Tres años del canal de denuncias: qué está fallando en la práctica

La obligación alcanza a las entidades del sector privado con cincuenta o más trabajadores, a las que operan en determinados ámbitos con independencia de su plantilla, y a todo el sector público. El régimen sancionador previsto para el incumplimiento llega, en las infracciones muy graves, al millón de euros.

A estas alturas casi todas las empresas obligadas tienen un canal. El problema es otro: en la mayoría de las revisiones que hacemos, el canal existe y no funcionaría si mañana entrara una comunicación seria.

Los fallos que más se repiten

Nadie ha sido designado formalmente. La ley exige un responsable del sistema, designado por el órgano de administración, con autonomía e independencia en el ejercicio de sus funciones y comunicado a la autoridad competente. En muchas organizaciones ese papel se asume de hecho por el departamento de recursos humanos, sin nombramiento y sin la independencia que la norma exige.

No hay procedimiento escrito. El canal es el buzón; el sistema es el procedimiento. Sin protocolo que fije quién recibe, cómo se registra, en qué plazos se responde, cómo se instruye y cómo se archiva, lo que hay es un formulario.

Los plazos no están controlados. La ley obliga a acusar recibo en siete días naturales y a responder al informante en un plazo máximo de tres meses, ampliable a seis en casos de especial complejidad. Son plazos cortos para una investigación real, y quien no los tiene monitorizados los incumple sin darse cuenta.

La confidencialidad no está garantizada técnicamente. Un buzón de correo compartido, o un formulario que registra la dirección IP, no cumple. El sistema debe permitir la comunicación anónima si el informante lo desea y proteger su identidad frente a cualquier persona no autorizada, incluidos los responsables jerárquicos.

El registro no existe. La ley exige un libro-registro de las informaciones recibidas, con acceso restringido y conservación limitada al tiempo necesario. Su ausencia impide acreditar el funcionamiento del sistema, que es justo lo que se pedirá si algún día hay que demostrarlo.

El canal no es accesible desde fuera. La obligación no se agota en la plantilla: el sistema debe estar abierto también a proveedores, contratistas, becarios, antiguos empleados y candidatos en procesos de selección. Un canal alojado en la intranet, al que solo se entra con credenciales de empleado, deja fuera a la mitad de las personas legitimadas.

Se descartan de plano las comunicaciones anónimas. La ley obliga a admitirlas. Rechazarlas por principio no es una política interna: es un incumplimiento.

La protección frente a represalias

Es el núcleo de la norma y la parte que más se subestima. La ley presume que cualquier perjuicio sufrido por el informante en los dos años siguientes a la comunicación constituye represalia, e invierte la carga de la prueba: corresponde a la empresa acreditar que la medida adoptada obedece a motivos debidamente justificados y ajenos a la información.

En la práctica esto significa que un despido, una modificación de condiciones o una no promoción de quien ha denunciado exige un expediente sólido y anterior a la comunicación. Improvisarlo después no funciona.

La conexión con la responsabilidad penal

El canal no es una obligación aislada: es uno de los elementos que el artículo 31 bis del Código Penal exige a los modelos de organización y gestión para que puedan eximir de responsabilidad penal a la persona jurídica.

Un modelo de compliance con un canal que no funciona tiene un problema doble. No cumple la Ley 2/2023 y debilita el propio modelo, porque acredita que la organización identificó el riesgo y no puso un mecanismo eficaz para detectarlo.

Cómo se comprueba que funciona

Con una prueba. Se introduce una comunicación de prueba y se verifica que llega a quien debe, que el acuse sale en plazo, que queda registrada, que el informante puede seguir su estado y que nadie ajeno al procedimiento ha tenido acceso.

Es un ejercicio de una tarde y descubre casi siempre algo. Es también, con diferencia, la manera más barata de averiguar si lo que hay es un sistema o un formulario.

Qué hacer cuando entra una denuncia

1. Acusar recibo en siete días y registrar la entrada.
2. Comprobar conflictos de interés de quien va a instruir, antes de empezar.
3. Preservar la prueba de inmediato, con criterio: la recopilación de correo y dispositivos tiene límites constitucionales y requiere una política de uso de medios digitales previa y conocida. Sin ella, la prueba puede ser nula y arrastrar todo el expediente.
4. Instruir con imparcialidad, dando audiencia a la persona afectada, que también tiene derechos: presunción de inocencia, defensa y protección de su identidad.
5. Concluir por escrito y decidir: archivo, medida disciplinaria, reclamación civil, denuncia o comunicación a la autoridad competente.
6. Cerrar el expediente con la respuesta al informante dentro de los tres meses.

Red Legal · 22 de enero de 2026