La cifra que pocos directivos conocen: 1.000.000€
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpuso al derecho español la Directiva UE 2019/1937 (conocida como Directiva Whistleblowing).
Está en vigor para empresas de 250+ empleados desde el 13 de junio de 2023 y para empresas de 50-249 empleados desde el 1 de diciembre de 2023.
Y trae consigo el régimen sancionador más severo del compliance HR español: infracciones muy graves castigadas con multas de 600.001€ a 1.000.000€ (art. 65 Ley 2/2023). Solo el Reglamento General de Protección de Datos tiene cuantías comparables.
¿Mi empresa está obligada?
Tres grupos están obligados según la Ley 2/2023:
- Empresas privadas con 50 o más empleados. Sin excepciones por sector ni antigüedad.
- Todos los organismos del sector público, partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban fondos públicos.
- Empresas de cualquier tamaño en sectores específicos: servicios financieros, seguros, prevención del blanqueo de capitales, seguridad de transportes y medio ambiente.
Por qué un email no cumple (aunque haya un manager mirándolo)
Cinco razones por las que un email genérico no es un Sistema Interno de Información (SII) válido según la Ley 2/2023:
- No garantiza la confidencialidad de la identidad del informante. Los emails tienen logs, headers, signatures que pueden exponer al denunciante.
- No permite denuncia anónima. La Ley 2/2023 obliga a admitir denuncias anónimas. Un email requiere identificar emisor.
- No hay cifrado en reposo de las comunicaciones. La Ley exige medidas técnicas y organizativas adecuadas. Los emails en bandejas estándar no están cifrados a nivel de los mensajes individuales.
- No hay trazabilidad de gestión. ¿Quién leyó qué cuándo? ¿Cuándo se acusó recibo? ¿Cuándo se respondió? La Ley exige acuse de recibo en 7 días y respuesta en 3 meses.
- No hay separación del Responsable del Sistema. El responsable formal del SII debe tener independencia funcional. Un email gestionado por RRHH no asegura esa independencia frente a casos que involucren a la dirección.
Los 11 requisitos técnicos y organizativos que SÍ exige la Ley
Un Sistema Interno de Información conforme a la Ley 2/2023 debe cumplir, como mínimo:
- Responsable del Sistema designado formalmente. Independencia funcional. No puede ser un administrador único.
- Canal interno con confidencialidad de identidad. Tecnológica, no solo procedimental.
- Posibilidad de denuncia anónima. Sin identificación obligatoria.
- Cifrado AES-256 o equivalente en reposo y tránsito.
- Acuse de recibo automatizado en 7 días.
- Respuesta al informante en 3 meses máximo.
- Política del Sistema escrita y publicada · accesible para toda la plantilla.
- Registro confidencial de denuncias con archivo seguro y separación de roles.
- Protección integral contra represalias. Inversión carga de la prueba en favor del informante.
- Canal externo disponible · la AAI y autoridades específicas.
- Gestión de datos personales conforme RGPD. Bases jurídicas reforzadas, EIPD si tratamiento de alto riesgo.
Coste: la diferencia entre un proveedor externo y un módulo nativo
Hoy hay tres caminos para tener un Canal Ético conforme:
| Opcion | Coste | Tiempo | Pros | Cons |
|---|---|---|---|---|
| Proveedor externo especializado | 1.500€ - 8.000€/año según tamaño | 30-60 días setup | Empresa especializada, soporte legal | Coste alto, integración separada de tu sistema HR |
| Plataforma whistleblowing genérica | 500€ - 2.000€/año | 14-30 días | Más barato | Adaptación al marco español a menudo superficial |
| Software vertical compliance HR (AIM ONE) | 4,99€/usuario/mes (incluye Canal Ético + 13 módulos más) | 24-72 horas | Integrado con el resto del compliance HR español | No es el módulo más profundo del mercado (pero cubre los 11 requisitos legales) |
¿Y si no creo que vayan a denunciar nadie en mi empresa?
Es el argumento más común y el más peligroso. Cuatro hechos a considerar:
1. La obligación es independiente del número de denuncias. Si tienes 50+ empleados, debes tener el SII operativo aunque no recibas ni una denuncia en años.
2. La Inspección puede revisar el cumplimiento sin que haya denuncia previa. Las inspecciones aleatorias o sectoriales son habituales.
3. Las denuncias internas son una válvula de escape. Si no hay canal interno, las denuncias van directamente a las autoridades externas (AAI, Inspección de Trabajo, Fiscalía). Tu reputación corporativa y tu margen de maniobra desaparecen.
4. El Compliance Penal CP 31 bis depende del Canal Ético. Sin un canal de información operativo, tu modelo de prevención de delitos no es eficaz a efectos de la exención penal. Más en Compliance Penal.
Esto, hecho.
En AIM ONE.
14 módulos compliance HR español operativos en 7 días. Plan de Igualdad nativo + Registro Retributivo + Canal Ético + Auditoría Retributiva + 11 más. Sin consultora externa, sin lock-in.