Las pymes ya no pueden seguir aplazando la implantación del canal de denuncias. Desde el pasado 10 de febrero, la Autoridad Independiente de Protección al Informante (AIPI) ha activado el formulario oficial para comunicar la designación del Responsable del Sistema Interno de Información (RSII), el último trámite pendiente para que la Ley 2/2023 despliegue todos sus efectos.
Con la puesta en marcha de este sistema electrónico, se inicia formalmente el plazo de dos meses para que las empresas comuniquen la designación de su responsable, con fecha límite el 10 de abril. Pero, sobre todo, se activa el control efectivo por parte de la Autoridad y el régimen sancionador previsto en la norma.
Esto supone que termina, de facto, el “periodo de gracia” que muchas pymes habían interpretado que existía desde la entrada en vigor de la ley. A partir de ahora, la falta de canal interno de denuncias o su incorrecta implantación puede derivar en sanciones que alcanzan hasta el millón de euros.
- La Inspección activa el formulario para controlar que las pymes cumplen con el canal de denuncias
- ¿Qué pymes están obligadas a implantar el canal de denuncias?
- Multas de hasta 1.000.000 euros y responsabilidad directa de administradores
- ¿Qué deben revisar ahora las pymes para cumplir con el canal de denuncias?
La Inspección activa el formulario para controlar que las pymes cumplen con el canal de denuncias
Según explicó Héctor Déniz Guedes, Responsable del área Compliance de AGM abogados, la gran novedad no es la obligación en sí -que ya existía desde 2023-, sino que ahora hay un mecanismo administrativo operativo para verificar su cumplimiento.
Hasta la fecha, muchas empresas consideraban que la obligación de disponer de un sistema interno de información era más teórica que práctica. La propia AIPI había aclarado que la obligación de comunicar la designación del responsable quedaba en suspenso hasta que el procedimiento estuviera plenamente habilitado.
Ese momento ya ha llegado. Desde el 10 de febrero de 2026, la sede electrónica de la Autoridad permite remitir oficialmente la comunicación del RSII.
Dos consecuencias de la activación del formulario
Para Héctor Deniz, esto implica dos consecuencias directas. La primera, que empieza a correr el plazo de dos meses para notificar el nombramiento. La segunda, que la Autoridad de Protección del Informante puede ejercer plenamente sus funciones de supervisión.
De hecho, la AIPI puede requerir información, verificar la adecuación del sistema interno y comprobar si la empresa ha designado correctamente a su responsable. En caso de incumplimiento, se activaría el régimen sancionador previsto en la ley.
Las sanciones no son menores. Las infracciones muy graves pueden alcanzar el millón de euros en el caso de personas jurídicas. También se prevén multas relevantes para directivos y administradores si se aprecia falta de diligencia en el cumplimiento de sus obligaciones.
“Hasta ahora existía la percepción de que la obligación podía demorarse sin consecuencias inmediatas. Esa percepción ya no es sostenible”, explicó el responsable de Compliance de AGM Abogados.
¿Qué pymes están obligadas a implantar el canal de denuncias?
La Ley 2/2023 obliga a implantar un sistema interno de información –conocido como canal de denuncias- a todas las empresas de 50 o más trabajadores. También están obligadas aquellas entidades que, independientemente de su tamaño, operen en sectores regulados como servicios financieros, prevención del blanqueo de capitales, protección del medio ambiente o seguridad del transporte.
En el caso de grupos de empresas, puede existir un sistema común, pero cada sociedad debe garantizar que el mecanismo es accesible y cumple los requisitos legales. Además, las empresas de entre 50 y 249 empleados pueden compartir recursos para su gestión, pero no eludir la obligación.
El sistema debe permitir la presentación de denuncias por escrito o verbalmente, incluso de forma anónima. Debe garantizar la confidencialidad, proteger al informante frente a represalias y establecer un procedimiento claro de investigación interna.
“No basta con tener un buzón de correo electrónico o un formulario genérico. El sistema debe cumplir requisitos técnicos y organizativos muy concretos”, advierte Déniz Guedes. La ley exige, además, que exista un Responsable del Sistema Interno de Información, con autonomía e independencia, cuya designación debe comunicarse ahora formalmente a la AIPI.
Multas de hasta 1.000.000 euros y responsabilidad directa de administradores
La Ley 2/2023 establece también un régimen sancionador contundente. Las infracciones graves y muy graves pueden conllevar multas de hasta 1.000.000 de euros en el caso de personas jurídicas.
Entre los incumplimientos sancionables están:
- No disponer de un sistema interno de información.
- No garantizar la confidencialidad.
- No permitir denuncias anónimas.
- No designar un responsable independiente.
- No tramitar adecuadamente las comunicaciones recibidas.
Además, no se trata solo de una responsabilidad corporativa. Los administradores y directivos pueden incurrir en responsabilidad personal si incumplen sus deberes de diligencia y supervisión. Esto introduce un riesgo adicional para gerentes de pymes que hayan optado por retrasar la implantación del canal.
El mensaje es claro: la falta de actuación ya no es una opción neutra.
¿Qué deben revisar ahora las pymes para cumplir con el canal de denuncias?
Con el formulario ya disponible, las pymes obligadas deben comprobar tres aspectos fundamentales.
En primer lugar, que efectivamente disponen de un canal conforme a la ley. Esto implica garantizar confidencialidad, protección de datos, posibilidad de denuncia anónima y un procedimiento documentado de gestión.
En segundo lugar, que el Responsable del Sistema Interno de Información ha sido designado formalmente por el órgano competente de la empresa. Este nombramiento debe constar documentalmente.
Y, en tercer lugar, que la designación ha sido comunicada dentro de plazo a la AIPI a través del nuevo formulario.
Además, no basta con implantar el sistema en papel. La empresa debe poder acreditar que funciona, que existen protocolos internos y que se respeta el plazo máximo de tres meses para dar respuesta al informante.
Déniz Guedes insistió en que “el canal no es solo un requisito formal, sino una herramienta de gobernanza y prevención de riesgos”. En este sentido, la norma también protege a la empresa frente a posibles responsabilidades penales, siempre que el sistema esté correctamente implantado y operativo.
