Modelos y registros · ISO 37301 · Apartado 8.3
Libro-registro del canal de denuncias: ISO 37301 y Ley 2/2023
El registro de cada comunicación recibida por el canal y de la investigación que abre, con los plazos legales a la vista y la confidencialidad garantizada.
En una frase
El libro-registro del canal de denuncias recoge las informaciones recibidas y las investigaciones internas que abren, con sus fechas de acuse y de respuesta; lo exige el art. 26 de la Ley 2/2023, que limita su conservación a diez años, y es además el registro de actividad con el que se demuestra el proceso para plantear preocupaciones del apartado 8.3 de ISO 37301.
- Dónde lo pide la norma
- ISO 37301 · Apartado 8.3 Los apartados siguen ISO 37301:2021, la edición vigente, que sustituyó a la guía ISO 19600.
- Tipo de información
- Registro obligatorio Art. 26 de la Ley 2/2023; registro de actividad de ISO 37301 (8.3 y 9.1.5)
- Quién lo rellena
- Responsable del Sistema Designado por el órgano de administración; el acceso al registro está restringido
- Cuándo
- Al recibir cada comunicación Se completa a lo largo de la tramitación hasta su cierre
- Cuánto se conserva
- Máximo 10 años Art. 26.2 de la Ley 2/2023; supresión a los tres meses si no se ha iniciado investigación, salvo evidencia del funcionamiento (art. 32.4)
Qué pide la norma
Lo que exige ISO 37301 y lo que deja a tu criterio
ISO 37301 pide un proceso que anime y permita comunicar intentos, sospechas o incumplimientos reales de la política o de las obligaciones, con confidencialidad, opción de anonimato y protección frente a represalias. La norma no exige por sí sola un libro-registro, pero sí registros exactos y al día de las actividades de compliance (9.1.5).
En España, la Ley 2/2023 lo convierte en obligación para las empresas privadas de cincuenta o más trabajadores y todo el sector público: hay que llevar un libro-registro de las informaciones recibidas y de las investigaciones, que no es público y cuyos datos no pueden conservarse más de diez años.
Los plazos legales marcan los campos: acuse de recibo en siete días naturales y respuesta en un máximo de tres meses, ampliable otros tres en casos complejos. Si en tres meses no se ha abierto investigación, los datos personales se suprimen salvo para dejar evidencia del funcionamiento del sistema.
Estructura
Campos que debe tener el modelo
- Código de la comunicación y fecha de recepción
- Vía de entrada y si es anónima
- Materia y ámbito: penal, administrativo, laboral, código ético
- Fecha de acuse de recibo (límite: 7 días naturales)
- Admisión o inadmisión, con su motivo
- Investigación abierta, instructor y referencia del expediente
- Fecha de respuesta al informante (límite: 3 meses, ampliable)
- Conclusión y medidas adoptadas
- Fecha de cierre y de supresión de datos
Ejemplo
Ejemplo: comunicación anónima sobre invitaciones a compradores
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Código y fecha | COM-2026-007 · 2 de abril de 2026 |
| Entrada | Formulario del canal · anónima |
| Materia | Posible soborno a personal de compras de un hospital · ámbito penal |
| Acuse | 3 de abril, en el buzón seguro del canal |
| Admisión | Admitida: hechos concretos y verosímiles |
| Investigación | INV-2026-003 · instructora externa |
| Respuesta | 24 de junio · dentro del plazo de tres meses |
| Conclusión | Hechos parcialmente acreditados · ver informe de investigación |
En la auditoría
Errores que suelen señalar los auditores
- Acuses de recibo fuera de plazo o sin fecha que lo demuestre.
- Comunicaciones anónimas descartadas por el hecho de serlo.
- Libro-registro accesible a recursos humanos o a la dirección sin restricción.
- Datos conservados sin límite o, al contrario, borrados sin dejar evidencia del funcionamiento del canal.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Solo el Responsable del Sistema y las personas que autorice acceden a las comunicaciones y a su contenido.
- 2El sistema avisa antes de que venzan los siete días del acuse y los tres meses de la respuesta.
- 3Las informaciones recibidas y las investigaciones que abren quedan registradas para el libro-registro, con cada expediente trazado hasta su cierre.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Quién está obligado a llevar el libro-registro?
Las entidades obligadas a tener sistema interno de información por la Ley 2/2023: empresas privadas de cincuenta o más trabajadores, las de los sectores del art. 10.1.b) y c) con cualquier plantilla, y todo el sector público.
¿El libro-registro es público?
No. Solo puede accederse a su contenido, total o parcialmente, a petición razonada de la autoridad judicial competente, en el marco de un procedimiento judicial y bajo su tutela.
Lleva los registros de ISO 37301 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Un canal de denuncias que protege a quien informa
Canal de denuncias para empresas de 50 o más trabajadores: recepción restringida, acuse en siete días…
Modelo de registro de incidencias fiscales UNE 19602
Cómo registrar las incidencias tributarias según UNE 19602: errores, requerimientos y comunicaciones del…
Apoyo
El apoyo en compliance se sostiene en dos pilares: que el personal conozca sus obligaciones y que exista un…
Modelo de registro de obligaciones de compliance ISO 37301
Cómo documentar las obligaciones de compliance que pide ISO 37301: requisitos obligatorios y compromisos…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción BOE-A-2023-4513 · 21 de febrero de 2023
- ISO 37301:2021 — Sistemas de gestión del compliance. Requisitos con orientación para su uso ISO · Abril de 2021