Ashio whistleblowing software

Sep 27, 2026

Canal de denuncias externo vs interno: claves para decidir

Canal de denuncias externo vs interno: claves para decidir

No todos los casos deben ir al canal externo ni todos se quedan en el interno. Saber cuál activar —y cuándo derivar a la autoridad competente— marca la diferencia entre cumplir la Ley 2/2023 y exponerse a sanciones. La clave está en entender que el canal de denuncias externo e interno no compiten: se complementan, y cada uno tiene su función dentro del mismo sistema de cumplimiento.

Índice

Puntos clave

  • El canal interno es obligatorio para empresas de 50 o más empleados y actúa como primera vía para hechos ocurridos dentro de la organización.
  • El canal externo corresponde a autoridades independientes como la AEPD o la OIReScon y se activa cuando el interno no es viable o cuando lo solicita el denunciante.
  • La Ley 2/2023 fija plazos concretos —7 días para acusar recibo y 3 meses para dar respuesta— que aplican a ambos canales.
  • No derivar un caso a tiempo al canal externo o interno adecuado puede considerarse obstrucción y atraer responsabilidad penal para la persona jurídica.
  • Una decisión informada entre uno y otro depende del tipo de hecho, del perfil del denunciante y de si la organización puede garantizar investigación imparcial.

1. ¿Qué es un canal de denuncias externo y qué es uno interno?

Un canal de denuncias interno es el sistema que la propia organización pone a disposición de empleados, contratistas y otras partes interesadas para comunicar incumplimientos legales o de políticas internas; un canal de denuncias externo, en cambio, es el habilitado por una autoridad pública independiente —como la AEPD o la OIReScon— para recibir denuncias directamente desde fuera de la empresa. Ambos están reconocidos por la Directiva (UE) 2019/1937 y por la Ley 2/2023, pero su diseño, su legitimación y sus efectos son distintos.

El canal interno lo controla la propia organización: define quién investiga, cómo se documenta el caso y qué plazos internos se aplican —siempre respetando los mínimos legales de 7 días para acusar recibo y 3 meses para informar del seguimiento. Es la vía preferente cuando el denunciante es parte de la plantilla y los hechos afectan al funcionamiento interno, porque permite una respuesta más rápida y un mayor control sobre la corrección de las políticas internas. El canal externo, por su parte, pertenece a una autoridad pública con competencia investigadora propia, y se activa cuando el denunciante decide saltarse la vía interna o cuando los hechos revisten gravedad penal, corrupción o afectan a intereses públicos que trascienden la organización.

En la práctica, el canal interno y el externo no son sustitutos: según la normativa europea, las denuncias pueden presentarse indistintamente ante uno u otro, y la elección suele condicionar tanto la confidencialidad como el alcance de la investigación posterior.

¿Qué papel juega cada canal en el sistema español?

El canal interno es la pieza que la empresa diseña, opera y audita; el externo es el recurso al que el denunciante puede (y a veces debe) acudir cuando pierde la confianza en la organización. Un sistema de canal de denuncias interno bien configurado reduce la carga del externo, pero no lo reemplaza.

2. ¿Qué dice la Ley 2/2023 sobre canal externo obligatorio?

La Ley 2/2023, de transposition de la Directiva europea a España, no obliga a las empresas a disponer de un canal externo: el canal externo ya existe, lo prestan autoridades como la Agencia Española de Protección de Datos o la Oficina Independiente de Regulación y Supervisión de la Contratación. Lo que la ley sí obliga es a que las organizaciones de 50 o más empleados dispongan de un canal interno conforme, y a que ese canal cumpla requisitos técnicos y de procedimiento muy concretos —entre ellos, la posibilidad de denunciar también de forma anónima y un régimen de protección del denunciante frente a represalias.

El verdadero “canal externo obligatorio” que muchos responsables de compliance confunden es, en realidad, el que la propia ley habilita ante la autoridad competente como vía subsidiaria o alternativa. Cuando la empresa no tiene canal interno, o el denunciante lo desestima por miedo a represalias, debe saber que la autoridad externa sigue disponible y que, en determinados supuestos, es el cauce obligado.

¿La empresa puede obligar al denunciante a usar solo el canal interno?

No. La Ley 2/2023, en su artículo 7, recoge expresamente el derecho del denunciante a elegir entre el canal interno de la entidad o el canal externo de la autoridad competente, y limita la obligación de usar el interno solo a determinados supuestos de hechos internos sin relevancia penal.

3. ¿Cuándo conviene derivar una denuncia a la autoridad externa?

Conviene derivar una denuncia a la autoridad externa competente en España cuando la organización carece de capacidad para investigar con imparcialidad, cuando los hechos pueden ser constitutivos de delito grave o cuando el denunciante, de forma expresa, solicita esa derivación. También es recomendable cuando el caso afecta a personas con poder de decisión dentro de la propia entidad —directivos, administradores o el responsable del canal interno—, porque la percepción de independencia se pierde y el riesgo de obstrucción aumenta.

La derivación no es opcional si el caso implica corrupción, blanqueo de capitales, financiación del terrorismo o infracciones administrativas graves: el canal interno puede registrarlo, pero la instrucción corresponde a la autoridad. Esperar más allá de lo razonable cuando ya se conoce que el caso supera el alcance interno puede considerarse como obstaculización del ejercicio de derechos del denunciante.

¿Cómo se documenta una derivación correcta?

Con un registro que recoja: fecha de recepción inicial, fecha de derivación, autoridad receptora, motivo de la derivación y acuse de recibo por parte del organismo público. Esa trazabilidad es lo que el auditor examinará si más adelante se cuestiona la actuación de la empresa.

4. ¿Cómo deben coordinarse canal interno y externo sin duplicar trabajo?

La coordinación eficaz se apoya en tres reglas operativas: una única fuente de verdad para el caso, protocolos claros de transferencia y respeto absoluto de los plazos legales. Cuando ambas vías están activas en paralelo, el riesgo es investigar dos veces el mismo hecho con conclusiones potencialmente divergentes —lo que suele acabar en un expediente de protección al denunciante fallido y en una sanción por defecto de control interno.

Lo razonable es que el canal interno registre, clasifique y, si procede, transfiera formalmente a la autoridad externa manteniendo una copia cifrada y sellada por tiempo. La autoridad, por su parte, debe notificar a la organización si ha abierto expediente para que el canal interno no siga actuando sobre algo que ya no le compete.

¿Qué papel tiene el responsable de compliance en esta coordinación?

Es la pieza que decide cuándo el caso sale del perímetro interno, documenta la transferencia y conserva el hilo auditabl. Sin ese rol claramente asignado, la coordinación se convierte en algo que “hace quien puede”, y eso nunca sobrevive a una inspección.

5. Checklist para decidir qué canal activar en cada caso

5. Checklist para decidir qué canal activar en cada caso Antes de decidir, conviene pasar cada denuncia por un filtro mínimo: origen de la información, gravedad aparente, capacidad interna real para investigar y voluntad del denunciante. La respuesta cambia según el caso, y por eso una checklist rígida sirve menos que un árbol de decisión sencillo, compartido con el equipo y formado periódicamente.

Reglas prácticas que funcionan: el canal interno es la primera opción si el denunciante es empleado y los hechos afectan a la organización; el externo entra si el denunciante lo pide, si hay indicio de delito, si el caso afecta al responsable del canal interno o si la empresa carece de medios para investigar con independencia. Documentar la decisión tomada y su motivo es tan importante como la decisión misma: sin esa nota, el auditor no puede reconstruir el proceso.

¿Dónde encaja Ashio en esta decisión?

Para responsables de compliance de empresas de 50 a 500 empleados, la decisión práctica rara vez es “interno sí o no”: la ley ya la ha contestado. La decisión real es cómo mantener el canal interno cumpliendo los plazos de 7 días y 3 meses sin convertirse en un manual de procesos que el equipo no llega a ejecutar. Una plataforma como ashio automatiza el acuse de recibo, la conversión de voz a texto, la gestión de casos y el registro listo para auditoría por 23 €/mes pagando anualmente, con un precio fijo por organización —sin coste por empleado ni por denuncia— y multilingual integrada para 17 idiomas. Está pensada para equipos de compliance que necesitan demostrar el cumplimiento semana a semana, no para grandes departamentos que ya tienen un sistema a medida; si tu organización requiere un despliegue personalizado, el equipo de ashio puede estudiar el caso. Cuando el caso supera el alcance interno, la decisión vuelve a la persona, no al software: ashio no investiga, transfiere ni sustituye a la autoridad externa competente.

¿Se puede alternar entre canales una vez presentada la denuncia?

Sí, con matices. El denunciante puede retirar la denuncia interna y presentarla ante la autoridad externa, o viceversa, mientras no haya transcurrido el plazo legal de prescripción. Lo que no puede hacer la organización es forzar el cambio de vía ni presionar al denunciante para que retire la denuncia interna en favor de ninguna otra opción.

¿Qué pasa si el canal interno recibe un caso que claramente es de la autoridad?

Debe registrarlo, acusar recibo al denunciante y, en un plazo razonable, ponerlo en conocimiento de la autoridad externa competente indicando los hechos y la documentación disponible, sin esperar a una instrucción formal del denunciante.

¿La anonimidad se mantiene cuando se deriva a la autoridad externa?

Depende del canal. Si se ofreció una denuncia anónima sin metadatos identificativos —sin IP, sin cookies, sin huella digital—, esa anonimidad se mantiene al derivar. Si la denuncia recogía datos del denunciante, la autoridad tendrá acceso a ellos en el ejercicio de sus competencias de investigación.

¿Es sancionable no derivar a tiempo?

Sí. La obstrucción del derecho a denunciar está tipificada como infracción muy grave en la Ley 2/2023 y puede generar multas de hasta un millón de euros para empresas grandes, además de responsabilidad penal para la persona jurídica cuando el hecho subyacente constituya delito.

Preguntas frecuentes

¿Qué canal de denuncias es obligatorio en España?

El canal interno es obligatorio para empresas con 50 o más empleados, mientras que el canal externo ya existe, gestionado por la AEPD, la OIReScon y otras autoridades sectoriales, y no necesita ser creado por la organización.

¿Un denunciante puede elegir entre canal interno y externo?

Sí, la Ley 2/2023 reconoce ese derecho al denunciante y limita los casos en los que puede exigirse el uso preferente del canal interno.

¿Cuándo es mejor canal externo que interno?

Cuando los hechos son graves, afectan al responsable del canal interno o el denunciante no confía en la organización, la vía externa ofrece mayor independencia y, en muchos casos, mayor protección frente a represalias.

¿Quién investiga si hay dos canales activos?

Solo una de las dos vías mantiene la competencia; la otra debe abstenerse una vez conocida la derivación y dejar la instrucción a quien corresponda.

¿Qué pasa si mi empresa no tiene canal interno?

Incumple la Ley 2/2023 y queda expuesta a sanciones administrativas, además de a la responsabilidad penal derivada cuando el hecho constitutivo de delito se conocía y no se denunció.

Fuentes