Canal de denuncias externalizado: lo que el proveedor no puede hacer por usted

Durante casi tres años, el canal de denuncias fue para muchas empresas una obligación sin vigilante. La Ley 2/2023 exigía disponer de él desde 2023, pero la autoridad encargada de supervisarlo no existía. La respuesta habitual fue razonable en apariencia: contratar a un proveedor especializado, publicar el enlace en la web y archivar el contrato. El canal quedaba «externalizado» y, con él, se daba por resuelto el problema.

La tesis de este análisis es que esa lectura acaba de quedar desautorizada. La Autoridad Independiente de Protección del Informante, operativa desde el 1 de septiembre de 2025, ha cerrado la comprobación de su primer caso de relevancia pública y lo ha remitido a procedimiento sancionador. No lo hace porque la entidad careciera de canal, sino porque lo tenía contratado de una forma que la ley no admite. Para cualquier organización que haya delegado su sistema interno de información en un tercero, el caso merece una lectura detenida.

La autoridad ya no es una hipótesis

El calendario de 2026 ha cambiado la naturaleza de la obligación. En enero la Autoridad publicó su Recomendación 1/2026 sobre el diseño e implementación del sistema interno de información. En febrero habilitó en su sede electrónica el formulario para comunicar el nombramiento del Responsable del Sistema, con un plazo que concluyó el 10 de abril. Desde entonces dispone de un registro de quién responde de cada canal en cada organización obligada y de capacidad efectiva para requerir información, comprobar y sancionar.

El régimen sancionador, que durante años se citó como amenaza teórica, tiene ya quien lo aplique. Incumplir la obligación de disponer de un sistema interno de información conforme a los requisitos legales es infracción muy grave, y para una persona jurídica la multa en ese grado se sitúa entre 600.001 y 1.000.000 de euros.

El caso: un canal que existía y funcionaba

Según ha publicado la prensa, el expediente tiene origen en una denuncia anónima presentada ante la propia Autoridad sobre el canal interno de la Autoridad Portuaria de Valencia. La entidad había adjudicado en 2023 la gestión de su canal a una firma externa por tres años. El pliego atribuía al proveedor el análisis de las comunicaciones recibidas, la determinación de si existían evidencias razonables, la recomendación del alcance de las investigaciones internas, la emisión de informes motivados y la prestación de servicios de investigación.

La Autoridad concluyó la fase de comprobación en abril de 2026 y apreció indicios suficientes para remitir los hechos al procedimiento sancionador, con encuadre en la infracción muy grave por incumplimiento sustantivo de los requisitos del sistema. El núcleo de su objeción es preciso: el contrato convertía al proveedor en actor central de la instrucción y desdibujaba el papel del Responsable del Sistema, que es quien la ley designa para ello. Paralelamente, la representación sindical de la entidad ha cuestionado la independencia del propio Responsable, que preside a la vez el órgano encargado de instruir los expedientes.

El procedimiento no está resuelto y la entidad goza de la presunción que corresponde a cualquier expedientado. Pero hay un hecho que ya es definitivo y que vale como indicio de lo que la Autoridad considera correcto: en julio, la entidad volvió a licitar el servicio limitándolo al suministro de la herramienta, su gestión técnica y su mantenimiento, con una cláusula expresa que impide al adjudicatario sustituir, asumir o interferir en las funciones del Responsable del Sistema. El presupuesto del nuevo contrato es sensiblemente inferior al del anterior. Lo que se ha suprimido no era un extra: era precisamente lo que no podía contratarse.

Se puede externalizar el buzón. No se puede externalizar el criterio, ni la responsabilidad de quien lo ejerce.

Qué permite la ley y qué no

La Ley 2/2023 es más estricta de lo que su uso comercial ha dado a entender. Su artículo 6 autoriza a gestionar el sistema interno de información acudiendo a un tercero externo, pero define esa gestión de manera acotada: se considera gestión del sistema la recepción de informaciones. Y añade que la intervención del tercero no puede suponer menoscabo de las garantías legales ni atribuir la responsabilidad sobre el sistema a persona distinta del Responsable designado.

El artículo 8 completa el cuadro. El Responsable del Sistema lo nombra el órgano de administración, debe ejercer sus funciones con independencia y autonomía respecto del resto de órganos de la entidad, no puede recibir instrucciones en el ejercicio de su cargo y debe disponer de los medios necesarios. El artículo 9 le hace responder de la tramitación diligente de cada expediente: acuse de recibo en siete días naturales, respuesta en un plazo máximo de tres meses, confidencialidad de la identidad del informante y respeto a los derechos de la persona afectada.

De ahí se desprende una frontera nítida. El proveedor puede aportar la plataforma, el cifrado, la recepción por escrito o por voz, la custodia técnica de las comunicaciones y el soporte para cumplir los plazos. Lo que no puede asumir es la valoración de los hechos, la decisión sobre la admisión, la dirección de la investigación ni la propuesta de resolución. Puede asesorar a quien decide; no puede decidir en su lugar ni redactar como propio lo que debe ser criterio del Responsable.

Tres errores que el caso pone a la vista

El primero es contractual. Muchos contratos de canal de denuncias se firmaron a partir de la oferta estándar del proveedor, que con frecuencia incluye paquetes de «gestión integral» o «investigación incluida». Una cláusula así, leída hoy, no protege a la empresa: documenta que delegó lo indelegable. El problema no está en lo que el proveedor haya hecho, sino en lo que el contrato dice que hace.

El segundo es de diseño. La figura del Responsable se resolvió en muchas organizaciones con el nombramiento del directivo más cercano a la materia, sin revisar si ese mismo directivo participa en las decisiones que el canal puede llegar a cuestionar: la dirección de recursos humanos que resuelve sanciones disciplinarias, la secretaría que preside la comisión instructora, el director financiero cuyos procesos son objeto habitual de comunicación. La independencia que exige la ley no se presume del cargo; se demuestra en el organigrama.

El tercero es de capacidad. Externalizar la investigación era, en el fondo, una manera de suplir que el Responsable no estaba preparado para instruir un expediente. Retirada esa muleta, la pregunta vuelve a la empresa: quién va a tomar declaración, cómo se preserva una evidencia digital, cuándo se da audiencia a la persona afectada, cómo se documenta una inadmisión para que resista una revisión externa. Ninguna de esas respuestas está en el contrato con el proveedor.

Una precisión para el sector del juego

El umbral de cincuenta trabajadores es la referencia general de la obligación, pero no la única. El artículo 10.1.b) de la Ley 2/2023 obliga a disponer de sistema interno de información, con independencia de la plantilla, a las entidades que entran en el ámbito de los actos europeos de prevención del blanqueo de capitales. La Ley 10/2010 incluye entre sus sujetos obligados a quienes explotan juegos de azar presenciales, en el caso de las máquinas de tipo B respecto de las operaciones de pago de premios.

La lectura más extendida concluye que esa inclusión arrastra la obligación del canal también a operadores de menor tamaño. Es una cuestión de calificación que cada operador debe contrastar con su asesor jurídico, pero conviene no darla por descartada solo porque la plantilla no alcance la cifra que se repite en la prensa generalista. Y para quienes ya disponen de canal por esta vía, el razonamiento del caso analizado aplica sin matices.

Qué puede revisarse esta semana

Hay comprobaciones que no requieren esperar a la resolución del expediente y que, en la mayoría de las organizaciones, pueden cerrarse en días.

La primera es leer el contrato con el proveedor, y en particular su objeto y su anexo de servicios, buscando cualquier atribución de análisis, valoración, investigación o redacción de informes de conclusiones. Si existe, debe renegociarse para que el tercero quede limitado a la recepción y al soporte técnico, con una cláusula expresa de no sustitución del Responsable.

La segunda es verificar que el nombramiento del Responsable consta en acuerdo del órgano de administración y que se comunicó a la Autoridad. Un canal operativo con un Responsable no comunicado es un incumplimiento formal fácil de acreditar y difícil de explicar.

La tercera es cruzar el nombre del Responsable con el organigrama real de decisiones: qué órganos preside, de quién depende, qué materias resuelve. Si la respuesta revela un conflicto estructural, la solución no es un compromiso de abstención en un documento, sino una designación distinta o un órgano colegiado bien compuesto.

La cuarta es comprobar que el procedimiento de gestión de informaciones está aprobado por el órgano de administración, refleja el reparto real de funciones entre la empresa y el proveedor y se ha aplicado tal como está escrito en los expedientes ya tramitados. Un procedimiento correcto que no describe lo que realmente ocurre es un riesgo, no una defensa.

Y la quinta es medir la capacidad del Responsable y de quienes le auxilian para instruir sin apoyo externo indebido: técnica de entrevista, custodia de evidencias, protección de datos, audiencia y redacción de conclusiones. Esa capacidad se puede adquirir; lo que no puede hacerse es seguir contratándola como si fuera un servicio del buzón.

Ninguna de estas comprobaciones es exclusiva del sector público, ni depende de cómo termine el procedimiento citado. El caso solo ha hecho visible lo que la ley decía desde 2023: el canal es de quien responde de él, y responde quien la empresa ha designado, no quien la empresa ha contratado.

Este documento tiene carácter divulgativo y refleja el criterio técnico de NÉMESIS Risk Consulting a la fecha de su publicación. Se basa en información publicada sobre un procedimiento administrativo no resuelto, respecto del cual rige la presunción de inocencia, y no valora la actuación de las entidades mencionadas. No constituye asesoramiento jurídico ni sustituye el análisis individualizado de cada organización.