El canal de denuncias es obligatorio, según la Ley 2/2023, para toda empresa privada con 50 o más trabajadores. Con cualquier plantilla, también lo es para las que operan en servicios financieros, prevención del blanqueo, seguridad del transporte o medio ambiente, y para todo el sector público. No tenerlo es una infracción muy grave: la multa a la empresa va de 600.001 a 1.000.000 de euros.
La Ley 2/2023, de 20 de febrero, está en vigor desde el 13 de marzo de 2023 y llama al canal «sistema interno de información». Desde el Real Decreto 1101/2024, de 29 de octubre, la Autoridad Independiente de Protección del Informante tiene Estatuto y potestad sancionadora.
Muchas empresas cumplieron con un formulario en la web. El problema llega con la primera comunicación que apunta a un delito: ¿hay que enviarla a la Fiscalía? Para la responsabilidad penal de las personas jurídicas, esa decisión pesa tanto como la multa.
¿Qué empresas están obligadas a tener un canal de denuncias?
Están obligadas las personas físicas y jurídicas del sector privado con 50 o más trabajadores. Sin umbral de plantilla, también las entidades sujetas a la normativa europea de servicios financieros, prevención del blanqueo de capitales, seguridad del transporte y medio ambiente. En el sector público, la obligación alcanza a todas las administraciones, sin eximir a los municipios pequeños.
La regla está en el artículo 10 de la Ley 2/2023. El umbral se activa con el trabajador número 50, no con el 51: la ley dice «50 o más», aunque algunas guías escriben «más de 50».
En el sector público, el artículo 13 de la ley incluye las sociedades mercantiles con participación pública de más del 50 % y las fundaciones públicas.
También están obligadas las universidades públicas y los organismos de derecho público. Para implementar el canal en ese nivel, el objetivo es el mismo que en la empresa: proteger a las personas que informan y evitar conflictos de interés, de modo que el gestor del caso no sea parte del asunto. Pueden informar también los proveedores y contratistas con relación profesional con la entidad.
La empresa con menos de 50 trabajadores no está obligada por la Ley 2/2023, pero el Código Penal le pide un cauce para informar si quiere defender su modelo, también en la sociedad pequeña o unipersonal.
Pasos para implantar un canal de denuncias en la organización
La implantación del canal exige varios pasos. El órgano de administración aprueba la política del sistema, previa consulta con la representación legal de los trabajadores, y designa al Responsable del Sistema. Después se elige la plataforma o herramienta, con comunicaciones escritas y verbales, y se documenta el procedimiento. Los empleados y las demás personas que quieran informar sobre infracciones deben saber cómo usarlo.
¿Qué exige la Ley 2/2023 al sistema interno de información?
La Ley 2/2023 exige un Responsable del Sistema designado por el órgano de administración, un procedimiento de gestión escrito y canales que admitan comunicaciones escritas, verbales y anónimas. El acuse de recibo debe enviarse en siete días naturales y la respuesta, en un máximo de tres meses. La identidad del informante y la de los terceros mencionados quedan protegidas.
Los plazos están en el artículo 9 de la Ley 2/2023, que fija el contenido mínimo del procedimiento:
- Acuse de recibo: 7 días naturales desde la recepción.
- Respuesta: 3 meses desde el acuse, o 3 meses y 7 días si no hubo acuse.
- Prórroga: hasta otros 3 meses en casos de especial complejidad.
La identidad del informante solo puede comunicarse al juez, al Ministerio Fiscal o a la autoridad administrativa competente, en una investigación penal, disciplinaria o sancionadora (art. 33.3). El libro-registro de comunicaciones solo se entrega a un juez mediante auto motivado (art. 26), y los datos se suprimen a los tres meses si no se abre investigación (art. 32).
El artículo 8.6 permite que el responsable de cumplimiento normativo sea también Responsable del Sistema. Ahorra estructura, pero exige independencia y medios reales, y añade los riesgos que se analizan en la responsabilidad penal del compliance officer.
La gestión puede encargarse a un tercero externo, distinto del Responsable del Sistema (art. 6.3). Si es un despacho de abogados, el secreto profesional cubre la información.
El buen funcionamiento del canal exige transparencia: información clara y accesible sobre su uso y sobre el canal externo de la Autoridad Independiente de Protección del Informante. Cada comunicación se tramita y se registra, con seguimiento documentado, y el sistema debe admitir el anonimato y proteger la confidencialidad. Conviene un protocolo de actuación y formación para el equipo que gestiona las comunicaciones.
Registro, tiempo de conservación y protección de datos
El registro de las comunicaciones y su tramitación se someten al Reglamento general de protección de datos y a la normativa española de privacidad. El tratamiento tiene como finalidad gestionar el canal, el acceso queda limitado a quien lo necesita y los datos se conservan solo el tiempo necesario y proporcionado. Es una obligación legal, no una recomendación, y el mecanismo debe implementarse sin descuidar esa parte.
¿Su empresa está obligada a tener canal de denuncias?
¿Qué protección tiene quien denuncia y qué derechos tiene el denunciado?
La Ley 2/2023 prohíbe cualquier represalia contra el informante durante dos años, incluidas las amenazas y las tentativas. Si el trabajador acredita que informó y que después sufrió un perjuicio, la ley presume la represalia. La persona señalada conserva la presunción de inocencia, el derecho de defensa, el derecho a ser oída y el acceso al expediente.
El catálogo del artículo 36 de la Ley 2/2023 incluye despido, degradación, no renovación, evaluaciones negativas, listas negras u ostracismo. Solo queda a salvo el poder de dirección ejercido por causas acreditadas y ajenas a la comunicación. La protección dura dos años, ampliables de forma excepcional.
Quien informa a sabiendas de algo falso no tiene protección. Si imputa un delito inexistente ante quien debe averiguarlo, puede cometer un delito de denuncia falsa del artículo 456 del Código Penal.
Tampoco le protege la ley si accede a la información cometiendo un delito, por ejemplo un delito de descubrimiento y revelación de secretos.
Los derechos del afectado son el punto débil de la norma: ante la Autoridad Independiente nunca conoce la identidad del informante y el abogado no es preceptivo. Jordi Gimeno Beviá los llama «brindis al sol» en Canales de denuncia en el sector público y privado (Colex, 2025).
El directivo señalado debería pedir asesoramiento desde la primera entrevista: lo que declare puede acabar en una causa en la que ya figure como investigado en el proceso penal.
En España, la ley responde a la lucha contra la corrupción y el fraude y traspone la Directiva (UE) 2019/1937. Los empleados informan a través del canal sobre infracciones normativas en el ámbito de la actividad de la empresa, desde el fraude hasta el acoso que constituya delito. La protección alcanza al denunciante que informa de infracciones penales o administrativas graves o muy graves y de infracciones del Derecho de la Unión, no de cualquier irregularidad menor.
¿Qué multas hay por no tener canal de denuncias?
No disponer de sistema interno de información es una infracción muy grave de la Ley 2/2023. La multa a una persona jurídica va de 600.001 a 1.000.000 de euros, y a una persona física, de 30.001 a 300.000 euros. A la multa puede sumarse la prohibición de contratar con el sector público y de obtener subvenciones.
El artículo 63 de la Ley 2/2023 clasifica las infracciones y el artículo 65 fija las multas:
| Infracción | Ejemplos | Multa persona física | Multa persona jurídica | Prescripción de la infracción |
|---|---|---|---|---|
| Muy grave (dolosa) | No tener sistema; represalias; romper la confidencialidad; información falsa a sabiendas | 30.001 a 300.000 € | 600.001 a 1.000.000 € | 3 años |
| Grave | Las conductas del art. 63.2 | 10.001 a 30.000 € | 100.001 a 600.000 € | 2 años |
| Leve | No remitir al Ministerio Fiscal; no colaborar con la Autoridad | 1.001 a 10.000 € | Hasta 100.000 € | 6 meses |
Las muy graves pueden añadir amonestación pública, prohibición de obtener subvenciones (hasta cuatro años) y de contratar con el sector público (hasta tres). Si los mismos hechos están en vía penal, el expediente administrativo se suspende hasta que termine el proceso. Sobre cómo avanza esa vía hay más análisis en el blog penal del despacho.
¿Sirve el canal de denuncias para el compliance penal de la empresa?
Sí. El Código Penal exige que el modelo de prevención de delitos imponga la obligación de informar de riesgos e incumplimientos al órgano de vigilancia, y en la práctica ese deber se cumple con un canal. La Circular 1/2016 de la Fiscalía General del Estado lo llama «elemento clave». Sin un canal eficaz, la empresa tiene muy difícil defender la exención de responsabilidad penal.
El requisito está en el apartado 5.4.º del artículo 31 bis del Código Penal, uno de los seis que exige al modelo.
Conviene leerlo junto a los requisitos legales del compliance penal. La Ley 2/2023 funciona como vara de medir: un canal que la incumple difícilmente parecerá idóneo a un juez. Para Lucas G. Menéndez Conca, sin canal no hay modelo idóneo, tampoco en la pyme.
Si la plantilla no conoce el canal o nadie investiga, la empresa tiene el mismo problema que con un compliance de papel, que no exime.
Como la ley cubre siempre el quebranto a la Hacienda Pública y a la Seguridad Social, pueden llegar hechos propios de una investigación por delito contra la Hacienda Pública.
Si el modelo llega tarde, el artículo 31 quater del Código Penal permite atenuar la pena cuando la empresa adopta medidas eficaces antes del juicio oral.
Corregir el canal después del delito es una de esas medidas, como se explica en las atenuantes de la persona jurídica.
Informar al órgano de vigilancia es una obligación del propio modelo, y el canal es la herramienta para cumplirla. La formación de empleados y directivos sobre su uso y los recursos asignados a su seguimiento ayudan a acreditar que el modelo funciona en la organización.
Un mecanismo que la plantilla no usa por miedo a represalias no genera confianza ni cultura de integridad.
¿Qué riesgos penales crea el canal de denuncias para la propia empresa?
El riesgo principal es la remisión obligatoria a la Fiscalía. Si los hechos pueden ser constitutivos de delito, la Ley 2/2023 obliga a la entidad a remitir la información de inmediato al Ministerio Fiscal. Para la persona jurídica eso puede equivaler a denunciarse a sí misma, en tensión con su derecho a no declarar contra sí misma.
La obligación está en el artículo 9.2.j) de la Ley 2/2023, y la Directiva europea no la imponía. El deber general de denunciar ya estaba en el artículo 259 de la Ley de Enjuiciamiento Criminal; lo nuevo es el plazo «inmediato» y la sanción.
La STS 154/2016, de 29 de febrero, reconoció a la persona jurídica como titular de los derechos y garantías del proceso penal. El AAN 391/2021, de 1 de julio, dejó fuera de un requerimiento judicial los documentos del canal y las investigaciones internas voluntarias: aportarlos lo decidía la entidad.
La Ley 2/2023 rompe esa voluntariedad. No remitir al Ministerio Fiscal cuesta hasta 100.000 euros. Leticia Jericó recoge la frase de Lascuráin: «si denuncio, me denuncio, y si no lo hago, pues también».
Lo que sale del canal es un medio de investigación, no una prueba de cargo. La STC 184/2003, de 23 de octubre, pide verificar la denuncia anónima «por medios menos dudosos». Después, el juicio girará sobre quién prueba el compliance.
La decisión sobre cada comunicación debe tomarse con rapidez y con asesoramiento, y la implementación del canal debe incluir un criterio escrito para esos casos. El denunciante que informa de buena fe sigue protegido aunque los hechos no lleguen a juicio.
Si la remisión abre diligencias, toca defender a una empresa investigada en un procedimiento penal.
¿Ha recibido su empresa una denuncia interna y no sabe cómo actuar?
Preguntas frecuentes sobre el canal de denuncias obligatorio
¿Una empresa con 50 trabajadores exactos necesita canal de denuncias?
Sí. La Ley 2/2023 obliga a las empresas privadas con 50 o más trabajadores, así que el trabajador número 50 ya activa la obligación. Las entidades de servicios financieros, prevención del blanqueo, seguridad del transporte o medio ambiente deben tener sistema interno de información sea cual sea su plantilla.
¿El canal de denuncias tiene que admitir comunicaciones anónimas?
Sí. La Ley 2/2023 obliga a que el sistema interno de información permita presentar comunicaciones anónimas, y la empresa no puede exigir nombre y apellidos para tramitarlas. En un proceso penal, la información anónima sirve para abrir una investigación, pero necesita corroboración por otros medios antes de restringir derechos.
¿Puede el compliance officer ser el Responsable del Sistema interno de información?
Puede. El artículo 8.6 de la Ley 2/2023 permite que el responsable de cumplimiento normativo asuma también la función de Responsable del Sistema. Lo designa el órgano de administración. Quien ocupe el puesto necesita independencia, autonomía y medios suficientes, porque un juez valorará si el canal funcionaba de verdad.
¿Puede la empresa despedir a un trabajador que ha usado el canal de denuncias?
No como represalia. La Ley 2/2023 prohíbe el despido y cualquier otra medida perjudicial vinculada a la comunicación durante dos años. Si el trabajador prueba que informó y sufrió un perjuicio, la ley presume la represalia, y la empresa debe acreditar causas reales y ajenas a la denuncia.
¿Tiene la empresa que enviar a la Fiscalía lo que llega al canal de denuncias?
Solo cuando los hechos pueden ser constitutivos de delito. En ese caso, el artículo 9.2.j) de la Ley 2/2023 obliga a remitir la información de inmediato al Ministerio Fiscal, o a la Fiscalía Europea si afecta a intereses financieros de la Unión. No hacerlo es infracción leve: hasta 100.000 euros para la persona jurídica.
¿Cómo puede ayudarle un abogado penalista con el canal de denuncias de su empresa?
Un canal de denuncias obligatorio mal diseñado expone a la empresa a la multa administrativa y a perder la defensa del compliance en un proceso penal. Revisarlo antes de la primera comunicación grave es más sencillo que reconstruirlo después.
Reviso con el órgano de administración y con el responsable de cumplimiento el procedimiento, los plazos y, sobre todo, el criterio para decidir cuándo una comunicación debe ir al Ministerio Fiscal. Puede ver cómo trabajo en la página de abogado de compliance penal en Madrid.
Si la empresa ya está investigada, conviene un abogado penalista para empresas desde el primer requerimiento.
Este artículo es información general y no sustituye al estudio del caso. Para revisar el canal de su empresa, solicite una consulta.
Artículo redactado por Víctor Ávila Martínez, abogado penalista, colegiado nº 141230 del Ilustre Colegio de la Abogacía de Madrid.
¿Necesitas un abogado penalista en Madrid?
Contar con un abogado penalista desde el primer momento puede marcar la diferencia. Consulta desde 180 €, online o presencial.
Abogado penalista en Madrid (Graduado en Derecho y ADE con Máster de Acceso a la Abogacía), experto en procedimientos complejos y técnicos en Derecho Penal. Cuenta con títulos como el Curso de Derecho Penal Avanzado impartido por magistrados del Tribunal Supremo en el Iltre. Colegio de Abogacía de Madrid.
