Tres años llevan en vigor los canales de denuncia obligatorios en España. Tres años desde que el BOE publicó la Ley 2/2023 de protección de informantes. Y sin embargo, cuando la Autoridad Independiente de Protección del Informante (AIPI) activó el formulario oficial de registro en febrero de 2026, la realidad fue contundente: solo el 10% de las pymes había implementado un canal de denuncias (Personio / muypymes.com, mayo 2025). El 90% restante lleva meses en situación de incumplimiento.
Para las gestorías administrativas y asesorías fiscales, la situación tiene una doble dimensión que ningún otro despacho profesional comparte: podéis estar obligadas vosotras mismas (independientemente de tener menos de 50 empleados, por vuestra condición de sujetos obligados bajo la Ley 10/2010 de blanqueo de capitales) y, al mismo tiempo, sois los asesores de confianza de decenas de clientes empresas que también están obligados y que probablemente no saben cómo cumplir.
Esta guía cubre exactamente eso: qué es el canal de denuncias, quién está obligado, cuándo y cómo comunicar el RSII a la AIPI antes del 10 de abril de 2026, los errores que generan sanciones de hasta 1.000.000 de euros, y cómo convertir esta obligación legal en un nuevo servicio recurrente de cumplimiento normativo para vuestra gestoría.
¿Gestionas el cumplimiento normativo de tus clientes con hojas Excel?
COPILOT GESTORIA automatiza las validaciones fiscales y de cumplimiento normativo, y te ayuda a escalar sin aumentar equipo. Acceso gratuito para gestorías.
¿Qué es el Canal de Denuncias Obligatorio y Quién Está Obligado en 2026?
El canal de denuncias —denominado técnicamente Sistema Interno de Información (SII)— es un mecanismo seguro y confidencial a través del cual cualquier persona vinculada a una organización (trabajadores, excolaboradores, proveedores, socios) puede comunicar incumplimientos legales o irregularidades que haya presenciado en el ejercicio de su actividad profesional. Su implantación en España deriva de la transposición de la Directiva Europea 2019/1937 (conocida como Directiva Whistleblowing), que fue incorporada al ordenamiento español mediante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE-A-2023-4513).
Las cuatro categorías de obligados en el sector privado
No todas las empresas están obligadas por igual. La Ley 2/2023 distingue varias categorías que determinan la obligatoriedad y el calendario de implementación:
| Categoría | Criterio | Fecha obligación |
|---|---|---|
| Grandes empresas privadas | +250 trabajadores | Junio 2023 |
| Medianas empresas privadas | 50-249 trabajadores | Diciembre 2023 |
| Sectores regulados (cualquier tamaño) | Servicios financieros, PBC, aviación, energía, transporte | Junio 2023 |
| Sector público | Todos los entes públicos, municipios +10.000 hab. | Junio 2023 |
Punto crítico para gestorías fiscales: la doble obligación
Las gestorías y asesorías fiscales que prestan asesoramiento tributario como actividad principal son sujetos obligados bajo el artículo 2.1.m) de la Ley 10/2010 de prevención del blanqueo de capitales y financiación del terrorismo. Si vuestra gestoría tiene más de 10 empleados y un balance superior a 2 millones de euros, podéis estar obligadas a implantar un canal de denuncias aunque tengáis menos de 50 trabajadores. Este es el error más frecuente y más costoso del sector: asumir que por tener <50 empleados quedáis exentos.
Según datos del INE (DIRCE 2024), aproximadamente 25.000-30.000 empresas privadas con más de 50 empleados están obligadas en España (esdiario.com). A ellas hay que sumar las de sectores regulados independientemente de su tamaño, lo que amplía considerablemente el universo de afectados.
El Plazo que Nadie Puede Ignorar: 10 de Abril de 2026 y la AIPI
La Autoridad Independiente de Protección del Informante (AIPI) es el organismo supervisor creado por la Ley 2/2023 para garantizar el cumplimiento de la normativa de protección de informantes en España. Inició su actividad el 1 de septiembre de 2025 y, desde entonces, tiene plenas competencias sancionadoras. Su sede electrónica está disponible en sede.proteccioninformante.gob.es.
¿Qué ocurrió el 10 de febrero de 2026?
El 10 de febrero de 2026, la AIPI habilitó en su sede electrónica el formulario oficial para notificar al Responsable del Sistema Interno de Información (RSII). Esta fecha arrancó un plazo transitorio de dos meses para que todas las organizaciones obligadas que ya habían designado un RSII —pero que aún no lo habían comunicado formalmente— lo registraran ante la AIPI. Ese plazo transitorio vence el 10 de abril de 2026.
A partir del 11 de abril de 2026, el régimen pasa a ser permanente: cualquier empresa que designe un nuevo RSII tendrá 10 días hábiles desde el nombramiento para comunicarlo a la AIPI. El incumplimiento de este plazo ya es, por sí solo, objeto de sanción.
Atención: el registro autonómico NO sustituye al registro AIPI nacional
Cataluña, Andalucía y la Comunidad Valenciana disponen de autoridades autonómicas propias de protección del informante. Muchas empresas de estas comunidades creyeron que con registrar su RSII ante la autoridad autonómica cumplían la obligación. Es un error. El registro autonómico es complementario al nacional, no sustitutivo. Las empresas de estas comunidades tienen doble obligación de registro: ante su autoridad autonómica Y ante la AIPI nacional.
Cómo notificar el RSII a la AIPI: proceso paso a paso
El proceso de notificación requiere cumplir estos pasos de manera secuencial. La Guía 1/2026 de la AIPI (PDF oficial) detalla los requisitos completos:
Comprobar si la empresa supera los 50 empleados, pertenece a un sector regulado (incluido blanqueo de capitales) o es un ente público. En grupos empresariales: calcular si el grupo completo supera los umbrales.
El nombramiento debe constar en un acta del Consejo de Administración u órgano de gobierno equivalente. Un email interno o una comunicación informal no es suficiente. El RSII debe ser independiente funcionalmente y contar con los medios necesarios para ejercer sus funciones.
Necesitaréis: certificado digital de la empresa o representante (DNIe o certificado FNMT), código CNAE de la actividad principal, acta de nombramiento del RSII, NIF de la empresa y datos del responsable designado.
Entrar en sede.proteccioninformante.gob.es, seleccionar el procedimiento de notificación del RSII, identificarse con certificado digital o Cl@ve, completar el formulario y firmar con la aplicación Autofirma. Guardar el justificante de presentación.
El canal debe garantizar confidencialidad mediante cifrado de extremo a extremo. Comprobar que permite denuncias anónimas, que el sistema de acuse de recibo opera en 7 días hábiles y que el plazo de resolución no supera los 3 meses.
Los 5 Errores que Generan Sanciones de Hasta 1.000.000 de Euros
La Recomendación 1/2026 de la AIPI (texto oficial) ha definido con precisión los estándares técnicos y organizativos exigibles. El análisis de los artículos sobre cumplimiento normativo y los expedientes conocidos permite identificar cinco errores sistemáticos que convierten el "creíamos que cumplíamos" en una infracción sancionable.
¿Tienes clientes empresas que podrían estar incumpliendo?
Con COPILOT GESTORIA puedes centralizar el seguimiento de obligaciones de cumplimiento normativo de todos tus clientes y detectar incumplimientos antes de que generen sanciones.
Hablar con un ExpertoTabla Completa de Multas y Sanciones — ¿Qué Riesgo Arriesga tu Cliente?
Los artículos 63 a 65 de la Ley 2/2023 establecen el régimen sancionador. Es importante entenderlo no solo para que vuestros clientes sepan lo que arriesgan, sino para que podáis dimensionar correctamente la urgencia en vuestras comunicaciones con ellos. La comparación entre el coste del incumplimiento y el coste de cumplir es, en sí misma, el argumento comercial más potente para el servicio de gestión de canal de denuncias.
| Tipo de infracción | Ejemplos de conducta sancionable | Sanción persona jurídica | Sanción persona física |
|---|---|---|---|
| Leve | No informar adecuadamente a los empleados sobre el canal. Incumplimientos formales menores de procedimiento. | Hasta 100.000 € | 1.001 € — 10.000 € |
| Grave | No disponer de canal de denuncias estando obligado. Canal técnicamente incorrecto (ej. email sin cifrar). No notificar RSII a la AIPI en plazo. RSII sin independencia real. No atender las denuncias en los plazos legales (7 días acuse + 3 meses resolución). | 100.001 € — 600.000 € | 10.001 € — 30.000 € |
| Muy grave | Represalias contra el denunciante. Revelar la identidad del informante. Obstrucción del proceso de denuncia. Destrucción de pruebas relacionadas con una denuncia en trámite. | 600.001 € — 1.000.000 € | 30.001 € — 300.000 € |
Sanciones accesorias que amplifican el impacto
Además de las multas económicas, la Ley 2/2023 contempla sanciones accesorias que pueden resultar más perjudiciales para el negocio que la propia multa:
- Prohibición de obtener subvenciones o ayudas públicas durante hasta 4 años
- Prohibición de contratar con el sector público durante hasta 2 años
- Publicación de la amonestación en el BOE (daño reputacional con visibilidad pública)
El argumento del ROI para tus clientes
Implementar una plataforma básica de canal de denuncias tiene un coste desde 190 €/año (canal.denuncias.app) hasta 1.200 €/año para empresas de más de 200 empleados. Frente a una sanción grave de entre 100.000 € y 600.000 € —o una muy grave de hasta 1.000.000 €—, el ROI de cumplir es prácticamente infinito. Esta comparación es el primer dato que deberíais compartir con cualquier cliente empresa que todavía no haya implementado su canal.
Canal de Denuncias y RGPD: La Protección de Datos del Denunciante
El canal de denuncias no es solo una obligación de la Ley 2/2023: también genera obligaciones derivadas del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). La AEPD publicó su guía sobre privacidad en sistemas de denuncias internas, que establece los criterios aplicables. Para las gestorías que asesoran a sus clientes en la implementación, este cruce normativo es esencial.
Obligaciones RGPD en la gestión del canal
Retención de datos
Los datos personales del denunciante no pueden conservarse más de 3 meses si la denuncia no da lugar a la apertura de un expediente. Si hay expediente, se conservan durante la tramitación y hasta la prescripción de posibles responsabilidades. El sistema debe incluir eliminación automatizada.
Legitimación del tratamiento
La base legal del tratamiento de datos en el canal de denuncias es el cumplimiento de una obligación legal (art. 6.1.c RGPD), no el consentimiento del denunciante. Esto tiene implicaciones sobre los derechos de acceso, rectificación y cancelación que pueden quedar limitados durante la investigación.
Información al denunciante
El sistema debe informar al denunciante —en el momento de la denuncia— de cómo se tratarán sus datos, con quién se compartirán y cuánto tiempo se conservarán. Esta información debe ser accesible desde el propio canal, no solo desde la política de privacidad general.
Datos del investigado
La persona investigada tiene derecho a ser informada de que existe una denuncia sobre ella, salvo que esa información pueda perjudicar la investigación. La Ley 2/2023 permite diferir esta notificación cuando hay riesgo fundado de ocultación de pruebas.
Desde la perspectiva de vuestra gestoría como asesora, la intersección RGPD-canal de denuncias es una oportunidad de valor añadido: muchos clientes necesitarán actualizar su registro de actividades de tratamiento (RAT), su política de privacidad y posiblemente realizar una Evaluación de Impacto (EIPD/DPIA) si el canal procesa categorías especiales de datos. Si ya gestionáis el cumplimiento del RGPD de esos clientes, el canal de denuncias es una extensión natural del servicio.
Sector Público vs. Sector Privado: Diferencias Clave para Gestorías que Asesoran a Ambos
Las gestorías que prestan servicios tanto a empresas privadas como a entidades públicas locales (ayuntamientos, organismos autónomos, mancomunidades) deben conocer las diferencias de régimen, porque el calendario, los umbrales y las autoridades competentes son distintos.
| Aspecto | Sector privado | Sector público |
|---|---|---|
| Umbral de obligación | +50 trabajadores o sector regulado | Todos los entes. Municipios +10.000 hab. desde jun. 2023; resto desde dic. 2023 |
| Autoridad supervisora | AIPI (nacional) + autonómica si corresponde | AIPI + órgano de control externo autonómico |
| Canal compartido | Grupos <250 empleados pueden compartirlo | Municipios <10.000 hab. pueden compartirlo con otros municipios |
| RSII | Persona física o jurídica con independencia funcional | Puede ser un órgano colegiado (comité de ética) |
| Plazo notificación RSII | 10 abril 2026 (transitorio) / 10 días hábiles (permanente) | Igual que privado desde la activación del formulario AIPI |
Gestiona el cumplimiento normativo de todos tus clientes desde un solo lugar
COPILOT GESTORIA permite hacer seguimiento de vencimientos y obligaciones de cumplimiento normativo para todos tus clientes — sin Excel, sin olvidos, con alertas automáticas.
La Oportunidad de Negocio para Gestorías: Un Nuevo Servicio Recurrente de 6.000-10.000 €/Año
Todos los artículos sobre el canal de denuncias orientados a gestorías cometen el mismo error: las presentan como meras transmisoras de la obligación hacia sus clientes, que deben luego contratar a un abogado o consultora externa. Eso no solo es un error estratégico —la gestoría pierde un servicio de recurring revenue— sino también un error de posicionamiento, porque la gestoría es el profesional que mejor puede liderar esta implementación.
Piénsalo: la gestoría ya conoce con exactitud el número de empleados del cliente (gestiona las nóminas), conoce la estructura societaria de los grupos empresariales (gestiona las cuentas de varias SLs del mismo grupo), tiene acceso a los datos del Consejo de Administración (formaliza las actas) y gestiona el RGPD (conoce los tratamientos de datos). La gestoría es el profesional mejor situado para implementar el canal de denuncias de sus clientes.
Cálculo del ingreso recurrente potencial
El modelo de negocio es sencillo: la gestoría actúa como intermediaria entre el cliente y una plataforma de canal de denuncias, añade los servicios de implementación inicial, formación a empleados y supervisión periódica del RSII.
| Cartera de clientes obligados | Precio servicio/año | Ingreso recurrente anual |
|---|---|---|
| 15 clientes con +50 empleados | 200 €/año | 3.000 €/año |
| 30 clientes con +50 empleados | 200 €/año | 6.000 €/año |
| 50 clientes con +50 empleados | 200 €/año | 10.000 €/año |
| 30 clientes (precio premium con RGPD incluido) | 350 €/año | 10.500 €/año |
Qué incluye el servicio de gestoría de canal de denuncias
- Fase 1 (implementación): Diagnóstico de obligatoriedad, redacción del acta de nombramiento del RSII, selección y configuración de la plataforma técnica, política interna del canal.
- Fase 2 (registro AIPI): Gestión del formulario de notificación ante la AIPI, coordinación con la autoridad autonómica si procede, archivo del justificante de presentación.
- Fase 3 (formación): Sesión formativa para empleados y para el propio RSII sobre cómo gestionar denuncias recibidas.
- Fase 4 (mantenimiento): Supervisión anual del funcionamiento del canal, actualización normativa, renovación del RSII si hay cambios.
Cómo COPILOT GESTORIA amplifica esta oportunidad
Las gestorías que utilizan COPILOT GESTORIA para automatizar sus procesos fiscales y de cumplimiento normativo pueden asumir más clientes de canal de denuncias sin aumentar el equipo. La automatización de las tareas repetitivas —seguimiento de vencimientos, generación de documentos, alertas de cumplimiento— libera el tiempo de los gestores para dedicarlo a servicios de mayor valor como la gestión del canal de denuncias, donde el margen es significativamente mayor.
Lista de Verificación: 12 Pasos para Cumplir Antes del 10 de Abril de 2026
Esta lista está pensada para que la utilicéis tanto con vuestra propia gestoría (si estáis obligados) como con cada cliente empresa que asesoréis. Diferencia entre los pasos aplicables a la gestoría como entidad y los aplicables a los clientes.
Para vuestra gestoría (si estáis obligados)
- 1 Verificar si vuestra gestoría es sujeto obligado PBC (Ley 10/2010, art. 2.1.m) — asesoramiento tributario como actividad principal
- 2 Comprobar si superáis 10 empleados Y balance >2M€ (doble criterio Ley 10/2010 para sujetos PBC)
- 3 Revisar si ya existe un RSII designado — si no, proceder a su nombramiento inmediato mediante acta del socio/administrador
- 4 Verificar que el RSII es funcionalmente independiente y tiene medios suficientes para gestionar denuncias
- 5 Notificar el RSII en sede.proteccioninformante.gob.es antes del 10 de abril de 2026
- 6 Verificar que el canal técnico cumple la Recomendación 1/2026 AIPI (cifrado e2e, anonimato, plazos automatizados)
Para cada cliente empresa obligado
- 7 Identificar qué clientes superan los 50 trabajadores o pertenecen a un sector regulado (financiero, energético, etc.)
- 8 En grupos empresariales: verificar umbral de 250 empleados para determinar si el canal puede ser compartido o debe ser independiente
- 9 Preparar acta de nombramiento del RSII para el cliente — el nombramiento informal no es suficiente
- 10 Gestionar la notificación del RSII del cliente ante la AIPI (y autoridad autonómica si procede: Cataluña, Andalucía, C. Valenciana)
- 11 Actualizar el RAT del cliente (Registro de Actividades de Tratamiento) y la política de privacidad para reflejar el canal de denuncias
- 12 Planificar la formación de empleados y del RSII sobre el uso del canal y la gestión de denuncias recibidas
Guia gratuita: Los 10 Errores Criticos AEAT y Como Evitarlos
Descarga la guia con los errores mas costosos ante la AEAT —desde el Modelo 303 hasta el Modelo 111— con tabla de consecuencias y costes reales. Perfecta para revisar la situacion de tus clientes.
¿Gestionas el cumplimiento normativo de tus clientes de forma manual?
Con COPILOT GESTORIA centralizas vencimientos, documentos y alertas de cumplimiento normativo para todos tus clientes empresa desde un solo panel. Sin hojas de calculo, sin olvidos.
Conclusión: Tres Acciones Inmediatas Antes del 10 de Abril
El 10 de abril de 2026 no es un plazo administrativo menor. Marca el final del periodo de gracia y el inicio del control activo por parte de la AIPI. A partir de esa fecha, cualquier empresa obligada que no haya notificado su RSII puede ser inspeccionada y sancionada sin más aviso previo. Con solo el 10% de las pymes habiendo cumplido hasta ahora (Personio, mayo 2025), la mayoría de vuestros clientes empresa siguen en situación de riesgo.
Las tres acciones que deben ejecutarse antes del 10 de abril son claras:
Identificar quién está obligado
Revisar vuestra cartera de clientes y vuestra propia gestoría para determinar quién debe tener canal y quién ya tiene RSII pendiente de notificar a la AIPI.
Formalizar el nombramiento
Preparar el acta del órgano de gobierno con la designación formal del RSII. Sin acta válida no se puede completar el formulario AIPI.
Notificar a la AIPI
Acceder a sede.proteccioninformante.gob.es con certificado digital y completar el formulario de notificación del RSII antes del 10 de abril. Guardar el justificante.
Para las gestorías, el canal de denuncias no es solo una obligación de cumplimiento normativo: es el primer paso hacia un nuevo servicio recurrente que puede generar entre 6.000 y 10.000 euros de ingresos adicionales anuales con una cartera de 30-50 clientes empresa obligados. La ventana de oportunidad está abierta ahora mismo, con el plazo límite generando la urgencia que facilita la venta de este tipo de servicios de asesoramiento.
Y si queréis escalar ese crecimiento sin aumentar equipo, COPILOT GESTORIA os ayuda a automatizar la carga operativa de los procesos fiscales y de cumplimiento normativo, para que podáis dedicar vuestra capacidad al trabajo de mayor valor que los clientes están dispuestos a pagar.
Fuentes y referencias normativas
- Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas (BOE)
- Autoridad Independiente de Protección del Informante (AIPI) — Sitio oficial
- Guía 1/2026 AIPI sobre el RSII (PDF oficial)
- Recomendación 1/2026 AIPI sobre el Sistema Interno de Información (PDF oficial)
- AEPD — Privacidad en sistemas de denuncias internas
- Personio / muypymes.com (mayo 2025): "Solo el 10% de las pymes ha implementado un canal de denuncias"
- Adecco / elderecho.com: "El 42% de los empleados en España considera que su empresa no cuenta con mecanismos adecuados"
- INE DIRCE 2024 / esdiario.com: "Aproximadamente 25.000-30.000 empresas privadas con +50 empleados obligadas en España"
Automatiza tu gestoría y escala tus servicios de cumplimiento normativo
COPILOT GESTORIA es la plataforma de automatizacion para gestorías españolas que quieren crecer sin aumentar equipo. Pruébala gratis, sin tarjeta de crédito.
