Canal de denuncias (Ley 2/2023): qué obliga a tu empresa
Última revisión normativa: 14/10/2026 · marco estatal (BOE)
La Ley 2/2023 obliga a las empresas de 50 o más trabajadores —y a ciertos sujetos sin importar su tamaño— a implantar un Sistema interno de información (el canal de denuncias), designar a un Responsable del Sistema e informar a la plantilla de forma clara y accesible sobre su uso; el personal que pueda recibir comunicaciones debe estar formado. El sistema debe proteger al informante frente a represalias, y las infracciones muy graves llegan a 1.000.000 €.
Datos clave · resumen legal contrastado con el BOE y las demás fuentes oficiales que se citan
Norma principal
Ley 2/2023
A quién obliga
Empresas de 50 o más trabajadores, sector público y, sin importar el tamaño, sujetos de los ámbitos financiero, blanqueo de capitales, seguridad del transporte y medio ambiente, así como partidos, sindicatos, organizaciones empresariales y sus fundaciones que reciban o gestionen fondos públicos (art. 10).
Periodicidad
Sistema permanente; la ley no fija periodicidad de formación (recomendable al incorporarse y con cada cambio del procedimiento).
Sanción
Personas jurídicas: leves hasta 100.000 €; graves de 100.001 a 600.000 €; muy graves (p. ej. no disponer de Sistema interno, represalias o vulnerar la confidencialidad) de 600.001 a 1.000.000 € (arts. 63 y 65 Ley 2/2023).
Sincronizado con la ficha normativa de Ciberaula. Última revisión: 14/10/2026.
Resumen visual · pulsa para ampliarEn esta página
¿Quién puede impartir esta formación?
Libre — la puede impartir cualquier proveedor solvente
La ley no exige homologación del formador: cualquier proveedor solvente puede impartir la formación sobre el uso del canal y la protección del informante. Bonificable con los créditos de formación FUNDAE.
La gestión del canal es otra cosa: el Responsable del Sistema lo designa el órgano de administración y, en el sector privado, es como regla general un directivo de la empresa. La recepción de las comunicaciones puede encargarse a un tercero externo, pero la responsabilidad no se traslada (arts. 6 y 8).
¿Qué obliga exactamente la Ley 2/2023?
La ley exige implantar un Sistema interno de información que permita comunicar, de forma confidencial e incluso anónima, infracciones normativas y del Derecho de la Unión. No basta con un buzón: hay que dotarlo de garantías.
En concreto: implantarlo previa consulta con la representación legal de las personas trabajadoras (art. 5.1); designar a un Responsable del Sistema (art. 8); aprobar una política y un procedimiento de gestión de las comunicaciones; garantizar la confidencialidad del informante y de los datos; prohibir las represalias; y respetar los plazos: acuse de recibo en 7 días naturales y respuesta en un máximo de 3 meses, ampliable otros 3 en casos de especial complejidad (art. 9.2).
La ley obliga a informar de forma clara y accesible sobre el canal y los principios del procedimiento —si la empresa tiene web, en la página de inicio, en una sección separada y fácilmente identificable (art. 25)— y exige que el personal que pueda recibir comunicaciones sin ser responsable de tramitarlas esté formado (art. 9.2.g). Formar a toda la plantilla no es una exigencia expresa de la ley, pero es la forma más eficaz de cumplir el deber de información y de que el canal funcione.
La Autoridad Independiente de Protección del Informante (AIPI) funciona desde el 1 de septiembre de 2025: gestiona el canal externo de información (art. 43) y ejerce la potestad sancionadora (art. 61). Algunas comunidades autónomas tienen su propia autoridad.
¿A quién obliga?
A las empresas de 50 o más trabajadores y a todo el sector público. Además, con independencia del tamaño: a las personas jurídicas privadas que entran en el ámbito de las normas de la UE sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente; y a los partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, siempre que reciban o gestionen fondos públicos (art. 10).
Los plazos de implantación ya vencieron: en junio de 2023 para las empresas de 250 o más trabajadores (tres meses desde la entrada en vigor de la ley, el 13 de marzo de 2023) y el 1 de diciembre de 2023 para las de 249 o menos. Hoy es una obligación plenamente exigible.
Qué tiene que hacer tu empresa, paso a paso
1Consultar previamente a la representación legal de las personas trabajadoras.
2Implantar el canal (con gestión interna o externalizada) que admita comunicaciones confidenciales y anónimas.
3Designar, por acuerdo del órgano de administración, al Responsable del Sistema y notificarlo en 10 días hábiles a la Autoridad Independiente de Protección del Informante o a la autoridad autonómica competente.
4Aprobar la política y el procedimiento de gestión, con plazos y garantías de confidencialidad.
5Garantizar la protección frente a represalias del informante y de las personas de su entorno.
6Llevar el libro-registro de las comunicaciones recibidas, con las debidas medidas de seguridad.
7Publicar en la página de inicio de la web, en una sección separada y fácil de identificar, la información sobre el uso del canal y los principios del procedimiento (art. 25), e informar también de los canales externos ante las autoridades (art. 9.2.b).
8Formar al personal que pueda recibir comunicaciones e informar a toda la plantilla sobre el canal y cómo utilizarlo.
Sanciones por incumplimiento
El régimen sancionador de la propia Ley 2/2023 (arts. 63 y 65) gradúa las infracciones según su gravedad; las cuantías más altas corresponden a personas jurídicas:
Tipo de infracción
Multa (personas jurídicas)
Leves
hasta 100.000 €
Graves
de 100.001 a 600.000 €
Muy graves — p. ej. no disponer de Sistema interno de información, adoptar represalias o vulnerar la confidencialidad (art. 63.1)
de 600.001 a 1.000.000 €
Las personas físicas responsables pueden ser multadas con hasta 300.000 €. En las infracciones muy graves, la Autoridad puede acordar además la amonestación pública, la prohibición de obtener subvenciones u otros beneficios fiscales (hasta 4 años) y la prohibición de contratar con el sector público (hasta 3 años); las multas muy graves de 600.001 € o más impuestas a personas jurídicas pueden publicarse en el BOE (art. 65). No tener canal, o tener uno sin garantías, expone a la empresa a la sanción y la deja sin un cauce interno para atajar problemas a tiempo.
Cómo cumplir con la formación del canal de denuncias
Forma a tu plantilla sobre el uso del canal y la protección del informante con un curso bonificable con tus créditos FUNDAE.
Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción
RD 1101/2024, de 29 de octubre (Estatuto de la Autoridad Independiente de Protección del Informante)
Orden PJC/908/2025 (puesta en funcionamiento de la Autoridad el 01/09/2025)
Preguntas frecuentes
A las de 50 o más trabajadores, a todo el sector público y, sin umbral de tamaño, a las empresas de los ámbitos financiero, de prevención del blanqueo, de seguridad del transporte y de medio ambiente, así como a partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones que reciban o gestionen fondos públicos.
Sí. La Ley 2/2023 exige que el sistema permita presentar y tramitar comunicaciones anónimas, además de garantizar la confidencialidad cuando el informante se identifica.
Un Responsable del Sistema: una persona física (o un órgano colegiado que delega en uno de sus miembros) designada por el órgano de administración; en el sector privado, como regla general, un directivo de la empresa. La recepción y gestión de las comunicaciones puede encargarse a un tercero externo, pero la responsabilidad sigue siendo del Responsable del Sistema.
Acuse de recibo al informante en un máximo de 7 días naturales desde la recepción y respuesta sobre las actuaciones en un máximo de 3 meses, ampliable otros 3 en casos de especial complejidad.
La ley exige informar a toda la plantilla de forma clara y accesible y formar al personal que pueda recibir comunicaciones sin ser responsable de tramitarlas (art. 9.2.g). Formar a todos no es obligatorio por ley, pero es la manera más segura de que el canal se conozca y se use bien.
Están expresamente prohibidas y constituyen una infracción muy grave (art. 63.1), sancionable con multas de 600.001 a 1.000.000 € para la empresa.
Sí. La formación sobre el canal de denuncias y la protección del informante es bonificable con tus créditos FUNDAE.
