Sistema Interno de Información: qué es y qué requisitos exige la Ley 2/2023

El Sistema Interno de Información (SII) es el conjunto de políticas, procedimientos y herramientas que una organización debe implantar para recibir, gestionar y resolver comunicaciones sobre infracciones normativas. La Ley 2/2023 lo hace obligatorio para empresas privadas con 50 o más trabajadores y para la práctica totalidad del sector público. No basta con un buzón o un formulario: la ley exige un sistema completo con requisitos concretos.

¿Qué diferencia hay entre el SII y el canal de denuncias?

El canal de denuncias es la puerta de entrada del Sistema Interno de Información, el mecanismo por el que el informante envía su comunicación. El SII es el conjunto completo: incluye el canal, pero también el procedimiento de gestión, los roles designados, el control de plazos, la protección del informante y el registro de actuaciones.

Una empresa que solo tiene un formulario de contacto genérico o un buzón de correo no tiene un SII conforme a la ley, aunque reciba denuncias por ese medio.

Requisitos obligatorios del Sistema Interno de Información

1. Canal accesible y con garantías técnicas

El canal debe permitir presentar comunicaciones escritas y, cuando sea posible, verbales. Debe garantizar la confidencialidad de la identidad del informante y de los datos recogidos. Técnicamente, esto implica cifrado, control de accesos por roles y separación de datos identificativos respecto al contenido de la denuncia.

2. Responsable del sistema designado formalmente

La ley exige designar a una persona o unidad responsable de gestionar el sistema. Esta designación debe ser formal, documentada y comunicada. El responsable puede ser interno (director de compliance, RRHH, legal) o externo (gestoría, despacho). Desde febrero de 2026, la AIPI tiene competencia para verificar esta designación.

3. Acuse de recibo en siete días

Toda comunicación recibida debe tener un acuse de recibo en un plazo máximo de siete días naturales desde la recepción. Este acuse debe llegar al informante por el mismo canal, garantizando que no se rompe la confidencialidad.

4. Resolución en tres meses

El expediente debe cerrarse o tener una resolución motivada en un plazo de tres meses. En casos de especial complejidad, puede prorrogarse con justificación, pero el informante debe ser informado de la prórroga y de los motivos.

5. Comunicación bidireccional con el informante

El sistema debe permitir que el responsable solicite información adicional al informante y que este pueda aportarla, sin revelar su identidad si la denuncia es anónima. Esto descarta los sistemas de un solo sentido (formularios sin respuesta).

6. Libro-registro de actuaciones (Art. 26)

Obligación expresa: llevar un registro de todas las comunicaciones recibidas, con las actuaciones realizadas, el estado del expediente y la fecha de cierre. Este registro es el primer documento que solicitan inspectores, auditores y jueces. Debe conservarse durante el tiempo que establece la normativa de protección de datos.

7. Política de protección frente a represalias

La organización debe contar con una política documentada que prohíba expresamente las represalias contra los informantes y establezca medidas de protección. Esta política debe comunicarse a los trabajadores.

8. Información a los empleados y terceros

Los trabajadores deben conocer la existencia del canal, cómo usarlo y qué protecciones les aplican. La ley exige que esta información esté disponible de forma permanente y comprensible.

¿Qué pasa si el SII tiene algún requisito incompleto?

Un sistema parcialmente conforme puede igualmente ser objeto de sanción. La AIPI no solo verifica la existencia del canal, sino que el procedimiento completo funcione. Los déficits más frecuentes detectados en inspecciones son la falta de libro-registro actualizado, la ausencia de designación formal del responsable y la inexistencia de comunicación bidireccional con el informante.

Cómo Canal360 cubre todos los requisitos

Canal360 está diseñado para cumplir cada uno de los requisitos anteriores sin necesidad de desarrollos adicionales:

• Portal de denuncias con cifrado, anonimato y control de accesos.
• Acuse de recibo automático al informante dentro del plazo legal.
• Panel de gestión con estados, plazos y alertas para el responsable.
• Mensajería cifrada bidireccional con el informante.
• Generación automática del libro-registro exportable para auditorías.
• URL personalizada con el nombre y logo de tu organización.

Ver planes y precios o registra tu organización para activar el sistema en minutos.

Preguntas frecuentes

¿Puede el mismo empleado ser responsable del SII y gestor de RRHH?
La ley no lo prohíbe expresamente, pero recomienda que el responsable tenga independencia funcional. En organizaciones donde el posible conflicto de interés sea relevante (denuncias sobre el propio departamento de RRHH, por ejemplo), es recomendable designar un responsable externo.

¿El SII debe estar disponible para proveedores y clientes, no solo para empleados?
La ley exige que el canal sea accesible a las personas vinculadas con la organización, lo que puede incluir proveedores, colaboradores y otros terceros dependiendo del sector y del alcance de la política de compliance de la empresa.

¿Con qué frecuencia hay que revisar el SII?
No hay una frecuencia legalmente establecida, pero la buena práctica es realizar una revisión anual que incluya métricas de uso, análisis de expedientes y actualización del procedimiento si ha habido cambios normativos o en la organización.