¿Qué pymes están obligadas a tener un Canal de Denuncias?

Cada vez que hablo con el responsable de una pyme sobre el Canal de Denuncias, la primera reacción suele ser la misma: "eso es para empresas grandes, ¿no?". No lo es. Y la confusión le sale cara a quien la mantiene.

La regla, sin rodeos

La Ley 2/2023, de protección de las personas que informen sobre infracciones normativas, obliga a tener un Sistema Interno de Información —el nombre técnico del Canal de Denuncias— a toda empresa privada con 50 trabajadores o más. El umbral general es la plantilla, no la facturación.

Hay una excepción real que conviene conocer: si tu empresa opera en servicios financieros, prevención de blanqueo de capitales, seguridad del transporte o protección medioambiental, la obligación aplica con independencia del número de empleados — una fintech de 15 personas puede estar obligada igual que una empresa de 200.

Si tu empresa tiene menos de 50 empleados y no opera en esos sectores regulados, hoy no tienes esta obligación concreta. Si la tiene, está cerca de alcanzarla, o cae en una de esas excepciones sectoriales, el canal no es un "nice to have" de cumplimiento normativo: es una obligación legal exigible, con un régimen sancionador propio.

Qué pasa si no lo tienes

El régimen sancionador de la propia ley (art. 63) contempla sanciones económicas que, en los supuestos más graves, pueden alcanzar hasta 1.000.000 €. No es la sanción habitual para cualquier incumplimiento menor, pero sí marca el techo real del riesgo: no tener el canal, o tenerlo mal gestionado, no es una cuestión estética.

Hay además un riesgo menos visible pero más frecuente: si tu empresa no tiene un canal interno operativo, un empleado con algo que denunciar no tiene más opción que acudir al canal externo de la Autoridad Independiente de Protección del Informante (A.A.I.) —operativa desde septiembre de 2025— o directamente a un medio de comunicación. Lo que podría haberse gestionado puertas adentro, con tiempo y criterio, se convierte en un problema público.

Tener un canal no es tener un buzón de sugerencias

Aquí es donde más empresas se equivocan, incluso las que sí han hecho algo. Un correo electrónico genérico, un formulario de Google Forms sin cifrar, o un buzón físico en la entrada de la oficina no cumplen los requisitos mínimos de la ley. Para que un canal sea un Sistema Interno de Información conforme a la Ley 2/2023, necesita:

Anonimato real, no solo la promesa de confidencialidad. Si el sistema registra la IP o el dispositivo de quien denuncia, no hay anonimato de verdad, por mucho que se diga en la política de privacidad.
Plazos legales gestionados activamente: acuse de recibo en un máximo de 7 días, y resolución en un plazo que no debería superar los 3 meses (prorrogable excepcionalmente a 6). Esto no es orientativo — es un plazo que, si se incumple sistemáticamente, debilita la defensa de la empresa ante una inspección.
Trazabilidad del proceso, con un registro que permita acreditar, si hace falta, qué se hizo con cada denuncia y cuándo. Un cuaderno Excel editable por cualquiera no sirve como prueba de nada.
Un responsable del sistema designado, con autonomía real para investigar, y canales de comunicación bidireccional con la persona que denuncia (aunque sea de forma anónima).

Ninguno de estos cuatro puntos es opcional ni se cumple "más o menos". O están, o el canal no es conforme — y en una inspección, la diferencia entre "tenerlo" y "tenerlo conforme" es la que de verdad importa.

Qué hacer si tu empresa está en el umbral

Si tu plantilla ronda los 50 empleados, no esperes a superarlo para empezar a mirar esto. Implantar un canal que cumpla los cuatro puntos anteriores —anonimato real, plazos gestionados, trazabilidad y un responsable designado— lleva tiempo, y la obligación no da margen de gracia una vez se supera el umbral.

Si quieres ver cómo lo hemos planteado nosotros, puedes revisar el Canal de Denuncias de CIRS: anonimato real sin registro de IP ni metadatos, plazos automatizados y un Libro-Registro con trazabilidad encadenada, listo para una inspección.

Este artículo tiene carácter informativo y no sustituye el asesoramiento de un profesional. Antes de tomar decisiones sobre el cumplimiento normativo de tu empresa, consulta con quien corresponda en tu caso concreto.