La Autoridad Independiente de Protección al Informante (AIPI), que entró en funcionamiento de manera definitiva el pasado 1 de septiembre, inicia ahora su labor como guía para la correcta interpretación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Para ello ha emitido tres recomendaciones orientadas a resolver las dudas y ofrecer aclaraciones y modelos de diseño y gestión del Sistema Interno de Información (SII) para entidades obligadas.
Las tres recomendaciones publicadas ofrecen orientación sobre lo que la AIPI entiende como una correcta implementación del SII, tanto en partidos políticos como en Administraciones locales y, en última instancia, en cualquier compañía del sector público y privado.
Nos referimos brevemente a continuación al contenido de las recomendaciones.
I. Recomendación 1/2026
a) Entidades obligadas
La Recomendación 1/2026, relativa al diseño e implementación de un SII, es aplicable a cualquier entidad que cumpla con los requisitos para considerarse como sujeto obligado. Del modo que recoge la Ley 2/2023, hablaremos de sujetos obligados cuando una entidad:
i. Cuente con 50 o más empleados en su plantilla.
ii. Se enmarque en el ámbito de aplicación de los actos de la UE a los que hace alusión el artículo 10.1.b de la Ley 2/2023.
iii. Sea un partido político, sindicato, organización empresarial o fundación creada por alguno de los anteriores, siempre que reciban o gestionen fondos públicos.
Son sujetos obligados del sector público:
i. La Administración General del Estado, las Administraciones de las comunidades autónomas, ciudades con Estatuto de Autonomía y las entidades que integran la Administración Local.
ii. Los organismos y entidades públicas vinculadas o dependientes de alguna Administración pública, así como aquellas otras asociaciones y corporaciones en las que participen Administraciones y organismos públicos.
iii. Autoridades administrativas independientes, el Banco de España, entidades gestoras y servicios comunes de la Seguridad Social.
iv. Universidades públicas, corporaciones de Derecho público, fundaciones del sector público y las sociedades mercantiles en cuyo capital social la participación del sector público sea de, al menos, un cincuenta por ciento..
Las principales novedades introducidas en la Recomendación 1/2026 a los efectos de ejecutar el cómputo total de trabajadores son las siguientes:
i. Se debe tener en consideración la plantilla total de la empresa, siendo indiferente el número de centros de trabajo, la forma de contratación y la modalidad contractual. Las personas con contratos a tiempo parcial computan igualmente.
ii. En el caso de contratos de duración determinada, cada cien días de trabajo se computan como una persona adicional.
iii. El cómputo debe hacerse el último día de los meses de junio y diciembre de cada año para determinar si se alcanza el umbral exigido.
Por otro lado, la AIPI subraya la necesidad de realizar una consulta previa con la representación legal de los trabajadores antes de la implantación del SII.
b) Requisitos para la correcta implantación del SII
El SII debe contar con unas características mínimas que permitan su configuración como una infraestructura de integridad que sirva como base para la gobernanza de las entidades. Son fundamentales los siguientes requisitos:
i. Universalidad del SII, que debe otorgar acceso no sólo a los empleados, sino a terceros relacionados con la entidad. Se incluyen, por tanto, los autónomos y profesionales independientes que trabajen para la empresa, personas que trabajen para proveedores y contratistas, personas con una previa relación profesional (aunque ya esté finalizada) y personas cuya relación profesional aun no haya comenzado (como pueden ser aquéllas que se encuentren en un proceso de selección).
ii. Debe permitir la recepción de todo tipo de denuncias, incluyendo infracciones penales, administrativas y de Derecho de la Unión Europea.
iii. Seguridad y confidencialidad: el SSI debe operar a través de una plataforma segura y cifrada que permita la anonimización de la denuncia y del denunciante. La confidencialidad debe extenderse a la totalidad del procedimiento y de los implicados.
iv. Doble vía de presentación de comunicaciones, tanto por escrito como verbalmente.
v. Gestión centralizada, lo cual no descarta la posibilidad de contar con distintos canales para denunciar hechos concretos, pero sí exige que todos ellos sean supervisados por el Responsable del SII, que debe tener conocimiento pleno y global de las informaciones.
vi. Agilidad del procedimiento, ausencia de represalias y tiempos de respuesta ajustados a la legalidad.
vii. Independencia funcional del SII, que no puede ser confundido con el de otra entidad y que exige diferenciación respecto a otros canales de entidades relacionadas con la sociedad.
viii. Obligación de designación de un Responsable del SII que sea autónomo e independiente.
ix. Debe ser un sistema transparente que respete la independencia, confidencialidad y protección contra represalias. Además, debe gozar de la oportuna difusión, para que todas las personas relacionadas con la entidad tengan conocimiento de su existencia.
x. El SIIdebe garantizar que el informante no sufrirá represalias de ningún tipo.
c) La independencia del Responsable del SII
El artículo 8 de la Ley 2/2023 establece que el órgano de gobierno debe designar a un Responsable del SII, quien debe actuar de forma independiente y autónoma.
Las recomendaciones de la AIPI profundizan en esta figura, e indican que: (i) en el sector público, se recomienda que el Responsable del SII sea un empleado público, en aras de garantizar estabilidad y neutralidad, por lo que se sugiere excluir a cargos electos o responsables políticos; (ii) en el sector privado, la ley permite que el Responsable del SII sea un alto directivo de la entidad, siempre que se garantice su independencia y la ausencia de conflictos de interés. Por otro lado, si se opta por un órgano colegiado, este no debería superar los cinco miembros y debe contar con, al menos, un integrante interno de la entidad.
En cuanto al deber de notificación del nombramiento y cese del Responsable del SII a la AIPI, el plazo es de diez días hábiles. Sin embargo, conforme a lo recogido en la Disposición Transitoria Única 4, del Estatuto de la Autoridad Independiente de Protección del Informante, se establece un plazo de dos meses para comunicar el nombramiento. Este plazo, para tranquilidad de los sujetos obligados, comenzará a computarse desde el momento de la publicación del formulario especifico en la página web de la AIPI.
d) La posibilidad de externalización del SII
Como ya se refleja en la Ley 2/2023, es posible externalizar el SII, aunque ha de tenerse en consideración que el responsable por el correcto funcionamiento del sistema será, en última instancia, la entidad obligada.
La independencia, además, es un requisito que, a pesar de la externalización, debe cumplirse en todo caso. Esto no es óbice para que las entidades del sector privado puedan compartir entre sí un SII, tanto si se gestiona internamente por alguna de ellas, como si se ha externalizado. Esto permite compartir recursos y facilitar el cumplimiento de las exigencias legales con mayor facilidad.
En el caso de los grupos de empresas, cada una de las sociedades integrantes deberán analizar si son sujetos obligados. La Ley 2/2023 permite que el grupo cuente con un único SII para todas las entidades. Sin embargo, esto no implica que el grupo se transforme en un único sujeto obligado, sino que comparte SII y, llegado el caso, Responsable del SII, a pesar de seguir tratándose de una obligación individual. La clave está, por tanto, en que cada sociedad tendría su propio responsable, a pesar de que sea la misma persona para las diversas sociedades del grupo.
e) El Canal Interno de Información (CII)
El CII debe estar integrado dentro del SII de la compañía, y permitir que todas las personas relacionadas con la entidad puedan remitir comunicaciones a través de él.
El propio diseño del CII debe asegurar el anonimato total, tanto en la presentación como en la tramitación de las comunicaciones y denuncias. Recalca la AIPI que el canal también puede operar como mecanismo para recibir denuncias de infracciones de los códigos o protocolos de las entidades que, sin ser delito ni falta administrativa, constituyan un acto ilícito conforme a los valores de la compañía. Sin embargo, debe advertirse que la denuncia de este tipo de prácticas queda fuera del ámbito de protección de la Ley 2/2023.
En relación con las vías de comunicación del CII, la AIPI señala que es muy positivo que éste permita realizar comunicaciones tanto por escrito como verbalmente.
Con independencia de la vía de comunicación, debe existir una plena documentación de la información remitida por el denunciante, sobre todo en el caso de la comunicación verbal, ya sea mediante grabación o mediante transcripción. En este último supuesto, habría que permitir al informante comprobar el documento producido, que debería firmar para ratificarse en su declaración.
A través del CII, la entidad deberá extraer los datos necesarios para cumplimentar el Libro-Registro de las Informaciones, que constituye una obligación legal para la entidad, tal y como establece el artículo 26 de la Ley 2/2023. La información mínima que debe registrarse es la siguiente:
i. Fecha de recepción de la información.
ii. Objeto de la comunicación.
iii. Estado de las actuaciones.
iv. Fecha de finalización del procedimiento.
f) Obligaciones relacionadas con el procedimiento de gestión de información
Los principios que deben regir el procedimiento de gestión de información deben ser la presunción de inocencia, la protección del honor, la confidencialidad, la protección de datos, la imparcialidad, la objetividad y la diligencia y celeridad.
La Recomendación de la AIPI contiene, además, una lista de verificación básica para la implementación del SII, en la que alude a los siguientes requisitos:
i. Consulta previa a la representación sindical.
ii. Acuerdo del Órgano de Gobierno aprobando el Sistema y la Política.
iii. Designación formal del Responsable del SII.
iv. Notificación del nombramiento a la AIPI o autoridad autonómica correspondiente.
v. Implementación técnica del CII (Software/Buzón seguro).
vi. Aprobación del Procedimiento de Gestión de Informaciones.
vii. Publicidad del canal en la página web (acceso visible y fácil).
viii. Formación al personal sobre el uso del canal.
II. Recomendación 1/2025
El objetivo de esta Recomendación 1/2025 radica en orientar a los partidos políticos en relación con la implantación y gestión del SII.
Esta directriz recuerda que el SII debe operar como una infraestructura de integridad y no como un simple buzón de denuncias internas. La clave es tratar de crear un sistema que no sólo detecte la infracción, sino que sea capaz de prevenirla.
Otra cuestión que se debe tener en cuenta es la obligatoriedad de la puesta en marcha del SII en los partidos políticos, independientemente del número de trabajadores con los que cuenten.
A pesar de que, en esencia, el contenido de la Recomendación 1/2025 no dista mucho del contenido de la Recomendación 1/2026, existen algunas directrices específicas que conviene considerar, como por ejemplo la garantía de independencia real del Responsable del SII. Esto, aplicado a los partidos políticos, vendría a lograrse evitando que el Responsable SII forme parte de los órganos ejecutivos del partido o de su "parlamento interno", o que sea una persona subordinada a alguno de los anteriores. La recomendación de la AIPI es priorizar los perfiles que no participen en la toma decisiones estratégicas y disciplinarias.
Además, la AIPI aboga por la exigencia de formación jurídica específica, sobre todo en materia de compliance, auditoría, Derecho público y penal económico. Por tanto, más allá de tratarse de un cargo de confianza, el Responsable del SII debe contar también con capacidad de liderazgo ético y un reconocimiento interno avalado por su trayectoria y conocimientos técnicos.
III. Recomendación 2/2026
Esta Recomendación 2/2026, que se refiere a las entidades que integran la Administración local, incluidas corporaciones locales, organismos públicos, sociedades mercantiles participadas mayoritariamente por entes locales y fundaciones públicas, recoge los principios mencionados anteriormente, y contiene unas directrices casi idénticas a las directrices de la Recomendación 1/2026, con salvaguarda de algunas diferencias de carácter sectorial.
IV. Conclusiones
Aunque se trata de meras directrices sin rango normativo y sin eficacia jurídica directa, lo cierto es que la aplicación de las recomendaciones emitidas por la AIPI supone una ventaja para las entidades obligadas, ya que permite a éstas asegurarse de que operan conforme a los criterios de la autoridad, lo que supone una justificación clara de sus decisiones en relación con el diseño y con la puerta en marcha del SII.
Aunque puede parecer que las recomendaciones son generalistas en algunos extremos, la labor de concreción es una tarea que ha de ser una preocupación específica de cada entidad, que deberá plantearse cómo puede aterrizar esos conceptos sobre la realidad de su día a día.
Que los sujetos obligados cumplan con estas recomendaciones es el primer paso para lograr la puesta en marcha de un programa de compliance robusto.
Para más información:
Noelia Serrano (noelia.serrano@regula.law)