Canal de denuncias interno: obligatorio desde 50 empleados

La obligación existe desde 2023 y sigue sin cumplirse en una parte considerable del tejido empresarial que la tiene encima. No por resistencia: por desconocimiento del umbral. Cincuenta trabajadores es una cifra que muchas empresas cruzan sin celebrarlo, y con ella entra en juego una ley cuyo régimen sancionador llega al millón de euros.

Este artículo recoge quién está obligado, qué tiene que tener el sistema, qué plazos impone el procedimiento y qué relación tiene todo esto con el cumplimiento en materia de tiempo de trabajo.

---

TL;DR

• El artículo 10.1.a) de la Ley 2/2023 obliga a disponer de un Sistema interno de información a las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores.
• Algunas entidades están obligadas con independencia del número de trabajadores por razón de su actividad (art. 10.1.b).
• Las empresas de 50 a 249 trabajadores pueden compartir el Sistema y sus recursos entre sí (art. 12).
• Hay que acusar recibo en siete días naturales y responder en un máximo de tres meses, ampliables a tres más en casos de especial complejidad (art. 9.2).
• No tener el Sistema es infracción muy grave (art. 63.1.g), sancionable a personas jurídicas con entre 600.001 y 1.000.000 de euros (art. 65.1.b).

---

Quién está obligado

El artículo 10.1 de la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, enumera tres grupos en el sector privado:

a) Cincuenta o más trabajadores. «Las personas físicas o jurídicas del sector privado que tengan contratados cincuenta o más trabajadores». Es el umbral general y el que afecta a la inmensa mayoría de empresas obligadas.

b) Por razón de la actividad, sin umbral. Las personas jurídicas del sector privado que entren en el ámbito de aplicación de los actos de la Unión Europea en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente a que se refieren las partes I.B y II del anexo de la Directiva (UE) 2019/1937 deben disponer del Sistema con independencia del número de trabajadores con que cuenten. En estos casos rige su normativa específica y la Ley 2/2023 se aplica en lo no regulado por ella.

El mismo apartado precisa que se consideran incluidas las personas jurídicas que, pese a no tener su domicilio en España, desarrollen aquí actividades a través de sucursales o agentes, o mediante prestación de servicios sin establecimiento permanente.

c) Partidos políticos, sindicatos, organizaciones empresariales y fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.

El artículo 10.2 añade que las personas jurídicas privadas no obligadas pueden establecer su propio Sistema, que deberá cumplir en todo caso los requisitos de la ley. Es decir: no hay un régimen «ligero» para quien lo monta voluntariamente.

Los plazos ya vencieron

La disposición transitoria segunda de la ley fijó un plazo máximo de tres meses desde su entrada en vigor para implantar el Sistema, con una excepción: las entidades jurídicas del sector privado con doscientos cuarenta y nueve trabajadores o menos, y los municipios de menos de diez mil habitantes, tuvieron plazo hasta el 1 de diciembre de 2023.

Ambos plazos están vencidos. Una empresa que cruzó los cincuenta trabajadores después de esa fecha entra en la obligación desde que la cumple.

---

Qué tiene que tener el Sistema

El artículo 5.2 de la ley enumera los requisitos. Un canal de correo electrónico genérico no los cumple. El Sistema debe:

• Permitir comunicar a todas las personas del artículo 3 información sobre las infracciones del artículo 2.
• Estar diseñado, establecido y gestionado de forma segura, garantizando la confidencialidad de la identidad del informante y de cualquier tercero mencionado, así como de las actuaciones, e impidiendo el acceso de personal no autorizado.
• Permitir la presentación por escrito o verbalmente, o de ambos modos.
• Integrar los distintos canales internos que puedan existir en la entidad.
• Garantizar que las comunicaciones puedan tratarse de manera efectiva dentro de la propia entidad, para que sea ella la primera en conocer la posible irregularidad.
• Ser independiente y diferenciado de los sistemas de otras entidades, sin perjuicio de los supuestos de medios compartidos.
• Contar con un Responsable del Sistema.
• Contar con una política o estrategia debidamente publicitada en el seno de la entidad.
• Contar con un procedimiento de gestión de las informaciones recibidas.
• Establecer las garantías de protección de los informantes.

Y el artículo 5.1 añade un requisito de procedimiento que se pasa por alto con frecuencia: el órgano de administración o de gobierno es el responsable de la implantación del Sistema previa consulta con la representación legal de las personas trabajadoras, y tiene la condición de responsable del tratamiento a efectos de protección de datos.

El canal interno, en detalle

El artículo 7.2 concreta cómo debe funcionar el canal. Debe permitir comunicaciones por escrito —correo postal o medio electrónico habilitado— o verbalmente —vía telefónica o mensajería de voz—, y, a solicitud del informante, mediante reunión presencial dentro del plazo máximo de siete días.

Las comunicaciones verbales deben documentarse, previo consentimiento del informante, mediante grabación en formato seguro, duradero y accesible, o mediante transcripción completa y exacta realizada por el personal responsable. Al informante se le debe ofrecer la oportunidad de comprobar, rectificar y aceptar con su firma esa transcripción.

Además, a quien comunique por canal interno hay que informarle de forma clara y accesible sobre los canales externos ante las autoridades competentes y, en su caso, ante instituciones u organismos de la Unión Europea.

El Responsable del Sistema

El artículo 8 exige designar una persona física responsable de la gestión. Sus rasgos:

• Lo designa —y cesa— el órgano de administración o de gobierno.
• Si se opta por un órgano colegiado, este debe delegar en uno de sus miembros las facultades de gestión y de tramitación de expedientes.
• El nombramiento y el cese deben notificarse a la Autoridad Independiente de Protección del Informante o, en su caso, a las autoridades u órganos competentes de las comunidades autónomas, en el plazo de diez días hábiles, especificando en el cese las razones que lo justifican.
• Debe desarrollar sus funciones de forma independiente y autónoma, sin recibir instrucciones, y disponer de los medios personales y materiales necesarios.
• En el sector privado será un directivo que ejercerá el cargo con independencia del órgano de administración. Cuando la naturaleza o dimensión de la entidad no justifique o permita un directivo dedicado, se admite compatibilizar las funciones evitando conflictos de interés.
• Si ya existe una persona responsable de cumplimiento normativo o de políticas de integridad, puede ser la designada, siempre que cumpla los requisitos de la ley.

Compartir el Sistema entre empresas

El artículo 12 permite a las personas jurídicas del sector privado que tengan entre cincuenta y doscientos cuarenta y nueve trabajadores compartir entre sí el Sistema interno de información y los recursos destinados a la gestión y tramitación de las comunicaciones, tanto si la gestión la lleva cualquiera de ellas como si está externalizada, respetando en todo caso las garantías de la ley.

Es la vía prevista para que el coste no recaiga entero sobre cada empresa mediana.

---

Los plazos del procedimiento

El artículo 9 obliga al órgano de administración o de gobierno a aprobar un procedimiento de gestión de informaciones, del que responde el Responsable del Sistema. Su apartado 2 fija el contenido mínimo, y dentro de él dos plazos que conviene tener en un calendario:

El resto del contenido mínimo del artículo 9.2 incluye la identificación de los canales asociados, información clara sobre los canales externos, la posibilidad de mantener comunicación con el informante y de pedirle información adicional, el derecho de la persona afectada a ser informada de lo que se le atribuye y a ser oída en cualquier momento, la garantía de confidencialidad incluso cuando la comunicación llegue por canales no previstos, el respeto a la presunción de inocencia y al honor, el respeto a la normativa de protección de datos y la remisión inmediata al Ministerio Fiscal cuando los hechos pudieran ser indiciariamente constitutivos de delito —o a la Fiscalía Europea si afectan a los intereses financieros de la Unión.

---

Qué se puede comunicar por este canal

El artículo 2.1 delimita el ámbito material. La ley protege a quien informe de:

• Acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea en los supuestos que enumera, entre ellos los que entren en el ámbito de los actos del anexo de la Directiva (UE) 2019/1937, los que afecten a los intereses financieros de la Unión y los que incidan en el mercado interior.
• Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. Y precisa: «En todo caso, se entenderán comprendidas todas aquellas infracciones penales o administrativas graves o muy graves que impliquen quebranto económico para la Hacienda Pública y para la Seguridad Social».

Ese segundo inciso tiene consecuencias directas para el cumplimiento laboral. Las infracciones en materia de jornada, descansos y registro de jornada están calificadas como graves por el artículo 7.5 de la LISOS, lo que las sitúa dentro del ámbito material del artículo 2.1.b).

El artículo 2.3 añade que la protección para quienes informen sobre infracciones del Derecho laboral en materia de seguridad y salud en el trabajo se entiende sin perjuicio de la establecida en su normativa específica.

La vía alternativa —la denuncia directa ante la Inspección— está tratada en la guía sobre la denuncia de un trabajador ante la Inspección de Trabajo. Tener canal interno no la excluye: el artículo 5.2.e) persigue que la empresa sea la primera en conocer la irregularidad, no la única.

---

Sanciones

El artículo 63 tipifica las infracciones. Entre las muy graves del apartado 1 figuran, además del «incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley» (letra g):

• Cualquier actuación que suponga una efectiva limitación de los derechos y garantías de la ley, o cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o de impedir, frustrar o ralentizar su seguimiento, incluida la aportación de información o documentación falsa.
• La adopción de cualquier represalia derivada de la comunicación frente a los informantes o demás personas protegidas.
• Vulnerar las garantías de confidencialidad y anonimato, en particular cualquier acción u omisión tendente a revelar la identidad del informante que optó por el anonimato, aunque no llegue a producirse la revelación efectiva.
• Vulnerar el deber de secreto.
• Comunicar o revelar públicamente información a sabiendas de su falsedad.

Las cuantías del artículo 65.1:

El artículo 65.2 añade que, en infracciones muy graves, la Autoridad Independiente de Protección del Informante puede acordar la amonestación pública, la prohibición de obtener subvenciones u otros beneficios fiscales durante un máximo de cuatro años y la prohibición de contratar con el sector público durante un máximo de tres años. Y el 65.3 permite publicar en el BOE las sanciones muy graves de cuantía igual o superior a 600.001 euros impuestas a entidades jurídicas, tras la firmeza en vía administrativa.

---

Preguntas frecuentes

¿A partir de cuántos empleados es obligatorio el canal de denuncias?

Cincuenta. El artículo 10.1.a) de la Ley 2/2023 obliga a las personas físicas o jurídicas del sector privado que tengan contratados cincuenta o más trabajadores a disponer de un Sistema interno de información.

¿Hay empresas obligadas por debajo de ese umbral?

Sí. El artículo 10.1.b) obliga con independencia del número de trabajadores a las personas jurídicas privadas que entren en el ámbito de los actos de la Unión Europea en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o financiación del terrorismo, seguridad del transporte y protección del medio ambiente a que se refieren las partes I.B y II del anexo de la Directiva (UE) 2019/1937.

¿Puede una empresa mediana compartir el canal con otras?

Sí. El artículo 12 permite a las personas jurídicas privadas de entre cincuenta y doscientos cuarenta y nueve trabajadores compartir entre sí el Sistema interno de información y los recursos de gestión y tramitación, incluso si la gestión está externalizada.

¿En cuánto tiempo hay que responder a una comunicación?

Hay que acusar recibo en siete días naturales desde la recepción, salvo que ello ponga en peligro la confidencialidad, y dar respuesta a las actuaciones de investigación en un máximo de tres meses, ampliables hasta otros tres en casos de especial complejidad, conforme al artículo 9.2.

¿Se pueden comunicar incumplimientos de jornada o de registro horario?

El artículo 2.1.b) incluye las acciones u omisiones que puedan ser constitutivas de infracción administrativa grave o muy grave. Las infracciones en materia de jornada, descansos y registro de jornada están calificadas como graves por el artículo 7.5 de la LISOS.

¿Puede ser anónimo?

La ley contempla el anonimato: el artículo 63.1.c) tipifica como infracción muy grave cualquier acción u omisión tendente a revelar la identidad del informante cuando este haya optado por el anonimato, aunque no llegue a producirse la revelación efectiva.

¿Qué pasa si no tenemos canal?

El artículo 63.1.g) califica como infracción muy grave el incumplimiento de la obligación de disponer de un Sistema interno de información. Para personas jurídicas, el artículo 65.1.b) fija multa de entre 600.001 y 1.000.000 de euros para las muy graves.

---

Cómo lo resuelve Tempika

Tempika no es un canal de denuncias, y conviene decirlo con claridad: el Sistema interno de información del artículo 5 de la Ley 2/2023 tiene requisitos propios de confidencialidad y gobernanza que corresponden a una herramienta distinta.

Lo que sí resuelve Tempika es el flanco por el que llegan buena parte de las comunicaciones en materia laboral. Un registro de jornada completo, con el horario concreto de inicio y fin que exige el artículo 34.9 del ET, conservado durante cuatro años y con las correcciones trazadas con autor, fecha y motivo, es la respuesta documental a una comunicación sobre exceso de jornada. Cada apunte se encadena mediante hash con el anterior, y el modo Inspección entrega el periodo completo por persona en CSV, XML y PDF.

Puedes revisar el detalle en la página de cumplimiento o consultar la guía sobre conservar el registro de jornada cuatro años.

---

Contenido elaborado por el Equipo Tempika (Summum Marketing) con la redacción vigente de la Ley 2/2023 y de la LISOS consultada en el BOE a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.