En los últimos años, el cumplimiento normativo ha dejado de ser un concepto abstracto para convertirse en una obligación concreta, supervisada y sancionable. Un ejemplo claro lo encontramos en la Ley 2/2023, de 20 de febrero, que regula la protección de las personas que informan sobre infracciones normativas y establece, para un amplio número de organizaciones, la obligación de disponer de un canal interno de información, comúnmente conocido como canal de denuncias.
Esta obligación no es aislada. Viene acompañada de un elemento que cambia sustancialmente el escenario: la creación de la Autoridad Independiente de Protección del Informante, un organismo estatal llamado a desempeñar un papel relevante en los próximos años, especialmente en el ámbito sancionador.
La obligación de implantar un canal interno: más que un requisito formal
La Ley 2/2023 impone a las empresas con cincuenta o más trabajadores la obligación de contar con un sistema interno que permita comunicar, de forma segura y confidencial, posibles infracciones normativas o conductas irregulares que afecten al interés general o al propio funcionamiento de la organización.
No se trata de “tener un buzón” ni de cumplir con una exigencia estética. El legislador exige un sistema realmente operativo, que garantice la confidencialidad del informante, evite represalias y permita una tramitación diligente de las comunicaciones recibidas. Además, la empresa debe designar un responsable del sistema y establecer procedimientos claros para la gestión, investigación y respuesta de las denuncias.
Desde una perspectiva práctica, el canal de denuncias se ha convertido en una pieza clave de los sistemas de compliance, especialmente en organizaciones expuestas a riesgos penales, administrativos o reputacionales.
La Autoridad Independiente de Protección del Informante: un nuevo actor con capacidad sancionadora
La creación de la Autoridad Independiente de Protección del Informante supone un salto cualitativo en el modelo. Por primera vez, existe un organismo específico con competencias para:
- Recibir comunicaciones externas de informantes.
- Supervisar el funcionamiento de los sistemas internos de las empresas.
- Iniciar actuaciones de control e investigación.
- Y, en su caso, imponer sanciones por incumplimiento de la normativa.
Aunque durante los primeros años el foco ha estado en la implantación progresiva del sistema, todo apunta a que a partir de 2026 la actividad sancionadora será mucho más visible y efectiva, una vez consolidada la estructura y los medios de la Autoridad. Las empresas que hayan optado por soluciones improvisadas o meramente formales quedarán entonces en una posición especialmente vulnerable.
Sanciones y consecuencias del incumplimiento
El régimen sancionador previsto en la Ley 2/2023 es severo. No disponer de un canal de denuncias cuando existe obligación legal, gestionarlo de forma deficiente o vulnerar los derechos del informante puede dar lugar a sanciones económicas muy relevantes, especialmente para las personas jurídicas.
Más allá de las multas —que pueden alcanzar importes elevados—, el incumplimiento puede conllevar consecuencias accesorias de gran impacto, como la prohibición de contratar con el sector público o la pérdida de acceso a subvenciones y ayudas. A ello se suma el riesgo reputacional y la posible derivación de responsabilidades hacia administradores y directivos si se aprecia falta de diligencia.
Desde esta perspectiva, el canal de denuncias no es un coste, sino un instrumento de protección jurídica para la propia empresa y sus órganos de administración.
La importancia de las investigaciones internas bien diseñadas
Uno de los errores más habituales es pensar que el cumplimiento termina con la implantación del canal. En realidad, el verdadero valor del sistema reside en cómo se gestionan las comunicaciones recibidas.
Las investigaciones internas deben ser:
- Proporcionadas.
- Técnicamente correctas.
- Respetuosas con los derechos de todas las partes.
- Y adecuadamente documentadas.
Una investigación interna mal planteada puede agravar el problema inicial. Por el contrario, una actuación diligente permite detectar irregularidades a tiempo, corregirlas internamente y, en su caso, acreditar ante la Autoridad una conducta empresarial responsable y colaborativa.
En el contexto actual, contar con asesoramiento jurídico especializado en compliance y en investigaciones internas no es una opción accesoria, sino una necesidad estratégica.
Mirando al futuro: anticiparse es la mejor defensa
La experiencia demuestra que los cambios normativos de este calado suelen ir acompañados de un periodo inicial de adaptación, seguido de una fase de aplicación estricta y sancionadora. Todo indica que el sistema de protección del informante en España seguirá ese patrón.
Las empresas que se anticipen, revisen sus canales de denuncias, refuercen sus procedimientos internos y adopten una cultura real de cumplimiento estarán mejor posicionadas cuando la Autoridad Independiente comience a actuar con plena intensidad.
Las que no lo hagan, asumirán un riesgo innecesario.
Porque en materia de cumplimiento normativo, llegar tarde suele salir caro.
El Blog de Derecho de Alejandro Pérez 