Sistemas internos de información: los errores que las empresas deben evitar según la AIPI
La Ley 2/2023 obliga, con carácter general, a las empresas con 50 o más trabajadores a implantar un Sistema Interno de Información. También afecta, con independencia de su plantilla, a determinadas organizaciones pertenecientes a sectores regulados, como el financiero, la prevención del blanqueo de capitales, la seguridad del transporte o la protección del medioambiente.
La Autoridad Independiente de Protección del Informante (AIPI) ha publicado su Recomendación 1/2026 para aclarar cómo debe implantarse correctamente este sistema y, especialmente, para advertir sobre determinadas prácticas que pueden dar una falsa apariencia de cumplimiento.
Su principal mensaje es que no basta con disponer de un “canal de denuncias”. La empresa necesita una verdadera estructura organizativa que permita recibir, registrar, analizar y tramitar las comunicaciones con seguridad, confidencialidad, independencia y trazabilidad.
Error 1. Utilizar un correo electrónico corporativo ordinario
Habilitar una dirección convencional —por ejemplo, [denuncias@empresa.es](mailto:denuncias@empresa.es)— no garantiza por sí solo el cumplimiento de la Ley.
Un correo corporativo ordinario puede ser accesible para administradores informáticos, personal de soporte, responsables de otros departamentos o personas que gestionen las cuentas durante vacaciones o ausencias. También puede generar copias de seguridad, reenvíos o notificaciones que escapen al control del Responsable del Sistema.
La AIPI recomienda que los medios electrónicos utilizados estén separados de los sistemas corporativos ordinarios y cuenten con cifrado, control de accesos, autenticación multifactor y registro de las actuaciones realizadas.
Por tanto, si se utiliza un correo electrónico, debe ser específico, cifrado y estar sometido a medidas que garanticen que solo puedan acceder las personas expresamente autorizadas. Una plataforma especializada facilita, además, la presentación de comunicaciones anónimas, el diálogo seguro con el informante y la trazabilidad de cada expediente.
Error 2. Utilizar medios de comunicación que no sean realmente dedicados
El sistema debe permitir presentar comunicaciones tanto por escrito como verbalmente. Esto no significa que pueda utilizarse cualquier dirección postal, número de teléfono o buzón de correo de la empresa.
Un medio dedicado es aquel que se destina específicamente al Sistema Interno de Información y cuya recepción y gestión quedan bajo el control de las personas autorizadas.
Por ejemplo, no sería adecuado emplear una línea telefónica general atendida por recepción, administración o centralita. Debe habilitarse una línea específica o un sistema de mensajería de voz al que únicamente accedan las personas encargadas de gestionar el canal.
Del mismo modo, las comunicaciones postales no deberían abrirse ni clasificarse mediante el circuito ordinario de correspondencia. La empresa debe establecer una dirección, referencia o protocolo específico que permita su entrega cerrada e inmediata al Responsable del Sistema, sin que su contenido sea conocido por personal no autorizado.
Además, cuando lo solicite el informante, deberá ofrecerse una reunión presencial con el Responsable del Sistema dentro de un plazo máximo de siete días.
Error 3. Permitir accesos compartidos o sin trazabilidad
Compartir una misma contraseña entre varias personas impide saber quién ha accedido a un expediente o realizado una determinada actuación.
Cada usuario autorizado debe disponer de credenciales propias. La AIPI recomienda utilizar autenticación multifactor y mantener un registro de auditoría que permita conocer quién accede, desde qué terminal, en qué momento y a qué expediente.
Estas medidas también son fundamentales cuando se establecen suplencias por vacaciones, bajas o ausencias. La continuidad del sistema no debe resolverse compartiendo contraseñas o concediendo accesos informales, sino mediante usuarios previamente autorizados, funciones definidas y actuaciones plenamente trazables.
Error 4. Considerar que el canal es únicamente un programa informático
La plataforma es solo una parte del sistema. La empresa también debe:
- Consultar previamente a la representación legal de los trabajadores.
- Aprobar el sistema y su política mediante acuerdo del órgano de administración.
- Designar formalmente a un Responsable del Sistema.
- Aprobar un procedimiento de gestión de las comunicaciones.
- Llevar un libro-registro seguro y confidencial.
- Informar y formar al personal.
- Publicar un acceso visible y sencillo al canal, especialmente en su página web.
El Responsable del Sistema debe actuar con independencia, autonomía y sin recibir instrucciones sobre la gestión de los expedientes. Puede ser una persona física o un órgano colegiado que incorpore perfiles jurídicos, de cumplimiento o de control interno. En este último caso, la AIPI recomienda que no supere los cinco miembros y que delegue en uno de ellos la gestión ordinaria.
Error 5. Limitar el canal a los empleados o a comunicaciones identificadas
El sistema no debe estar disponible únicamente para la plantilla actual. También debe permitir su utilización por extrabajadores, candidatos, autónomos, proveedores, contratistas y otras personas que mantengan o hayan mantenido una relación profesional con la empresa.
Asimismo, debe admitir comunicaciones anónimas. La solución utilizada no debería recopilar direcciones IP, huellas del navegador, cookies u otros datos que permitan identificar indirectamente a quien desea permanecer anónimo.
Error 6. Crear canales aislados y sin una gestión común
Muchas empresas disponen de buzones diferentes para cuestiones laborales, acoso, fraude, protección de datos o cumplimiento normativo. La AIPI aclara que los canales que puedan recibir comunicaciones incluidas en la Ley 2/2023 deben integrarse funcionalmente en el Sistema Interno de Información.
Esto no obliga a eliminar los canales específicos exigidos por otras normas o por la negociación colectiva, pero sí a asegurar una gestión coordinada, bajo garantías comunes de confidencialidad, seguridad, plazos y protección del informante.
Error 7. Externalizar el servicio y desentenderse de su funcionamiento
La empresa puede contar con un tercero especializado para recibir o gestionar las comunicaciones. Sin embargo, la externalización no traslada la responsabilidad legal al proveedor.
La organización sigue siendo responsable del correcto funcionamiento del sistema y debe comprobar que el servicio contratado garantiza la confidencialidad, la independencia, la protección de datos, la conservación de la información y el cumplimiento de los plazos.
El acuse de recibo debe enviarse, con carácter general, dentro de los siete días siguientes a la recepción. Las actuaciones deben concluir en un máximo de tres meses, ampliable a seis cuando el caso presente una especial complejidad.
Error 8. Entender que un grupo de empresas es un único sujeto obligado
Los grupos pueden utilizar un sistema común, pero cada sociedad debe analizar individualmente si está obligada por la Ley.
La existencia de una plataforma o una política común no elimina la responsabilidad de cada entidad. Cada sociedad obligada debe aprobar su adhesión al sistema y designar formalmente al Responsable, aunque una misma persona o estructura pueda ejercer esta función para varias empresas del grupo.
De un simple buzón a un verdadero sistema de cumplimiento
La Recomendación 1/2026 pretende evitar que las empresas cumplan únicamente de manera formal. Un correo electrónico, un teléfono o un formulario pueden servir para recibir comunicaciones, pero no constituyen por sí solos un Sistema Interno de Información.
La empresa debe revisar quién puede acceder, cómo se protege la información, cómo se documentan las actuaciones, quién sustituye al responsable durante sus ausencias y cómo se garantiza el cumplimiento de los plazos.
Solo así el sistema podrá proteger realmente al informante, detectar irregularidades de forma temprana y convertirse en una herramienta eficaz de prevención y cumplimiento.
Fuente: Recomendación 1/2026 de la Autoridad Independiente de Protección del Informante