AVISO IMPORTANTE: El 10 de abril es la fecha límite para la inscripción del responsable del sistema interno de información de las empresas ante la AIPI.
La Autoridad Independiente de Protección del Informante ha activado su Sede Electrónica y abierto el plazo extraordinario de dos meses para que las entidades obligadas notifiquen su Responsable del Sistema Interno de Información. El 10 de abril de 2026 es el límite. Las organizaciones que aún no cuenten con un Sistema Interno de Información operativo acumulan dos incumplimientos simultáneos y se exponen al régimen sancionador de la Ley 2/2023.
Han pasado más de dos años desde que la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, entró en vigor en España. Y, sin embargo, según distintos estudios del sector, la gran mayoría de las organizaciones obligadas todavía no ha implementado correctamente su canal ético. Ahora, con la Autoridad Independiente de Protección del Informante (AIPI) plenamente operativa y un plazo extraordinario en marcha, el tiempo para la improvisación ha terminado.
La AIPI ha habilitado su Sede Electrónica e incluido en ella el formulario oficial «Comunicación del Responsable del Sistema Interno de Información (RSII)». Este hecho tiene una consecuencia jurídica directa e inmediata: activa la Disposición Transitoria del Estatuto de la AIPI, que concede a las entidades un plazo extraordinario de dos meses para realizar esta primera comunicación. Ese plazo vence el 10 de abril de 2026. Pasada esa fecha, cualquier nombramiento o cese del RSII deberá notificarse en el plazo ordinario de diez días hábiles.
¿Quién está obligado por la Ley 2/2023?
El ámbito de aplicación de la Ley 2/2023 es más amplio de lo que habitualmente se percibe. Están obligadas a disponer de un Sistema Interno de Información las empresas privadas que superen el umbral establecido en la norma, pero también entidades de cualquier tamaño que operen en sectores regulados por la Unión Europea —servicios y productos financieros, prevención del blanqueo de capitales, seguridad del transporte y protección del medio ambiente—, así como los partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban o gestionen fondos públicos.
Por su parte, todo el sector público queda incluido sin excepción: administraciones, organismos, entidades locales y fundaciones públicas. La Ley 2/2023 eliminó expresamente los umbrales de tamaño que la Directiva europea permitía aplicar al sector público, de modo que ninguna entidad pública puede considerarse exenta.
En los grupos de empresas, cada sociedad sigue siendo un sujeto obligado de forma individual. La ley permite designar un RSII común para varias entidades del grupo, pero la designación formal debe realizarse por separado en cada sociedad. La pertenencia al grupo no elimina ni delega la obligación.
Las consecuencias de no cumplir en plazo
El incumplimiento de la Ley 2/2023 no es una cuestión meramente administrativa. La norma contempla infracciones graves y muy graves que pueden traducirse en multas de hasta 1.000.000 de euros para personas jurídicas. Pero las consecuencias van más allá de la sanción económica:
- Exclusión de la contratación pública por un período de hasta tres años.
- Pérdida de subvenciones o beneficios fiscales durante cuatro años.
- Riesgo de responsabilidad penal de la persona jurídica si se producen hechos delictivos que un Sistema Interno de Información operativo habría podido detectar o prevenir.
- Daño reputacional, especialmente sensible en contextos de licitación pública, relaciones con inversores o auditorías ESG.
La AIPI ya está ejerciendo sus funciones supervisoras y sancionadoras, lo que convierte el incumplimiento en un riesgo inmediato, no solo teórico.
Recursos para cumplir con la normativa antes del plazo
Las organizaciones que necesiten ponerse al día antes del 10 de abril cuentan con varias vías. Por un lado, la propia AIPI ha publicado manuales y recomendaciones de acceso público. Por otro, existen firmas especializadas en cumplimiento normativo que ofrecen tanto la implantación del Sistema Interno de Información como la tecnología necesaria para que el canal funcione conforme a la norma.
En ese sentido, Acatia Compliance dispone de servicios de consultoría de compliance para la implantación integral del SII —incluyendo la designación del RSII, la redacción de la política y el reglamento, y la gestión del trámite ante la AIPI— y de una solución de canal de denuncias técnicamente adaptada a los requisitos de la autoridad supervisora.
¿Qué es exactamente el Sistema Interno de Información?
Muchas organizaciones confunden el Sistema Interno de Información (SII) con el mero hecho de disponer de un buzón de correo o un formulario web para recibir quejas internas. Son conceptos muy distintos.
El SII es el marco completo mediante el cual una entidad recibe, gestiona, investiga y resuelve las comunicaciones sobre posibles infracciones normativas o conductas delictivas detectadas en su entorno laboral o de negocio. No es un producto tecnológico aislado: es un sistema integral formado por cuatro elementos inseparables.
- El canal de denuncias: la plataforma técnica que permite realizar comunicaciones de forma escrita y verbal, garantizando la confidencialidad y el anonimato del informante. Debe ser accesible no solo para empleados, sino también para exempleados, candidatos en procesos de selección, proveedores, subcontratistas y cualquier tercero vinculado a la organización.
- El marco normativo interno: una política aprobada por el órgano de administración que recoja los principios, derechos y garantías del sistema, más un reglamento de procedimiento formalizado con fases, plazos y trazabilidad completa de cada comunicación.
- El Responsable del Sistema Interno de Información (RSII): la figura que gestiona el sistema con plena independencia, sin recibir instrucciones, y con los medios suficientes para ejercer su función. Su nombramiento y cese deben acordarse por el órgano de administración y notificarse a la AIPI.
- La formación al personal: la Recomendación 1/2026 de la AIPI sitúa la formación al mismo nivel que la aprobación del reglamento o la publicidad del canal. Sin ella, el sistema corre el riesgo de ser un mecanismo infrautilizado o directamente desconocido por quienes deberían emplearlo.
En definitiva: el canal de denuncias es el instrumento técnico por el que se recibe la comunicación. El SII es el sistema completo que garantiza que esa comunicación sea tratada con confidencialidad, investigada de forma independiente y resuelta con todas las garantías que exige la ley.
Qué hay que tener listo antes del 10 de abril
El trámite de inscripción del RSII en la Sede Electrónica de la AIPI es técnicamente sencillo. Sin embargo, para poder completarlo con garantías, la organización debe haber dado antes una serie de pasos que, en muchos casos, aún están pendientes. La propia AIPI los ha formalizado en su Recomendación 1/2026:
Checklist de cumplimiento previo a la inscripción del RSII
☐ Consulta previa realizada con la representación sindical o de los trabajadores.
☐ Política del Sistema Interno de Información aprobada por el Órgano de Gobierno.
☐ RSII designado formalmente (persona física u órgano colegiado).
☐ Canal de denuncias técnicamente implementado: plataforma segura, cifrada, con canales escrito y verbal.
☐ Reglamento de gestión de comunicaciones aprobado con fases, plazos y garantías de no represalia.
☐ Canal publicado en la web corporativa de forma visible y accesible.
☐ Plan de formación al personal sobre el uso y garantías del canal.
☐ Inscripción del RSII en la Sede Electrónica de la AIPI antes del 31 de marzo de 2026.
