Diseñamos el canal, el procedimiento y la gobernanza para gestionar comunicaciones con confidencialidad y trazabilidad.
La Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, exige a determinadas entidades disponer de un Sistema Interno de Información, conocido habitualmente como canal de denuncias. ISO 37002 puede utilizarse como guía voluntaria de buenas prácticas: no es certificable ni sustituye las exigencias legales.
Última revisión jurídica: octubre de 2026
La obligación depende principalmente de la plantilla y de la actividad de la entidad.
Con carácter general, están obligadas las entidades privadas con 50 o más trabajadores y, con independencia de su plantilla, las incluidas en el ámbito de determinados actos de la Unión Europea, como los relativos a servicios financieros o prevención del blanqueo de capitales, entre otros supuestos previstos en la ley. Las entidades de 50 a 249 trabajadores pueden compartir medios y recursos.
ISO 37002 ofrece directrices sobre la gestión de denuncias de irregularidades y puede servir como referencia de buenas prácticas. Para empresas no obligadas, recomendamos valorar un sistema interno proporcionado que permita conocer las irregularidades a tiempo.
No disponer del sistema, o no ajustarlo a los requisitos legales, puede constituir una infracción del régimen sancionador previsto en la ley.
Falta de medidas para proteger a quienes comunican infracciones, frente a represalias que la ley prohíbe expresamente.
Accesos indebidos a la identidad del informante, de las personas afectadas o a la información comunicada.
Falta de acuse de recibo o de respuesta en los plazos legales por no disponer de un procedimiento definido.
Conservación excesiva o acceso no limitado a los datos personales incluidos en las comunicaciones.
Incumplimientos internos que salen a la luz por vías externas cuando la organización podía haberlos conocido antes.
El servicio cubre el diseño del sistema, su documentación y, si la empresa lo desea, la gestión externa de la recepción y tramitación de comunicaciones.
Adaptamos el sistema a la estructura de la entidad y a los requisitos de la Ley 2/2023.
01
Diagnóstico
Verificamos si la entidad está obligada, si forma parte de un grupo y qué canales de comunicación existen ya.
02
Diseño del sistema
Definimos los canales, por escrito, verbalmente o ambos, y su integración con otros canales internos. El sistema debe admitir comunicaciones anónimas.
03
Política y procedimiento
Redactamos la política y el procedimiento de gestión de informaciones, que aprueba el órgano de administración.
04
Responsable del sistema
Asesoramos en la designación del responsable, que corresponde al órgano de administración, y en su comunicación a la autoridad competente.
05
Herramienta de comunicación
Configuramos o revisamos la herramienta para preservar la confidencialidad y la trazabilidad de las comunicaciones. La plataforma puede ayudar a organizar tareas, documentos y evidencias; el alcance de la actualización jurídica se define expresamente en la propuesta de servicios.
06
Gestión de comunicaciones
Acuse de recibo en un plazo de siete días naturales y respuesta en un plazo máximo de tres meses, ampliable hasta otros tres en casos de especial complejidad.
07
Protección de datos
Ajustamos el acceso a los datos y sus plazos de conservación a lo previsto en la Ley 2/2023 y en la normativa de protección de datos.
08
Difusión y formación
Informamos a la plantilla y a terceros sobre el uso del sistema y formamos a quienes intervienen en su gestión.
Diseñamos el sistema, su política y su procedimiento, o adaptamos el que ya existe a los requisitos de la Ley 2/2023.
La ley permite encomendar a un tercero externo la recepción de informaciones. Podemos recibir y tramitar comunicaciones con las garantías exigidas; la responsabilidad del sistema sigue correspondiendo a la entidad y al responsable designado.
Revisamos periódicamente el funcionamiento del sistema, los plazos y la documentación. Es una revisión interna, no una certificación.
Formamos al responsable del sistema, a quienes gestionan las comunicaciones y a la plantilla.
El servicio no sustituye las decisiones que corresponden al órgano de administración y al responsable del sistema, ni condiciona el resultado de las investigaciones internas. ISO 37002 no es una norma certificable: puede orientar las buenas prácticas, pero el cumplimiento se valora conforme a la Ley 2/2023. La eficacia del sistema depende de la confianza que genere y del tratamiento diligente de cada comunicación.
¿Qué entidades están obligadas a tener un Sistema Interno de Información?
Con carácter general, las entidades privadas con 50 o más trabajadores. También otras con independencia de su plantilla, como las incluidas en el ámbito de determinados actos de la Unión Europea, y algunas entidades como partidos políticos, sindicatos u organizaciones empresariales en los supuestos previstos en la ley.
¿Se admiten comunicaciones anónimas?
Sí. La Ley 2/2023 exige que el sistema permita presentar comunicaciones anónimas y que proteja la confidencialidad de la identidad del informante y de las personas afectadas.
¿Qué plazos hay que cumplir?
Debe enviarse acuse de recibo en un plazo de siete días naturales desde la recepción, salvo que ello pueda poner en peligro la confidencialidad. La respuesta a las actuaciones de investigación no puede superar tres meses, ampliables hasta otros tres en casos de especial complejidad.
¿Puede gestionarlo un tercero externo?
Sí. La ley permite encomendar la gestión del sistema a un tercero externo con garantías adecuadas de independencia, confidencialidad y protección de datos. La entidad sigue siendo responsable del sistema y del responsable que designe.
¿Hay que certificar el sistema con ISO 37002?
No. ISO 37002 es una norma de directrices, no de requisitos certificables. La referencia obligatoria es la Ley 2/2023; ISO 37002 puede utilizarse de forma voluntaria como guía de buenas prácticas.
¿Tener el sistema elimina el riesgo de sanción o de responsabilidad?
El sistema permite cumplir una obligación legal y conocer irregularidades a tiempo. Ningún sistema elimina por sí solo el riesgo ni asegura una exención. Su eficacia depende de su adecuación, implantación, recursos, supervisión y de la valoración que corresponda en cada caso.
Dirección
Calle Madrid, 2 Of. 12
28770 - Colmenar Viejo (Madrid)
Teléfono
Cuéntanos cuántas personas trabajan en tu empresa y si ya dispones de un canal. Te indicaremos qué falta y cuál es el siguiente paso.
Solicita un diagnóstico inicial