Si tu empresa tiene 50 trabajadores o más y todavía no cuenta con un canal de denuncias, no se trata de un simple «trámite pendiente». Es un incumplimiento legal que puede acabar en una sanción de hasta 1.000.000 de euros.
La Ley 2/2023 lleva en vigor desde marzo de 2023, pero durante bastante tiempo muchas empresas se relajaron porque no había un organismo activo que revisara el cumplimiento. Eso ha cambiado. La Autoridad Independiente de Protección del Informante (AIPI) ya tiene presidente, ya tiene estructura y ya ha empezado a publicar recomendaciones oficiales. La inspección real está mucho más cerca de lo que parece.
En este artículo te explicamos, sin rodeos, qué dice la ley sobre las sanciones, cuánto puedes llegar a pagar según el tipo de infracción y qué debes hacer para no formar parte de las próximas estadísticas.
¿Qué es exactamente lo que obliga la Ley 2/2023?
La Ley 2/2023, de 20 de febrero, traspone la Directiva europea de whistleblowing (Directiva UE 2019/1937) y obliga a las empresas con 50 o más trabajadores, entidades públicas y determinadas organizaciones a contar con un Sistema Interno de Información (SII), más conocido como canal de denuncias.
Este sistema debe permitir que empleados, proveedores, exempleados o colaboradores comuniquen irregularidades de forma confidencial o anónima, sin miedo a sufrir represalias. No basta con habilitar un correo electrónico: la ley exige confidencialidad garantizada, plazos de respuesta concretos y un responsable independiente designado formalmente.
No tener implantado el Sistema Interno de Información se considera, directamente, una infracción muy grave. No es una posibilidad, es la calificación que le da la propia norma.
Cuánto puedes llegar a pagar: las cuantías exactas
El régimen sancionador de la Ley 2/2023 distingue entre infracciones leves, graves y muy graves, y entre personas físicas (el responsable individual, por ejemplo un directivo) y personas jurídicas (la empresa como tal).
No contar con canal de denuncias existiendo obligación legal se clasifica como infracción muy grave, así que la empresa se juega directamente entre 600.001 € y 1.000.000 €. Además, cuando la sanción supera los 600.000 €, la ley permite que se publique en el BOE, con el desgaste reputacional que eso implica.
Y no acaba en la multa económica. La norma también contempla, como sanciones accesorias, la prohibición de acceder a subvenciones públicas o de contratar con el sector público durante un tiempo determinado, algo especialmente delicado si tu empresa trabaja con administraciones.
¿Quién pone estas multas? La AIPI ya está en marcha
Hasta hace poco, esta parte de la ley era papel mojado porque el organismo encargado de sancionar no tenía ni estructura ni presidente. Eso ha cambiado:
- El Real Decreto 1101/2024 aprobó el Estatuto de la Autoridad Independiente de Protección del Informante (AIPI).
- El Real Decreto 328/2025 nombró a Manuel Villoria Mendieta como primer presidente del organismo.
- La AIPI ya tiene un Departamento de Seguimiento y Régimen Sancionador, encargado específicamente de instruir expedientes sancionadores.
- En 2026 ha empezado a publicar recomendaciones técnicas oficiales (como la Recomendación 1/2026) para aclarar cómo debe diseñarse un canal de denuncias válido.
La AIPI tiene potestad para sancionar en todo el territorio nacional, salvo en las comunidades autónomas que hayan reservado expresamente esa competencia para sus propias autoridades antifraude. En su primera memoria anual, presentada ante el Congreso en 2026, la propia AIPI ha reconocido públicamente carencias en la ley actual y ha pedido reformarla para evitar que España reciba sanciones de la Comisión Europea por transponer de forma incompleta la directiva. Esto confirma algo importante: el organismo está activo, revisando el cumplimiento y con intención de endurecer la vigilancia, no de mirar hacia otro lado.
Más allá de la multa: lo que realmente está en juego
Cuando hablamos de canal de denuncias, la conversación suele centrarse solo en el importe de la sanción. Pero hay tres consecuencias adicionales que muchas empresas no valoran hasta que ya es tarde:
- Riesgo penal. Un canal de denuncias eficaz forma parte de los modelos de organización y gestión que exige el artículo 31 bis del Código Penal para prevenir la responsabilidad penal de la empresa. Sin canal, ese «escudo» de compliance queda debilitado.
- Reputación. Una sanción superior a 600.000 € publicada en el BOE, o simplemente el hecho de que trascienda que tu empresa no protege a quien denuncia una irregularidad, tiene un coste de confianza con clientes, empleados e inversores difícil de revertir.
- Exposición a denuncias externas. Si tu empresa no ofrece un canal interno de garantías, cualquier informante puede acudir directamente al canal externo de la AIPI, lo que activa la investigación igualmente, pero sin que tú tengas ningún control sobre el proceso.
Cómo evitar la sanción: lo que revisamos en cada implantación
En Acorán trabajamos la implantación del canal de denuncias partiendo siempre de estos puntos, que son exactamente los que más peso tienen en cualquier inspección:
- Confidencialidad real, no solo declarada: el sistema debe proteger la identidad del informante técnicamente, no solo «sobre el papel».
- Responsable del sistema (RSII) nombrado formalmente, con independencia respecto a la dirección, y notificado a la AIPI.
- Reglamento interno que fije el procedimiento de gestión: acuse de recibo en 7 días, investigación en un máximo de 3 meses y comunicación con el informante durante todo el proceso.
- Canal accesible tanto por escrito como verbalmente, incluyendo la posibilidad de denuncia anónima.
- Formación del personal, especialmente en RRHH y compliance, para que sepan cómo actuar ante una denuncia sin generar una segunda infracción por mala gestión. Este punto conecta directamente con nuestros servicios de formación bonificada, que muchas empresas aprovechan para capacitar a su equipo sin coste adicional.
- Prohibición documentada de represalias, con ejemplos claros de qué se considera represalia (descenso, traslado perjudicial, denegación de ascenso, etc.).
Si tu empresa ya tiene un canal de denuncias pero no está segura de que cumpla con los requisitos exigidos, lo recomendable es hacer una revisión antes de que lo haga un inspector.
Conclusión
En materia de canal de denuncias, esperar ya no es una opción. Con la AIPI plenamente operativa y el régimen sancionador en marcha, las empresas obligadas a disponer de un Sistema Interno de Información deben asegurarse de que no solo existe, sino que cumple todos los requisitos establecidos por la Ley 2/2023.
No contar con un canal de denuncias adecuado puede suponer multas de hasta 1.000.000 de euros, además de un importante impacto reputacional, riesgos en materia de compliance y posibles limitaciones para contratar con la Administración o acceder a subvenciones públicas.
Si tu empresa todavía no ha implantado el canal de denuncias o tiene dudas sobre si su sistema cumple con la normativa vigente, este es el momento de actuar. Una revisión preventiva siempre será más sencilla y menos costosa que enfrentarse a una inspección o a un procedimiento sancionador.
Preguntas frecuentes
1. ¿Cuál es la multa por no tener un canal de denuncias?
Si tu empresa está obligada a disponer de un canal de denuncias (es decir, tiene 50 o más trabajadores) y no lo ha implantado, la Ley 2/2023 considera este incumplimiento una infracción muy grave. La sanción para la empresa puede oscilar entre 600.001 € y 1.000.000 €. Además, si la multa supera los 600.000 €, puede publicarse en el BOE, con el consiguiente impacto reputacional.
2. ¿Cuáles son las posibles sanciones por incumplimiento?
El incumplimiento de la Ley 2/2023 no solo puede implicar una sanción económica. Además de las multas, las empresas pueden enfrentarse a consecuencias como la prohibición de acceder a subvenciones públicas, la imposibilidad de contratar con el sector público durante un determinado periodo y un importante daño reputacional, especialmente si la sanción se hace pública. También puede debilitar el sistema de compliance de la empresa y aumentar el riesgo de responsabilidad penal.
3. ¿Cuáles son los 3 tipos de sanción?
La Ley 2/2023 establece un régimen sancionador dividido en tres categorías de infracciones: leves, graves y muy graves. La gravedad de la sanción dependerá del incumplimiento cometido. En el caso de no implantar un canal de denuncias cuando existe obligación legal, la norma lo califica expresamente como una infracción muy grave, la categoría más severa.
4. ¿Cuándo es obligatorio el canal de denuncias?
El canal de denuncias es obligatorio para las empresas con 50 o más trabajadores, así como para entidades públicas y determinadas organizaciones, según establece la Ley 2/2023. Además de implantar el sistema, este debe cumplir una serie de requisitos legales, como garantizar la confidencialidad o el anonimato del informante, permitir la presentación de denuncias por escrito y verbalmente, contar con un responsable independiente y respetar los plazos de gestión establecidos por la normativa.
¿Tu empresa está preparada para una inspección?
En Acorán Consultoría y Formación te ayudamos a implantar o revisar tu Sistema Interno de Información para que cumpla con todos los requisitos legales: confidencialidad, nombramiento del responsable del sistema, procedimientos internos, gestión de denuncias y formación de tu equipo.
📞 Llámanos al 915 30 21 31
📍 Acorán Consultoría y Formación
C. del Laurel, 10, Bajo A, 28005 Madrid
No esperes a que una inspección detecte el problema. Solicita una revisión de tu canal de denuncias y asegúrate de que tu empresa está protegida antes de que sea demasiado tarde.
Otros artículos de interés:
Sanciones del RGPD: cómo calcula la AEPD las multas y qué factores reducen la sanción
Comentarios recientes