Canal de denuncias interno o externo: qué dice la Ley 2/2023 y cuál elegir en tu pyme

Cuando una pyme llega a los 50 empleados y le toca implantar el canal de denuncias, la primera duda suele ser de vocabulario: canal de denuncias interno o externo, ¿cuál elegir? La pregunta esconde dos cosas distintas. Por un lado, la Ley 2/2023 distingue el canal interno que debe tener la empresa del canal externo que gestiona la Autoridad Independiente de Protección del Informante, y el informante puede usar cualquiera de los dos. Por otro, la propia empresa puede gestionar su canal interno dentro de casa o encargárselo a un tercero externo. Este artículo aclara ambas cosas, resume lo que la ley exige al sistema interno y explica qué opción encaja según el tamaño y la estructura de la empresa.

Dos canales, dos funciones: el interno de la empresa y el externo de la Autoridad

La Ley 2/2023, de 20 de febrero, que transpone la Directiva europea de protección del informante, organiza la información sobre infracciones en dos vías:

• El canal interno (Título II). Lo debe tener toda empresa de 50 o más trabajadores, además de todas las administraciones y determinadas entidades como partidos políticos o fundaciones que reciben fondos públicos. Es el sistema de la propia organización: recibe las comunicaciones, las investiga y las resuelve. La ley lo considera la vía preferente, porque permite corregir el problema donde se produce.
• El canal externo (Título III). Lo gestiona la Autoridad Independiente de Protección del Informante, que opera el canal externo estatal desde el 1 de septiembre de 2025, y las autoridades autonómicas creadas al efecto. El informante puede acudir a él directamente o después de usar el canal interno, y goza de la misma protección frente a represalias.

La empresa no elige entre estos dos: debe tener el interno, y el externo existe con independencia de lo que haga. Lo que sí decide es cómo organiza el suyo.

Qué exige la ley al canal interno

Con independencia de quién lo gestione, el sistema interno de información debe cumplir lo que fijan los artículos 5 a 9 de la ley:

• Aprobación por el órgano de administración y designación de un Responsable del Sistema, cuya identidad se comunica a la Autoridad.
• Canales accesibles por escrito, verbalmente o de ambas formas, con posibilidad de reunión presencial si el informante lo pide, y con admisión de comunicaciones anónimas.
• Confidencialidad de la identidad del informante y de cualquier tercero mencionado, y protección de datos conforme al RGPD, con acceso restringido al personal autorizado.
• Procedimiento de gestión publicado: acuse de recibo en un plazo máximo de siete días naturales, plazo de respuesta de tres meses ampliables a otros tres en casos de especial complejidad, comunicación con el informante y registro de las comunicaciones recibidas.
• Información visible sobre el canal interno y sobre el canal externo de la Autoridad, en la web y en la intranet de la empresa.
• Prohibición de represalias y garantías para el informante y para la persona afectada.

Las empresas de entre 50 y 249 trabajadores pueden compartir el sistema y los recursos para la gestión de las comunicaciones, respetando la confidencialidad. Y el artículo 6.3 abre la puerta a la segunda decisión de este artículo: el sistema «podrá ser gestionado dentro de la propia entidad u organismo o acudiendo a un tercero externo».

Gestión interna o gestión externalizada: la decisión que sí es tuya

Gestionarlo dentro de la empresa

La empresa designa al Responsable del Sistema entre su personal (compliance, legal, dirección) y gestiona las comunicaciones con una plataforma propia o contratada.

A favor: conocimiento del negocio, rapidez para investigar y corregir, coste contenido. En contra: en una pyme es difícil garantizar la independencia del responsable respecto de quien puede ser denunciado, y la confidencialidad se resiente cuando la persona que recibe la denuncia comparte pasillo con el denunciante y el denunciado. También exige formación específica y disponibilidad para cumplir los plazos.

Encargar la gestión a un tercero externo

Un despacho, una consultora de compliance o el proveedor de la plataforma recibe las comunicaciones, hace el primer análisis y coordina la investigación con la empresa, que sigue siendo responsable de resolver.

A favor: independencia percibida y real, confidencialidad reforzada, conocimiento jurídico del procedimiento y cumplimiento de plazos sin depender de una persona interna. En contra: coste adicional, necesidad de un contrato de encargado del tratamiento y de un protocolo claro sobre qué decide el tercero y qué decide la empresa. La responsabilidad legal no se externaliza: sigue siendo de la organización.

Cómo decidir

• Pyme de 50 a 100 empleados sin departamento de compliance: la gestión externalizada o, al menos, la recepción externa de las comunicaciones suele ser la forma más realista de garantizar independencia y plazos.
• Empresa con área de compliance o legal separada de la dirección operativa: gestión interna con plataforma que asegure anonimato, cifrado y trazabilidad.
• Grupo de varias pymes: sistema compartido entre las que tienen menos de 250 trabajadores, con un responsable por entidad.
• En cualquier caso, la plataforma debe permitir denuncias anónimas, cifrar la identidad, registrar cada paso del expediente con sus plazos y generar el informe que la Autoridad pueda pedir.

Cómo lo resuelve LapsoWork

El canal de denuncias de LapsoWork está diseñado para las dos formas de gestión:

• Denuncias anónimas y cifradas: el informante decide si preserva su identidad y el gestor del canal solo ve lo que el informante autoriza.
• Expediente trazable: cada comunicación abre un expediente con acuse de recibo, plazos legales, respuestas y resolución final.
• Canal interno con tu marca o gestión externa: portal personalizado gestionado por tu Responsable del Sistema, o gestión subcontratada como canal externo independiente.
• Conforme a la Ley 2/2023: protocolo, plazos y procedimiento diseñados según la norma, con publicación del canal en la web de la empresa.
• Listo en 48 horas, desde 299,99 € al año más IVA, como complemento de la plataforma de RRHH.

Puedes ver el detalle en la página del canal de denuncias. Y si quieres saber primero si tu empresa está obligada, tenemos la guía sobre qué empresas necesitan canal de denuncias y qué sanciones hay y el artículo sobre el procedimiento del canal de denuncias.

Qué pasa si no lo tienes

No disponer de sistema interno de información es una infracción muy grave de la Ley 2/2023, sancionable en personas jurídicas con entre 600.001 y 1.000.000 de euros, además de amonestación pública y prohibición de obtener subvenciones hasta cuatro años. Las infracciones graves van de 100.001 a 600.000 euros y las leves de 1.001 a 100.000. Lo detallamos en sanciones por no contar con un canal de denuncias.

Preguntas frecuentes

¿Qué diferencia hay entre el canal de denuncias interno y el externo?

El canal interno es el sistema de información que debe tener la propia empresa de 50 o más trabajadores para recibir, investigar y resolver las comunicaciones sobre infracciones. El canal externo lo gestiona la Autoridad Independiente de Protección del Informante o la autoridad autonómica correspondiente, y el informante puede acudir a él directamente. La empresa está obligada a tener el interno y a informar de la existencia del externo.

¿Puede una pyme encargar el canal de denuncias a una empresa externa?

Sí. El artículo 6.3 de la Ley 2/2023 permite que el sistema interno se gestione dentro de la entidad o acudiendo a un tercero externo. La responsabilidad sigue siendo de la empresa, que debe designar un Responsable del Sistema y firmar con el tercero el contrato de encargado del tratamiento correspondiente.

¿El informante tiene que usar primero el canal interno?

No. La ley considera preferente el canal interno, pero el informante puede acudir directamente al canal externo de la Autoridad, o hacerlo después de usar el interno, sin perder la protección frente a represalias.

¿Cuáles son los plazos del canal de denuncias?

Acuse de recibo en un máximo de siete días naturales desde la recepción, y respuesta al informante en un plazo máximo de tres meses, ampliable a otros tres en casos de especial complejidad. El sistema debe registrar las comunicaciones y conservar los datos solo el tiempo necesario para la investigación.

¿Qué empresas están obligadas a tener canal de denuncias?

Las que tienen 50 o más trabajadores, todas las administraciones públicas y determinadas entidades como partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciben fondos públicos, además de las del sector financiero con independencia de su tamaño. Las de 50 a 249 trabajadores pueden compartir el sistema.

Conclusión

La Ley 2/2023 no te deja elegir entre canal interno y externo: el externo lo gestiona la Autoridad y el interno lo tienes que tener tú si superas los 50 empleados. Lo que sí eliges es si gestionas el tuyo dentro de la empresa o con un tercero independiente, y la respuesta depende de si puedes garantizar independencia, confidencialidad y plazos con tu propio personal. Sea cual sea la opción, hace falta una plataforma anónima, cifrada y trazable. Puedes tenerla en 48 horas con el canal de denuncias de LapsoWork.