Canal interno y externo: obligaciones y diferencias

Una comunicación sobre fraude, acoso, irregularidades contables o incumplimientos normativos no puede quedarse en un correo sin respuesta ni circular entre personas que no deben conocerla. El canal interno externo previsto en la Ley 2/2023 establece vías concretas para informar con garantías, proteger a quien comunica de buena fe y permitir que la organización actúe antes de que el problema derive en una denuncia, una inspección o una sanción.

Para autónomos con plantilla, pymes, entidades sin ánimo de lucro y empresas de mayor tamaño, entender qué diferencia un canal interno de un canal externo es esencial. No son alternativas idénticas ni basta con publicar un formulario genérico en la web. La obligación legal exige un sistema diseñado, gestionado y documentado correctamente.

Qué es un canal interno y qué es un canal externo

El canal interno forma parte del Sistema interno de información de la propia organización. Es la vía habilitada para que trabajadores, candidatos, proveedores, antiguos empleados, colaboradores, accionistas o administradores puedan comunicar hechos que puedan constituir infracciones legales, administrativas graves o muy graves, delitos o vulneraciones del Derecho de la Unión Europea.

Su función es permitir que la entidad conozca y analice la incidencia dentro de un procedimiento confidencial. El objetivo no es ocultar el problema, sino investigarlo con rigor, corregirlo y adoptar las medidas necesarias. Bien implantado, el canal interno reduce daños económicos, reputacionales y laborales porque facilita una detección temprana.

El canal externo, en cambio, es la vía dirigida a la autoridad competente. La persona informante puede acudir a los canales externos habilitados por las autoridades estatales, autonómicas o europeas cuando considere que la comunicación interna no es adecuada, cuando exista riesgo de represalias o cuando los hechos requieran una actuación ajena a la empresa.

La Ley 2/2023 protege tanto la utilización del canal interno como la comunicación a través de un canal externo. Por eso, una organización no debe plantear su sistema como una barrera para impedir que alguien informe fuera. Debe ofrecer una vía interna fiable que genere confianza y permita resolver los asuntos con diligencia.

Canal interno externo: la diferencia práctica para su empresa

La principal diferencia está en quién recibe, gestiona y resuelve inicialmente la información. En el canal interno, la responsabilidad de activar el procedimiento recae en la organización, a través del Responsable del Sistema interno de información. En el externo, la comunicación llega a una autoridad competente con facultades propias de análisis, derivación o investigación.

El canal interno ofrece mayor capacidad de reacción inmediata. Si la empresa recibe una alerta sobre una posible vulneración de datos personales, un conflicto de intereses o una práctica de acoso, puede preservar pruebas, escuchar a las partes, aplicar medidas cautelares y corregir deficiencias. Esperar a que la incidencia salga de la organización puede incrementar el perjuicio y limitar la capacidad de respuesta.

Sin embargo, el canal interno no sirve para cerrar expedientes de manera informal. La persona informante debe tener garantías reales de confidencialidad, protección frente a represalias y comunicación sobre el resultado o seguimiento de su información. Si percibe que el sistema está controlado por la persona denunciada, que sus datos no estarán protegidos o que la empresa no actuará, es razonable que elija la vía externa.

La elección depende de los hechos y de las circunstancias. Una irregularidad que pueda corregirse internamente no requiere siempre acudir a una autoridad. Pero si hay riesgo de destrucción de pruebas, conflicto de interés en la dirección, amenaza a la persona informante o posible delito, la vía externa puede ser la opción más segura.

Quién debe implantar un Sistema interno de información

La Ley 2/2023 obliga, con carácter general, a disponer de un Sistema interno de información a las personas jurídicas del sector privado que tengan cincuenta o más trabajadores. También alcanza a determinadas entidades, con independencia de su tamaño, como las que operan en ámbitos sujetos a normas específicas de prevención del blanqueo de capitales, protección del medio ambiente, seguridad del transporte o protección radiológica y nuclear.

Los partidos políticos, sindicatos, organizaciones empresariales y fundaciones creadas por ellos también deben contar con el sistema cuando reciban o gestionen fondos públicos. En el sector público, la obligación afecta a administraciones, organismos, entidades y corporaciones en los términos previstos por la ley.

Las empresas de entre 50 y 249 trabajadores pueden compartir recursos para la recepción y tramitación de comunicaciones, siempre que se mantengan las garantías legales. Esta posibilidad permite reducir costes, pero no elimina la responsabilidad de cada entidad sobre el cumplimiento. Compartir una herramienta sin definir responsables, procedimientos y medidas de protección no es una implantación válida.

Las empresas de 250 o más trabajadores deben disponer de su propio sistema. Además, los grupos empresariales pueden establecer una política general y un sistema común, siempre que se respeten las exigencias legales y la gestión sea efectiva para cada sociedad afectada.

Requisitos que no puede pasar por alto

Un canal de denuncias no se limita a un buzón de correo electrónico. El Sistema interno de información debe contar con una política o estrategia que defina los principios esenciales de uso, defensa de la persona informante, confidencialidad y prohibición de represalias. También debe designarse formalmente a un Responsable del Sistema, que puede ser una persona física u órgano colegiado, con independencia y medios suficientes.

La vía de comunicación debe permitir informar por escrito y, cuando se solicite, mediante reunión presencial dentro del plazo legal. Debe admitir comunicaciones anónimas. Exigir nombre, teléfono o correo electrónico como condición para informar puede frustrar una garantía expresamente prevista por la norma.

La gestión debe respetar plazos concretos. Como regla general, debe acusarse recibo de la comunicación en un máximo de siete días naturales, salvo que ello pueda poner en peligro la confidencialidad. La respuesta o seguimiento debe emitirse en un plazo máximo de tres meses, con posibilidad de ampliación excepcional cuando la complejidad del asunto lo justifique.

También es indispensable establecer un procedimiento de gestión. Debe indicar quién recibe las comunicaciones, cómo se analiza su admisión, cómo se investiga, qué medidas pueden adoptarse, cómo se documenta el expediente y de qué forma se protege a la persona afectada. La presunción de inocencia, el derecho de defensa y la confidencialidad de todas las personas implicadas deben respetarse durante todo el proceso.

Protección de datos y confidencialidad: dos obligaciones inseparables

Las comunicaciones internas suelen contener datos especialmente sensibles: hechos laborales, información sobre sanciones, posibles delitos, datos de contacto y declaraciones de testigos. Por tanto, la implantación del canal debe coordinarse con el RGPD y la LOPDGDD.

No todas las personas de la empresa pueden acceder a las denuncias. El acceso debe limitarse al Responsable del Sistema, al equipo autorizado y, cuando proceda, a las áreas que necesiten intervenir de forma justificada, como recursos humanos, asesoría jurídica o dirección. El simple interés por conocer un caso no legitima el acceso.

La entidad debe informar correctamente sobre el tratamiento de datos, aplicar medidas de seguridad y definir plazos de conservación. Los datos que no sean necesarios para conocer o investigar los hechos deben suprimirse. Una gestión desordenada del canal puede convertir una incidencia inicial en un incumplimiento adicional de protección de datos.

El coste de no cumplir supera al de implantarlo bien

Ignorar la obligación de disponer de un sistema interno, obstaculizar una comunicación, vulnerar la confidencialidad o adoptar represalias puede dar lugar a sanciones relevantes. Para las personas jurídicas, las infracciones muy graves pueden alcanzar hasta 1.000.000 de euros, sin perjuicio de otras consecuencias laborales, administrativas, contractuales o reputacionales.

El riesgo no está solo en la multa. Una denuncia mal gestionada puede terminar en pérdida de confianza de la plantilla, rotación, conflictos judiciales, deterioro de relaciones comerciales y exposición pública. Las organizaciones pequeñas suelen creer que estas obligaciones son propias de grandes empresas, pero precisamente una pyme tiene menos margen financiero y operativo para absorber un conflicto mal resuelto.

Implantar un canal con una política clara, responsable designado, procedimiento de gestión y garantías de protección resulta más eficiente que reaccionar cuando la incidencia ya ha escalado. La solución debe ajustarse al tamaño, actividad y estructura de la entidad, sin añadir burocracia innecesaria ni dejar vacíos legales.

En Consultoría Rosario Polo ayudamos a implantar y gestionar el canal interno de información conforme a la Ley 2/2023, con un enfoque práctico para que su organización cumpla sin asumir una carga administrativa improductiva. La clave es actuar antes de que una comunicación urgente encuentre una empresa sin procedimiento, sin responsables y sin capacidad de respuesta.

Una persona que informa de buena fe no debería convertirse en un problema para la empresa. Debe ser la oportunidad de detectar a tiempo aquello que todavía puede corregirse.