La aplicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, continúa avanzando con nuevos criterios y obligaciones que las organizaciones deben tener en cuenta.
Uno de los principales hitos fue la puesta en funcionamiento, el 1 de septiembre de 2025, de la Autoridad Independiente de Protección del Informante (AIPI), organismo estatal encargado, dentro de su ámbito de competencias, de proteger a las personas informantes, supervisar el cumplimiento de la normativa y ejercer la potestad sancionadora prevista en la Ley 2/2023.
Desde entonces se han producido avances relevantes en la aplicación práctica de la norma. Entre ellos, la puesta en marcha del canal externo de información, la habilitación del procedimiento para comunicar a las personas responsables de los Sistemas Internos de Información y la publicación de nuevos criterios interpretativos sobre qué entidades están obligadas a disponer de estos sistemas.
¿Qué es la Autoridad Independiente de Protección del Informante?
La Autoridad Independiente de Protección del Informante (AIPI) es una autoridad administrativa independiente de ámbito estatal creada por la Ley 2/2023.
Entre sus funciones se encuentran la protección de las personas informantes, la gestión del canal externo de información dentro de su ámbito competencial, la elaboración de recomendaciones y criterios para facilitar la aplicación de la normativa y el ejercicio de la potestad sancionadora que le corresponde.
Su puesta en funcionamiento ha permitido desarrollar de forma efectiva distintos mecanismos previstos en la Ley 2/2023 y avanzar en la interpretación de algunas de las obligaciones que afectan a las organizaciones.
Comunicación de la persona Responsable del Sistema Interno de Información
Uno de los elementos esenciales del Sistema Interno de Información es la designación de una persona u órgano Responsable del Sistema Interno de Información.
La Ley 2/2023 establece que tanto su nombramiento como su cese deben notificarse a la AIPI o, cuando corresponda, a la autoridad autonómica competente.
El periodo inicial habilitado por la AIPI para comunicar los nombramientos existentes finalizó el 10 de abril de 2026.
A partir de entonces, los nuevos nombramientos y ceses deben comunicarse dentro de los diez días hábiles siguientes a que se produzcan. En caso de cese, además, deberán especificarse las razones que lo justifican.
La AIPI dispone actualmente de un formulario específico en su sede electrónica para realizar estas comunicaciones.
Canal externo de información
Además de los canales internos implantados por las organizaciones, la Ley 2/2023 contempla la existencia de canales externos de información.
La AIPI dispone ya de su canal externo, que permite comunicar acciones u omisiones incluidas dentro del ámbito de aplicación de la Ley cuando la competencia corresponda a esta autoridad.
Este canal complementa al Sistema Interno de Información de las organizaciones y constituye una vía adicional para las personas que necesiten comunicar posibles infracciones.
La Ley configura, no obstante, el Sistema Interno de Información como el cauce preferente cuando la posible infracción pueda tratarse eficazmente dentro de la propia organización y no exista riesgo de represalias para la persona informante.
¿Qué organizaciones deben disponer de un Sistema Interno de Información?
Con carácter general, están obligadas a disponer de un Sistema Interno de Información las personas físicas o jurídicas del sector privado que tengan contratadas 50 o más personas trabajadoras.
Sin embargo, el número de personas trabajadoras no es el único criterio que determina la obligación.
La Ley 2/2023 también establece que determinadas personas jurídicas del sector privado deben disponer de un Sistema Interno de Información con independencia del número de personas trabajadoras, cuando entren en el ámbito de aplicación de determinadas normas europeas sobre:
- servicios, productos y mercados financieros;
- prevención del blanqueo de capitales o de la financiación del terrorismo;
- seguridad del transporte;
- protección del medio ambiente.
Este punto ha adquirido especial relevancia tras los criterios interpretativos publicados por las autoridades de protección del informante.
Prevención del blanqueo de capitales: obligación aunque la empresa tenga menos de 50 personas trabajadoras
Uno de los criterios más relevantes afecta a las entidades sujetas a la normativa sobre Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo (PBC/FT).
La AIPI ha confirmado expresamente que las personas jurídicas sujetas a esta normativa están obligadas a implantar un Sistema Interno de Información aunque tengan menos de 50 personas trabajadoras.
La propia FAQ nº11 publicada por la Autoridad aclara que el artículo 10.1.b de la Ley 2/2023 establece esta obligación con independencia del tamaño de la plantilla.
Se trata de un criterio que inicialmente adquirió especial relevancia en Galicia a través de la Autoridad Gallega de Protección del Informante y que posteriormente ha quedado confirmado en el ámbito estatal por la AIPI.
¿A qué actividades puede afectar?
Entre otros supuestos, esta obligación puede afectar a personas jurídicas que desarrollen actividades vinculadas con:
- auditoría fiscal o contable;
- asesoría fiscal o contable;
- determinados servicios prestados por profesionales del Derecho;
- actividades inmobiliarias;
- prestación de servicios de juegos de azar;
- determinadas actividades relacionadas con seguros y reaseguros;
- comercio profesional o habitual de determinados bienes de gran valor;
- comercio o intermediación de bienes culturales en los supuestos establecidos por la normativa.
En el caso de profesionales del Derecho, la obligación puede resultar aplicable cuando intervengan en determinadas operaciones financieras o inmobiliarias por cuenta de su clientela o participen en operaciones como la compraventa de inmuebles o entidades comerciales, gestión de fondos y otros activos, apertura o gestión de cuentas o creación y gestión de determinadas estructuras societarias.
Por ello, una empresa con menos de 50 personas trabajadoras no debe asumir automáticamente que está exenta de disponer de un Sistema Interno de Información. Resulta necesario analizar también su actividad y la normativa sectorial que le resulte de aplicación.
Canal de Denuncias y Sistema Interno de Información: no son exactamente lo mismo
Otro aspecto importante para las organizaciones es diferenciar entre disponer de un Canal de Denuncias o Canal Interno de Información y contar con un Sistema Interno de Información correctamente implantado.
El canal es la vía que permite recibir las comunicaciones.
El Sistema Interno de Información tiene un alcance más amplio e incluye, entre otros elementos:
- el propio canal interno;
- la designación de la persona u órgano Responsable del Sistema;
- la política o estrategia general del Sistema;
- el procedimiento para gestionar las informaciones recibidas;
- las medidas destinadas a garantizar la confidencialidad;
- la protección de los datos personales;
- las garantías de protección de las personas informantes.
La AIPI también utiliza esta concepción amplia del Sistema Interno de Información, diferenciándolo del canal entendido únicamente como el cauce para recibir las comunicaciones.
Por tanto, habilitar un buzón o una herramienta tecnológica no es suficiente por sí solo para cumplir con la Ley 2/2023.
Protestad sancionadora
La Ley 2/2023 establece un régimen de infracciones y sanciones asociado al incumplimiento de sus obligaciones.
La potestad sancionadora corresponde a la AIPI y a los órganos competentes de las comunidades autónomas dentro de sus respectivos ámbitos de competencia.
En el caso de las personas jurídicas, las infracciones muy graves pueden ser sancionadas con multas de 600.001 a 1.000.000 de euros, además de otras consecuencias previstas legalmente.
Entre las infracciones muy graves se encuentra el incumplimiento de la obligación de disponer de un Sistema Interno de Información en los términos exigidos por la normativa.
¿Está tu organización adaptada a estas obligaciones?
La evolución de la AIPI y los nuevos criterios interpretativos hacen recomendable revisar los Sistemas Internos de Información ya implantados y comprobar si la organización se encuentra dentro de alguno de los supuestos de obligación establecidos legalmente.
Esta revisión adquiere especial importancia para aquellas empresas de menos de 50 personas trabajadoras que, por su actividad, pueden estar sujetas a normativa sectorial y haber considerado hasta ahora que no estaban obligadas a implantar el Sistema.
También es conveniente verificar que el Sistema existente cumple realmente con todos los requisitos de la Ley 2/2023: canal, procedimiento, Responsable del Sistema, confidencialidad, protección de datos, información a la plantilla y gestión adecuada de las comunicaciones recibidas.
¿Cómo puede ayudarte Grupo Isonor?
Desde el Área de Legal de Grupo Isonor ofrecemos soluciones para facilitar la adaptación y el cumplimiento de las obligaciones derivadas de la Ley 2/2023:
- Canal de Denuncias adaptado a las especificaciones técnicas y garantías exigidas por la normativa.
- Diseño e implantación del Sistema Interno de Información adaptado a cada organización.
- Formación e información a la plantilla sobre la Ley de Protección del Informante y el funcionamiento del Sistema.
- Asistencia en la gestión de las comunicaciones recibidas a través del canal.
Si tu organización todavía no dispone de un Sistema Interno de Información o necesitas comprobar si el sistema implantado se encuentra correctamente adaptado, desde Grupo Isonor podemos ayudarte a revisar tus obligaciones y establecer las medidas necesarias para su cumplimiento.
