Pereda Gobierno Corporativo
Canal interno de información: qué exige la Ley 2/2023 y cómo cumplir sin complicarse
Las empresas con 50 o más personas trabajadoras deben tener un sistema interno de información. Repasamos quién está obligado, qué exige la ley y los errores más habituales.
En resumen. La Ley 2/2023, de 20 de febrero, obliga a las empresas con 50 o más personas trabajadoras, entre otras entidades, a disponer de un sistema interno de información con un responsable designado, plazos de respuesta y garantías de confidencialidad y de protección para quien informa. Las sanciones para las personas jurídicas pueden llegar a un millón de euros.
Quién está obligado
En el sector privado, la ley obliga principalmente a:
- Las empresas que tengan 50 o más personas trabajadoras.
- Las entidades que operan en ámbitos regulados por la normativa europea —servicios financieros, prevención del blanqueo de capitales, seguridad del transporte o medio ambiente, entre otros—, con independencia de su plantilla.
- Los partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculadas, cuando reciben o gestionan fondos públicos.
Las empresas de menos de 50 personas trabajadoras no están obligadas, aunque pueden implantarlo de forma voluntaria, algo habitual cuando ya tienen un modelo de compliance.
Qué exige la ley
El sistema no es solo un buzón. Debe incluir, como mínimo:
- Un canal que permita comunicar por escrito o verbalmente, incluso de forma anónima, y pedir una reunión presencial.
- Un responsable del sistema, designado por el órgano de administración. Su nombramiento y su cese se comunican a la Autoridad Independiente de Protección del Informante o a la autoridad autonómica competente.
- Un procedimiento de gestión con plazos: acuse de recibo en un máximo de siete días naturales y respuesta en un máximo de tres meses, ampliable otros tres en casos de especial complejidad.
- Un libro-registro de las comunicaciones recibidas y de las investigaciones, con confidencialidad y conservación limitada de los datos.
- Una política que explique los principios del sistema y la protección frente a represalias, publicada de forma accesible.
Lo que se puede externalizar
La gestión de la recepción de las comunicaciones puede encargarse a un tercero externo, con garantías de independencia, confidencialidad y protección de datos. La responsabilidad del sistema sigue siendo de la empresa, y a la persona responsable la designa su órgano de administración.
Las empresas que tienen entre 50 y 249 personas trabajadoras pueden, además, compartir medios para la recepción de comunicaciones.
Sanciones
La ley prevé multas para las personas jurídicas de hasta 1.000.000 de euros por infracciones muy graves, entre las que se incluyen las represalias contra quien informa o incumplir la obligación de disponer de un sistema interno de información. También hay sanciones para las personas físicas responsables.
Errores habituales
- Tener un correo electrónico genérico y considerar que eso es el canal.
- No haber designado formalmente al responsable ni comunicado su nombramiento.
- No llevar el libro-registro o conservar datos más tiempo del permitido.
- No informar a la plantilla de que el canal existe y de cómo funciona.
- Tratar las comunicaciones sin separar a quien las investiga de las personas afectadas.
Cómo lo implantamos
En Pereda Gobierno Corporativo revisamos si tu empresa está obligada, diseñamos el procedimiento, preparamos la documentación, formamos al responsable del sistema y, si lo prefieres, asumimos la gestión externa de la recepción de comunicaciones. Lo conectamos con el resto del modelo de cumplimiento, la protección de datos y los protocolos frente al acoso para que todo funcione de forma coherente.
Fuente: Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Este artículo es informativo y no sustituye al análisis de cada caso.
