Canal de denuncias: del buzón al Sistema Interno de Información

Del buzón al Sistema Interno de Información: qué ha cambiado

Durante años, muchas empresas han tenido un "buzón de denuncias": un correo electrónico, un formulario web o incluso un buzón físico donde recoger comunicaciones internas. La Ley 2/2023, de 20 de febrero, reguladora de la protección de la persona que informe y de lucha contra la corrupción, transformó ese instrumento informal en un Sistema Interno de Información (SII) con requisitos legales precisos: responsable designado, procedimiento regulado, plazos de gestión, garantías de confidencialidad y anonimato, y conexión con una autoridad externa.

La diferencia no es de nombre. Un buzón recoge comunicaciones; un SII es un sistema completo que debe funcionar conforme a la ley, dejar evidencia de su funcionamiento y proteger a la persona informante frente a represalias. Una empresa que hoy tiene solo un buzón genérico probablemente no cumple la Ley 2/2023, aunque lleve años usándolo.

A quién afecta la obligación

Conforme a los artículos 10 a 13 de la Ley 2/2023, deben disponer de Sistema Interno de Información:

• Las empresas del sector privado con 50 o más personas trabajadoras.
• Las entidades de sectores regulados por el Derecho de la Unión Europea (financiero, prevención del blanqueo de capitales, transporte, medio ambiente), sin umbral de plantilla.
• Los partidos políticos, sindicatos, organizaciones empresariales y las fundaciones dependientes de ellos, cuando reciban o gestionen fondos públicos.
• Todo el sector público, con la particularidad de que los municipios de menos de 10.000 habitantes y las entidades de menos de 50 personas trabajadoras pueden compartir sistema.

Los plazos transitorios de implantación ya han vencido: el 13 de junio de 2023 como regla general y el 1 de diciembre de 2023 para las empresas de 50 a 249 personas trabajadoras y los municipios pequeños (disposición transitoria segunda). La obligación está, por tanto, plenamente exigible.

Las piezas del Sistema Interno de Información

El Responsable del Sistema (art. 8)

El órgano de gobierno de la entidad debe designar a un Responsable del Sistema Interno de Información, persona física con autonomía e independencia para gestionar el sistema. La designación debe notificarse a la Autoridad Independiente de Protección del Informante (AAI) en el plazo de 10 días hábiles desde el nombramiento, así como cualquier sustitución o cese.

El Responsable no es un simple administrador del canal: dirige la tramitación de las comunicaciones, propone medidas y vela por el cumplimiento del procedimiento. Su perfil, sus funciones y sus garantías deben quedar definidos por escrito. En Normolex ejercemos como Responsable del Sistema de Información para empresas que prefieren externalizar esta función.

El procedimiento de gestión (art. 9)

El SII debe contar con un procedimiento escrito, accesible y conocido por la plantilla, que regule al menos:

• La admisión de comunicaciones por escrito, de forma verbal o en ambas vías.
• El acuse de recibo al informante en el plazo de 7 días naturales desde la recepción.
• La posibilidad de mantener comunicaciones con el informante y de requerirle información adicional.
• La respuesta a las actuaciones de investigación en un plazo máximo de 3 meses, ampliables otros 3 meses en casos de especial complejidad que requieran seguimiento.
• La remisión inmediata de la información a la Fiscalía cuando los hechos puedan ser constitutivos de delito.

Anonimato y confidencialidad (art. 7.3)

La ley admite las denuncias anónimas: la persona informante puede comunicar sin identificarse y el sistema debe garantizarlo técnicamente. Además, la identidad del informante y de las personas mencionadas es confidencial, y solo puede revelarse en los supuestos estrictamente previstos. Esto obliga a diseñar el canal y el flujo interno de la información con controles de acceso reales, no solo con un compromiso de discreción.

El canal externo: la AAI

La Autoridad Independiente de Protección del Informante (AAI) es el canal externo ante el que cualquier persona puede informar, con independencia del canal interno de la empresa. Su Estatuto fue aprobado por el Real Decreto 1101/2024. La existencia de la AAI tiene una consecuencia práctica: si el sistema interno no funciona (plazos incumplidos, falta de confidencialidad, inacción), la persona informante puede acudir directamente a la autoridad, y la empresa se expone a que los hechos lleguen al canal externo sin haber podido gestionarlos antes internamente.

¿Se puede externalizar la gestión del canal?

Sí. El artículo 10.2 de la Ley 2/2023 admite la gestión externalizada a un tercero, siempre con garantías de confidencialidad, protección de datos, secreto profesional e independencia. La externalización no traslada la responsabilidad: la obligación de disponer de un SII conforme a la ley sigue siendo de la empresa, que debe vigilar que el servicio externo cumple los requisitos.

La gestión externa aporta, además, una ventaja de fondo: la primera valoración de una comunicación delicada la realiza un profesional ajeno a la estructura, lo que refuerza la independencia percibida y la confianza de la plantilla. En Normolex ofrecemos la gestión externa del canal de denuncias y la implantación completa del Sistema Interno de Información.

Régimen sancionador

Las infracciones muy graves de la Ley 2/2023 pueden alcanzar sanciones de hasta 1.000.000 de euros para las personas jurídicas (art. 65). Entre las conductas sancionables se encuentran no disponer del sistema, impedir la presentación de comunicaciones, vulnerar la confidencialidad o adoptar represalias contra el informante. El régimen sancionador convierte el diseño correcto del sistema en una cuestión de gestión de riesgo, no solo de cumplimiento formal.

Cómo se diseña el canal por dentro: accesibilidad, difusión y evidencias

Un sistema conforme a la ley no se limita a un procedimiento escrito: debe poder usarse y debe poder demostrarse que funciona. En la práctica, el diseño debe resolver tres cuestiones.

Accesibilidad y vías de comunicación. La plantilla —y, en su caso, otras personas vinculadas a la organización— debe conocer el canal, acceder a él con facilidad y disponer de vías escritas y verbales. La información sobre el sistema debe estar visible en la sede electrónica de la entidad y en los espacios internos habituales. Un canal escondido en una intranet que nadie consulta no cumple la finalidad de la norma.

Registro y trazabilidad. Cada comunicación debe quedar registrada con su fecha de recepción, su acuse, las actuaciones realizadas y su cierre, de modo que la empresa pueda acreditar el cumplimiento de los plazos de 7 días y 3 meses. La trazabilidad es, a la vez, una exigencia operativa y la mejor defensa ante una comprobación externa. Estos registros contienen habitualmente datos personales sensibles, por lo que el sistema debe integrarse en el marco de protección de datos de la organización.

Gobernanza del sistema. Debe quedar definido quién recibe la comunicación, quién instruye, cómo se resuelven los conflictos de interés (por ejemplo, cuando la comunicación afecta a alguien de la propia cadena de gestión) y cómo se informa al órgano de gobierno sin vulnerar la confidencialidad. Estas reglas, a menudo olvidadas, son las que determinan si el sistema resiste el primer caso difícil.

Relación del canal con el resto del sistema de compliance

El Sistema Interno de Información no convive aislado. En el ámbito penal, el canal de información es una de las piezas que el artículo 31 bis 4 del Código Penal exige a los modelos de organización y gestión para poder atenuar o eximir la responsabilidad de la persona jurídica. Un canal conforme a la Ley 2/2023 puede integrarse con el modelo de compliance penal, evitando duplicidades y dotando al conjunto de coherencia: mismas garantías, mismos criterios de instrucción y un único punto de supervisión.

También conviene coordinar el canal con los protocolos internos específicos (por ejemplo, los de prevención del acoso), de modo que la persona que comunica no deba adivinar qué vía corresponde a su caso y la organización sepa cómo encauzar cada tipo de hecho desde el primer momento.

Errores habituales al pasar del buzón al sistema

• Mantener el buzón heredado sin adaptarlo. Un formulario antiguo sin acuse de recibo, sin plazos y sin anonimato no es un SII.
• No notificar al Responsable a la AAI. La designación interna sin la notificación en 10 días hábiles deja la pieza incompleta.
• Procedimiento no difundido. Si la plantilla no conoce el canal ni sus garantías, el sistema no funciona aunque exista sobre el papel.
• Confundir confidencialidad con opacidad. El informante debe recibir acuse y respuesta en plazo; el silencio administrativo erosiona la confianza y empuja las comunicaciones al canal externo.
• Externalizar sin supervisar. Delegar la gestión no exime de verificar periódicamente que el servicio cumple la ley.

Cómo lo hace Normolex

Normolex diseña, implanta y mantiene Sistemas Internos de Información conformes a la Ley 2/2023: diagnóstico de la situación actual, redacción del procedimiento, apoyo a la designación y notificación del Responsable, gestión externalizada del canal con garantías de independencia y revisión periódica del sistema. Si tu empresa todavía trabaja con un buzón heredado, el primer paso es revisar qué piezas faltan. Puedes plantearnos tu caso desde contacto.

Fuentes oficiales

Esta guía se apoya en la Ley 2/2023 y en el Real Decreto 1101/2024 (Estatuto de la AAI), en su texto oficial del BOE, citados al final de esta página.