Ley 2/2023: cómo cumplirla con un canal de denuncias interno

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, obliga a todas las empresas de 50 o más personas trabajadoras a disponer de un canal de denuncias interno. No es una recomendación de buenas prácticas: es una obligación legal cuyo incumplimiento se sanciona como infracción muy grave.

La norma traspone la Directiva (UE) 2019/1937 de whistleblowing y sus plazos de implantación ya vencieron: junio de 2023 para las empresas de más de 250 personas y diciembre de 2023 para las de 50 a 249. Aun así, muchas pymes siguen sin canal, o lo tienen montado sobre un correo electrónico genérico que no cumple ni la mitad de los requisitos.

Qué es un canal de denuncias y qué exige la ley

Un canal de denuncias —también llamado canal ético, y que la ley denomina Sistema interno de información— es el mecanismo que permite comunicar, de forma confidencial o anónima, infracciones normativas y conductas irregulares dentro de una organización: acoso laboral o sexual, fraude, corrupción, discriminación, conflictos de interés o incumplimientos ambientales.

La lógica de la Ley 2/2023 es sencilla: si una persona detecta una irregularidad, debe poder comunicarla sin miedo a represalias y con la garantía de que alguien la investigará dentro de un plazo. Por eso la norma no se limita a exigir que exista un buzón, sino que regula quién lo gestiona, en cuánto tiempo hay que responder y cómo se documenta todo el proceso.

Qué empresas están obligadas a tener canal de denuncias

Sujetos obligados por la Ley 2/2023

• Todas las empresas privadas con 50 o más personas trabajadoras, con independencia del sector.
• Con independencia de su tamaño: empresas de servicios financieros, entidades sujetas a la normativa de prevención del blanqueo de capitales, y las de seguridad del transporte y medio ambiente.
• Partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban o gestionen fondos públicos.
• Todo el sector público: administraciones, organismos públicos, autoridades independientes, universidades públicas y sociedades mercantiles con participación pública mayoritaria.

Un matiz que suele pasarse por alto: las empresas de 50 a 249 personas trabajadoras pueden compartir recursos para la gestión de las investigaciones, e incluso externalizar la gestión del canal en un tercero. Lo que no pueden hacer es delegar la responsabilidad: la empresa sigue siendo responsable del cumplimiento.

Los requisitos que debe cumplir el canal de denuncias

Este es el punto donde fallan la mayoría de los canales improvisados. La ley no exige solo un medio de contacto, sino un sistema con garantías concretas y verificables.

Requisitos legales del Sistema interno de información

• Confidencialidad: debe preservar la identidad del informante, de la persona afectada y de cualquier tercero mencionado en la comunicación.
• Anonimato: el sistema tiene que permitir presentar comunicaciones sin identificarse, y mantener el diálogo posterior con el informante anónimo.
• Accesible a terceros: no solo a la plantilla, sino también a exempleados, candidatos, becarios, autónomos, proveedores, contratistas y accionistas.
• Responsable del Sistema designado por el órgano de administración, con autonomía e independencia en el ejercicio de sus funciones.
• Política del canal aprobada por el órgano de administración, previa consulta con la representación legal de las personas trabajadoras.
• Libro-registro de informaciones recibidas, confidencial y a disposición de la autoridad competente cuando lo requiera.
• Cumplimiento del RGPD y de la LOPDGDD en todo el tratamiento de datos, con la intervención del delegado de protección de datos cuando exista.
• Procedimiento accesible y documentado, que explique los canales disponibles, los derechos del informante y las consecuencias de las comunicaciones falsas realizadas a sabiendas.
• Prohibición expresa de represalias contra quien informa y contra su entorno.

Los plazos que no se pueden incumplir

La Ley 2/2023 impone un calendario estricto desde el momento en que entra una comunicación. Perder el control de estos plazos es una de las formas más habituales de incumplir sin darse cuenta.

Calendario de una denuncia

• 7 días naturales para enviar el acuse de recibo al informante desde la recepción de la comunicación.
• 10 días hábiles para decidir si la comunicación se admite a trámite.
• 5 días hábiles para notificar la inadmisión, motivada, si la comunicación se rechaza.
• 3 meses como máximo para resolver la investigación, ampliables a 3 meses más en casos de especial complejidad, informando al informante de la prórroga.

El Responsable del Sistema: quién gestiona el canal

El órgano de administración debe designar a una persona física —o a un órgano colegiado— como Responsable del Sistema interno de información. Debe desempeñar sus funciones de forma autónoma e independiente, no puede recibir instrucciones sobre cómo tramitar cada caso y su nombramiento se comunica a la autoridad competente.

Aquí aparece un problema práctico muy común en las pymes: si el canal lo gestiona la misma persona que dirige Recursos Humanos y la denuncia va sobre un mando intermedio de su equipo, la imparcialidad queda comprometida. Por eso conviene poder designar varias personas responsables e instructoras y repartir los expedientes según el tipo de denuncia, con acceso restringido a cada caso.

Protección del informante y prohibición de represalias

El núcleo de la norma no es el buzón, sino la protección. La ley prohíbe cualquier represalia contra quien informa durante los dos años siguientes a la finalización de la investigación, incluyendo despidos, cambios de puesto o funciones, denegación de formación, acoso, discriminación o cualquier trato desfavorable.

Corresponde a la empresa demostrar que la medida adoptada responde a motivos justificados y ajenos a la comunicación realizada.

Esa inversión de la carga de la prueba es determinante: si un trabajador que denunció es despedido meses después, será la empresa quien tenga que acreditar que la decisión no guarda relación con la denuncia. Sin trazabilidad documental —fechas, expedientes, decisiones motivadas— esa prueba es prácticamente imposible de construir.

La protección se extiende además al entorno del informante: familiares, compañeros de trabajo, representantes legales y entidades vinculadas a la persona que comunica la infracción.

Sanciones: qué arriesga una empresa sin canal de denuncias

No disponer de canal de denuncias estando obligado, o impedir que funcione correctamente, constituye una infracción muy grave. El régimen sancionador de la Ley 2/2023 es uno de los más duros del ámbito del cumplimiento normativo en España.

Cuantías de las sanciones

• Infracciones leves: hasta 10.000 € para personas físicas y hasta 100.000 € para personas jurídicas.
• Infracciones graves: de 10.001 a 30.000 € para personas físicas y de 100.001 a 600.000 € para personas jurídicas.
• Infracciones muy graves: de 30.001 a 300.000 € para personas físicas y de 600.001 a 1.000.000 € para personas jurídicas.
• Sanciones accesorias en los casos muy graves: publicidad de la sanción, prohibición de contratar con el sector público y de obtener subvenciones durante un máximo de 3 años.

A esto se suma el coste indirecto: una irregularidad que no encuentra un canal interno acaba saliendo por el canal externo de la autoridad competente, por la Inspección de Trabajo o directamente por la prensa. Si quieres hacerte una idea del orden de magnitud de las sanciones en materia laboral, puedes usar nuestra calculadora de sanciones.

Por qué un correo electrónico no es un canal de denuncias

La solución improvisada más frecuente es crear una dirección tipo denuncias@empresa.com y darla por válida. No lo es, y el motivo es fácil de ver cuando se contrasta con los requisitos legales.

Lo que un buzón de correo no puede garantizar

• No hay anonimato real: la dirección del remitente, la firma del correo y los metadatos identifican al informante.
• No hay control de plazos: nadie avisa de que quedan dos días para el acuse de recibo o de que el expediente cumple tres meses.
• No hay libro-registro ni historial de auditoría que permita acreditar ante la autoridad qué se hizo y cuándo.
• No hay separación de accesos: cualquiera con acceso al buzón lee todos los casos, incluidos aquellos en los que está implicado.
• No hay canal de retorno anónimo: si el informante no se identifica, el instructor no puede pedirle aclaraciones.

Cómo cumplir la Ley 2/2023 con el canal de denuncias de Horalia

Horalia incluye un canal de denuncias integrado en la misma plataforma donde ya gestionas la jornada, las ausencias y la documentación laboral. No hay que contratar otra herramienta ni montar un proyecto: se activa desde la configuración y se publica el enlace.

Todo lo que exige la ley, resuelto en la plataforma

• Formulario guiado por categorías —acoso, fraude, corrupción, discriminación, conflictos de interés o infracciones ambientales— accesible desde el móvil o el ordenador.
• Denuncia anónima o identificada, a elección del informante, con código de seguimiento para seguir el expediente y responder al instructor sin revelar su identidad.
• Designación de tantas personas responsables e instructoras como necesites, con acceso restringido a cada expediente.
• Avisos automáticos del acuse de recibo a los 7 días naturales y del vencimiento del plazo de 3 meses.
• Libro-registro exportable e historial de auditoría inalterable para acreditar el cumplimiento ante la autoridad competente.
• Cifrado de extremo a extremo, servidores en la Unión Europea y supresión automática de los datos cuando dejan de ser necesarios.

Y como el cumplimiento no termina en el canal ético, en el mismo sitio tienes el control horario obligatorio, la gestión de ausencias y la gestión documental con firma electrónica. Puedes descubrir Horalia o probarla gratis y tener el canal publicado el mismo día.