En junio de 2023, el plazo para que las grandes empresas implantaran su canal de denuncias interno venció sin tanto ruido como merecía. En diciembre de ese mismo año, el plazo se extendió a las medianas. Hoy, en 2026, todavía hay organizaciones que o no han implementado nada, o tienen algo que no cumple con la norma.
La Ley 2/2023, de 20 de febrero, de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, no es una directriz de buenas intenciones: es transposición directa de la Directiva (UE) 2019/1937, con obligaciones concretas, plazos vencidos y, desde septiembre de 2025, una autoridad dedicada exclusivamente a supervisar su cumplimiento. Hablamos de la Autoridad Independiente de Protección del Informante (AIPI), operativa desde el 1 de septiembre de 2025, con potestad sancionadora real.
Si tienes más de 50 empleados —o si operas en sectores regulados como el financiero o el de prevención de blanqueo de capitales— esto te afecta directamente. Y si todavía no tienes el canal en regla, ya vas con retraso. Vamos a ver exactamente qué exige la ley, qué pasa si no cumples, y por qué tiene más relación con tu sistema AML/PBC de lo que piensas.
¿Qué es exactamente un canal de denuncias y qué lo diferencia del buzón de sugerencias de toda la vida?
La confusión es frecuente. Un canal de denuncias (whistleblowing channel) no es un formulario de quejas sobre la máquina del café. Es un sistema formal, seguro y confidencial a través del cual cualquier persona vinculada a la organización —empleados, exempleados, proveedores, colaboradores— puede comunicar posibles infracciones normativas, irregularidades contables, actos de corrupción, blanqueo de capitales o cualquier conducta que vulnere el Derecho de la UE o la normativa española.
La diferencia clave respecto a un buzón genérico es la obligación legal de garantizar la confidencialidad del informante, de tramitar la denuncia con un procedimiento reglado y de protegerlo activamente frente a cualquier represalia. Eso implica infraestructura técnica, procesos documentados y una persona responsable de gestionarlo.
La ley no solo protege al informante: prohíbe activamente cualquier acto de represalia, desde el despido hasta el ostracismo o la denegación de ascensos. Tomar represalias contra un denunciante es, en sí mismo, una infracción sancionable.
¿A quién obliga la Ley 2/2023?
Aquí viene la primera sorpresa para muchas empresas: el umbral de 50 empleados no es el único criterio que importa.
Obligados por tamaño
- Empresas con 250 o más empleados: plazo vencido el 13 de junio de 2023.
- Empresas con 50 a 249 empleados: plazo vencido el 1 de diciembre de 2023.
Obligados por sector, independientemente del tamaño
Y aquí está la parte que más empresas desconocen: si tu actividad se enmarca en determinados sectores regulados, la obligación aplica aunque tengas menos de 50 empleados. Los sectores incluidos son:
- Servicios financieros, productos y mercados financieros, y prevención del blanqueo de capitales.
- Seguridad de los productos.
- Seguridad del transporte.
- Protección del medioambiente.
- Protección de los alimentos y los piensos.
- Sanidad animal.
- Contratación pública.
- Protección de la intimidad y datos personales.
Sí, leíste bien: si eres sujeto obligado en materia de PBC (una gestoría, un despacho de abogados, una inmobiliaria, un asesor financiero...) y la ley 10/2010 te aplica, la Ley 2/2023 también te aplica, con independencia de tu número de trabajadores. Muchas organizaciones que se creían fuera del paraguas de esta ley por tener 12 o 20 empleados, resulta que están plenamente obligadas.
También obligadas: entidades del sector público
Todas las Administraciones Públicas, partidos políticos, sindicatos, organizaciones empresariales y fundaciones que gestionen fondos públicos están igualmente incluidas en el ámbito de aplicación.
Qué tiene que tener el canal para ser válido
No vale con poner un correo electrónico y llamarlo "canal de denuncias". La ley establece una serie de requisitos técnicos y procedimentales que el sistema debe cumplir para ser conforme:
1. Confidencialidad garantizada
El canal debe asegurar que la identidad del informante no sea accesible para personas no autorizadas. Esto incluye tanto la información sobre quién denuncia como los datos de la persona denunciada y cualquier tercero mencionado. Técnicamente, implica cifrado de las comunicaciones, control de acceso estricto y registros de auditoría.
La ley también permite, y en muchos casos es recomendable, habilitar la posibilidad de denuncias anónimas. No es obligatorio aceptarlas, pero sí debe quedar clara la política al respecto.
2. Múltiples canales de entrada
El informante debe poder comunicar la irregularidad tanto por escrito como de forma verbal. Esto puede hacerse por vía telefónica (con grabación o transcripción), presencialmente a petición del informante, o a través de plataforma digital. El diseño debe facilitar el acceso para personas con discapacidad funcional.
3. Responsable del sistema interno de información
La ley exige designar formalmente a una persona —o un equipo— responsable de gestionar el canal. Esta persona debe actuar con autonomía e imparcialidad, lo que en la práctica suele implicar que no dependa jerárquicamente de la dirección operativa de la empresa para las cuestiones relacionadas con la gestión de denuncias.
Este nombramiento ya no es solo interno: desde que la AIPI está operativa, las empresas obligadas deben comunicarle el nombre del responsable. El plazo original era el 1 de noviembre de 2025, pero dado que la AIPI habilitó los formularios electrónicos tarde, el plazo se extendió hasta el 10 de abril de 2026. Si todavía no has notificado el nombramiento, estás en el margen pero con el reloj corriendo.
4. Procedimiento de gestión reglado y documentado
La tramitación de cada denuncia debe seguir un procedimiento claro:
- Acuse de recibo: en un plazo máximo de 7 días desde la recepción de la comunicación.
- Investigación y respuesta: el informante debe recibir retroalimentación sobre las actuaciones previstas o adoptadas en un plazo máximo de 3 meses, prorrogable otros 3 meses en casos complejos.
- Comunicación a la Fiscalía: cuando los hechos comunicados puedan constituir un delito, el responsable tiene la obligación de ponerlo en conocimiento del Ministerio Fiscal.
- Conservación de la información: se debe mantener un registro de todas las comunicaciones recibidas durante el tiempo que sea necesario para las investigaciones, garantizando siempre la protección de datos.
5. Información visible y accesible
La empresa debe publicar información sobre la existencia del canal de denuncias en su página web (si la tiene) y hacerla accesible de forma visible para sus empleados. No basta con que el canal exista si nadie sabe que existe.
Truco práctico: el responsable del canal debe ser alguien con formación suficiente en la materia y con acceso real a los recursos para investigar. Designar al responsable de RR.HH. sin darle ni herramientas ni autonomía es la forma más rápida de tener un canal que cumple en papel pero no funciona en la realidad.
La AIPI: la nueva autoridad que ya está mirando
Uno de los problemas que tuvo la Ley 2/2023 en sus primeros años fue la falta de un órgano supervisor específico. Eso cambió el 1 de septiembre de 2025, cuando arrancó oficialmente la Autoridad Independiente de Protección del Informante (AIPI).
La AIPI es un organismo público independiente con competencias concretas:
- Gestión del canal externo de comunicaciones (las denuncias que los informantes dirigen a la propia autoridad, no a la empresa).
- Protección activa de los informantes frente a represalias.
- Potestad inspectora y sancionadora sobre las empresas obligadas.
- Emisión de circulares y recomendaciones. Las primeras llegaron el 15 de enero de 2026 y establecen estándares de diseño e implantación de los canales.
En resumen: ya hay alguien mirando. Y ese alguien tiene capacidad de sancionar.
¿Qué pasa si no cumples? El régimen sancionador
Las infracciones de la Ley 2/2023 se clasifican en leves, graves y muy graves. Las consecuencias incluyen sanciones económicas y restricciones operativas:
Sanciones económicas para personas jurídicas
- Infracciones leves: hasta 100.000 €.
- Infracciones graves: entre 100.001 € y 600.000 €.
- Infracciones muy graves: entre 600.001 € y 1.000.000 €.
Sanciones económicas para personas físicas
- Entre 1.001 € y 300.000 €, según la gravedad.
Sanciones accesorias
- Prohibición de obtener subvenciones públicas durante hasta 4 años.
- Prohibición de contratar con el sector público durante hasta 3 años.
- Publicación de la resolución sancionadora en el BOE y en la web de la AIPI.
Las infracciones más graves incluyen: no disponer del canal cuando es obligatorio, obstaculizar la presentación de denuncias, revelar la identidad del informante, tomar represalias contra él, o incumplir los plazos de tramitación de forma sistemática.
Desde 2025 ya hay empresas sancionadas. No por cuestiones filosóficas de cultura organizacional, sino por no haber implementado el canal o por haber incumplido los plazos de respuesta. La AIPI no está esperando a ver qué pasa.
La conexión que nadie te cuenta: canal de denuncias y PBC/AML
Aquí está el punto que une este artículo con el core de lo que hacemos en el ámbito AML. El canal de denuncias no es solo un requisito de buen gobierno corporativo: es una herramienta directamente conectada con la prevención del blanqueo de capitales.
La ley 10/2010 y su Reglamento (RD 304/2014) establecen que los sujetos obligados deben disponer de procedimientos internos para que los empleados puedan comunicar, de forma confidencial, posibles incumplimientos en materia de PBC. El artículo 26 bis de la Ley 10/2010, introducido por la Ley 11/2021 de medidas de prevención y lucha contra el fraude fiscal, refuerza esta obligación.
Lo que establece la Ley 2/2023 no es redundante con lo anterior: lo complementa y lo eleva. Si ya tienes un procedimiento interno de comunicación de sospechas de blanqueo, necesitas asegurarte de que cumple también con los estándares técnicos y procedimentales que exige el canal de denuncias bajo la nueva ley. En muchos casos, la solución más eficiente es integrar ambas funciones en un único sistema.
Estas son las áreas de solapamiento más relevantes:
- Confidencialidad del comunicante: tanto en el canal PBC como en el canal de denuncias, proteger la identidad de quien reporta es una obligación legal y ética.
- Registro y trazabilidad: ambos sistemas requieren una documentación rigurosa de cada comunicación, las actuaciones llevadas a cabo y las decisiones adoptadas.
- Nombramiento de un responsable: el Representante ante el SEPBLAC (obligatorio en PBC) y el responsable del canal de denuncias (obligatorio bajo Ley 2/2023) pueden ser la misma persona, pero debe quedar documentado con claridad.
- Formación del personal: el equipo debe conocer ambos canales, cuándo usar cada uno y cómo actuar ante una posible irregularidad.
Las empresas que tienen un sistema AML robusto y documentado parten con ventaja para implementar el canal de denuncias. La estructura de procesos, la asignación de responsables y la cultura de registro ya están en marcha. Se trata de expandir esa estructura, no de construir algo desde cero.
Cómo implementar el canal: pasos clave sin convertirlo en otro proyecto eterno
El canal de denuncias no tiene por qué ser un proyecto de seis meses con consultora externa. Lo que sí requiere es un enfoque ordenado.
Paso 1: Determina si estás obligado (y bajo qué criterio)
¿Tienes más de 50 empleados? ¿Eres sujeto obligado en materia de PBC? ¿Operas en alguno de los sectores regulados listados en la ley? Si la respuesta a cualquiera de estas preguntas es sí, estás obligado. Si no estás seguro, revisa el texto de la Ley 2/2023 o consulta con un especialista, pero no lo dejes en el aire.
Paso 2: Elige el modelo de canal
Puedes optar por un canal propio (plataforma tecnológica interna o contratada con un proveedor especializado) o compartir el canal con otras empresas del mismo grupo, si perteneces a un grupo empresarial y el canal centralizado cumple los requisitos legales para todos los miembros.
Las soluciones tecnológicas en el mercado van desde plataformas SaaS específicas para whistleblowing hasta módulos integrados en herramientas de compliance más amplias. Lo importante es que la plataforma garantice cifrado de extremo a extremo, acceso controlado y capacidad de comunicación bidireccional con el informante (para solicitar aclaraciones o transmitir el resultado de la investigación).
Paso 3: Designa al responsable y notifícaselo a la AIPI
El responsable debe reunir tres condiciones: conocimiento suficiente de la materia, independencia funcional y acceso a los recursos necesarios para investigar. Documenta el nombramiento con acta del órgano de administración y notifícalo a la AIPI antes del 10 de abril de 2026 si todavía no lo has hecho.
Paso 4: Redacta la política interna y comunícala
La política debe explicar claramente: qué tipo de infracciones pueden comunicarse, cómo funciona el proceso, cómo se protege la confidencialidad, qué plazos se aplican y qué protecciones tiene el informante. Esta política debe estar accesible en la intranet, en la web corporativa si existe, y debe difundirse activamente entre la plantilla. No basta con publicarla; hay que asegurarse de que la gente sabe que existe y cómo usarla.
Paso 5: Forma al equipo y al responsable
La formación del responsable del canal debe ir más allá de la lectura de la ley. Necesita entender cómo gestionar una investigación interna, qué hacer cuando los hechos comunicados podrían ser constitutivos de delito, y cómo evitar contaminar o comprometer la confidencialidad del informante durante el proceso.
Paso 6: Documenta todo y revisa el sistema periódicamente
Igual que el Manual PBC no puede ser un documento estático que se redacta una vez y se olvida, el canal de denuncias necesita revisiones periódicas para asegurarse de que sigue funcionando, el responsable está activo y la política está actualizada con las recomendaciones de la AIPI (cuya primera tanda llegó en enero de 2026).
El canal de denuncias como señal de madurez organizacional
Hay una narrativa que conviene superar: la del canal de denuncias como mecanismo de delación interna que genera desconfianza en el equipo. Las empresas que tienen culturas de compliance sólidas llevan años demostrando lo contrario. Un canal bien implementado, con una comunicación clara y una política de no represalias creíble, no solo protege a la organización legalmente: refuerza la confianza de los empleados, mejora la detección temprana de problemas y reduce el riesgo de que irregularidades internas acaben siendo escándalos externos.
Además, desde la perspectiva del cliente corporativo o del inversor, disponer de un canal de denuncias conforme a la ley, integrado en un sistema de compliance más amplio, transmite exactamente el tipo de señal que diferencia a una empresa seria de una que solo cumple en papel.
Si tu empresa ya tiene un sistema de prevención de blanqueo de capitales en marcha, el canal de denuncias es el complemento natural. Si todavía estás construyendo tu sistema de compliance desde cero, tiene todo el sentido diseñar ambas cosas de forma integrada desde el principio, evitando duplicidades y aprovechando la estructura de procesos y responsables que ya requiere la normativa PBC.