Canal de denuncias: obligaciones y cómo implantarlo

Una comunicación interna sobre un fraude, un acoso o una irregularidad no puede quedarse en un correo perdido ni en una conversación informal. Un canal de denuncias bien implantado permite recibir, gestionar e investigar informaciones con garantías. Para muchas empresas y entidades españolas, además, ya no es una decisión voluntaria: es una obligación regulada por la Ley 2/2023.

No basta con habilitar un formulario en la web y dar el asunto por cerrado. El sistema debe respetar la confidencialidad, proteger a quien informa, establecer responsables y plazos, y cumplir con la normativa de protección de datos. Hacerlo de forma improvisada puede generar precisamente el riesgo que se pretende evitar: sanciones, conflictos laborales y pérdida de confianza.

Cuándo es obligatorio implantar un canal de denuncias

La Ley 2/2023 regula la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Su finalidad es que trabajadores, proveedores, clientes, colaboradores y otras personas vinculadas a una organización puedan comunicar hechos relevantes sin sufrir represalias.

Con carácter general, deben disponer de un Sistema Interno de Información las empresas privadas con 50 o más trabajadores. La obligación también alcanza a partidos políticos, sindicatos, organizaciones empresariales, fundaciones vinculadas a estos y entidades del sector público, con las particularidades previstas legalmente.

Hay actividades obligadas aunque tengan menos de 50 empleados. Es el caso de organizaciones sujetas a normativa de prevención de blanqueo de capitales, determinadas entidades financieras y empresas que operan en ámbitos donde la regulación sectorial exige estos mecanismos. Por eso, contar plantilla no es suficiente para decidir si existe o no obligación: hay que revisar la actividad y la normativa aplicable.

Las empresas de entre 50 y 249 trabajadores pueden compartir medios para recibir e investigar comunicaciones cuando la ley lo permita, pero no pueden desentenderse de sus responsabilidades. Cada entidad debe mantener la capacidad de actuar sobre las informaciones que le afecten y garantizar la protección de los informantes.

Qué debe tener un canal de denuncias conforme a la Ley 2/2023

Un buzón de correo genérico no equivale a un sistema interno de información. Tampoco basta con una dirección de email gestionada por cualquier persona de la empresa. La Ley 2/2023 exige una estructura documental, técnica y organizativa que permita acreditar que la organización ha actuado correctamente.

El sistema debe permitir comunicaciones escritas y, si lo solicita el informante, también verbales. Debe informar de manera clara sobre su funcionamiento, sobre los canales externos disponibles y sobre las garantías de protección. La persona denunciante puede identificarse o comunicar los hechos de forma anónima si el canal lo permite, una opción especialmente recomendable para favorecer la detección temprana de conductas graves.

Además, la entidad debe designar un Responsable del Sistema Interno de Información. Esta figura debe actuar con independencia, recibir formación y disponer de medios para gestionar el procedimiento. En empresas pequeñas puede recaer en una persona directiva, siempre que no exista un conflicto de interés; en otros casos conviene externalizar la gestión o apoyarse en especialistas para asegurar imparcialidad y continuidad.

La norma exige también un procedimiento de gestión de informaciones. Como mínimo, debe contemplar la recepción de la comunicación, el acuse de recibo en un plazo máximo de siete días naturales, la valoración inicial, la investigación, la audiencia de las personas afectadas y una respuesta en un máximo de tres meses. Este plazo puede ampliarse hasta otros tres meses en casos de especial complejidad, siempre que existan motivos justificados.

Confidencialidad y protección de datos: el punto que más se descuida

En un canal de denuncias se tratan datos especialmente delicados: identidad del informante, personas afectadas, testigos, hechos laborales y, en ocasiones, información sobre posibles infracciones penales o administrativas. Por eso, implantar el canal sin revisar RGPD y LOPDGDD es un error serio.

El acceso a la información debe quedar limitado a quienes intervienen en la gestión e investigación. No puede circular libremente por la empresa ni enviarse a responsables que no necesitan conocerla. La confidencialidad no es una recomendación comercial: es una garantía legal que protege tanto al denunciante como a la persona señalada.

También deben definirse los plazos de conservación. Los datos solo pueden mantenerse durante el tiempo necesario para decidir si procede iniciar una investigación. Si no se da curso a la comunicación, la información deberá suprimirse dentro del plazo legal. Cuando la investigación derive en medidas o procedimientos, la conservación deberá justificarse conforme a la normativa aplicable.

Es habitual que una empresa contrate una plataforma tecnológica, pero olvide formalizar la relación de encargado del tratamiento con el proveedor o informar correctamente a usuarios y empleados. La herramienta es solo una parte del cumplimiento. Sin contratos, cláusulas informativas, control de accesos y procedimiento interno, el riesgo sigue existiendo.

Qué hechos pueden comunicarse a través del canal

El canal no está pensado para resolver cualquier desacuerdo cotidiano entre empleado y empresa. Su objeto son acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea, infracciones penales o infracciones administrativas graves o muy graves.

En la práctica, puede utilizarse para informar sobre falsificación documental, corrupción, fraude, irregularidades contables, incumplimientos graves en prevención de riesgos laborales, vulneraciones de protección de datos, discriminación, acoso o incumplimientos normativos relevantes. El procedimiento debe explicar de forma comprensible qué comunicaciones se admitirán y cómo se tratarán las que queden fuera de su ámbito.

Una queja sobre vacaciones o un conflicto ordinario de organización del trabajo puede requerir otros canales internos, como recursos humanos o la dirección. Mezclar todos los asuntos en el mismo buzón genera retrasos y dificulta investigar los hechos verdaderamente graves. La clave está en informar bien a la plantilla y tener un sistema ordenado.

Errores que pueden costar caro

Muchas organizaciones reaccionan tarde: implantan el sistema tras recibir una inspección, una denuncia o un requerimiento. En ese momento, ya deben defender no solo el incumplimiento, sino también la falta de medidas preventivas. La prevención cuesta menos que corregir una crisis con el conflicto abierto.

Los fallos más frecuentes son claros:

• Crear un formulario sin política, procedimiento ni responsable del sistema.
• Designar a una persona sin independencia o sin preparación para investigar.
• Permitir que demasiados empleados accedan a las comunicaciones.
• No dar acuse de recibo ni responder dentro de los plazos legales.
• No informar a la plantilla, proveedores y potenciales informantes sobre el canal.
• Tratar datos personales sin garantías RGPD o conservarlos indefinidamente.

La Ley 2/2023 prevé sanciones relevantes. Para personas jurídicas, las infracciones pueden alcanzar hasta 1.000.000 de euros, según su gravedad. A ello pueden añadirse consecuencias reputacionales, pérdida de confianza de trabajadores y clientes, y responsabilidades derivadas de los hechos comunicados si la empresa no actúa con diligencia.

Cómo implantar un canal de denuncias sin crear más carga administrativa

La implantación debe empezar por un diagnóstico. Hay que revisar el tamaño de la plantilla, el sector, los riesgos de actividad, la estructura de mando y los canales internos ya existentes. Una pyme de 55 trabajadores no necesita el mismo modelo que una entidad con centros de trabajo, departamentos y alta rotación de personal.

Después se diseña el Sistema Interno de Información: se nombra al responsable, se aprueba el procedimiento, se habilita un canal accesible y se prepara la documentación de protección de datos. Es recomendable que el sistema permita registrar cada actuación, acreditar fechas y limitar permisos por perfiles. Si surge una controversia, la trazabilidad será decisiva.

La comunicación interna completa el proceso. Los trabajadores deben saber que el canal existe, qué asuntos pueden informar, cómo se preservará su confidencialidad y que las represalias están prohibidas. También conviene que proveedores, candidatos, autónomos colaboradores y otros terceros vinculados puedan acceder a la información de manera sencilla.

Externalizar parte de la gestión puede ser una solución eficiente para autónomos, pymes y entidades que no cuentan con departamento jurídico o de cumplimiento. No elimina la responsabilidad de la organización, pero aporta criterio técnico, continuidad y una actuación más independiente ante asuntos sensibles. El coste de una implantación correcta suele ser muy inferior al de una sanción o una mala gestión de una denuncia grave.

Canal de denuncias: cumplimiento que protege a la empresa

Un canal de denuncias no debe percibirse como una invitación al conflicto. Bien planteado, es una herramienta de control que permite detectar problemas cuando todavía pueden investigarse y corregirse. También protege a la dirección frente a acusaciones de inacción y demuestra una cultura empresarial seria.

La implantación no admite soluciones copiadas sin revisar. Cada organización necesita ajustar su sistema a su plantilla, sector, flujos de decisión y obligaciones de protección de datos. Consultoría Rosario Polo ayuda a convertir esa exigencia legal en un proceso claro, documentado y operativo, sin cargar al negocio con trámites innecesarios.

Si su entidad está obligada o tiene dudas sobre su situación, el momento de revisar el canal es antes de que llegue la primera comunicación o un requerimiento. Contar con el sistema preparado permite actuar con rapidez, confidencialidad y respaldo legal cuando más falta hace.