particular los sujetos obligados por la normativa de prevención de blanqueo de capitales (Ley 10/2010) — asesorías, gestorías, inmobiliarias, joyerías, notarías y despachos de abogados, entre otros, cuando intervienen en determinadas operaciones.
En la práctica, esto significa que un despacho de tres personas puede estar tan obligado como una empresa de doscientos empleados, simplemente por la naturaleza de su actividad.
Qué pasa si no se tiene: las sanciones
La Ley 2/2023 no se queda en una recomendación. Tipifica infracciones concretas, y las más graves —no disponer de canal estando obligado, o vulnerar la confidencialidad del informante— pueden alcanzar hasta 1.000.000 € para personas jurídicas. A eso se suma la posibilidad de prohibición de contratar con el sector público durante un tiempo, algo especialmente relevante para empresas que dependen de licitaciones.
Casos prácticos desde la perspectiva del despacho
En nuestra práctica de derecho penal empresarial vemos con frecuencia otra cara del mismo asunto: el canal de denuncias no es solo una obligación de la Ley 2/2023, es también uno de los requisitos que el propio Código Penal (art. 31 bis) exige para que un programa de compliance pueda eximir o atenuar la responsabilidad penal de la empresa cuando un empleado comete un delito en su nombre. Hemos asesorado a clientes que, al revisar su exposición penal como empresa, descubren que este es precisamente el eslabón que les faltaba.
También es habitual el caso contrario: empresas que activan el canal técnicamente pero nunca llegan a comunicar formalmente la designación del Responsable del Sistema a la autoridad competente —un trámite con plazo de 10 días hábiles que, por desconocimiento, se queda sin hacer. Es una de las infracciones que más fácilmente se detecta en una inspección, precisamente porque es la más fácil de olvidar.
Qué debe tener un canal para cumplir de verdad
No basta con "tener algo" que reciba mensajes. Para cumplir la ley, el canal debe garantizar:
- Anonimato real, no solo la ausencia de un campo "nombre".
- Confidencialidad reforzada de la identidad del informante, con acceso restringido.
- Diálogo con el informante anónimo, sin comprometer su identidad.
- Un libro-registro de toda la actividad, con trazabilidad de accesos.
- Un Responsable del Sistema con independencia real para investigar.
- Comunicación formal de esa designación a la Autoridad Independiente de Protección del Informante (A.A.I.) o a la autoridad autonómica competente.
Herramientas especializadas como 1r9 resuelven estas garantías desde el primer día —cifrado de identidades, plazos legales visibles, libro-registro automático— sin necesidad de montar nada a medida, lo que para una pyme suele ser mucho más razonable que desarrollar una solución propia.
Cuándo el canal no basta por sí solo
Un error habitual: pensar que activar el canal ya cierra el tema. La ley exige, además, que la política del canal esté formalmente aprobada por quien administra la empresa, y que la designación del Responsable se comunique en plazo. Un canal técnicamente activo pero sin estos dos pasos sigue siendo un incumplimiento sancionable, aunque a primera vista parezca que "ya está resuelto".
Conclusión: una obligación con más alcance del que parece
La Ley 2/2023 afecta a muchas más empresas de las que creen estar obligadas, y las consecuencias de no cumplirla —tanto en sanciones administrativas como en exposición penal— son reales. La buena noticia es que resolverlo correctamente no requiere una gran inversión ni meses de trabajo: con las herramientas adecuadas y un criterio legal claro sobre quién debe ser el Responsable del Sistema, puede quedar resuelto en cuestión de días.
Si tienes dudas sobre si tu empresa está obligada, o quieres que revisemos si vuestro canal actual cumple realmente con la ley, en Omnium Legal podemos ayudarte a valorarlo.