Tener un canal no significa tener un Sistema Interno de Información

El error más frecuente

Muchas organizaciones creen cumplir la Ley 2/2023 porque han contratado una herramienta de buzón de denuncias. Es un error comprensible y arriesgado a la vez: el canal —el medio por el que entra la comunicación— es solo la puerta de entrada de algo mucho más amplio, el Sistema Interno de Información, que la ley concibe como un conjunto de piezas y procedimientos, no como un software.

La diferencia no es terminológica. Un buzón recibe comunicaciones; un sistema las recibe, las analiza, las investiga, decide sobre ellas y deja evidencia de todo ello. Cuando una autoridad o un juzgado pregunta si la organización dispone de Sistema Interno de Información, la pregunta va sobre lo segundo.

Comprobarlo es sencillo: basta preguntarse quién decide qué se investiga y qué no, en qué plazos se responde a la persona informante y dónde queda registrada cada actuación. Si la respuesta depende de la buena voluntad del momento, no hay sistema.

Quién está obligado a disponer de Sistema Interno de Información

La Ley 2/2023 exige un sistema interno de información a las empresas del sector privado con 50 o más personas trabajadoras; a las entidades de sectores regulados por el Derecho de la Unión Europea —financiero, prevención del blanqueo de capitales, transporte o medio ambiente, entre otros— con independencia de su tamaño; a partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones cuando reciban o gestionen fondos públicos; y a todo el sector público, con la posibilidad de sistemas compartidos para municipios de menos de 10.000 habitantes o entidades de menos de 50 personas trabajadoras.

Los plazos transitorios de implantación vencieron en 2023: el 13 de junio como regla general y el 1 de diciembre para las empresas de entre 50 y 249 personas trabajadoras y los municipios pequeños. La obligación es, por tanto, plenamente exigible hoy.

La pieza que suele faltar: el Responsable del Sistema

El artículo 8 de la ley exige designar a un Responsable del Sistema Interno de Información: una persona física o un órgano colegiado que dirige la gestión de las comunicaciones con las garantías de independencia que la norma establece. La designación corresponde al órgano de gobierno de la entidad y debe notificarse a la Autoridad Independiente de Protección del Informante (AAI) en el plazo de diez días hábiles.

Un buzón sin responsable designado y notificado no es un sistema conforme a la ley, por buena que sea la herramienta. Y esa designación, además, no es un simple nombramiento formal: implica atribuir funciones, recursos y un encaje real en la organización.

Plazos y garantías que delatan si hay sistema o solo buzón

La ley fija plazos de gestión concretos: acuse de recibo de la comunicación en un máximo de siete días naturales y respuesta en un plazo máximo de tres meses, ampliables otros tres cuando el caso sea especialmente complejo (art. 9.2). Si la organización no puede acreditar que cumple esos plazos, lo que tiene es un buzón, no un sistema.

Lo mismo ocurre con las garantías: se admiten comunicaciones anónimas (art. 7.3), la confidencialidad debe preservarse en todo el tratamiento —incluida la identidad de la persona informante y de las personas mencionadas— y la gestión puede externalizarse a un tercero, pero solo con garantías de confidencialidad y protección de datos (art. 10.2). Cada una de estas exigencias requiere decisiones, procedimientos y registros: es decir, sistema.

Las piezas del sistema, más allá del canal

Un Sistema Interno de Información completo articula, como mínimo: un principio o política interna que fija el compromiso de la organización con el sistema; la recepción de las comunicaciones; el análisis de admisión de cada una; la investigación de los hechos, que carece de regulación específica y debe respetar la normativa laboral y de protección de datos; la decisión y las medidas que se deriven; y la evidencia documental de todo el proceso, capaz de demostrar cómo se gestionó cada comunicación.

El canal participa únicamente en la segunda pieza. Las demás no las aporta ninguna herramienta por sí sola: las aporta el diseño del sistema y la forma en que la organización lo opera cada día.

El riesgo de quedarse en el buzón

No disponer de un sistema conforme a la ley no es una cuestión teórica. La Ley 2/2023 contempla infracciones muy graves sancionables con multas de hasta 1.000.000 de euros para las personas jurídicas (art. 65).

Y junto al sistema interno opera un canal externo ante la AAI —cuyo estatuto se aprobó por el Real Decreto 1101/2024—, de modo que una persona informante puede acudir directamente a la autoridad cuando el canal interno no existe o no funciona. Si eso ocurre, la primera pregunta que la organización deberá responder es si había un sistema real detrás de su buzón.