Comienza la supervisión real de los canales de denuncias

En los últimos años, muchas entidades han afrontado la Ley 2/2023, sobre la protección de las personas que informen sobre infracciones normativas o corrupción, como un requerimiento más de la larga lista de obligaciones del cumplimiento normativo. Han elaborado políticas, habilitado buzones y designado responsables, como prevé esta ley. El sistema interno de información, el conocido como "canal de denuncias", forma parte del mapa regulatorio de las organizaciones, especialmente en el sector financiero, para el que esta obligación no era una novedad.

La propia ley contemplaba, además, la creación de una autoridad independiente encargada de proteger al informante y supervisar el correcto funcionamiento de estos canales. Ese momento ha llegado: la Autoridad Independiente de Protección del Informante (AIPI) ya se encuentra plenamente operativa y la supervisión de los canales de denuncias ha comenzado.

El 15 de enero de 2026, la AIPI publicó sus primeras recomendaciones sobre cómo deben diseñarse e implantarse los canales de denuncias y, apenas unas semanas después, el 9 de febrero, publicó en su sede electrónica el formulario para comunicar el nombramiento o cese del responsable del canal. Puede parecer un proceso administrativo más, pero este trámite marca el tránsito desde la mera implantación formal del canal hacia su registro oficial y su sometimiento a supervisión efectiva.

En otras palabras, el canal de denuncias deja de ser un enlace o documento publicado en la página web para convertirse en un canal supervisado por una autoridad externa.

Opinión

TE PUEDE INTERESAR

La AIPI entra en funcionamiento: El modelo español frente a Europa

María Massó Moreu

El mensaje de la AIPI es claro: no basta con "tener" un canal, hay que poder acreditar que funciona conforme a las exigencias legales. Y es aquí donde muchas organizaciones deberán revisar lo que han implantado.

Uno de los puntos que mayores efectos puede generar en grupos de empresas es la identificación de las personas obligadas. La existencia de un canal común no convierte automáticamente al grupo en un único sujeto a efectos de la Ley 2/2023. Cada entidad del grupo debe analizar si reúne los requisitos para estar obligada y, en su caso, verificar que cumple de forma individual las exigencias organizativas y procedimentales. En grupos con varias filiales, la cuestión no es operativa, sino jurídica. No basta con compartir un canal, sino que cada entidad ha de justificar su propio cumplimiento.

Uno de los puntos que mayores efectos puede generar en grupos de empresas es la identificación de las personas obligadas

El papel del responsable del canal constituye otro de los ejes centrales. El formulario electrónico para comunicar su nombramiento no es, como hemos dicho, un simple trámite, sino que introduce una obligación registral para la supervisión, con plazos concretos para comunicar el nombramiento y cualquier modificación posterior. En grupos con un responsable único, cada entidad obligada tendrá que designarlo y notificarlo individualmente.

Al mismo tiempo, la autoridad admite cierta flexibilidad en la designación del responsable. Cabe externalizar la función, siempre que se preserve la independencia y, si se trata de un órgano colegiado, que al menos uno de sus miembros sea interno. Las entidades más pequeñas pueden designar a un directivo, pero han de evitarse los conflictos de intereses. No es tanto una cuestión de quién ejerce la función como de cómo se asegura su independencia y autonomía efectiva.

En el plano documental, la AIPI ha querido aclarar otra práctica extendida: la política del canal y el procedimiento interno no son lo mismo. La primera debe ser accesible y pública, mientras que el segundo tiene que detallar el proceso operativo de gestión de las denuncias recibidas. Muchas organizaciones habían optado por integrarlos en un único texto. Tampoco es menor la exigencia tecnológica. La plataforma debe ser segura, cifrada y proteger la confidencialidad del informante. En un eventual procedimiento sancionador, la carga de certificar el cumplimiento de estos requisitos recaerá en la entidad.

TE PUEDE INTERESAR

Acoso: la agencia estatal creada por Bolaños amenaza con sancionar al PSOE por frenar las denuncias

Borja Negrete

Y conviene recordar el régimen sancionador recogido en la ley. La falta del canal cuando sea obligatorio o determinadas deficiencias sustanciales en su funcionamiento pueden calificarse como infracciones muy graves, con multas relevantes y consecuencias reputacionales.

Por tanto, el canal de denuncias ya no resulta solo una pieza más del engranaje de cumplimiento normativo ni un instrumento vinculado solo a la prevención del riesgo penal. Es un canal regulado y supervisado por una autoridad específica. La actuación de la AIPI puede interpretarse como un paso natural en la consolidación del modelo de protección del informante en España. Al concretar cómo deben interpretarse aspectos como la independencia, la estructura, la documentación o la responsabilidad, la autoridad aporta seguridad jurídica y homogeneidad de criterios.

Estas aclaraciones de la AIPI, aunque puedan parecer una carga adicional, reducen incertidumbres interpretativas y fortalecerán la cultura de cumplimiento. Pero exige una revisión crítica de los canales implantados. Cuando la gobernanza y la transparencia son cada vez más relevantes, adelantarse a las expectativas del supervisor sigue siendo la mejor estrategia.

*Ana Benítez, socia de finReg360, y Claudia Mayordomo, asociada de finreg360