Canal de denuncias · Ley 2/2023

Un canal de denuncias que protege a quien informa

El sistema interno de información que exige la Ley 2/2023, dentro del mismo portal donde ya trabaja tu plantilla: recepción restringida, plazos de acuse y respuesta vigilados y cada expediente trazado hasta su cierre.

Qué es y quién debe tenerlo

Un canal de denuncias es el sistema interno de información que la Ley 2/2023 exige a las empresas privadas de cincuenta o más trabajadores y a todo el sector público: debe admitir incluso comunicaciones anónimas, acusar recibo en siete días naturales, responder en un máximo de tres meses y proteger a quien informa. Kimobox lo aloja en el mismo portal que ya usa la plantilla, con recepción restringida y cada expediente trazado hasta su cierre.

Contenido revisado el 17 de octubre de 2026

Norma: Ley 2/2023, de 20 de febrero Incorpora la Directiva (UE) 2019/1937; en vigor desde el 13 de marzo de 2023
Empresas obligadas: 50 o más trabajadores Art. 10.1.a); con cualquier plantilla en los supuestos del art. 10.1.b) y c), y todo el sector público (art. 13)
Acuse de recibo: 7 días naturales Art. 9.2.c) de la Ley 2/2023
Respuesta: 3 meses Ampliable otros tres en casos de especial complejidad (art. 9.2.d)
Comunicaciones anónimas: Deben admitirse Art. 7.3: presentación y posterior tramitación
Conservación: Máximo 10 años Art. 26.2; supresión a los tres meses si no se ha abierto investigación (art. 32.4)
Sanción máxima: 1.000.000 € Infracción muy grave de una persona jurídica (art. 65.1.b)
Autoridad estatal: Autoridad Independiente de Protección del Informante En funcionamiento desde el 1 de septiembre de 2025 (Orden PJC/908/2025)

Recepción restringida

Solo el Responsable del Sistema y las personas que autorice acceden a las comunicaciones y a su contenido.

Plazos vigilados

Aviso antes de que venzan los siete días del acuse de recibo y los tres meses de la respuesta.

Expediente trazable

Cada comunicación con sus actuaciones, su conclusión y la acción que genera, hasta el cierre.

Registro de comunicaciones

Las informaciones recibidas y las investigaciones que abren quedan registradas para el libro-registro.

Qué cubre

Lo que la ley pide al sistema interno

Canal alojado en el portal que la plantilla ya utiliza
Recepción restringida al Responsable del Sistema y su equipo
Acuse de recibo en siete días naturales
Respuesta en tres meses, ampliable en casos de especial complejidad
Política y procedimiento de gestión como documentos controlados
Registro de informaciones recibidas e investigaciones abiertas

Ejemplos reales

Del buzón improvisado al sistema que se puede demostrar

Industria · entre 50 y 249 personas

Una dirección de correo como canal

Antes Las denuncias llegan a un buzón genérico que lee RRHH. Nadie controla cuándo vence el acuse de recibo ni queda constancia de qué se hizo con cada comunicación.

Después Canal en el portal con recepción restringida al Responsable del Sistema. El acuse y la respuesta tienen su fecha límite calculada y cada actuación queda en el expediente.

Grupo empresarial · varias sociedades

Un canal distinto en cada filial

Antes Cada sociedad montó su propio canal con criterios diferentes y nadie tiene una visión de conjunto de lo que se comunica en el grupo.

Después Política general aprobada por la sociedad dominante y un único Responsable del Sistema, como permite el art. 11, con permisos por empresa para que cada expediente lo vea solo quien debe.

Distribución · compliance tributario

Denuncias que no llegan al sistema de compliance

Antes Una comunicación sobre una irregularidad fiscal se investiga por correo y el mapa de riesgos fiscales nunca se entera de que existió.

Después El expediente enlaza con el riesgo afectado del sistema UNE 19602 y con la acción correctiva que genera, de modo que la revisión por la dirección parte de casos reales.

Vocabulario

Vocabulario de la protección del informante

Informante: Persona que comunica una infracción normativa de la que ha tenido conocimiento en un contexto laboral o profesional. La Ley 2/2023 la protege y exige preservar la confidencialidad de su identidad.
Sistema interno de información: Conjunto formado por el canal, el Responsable del Sistema, la política y el procedimiento de gestión. Lo implanta el órgano de administración, previa consulta con la representación legal de las personas trabajadoras (art. 5 de la Ley 2/2023).
Responsable del Sistema: Persona designada por el órgano de administración para gestionar el sistema interno de información. Su nombramiento y su cese se notifican a la autoridad competente en los diez días hábiles siguientes.
Autoridad Independiente de Protección del Informante: Autoridad administrativa independiente creada por la Ley 2/2023 que gestiona el canal externo de información. Su Estatuto lo aprobó el Real Decreto 1101/2024 y funciona desde el 1 de septiembre de 2025.
Canal externo: Vía para informar de una infracción fuera de la organización, ante la Autoridad Independiente de Protección del Informante o ante la autoridad autonómica equivalente.
Libro-registro: Registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar. Sus datos no pueden conservarse más de diez años.

Preguntas frecuentes

Lo que nos preguntan antes de empezar

¿Qué empresas están obligadas a tener canal de denuncias?

Las del sector privado con cincuenta o más trabajadores, según el art. 10.1.a) de la Ley 2/2023. Con cualquier plantilla, también las sujetas a la normativa europea de servicios y mercados financieros, prevención del blanqueo, seguridad del transporte o medio ambiente, y los partidos políticos, sindicatos y organizaciones empresariales que gestionen fondos públicos. Todo el sector público está obligado por el art. 13.

¿Qué plazos marca la ley para tramitar una comunicación?

Acuse de recibo en siete días naturales desde la recepción y respuesta en un máximo de tres meses, ampliable otros tres en casos de especial complejidad, según el art. 9.2 de la Ley 2/2023.

¿Hay que admitir denuncias anónimas?

Sí. El art. 7.3 exige que el canal permita incluso la presentación y posterior tramitación de comunicaciones anónimas. Es uno de los puntos que se revisan al configurar el canal.

¿Quién es el Responsable del Sistema?

La persona que designa el órgano de administración para gestionar el sistema interno de información. Su nombramiento y su cese se notifican a la Autoridad Independiente de Protección del Informante, o a la autoridad autonómica competente, en los diez días hábiles siguientes (art. 8.3).

¿Se puede encargar la gestión a un tercero?

Sí. El art. 6 permite encargar la gestión a un tercero externo que ofrezca garantías de independencia, pero la responsabilidad sigue siendo del Responsable del Sistema que designe la empresa.

¿Pueden compartir canal varias empresas?

Las entidades privadas de 50 a 249 trabajadores pueden compartir entre sí el sistema y sus recursos (art. 12). En un grupo de empresas, la sociedad dominante aprueba una política general y puede haber un único Responsable del Sistema (art. 11).

¿Cuánto tiempo se conservan los datos de una denuncia?

Si en tres meses no se han iniciado actuaciones de investigación, los datos se suprimen, salvo para dejar evidencia del funcionamiento del sistema (art. 32.4). Lo que consta en el libro-registro no puede conservarse más de diez años (art. 26.2).

¿Qué sanciones prevé la ley?

Para una persona jurídica, hasta 100.000 euros por infracción leve, de 100.001 a 600.000 por grave y de 600.001 a 1.000.000 por muy grave (art. 65.1.b). Las muy graves pueden acarrear además amonestación pública, prohibición de obtener subvenciones hasta cuatro años y prohibición de contratar con el sector público hasta tres.

¿Qué es el canal externo?

El que gestiona la Autoridad Independiente de Protección del Informante, en funcionamiento desde el 1 de septiembre de 2025, junto con los de las autoridades autonómicas equivalentes. Es una vía fuera de la organización, distinta del canal interno que debe tener la empresa.

Te enseñamos una comunicación de principio a fin

Te enseñamos el módulo funcionando con datos parecidos a los tuyos.

Pedir una demo

Sigue explorando

Páginas relacionadas

Fuentes

De dónde sale cada dato

Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.

Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción BOE-A-2023-4513 · 21 de febrero de 2023
Directiva (UE) 2019/1937, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión EUR-Lex · 23 de octubre de 2019
Real Decreto 1101/2024, por el que se aprueba el Estatuto de la Autoridad Independiente de Protección del Informante BOE-A-2024-22298 · 30 de octubre de 2024
Orden PJC/908/2025, que fija la puesta en funcionamiento de la Autoridad Independiente de Protección del Informante BOE-A-2025-16764 · 12 de agosto de 2025
Sede electrónica de la Autoridad Independiente de Protección del Informante A.A.I. Protección del Informante · Creada por Resolución de 5 de noviembre de 2025

Canal de denuncias conforme a la Ley 2/2023

El canal de denuncias de Kimobox es el sistema interno de información que la Ley 2/2023 exige a las empresas de cincuenta o más trabajadores: recepción restringida, acuse de recibo en siete días naturales y respuesta en un máximo de tres meses, con cada expediente trazado hasta su cierre.

Al vivir en la misma plataforma que el sistema de compliance, cada comunicación puede enlazarse con el riesgo afectado, la no conformidad o la acción correctiva que genere, que es la evidencia que piden ISO 37301, UNE 19602 y SGE 21.