En Ofidem, sabemos que la gestión diaria de una Pequeña o Mediana Empresa (PYME) es compleja. Entre la facturación, los Recursos Humanos y la estrategia de negocio, es fácil que pasen desapercibidas nuevas obligaciones legales. Sin embargo, hay una normativa que no puede ignorar: la Ley 2/2023, que regula el Sistema Interno de Información (SII), más conocido popularmente como el «Canal de Denuncias».
Esta ley no es una moda pasajera, sino un cambio estructural que equipara a España con el estándar europeo de compliance. Ignorarla ya no es una opción; es un riesgo sancionable.
A continuación, desgranamos los puntos clave que, como empresario o administrativo de una PYME, debes conocer para garantizar su cumplimiento.
¿Qué es el Canal de Denuncias y para qué sirve?
El Sistema Interno de Información (SII) es un mecanismo formal y seguro que debe implementar toda organización para permitir que cualquier persona relacionada con la empresa (empleados, ex-empleados, proveedores, consejeros, etc.) comunique de forma confidencial y segura la existencia de infracciones normativas graves o muy graves.
No está diseñado para quejas operacionales o sugerencias de mejora. Su propósito es la detección temprana de:
- Infracciones Penales: Delitos graves cometidos dentro de la organización.
- Infracciones Administrativas: Actos u omisiones graves que contravengan leyes nacionales (ej. en materia de Hacienda, Seguridad Social, o Medio Ambiente).
- Infracciones al Derecho de la UE: Especialmente en ámbitos como servicios financieros o prevención de blanqueo de capitales.
Su principal utilidad es doble: actuar como mecanismo de prevención de delitos y como salvaguarda frente a las represalias contra la persona que informa (el «informante» o whistleblower).
¿Es obligatorio? ¿A qué empresas afecta?
Esta es la pregunta del millón para las PYMES. Sí, el Canal de Denuncias es obligatorio para muchas PYMES en España. La Ley 2/2023 establece una regla clara que afecta al grueso del tejido empresarial:
Es obligatorio establecer un Canal de Denuncias para todas las empresas del sector privado que tengan 50 o más trabajadores. El recuento de personal debe hacerse anualmente, e incluye tanto a empleados fijos como a temporales.
Excepciones: Empresas obligadas siempre
Hay un grupo de PYMES que están obligadas a tener el Canal independientemente de su tamaño (incluso si tienen menos de 50 empleados). Esto ocurre si la entidad opera en sectores de alto riesgo regulatorio, como:
- Empresas obligadas a la Prevención de Blanqueo de Capitales y de la Financiación del Terrorismo (PBC/FT).
- Entidades que operan en mercados y servicios financieros.
- Empresas que desarrollan actividades sensibles en materia de seguridad del transporte o protección del medio ambiente.
Por tanto, si tu PYME está obligada y aún no lo tiene implementado, está incurriendo en una infracción muy grave con riesgo de sanción inmediata.
Multas por incumplir o no tener Canal de Denuncias en la empresa
La autoridad competente para sancionar el incumplimiento de esta Ley es la Autoridad Independiente de Protección del Informante (AIPI). Sus multas buscan ser altamente disuasorias:
Las infracciones se clasifican en leves, graves y muy graves. En el caso de las infracciones muy graves (que incluyen no implementar el Sistema Interno de Información estando obligado, o tomar cualquier tipo de represalia contra un informante), las personas jurídicas (empresas) se enfrentan a multas que oscilan desde 100.001 € hasta 1.000.000 €.
Por su parte, la misma infracción puede acarrear multas para las personas físicas (directivos o el propio RSI) responsables de 30.001 € hasta 300.000 €. El riesgo es máximo y directo, ya que el incumplimiento se considera una falta de compliance estructural y no una mera formalidad, haciendo imprescindible la correcta y oportuna implementación del Canal de Denuncias.
¿Cómo implementar el Canal de Denuncias en una PYME?
La implementación del Sistema Interno de Información requiere tres pilares fundamentales: la designación de un responsable, el diseño de la vía de comunicación, y el establecimiento de un protocolo de gestión.
Pilar I: El Responsable del Sistema Interno (RSI)
Debe designar a una persona o a un órgano colegiado como el Responsable del Sistema Interno de Información (RSI). Esta figura es crucial, ya que es la encargada de gestionar y tramitar las denuncias.
El RSI debe actuar con total independencia funcional. Esto significa que no debe recibir órdenes jerárquicas que puedan influir en la investigación de un caso.
Pilar II: La vía de comunicación
El sistema debe permitir a los informantes comunicar las infracciones por dos vías principales:
- Por escrito: Habitualmente a través de una plataforma informática segura que garantice la trazabilidad y la encriptación de los datos. Esta es la opción más recomendada.
- Verbalmente: Mediante línea telefónica o, si el informante lo solicita, a través de una reunión presencial con el RSI.
Pilar III: El procedimiento de gestión (plazos y confidencialidad)
Una vez recibida la comunicación, el RSI debe seguir un procedimiento estricto:
- Acuse de recibo: Debe enviar un acuse de recibo al informante en un plazo máximo de 7 días naturales.
- Anonimato: La Ley permite y valida las denuncias anónimas. La plataforma tecnológica debe ser capaz de gestionarlas, facilitando un canal de comunicación seguro y cifrado con el informante.
- Investigación y resolución: El procedimiento interno debe concluirse en un plazo máximo de tres meses desde el acuse de recibo.
- Registro obligatorio: Debe mantener un libro-registro de todas las comunicaciones recibidas y de las investigaciones internas iniciadas.
En muchas PYMES, el Director de RRHH o el Asesor Legal son las únicas figuras cualificadas para ser el RSI, pero si la denuncia les afecta a ellos o a la alta dirección, se genera un conflicto de interés que invalida el principio de independencia.
Por ello, la solución más eficiente, segura y garante para una PYME es la externalización de la gestión del Canal de Denuncias a través de empresas cualificadas.