Ashio whistleblowing software

Oct 4, 2026

Registro de actividades del canal de denuncias según la Ley 2/2023: qué anotar, cómo demostrarlo y qué error deja sin defensa

Registro de actividades del canal de denuncias según la Ley 2/2023: qué anotar, cómo demostrarlo y qué error deja sin defensa

El artículo 24 de la Ley 2/2023 no te pide solo "tener un canal de denuncias": te pide poder demostrar, evento por evento, qué pasó con cada denuncia. La mayoría de canales montados con correo y hojas de cálculo no pueden. El registro de actividades del canal de denuncias según la Ley 2/2023 es, en la práctica, la única prueba que te separa de una sanción o de una inspección superada. A continuación verás qué eventos obligatorios debes anotar, cómo almacenarlos para que sean válidos y qué errores dejan al compliance officer sin defensa delante del DPO y del auditor.

Índice

Puntos clave

  • La Ley 2/2023 exige un registro interno de cada denuncia con, como mínimo, fecha de recepción, acuse de recibo, comunicaciones, cambios de estado y decisión final.
  • El plazo legal para el acuse de recibo es de 7 días naturales y el de respuesta sobre la investigación, de 3 meses; ambos deben quedar reflejados en el registro.
  • El registro debe ser inmutable, exportable y conservarse durante todo el procedimiento, con trazabilidad de quién hizo cada cambio.
  • Una hoja de cálculo compartida no garantiza cadena de custodia ni inmutabilidad, por lo que un auditor puede cuestionar su validez.
  • La forma de presentar el registro importa: orden cronológico, exportes firmados y hashes de evidencia son lo que distingue un registro defendible de uno que solo "existe".

Qué exige exactamente la Ley 2/2023 al registro de actividad del canal de denuncias

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone al ordenamiento español la Directiva (UE) 2019/1937 y obliga a todas las empresas de 50 o más empleados a disponer de un canal interno de denuncias con garantías de confidencialidad y trazabilidad. El artículo 24 concreta qué información debe quedar registrada y conservada tras cada denuncia: la fecha de recepción, la descripción de los hechos comunicados, las actuaciones realizadas para su comprobación, las medidas adoptadas y la fecha de cierre. La norma no se limita a enumerar campos: pide que el registro esté disponible para las autoridades competentes cuando lo requieran, en el marco de una investigación o inspección.

En la práctica, el registro de actividades se convierte en el único documento que demuestra que el canal ha funcionado conforme a la ley. Si el auditor no encuentra un log auditable que recoja los hitos de cada denuncia, no hay forma de acreditar que se cumplió el plazo de 7 días para acusar recibo ni el de 3 meses para responder sobre el resultado. Por eso el registro no es un "extra" del canal: es el propio canal, convertido en prueba documental.

¿Qué diferencia hay entre el registro del canal y el libro-registro de denuncias?

El libro-registro de denuncias es el documento de carácter general que la Ley 2/2023 menciona en su artículo 26, donde se relacionan todas las denuncias tramitadas, anonimizadas y con su resultado. El registro de actividad es la bitácora evento a evento de cada denuncia individual, alimentada por las acciones que el gestor realiza dentro del propio sistema. El primero es el índice; el segundo, la prueba de que cada paso se ejecutó dentro de plazo.

Qué eventos concretos debe recoger un registro conforme (acuse de recibo, lectura, cambio de estado, comunicación con el denunciante, decisión de archivo, plazo)

El artículo 24 fija una lista mínima de eventos que el registro debe documentar, pero la práctica —y la lectura que hacen los auditores— va un poco más allá. Un registro conforme debe reflejar, al menos, los siguientes hitos cronológicos para cada denuncia:

  1. Recepción de la denuncia, con fecha, hora y canal de entrada (formulario web, correo, verbal, escrito en papel).
  2. Identificador único e irreversible de la denuncia, que permita referenciarla sin exponer la identidad del denunciante.
  3. Acuse de recibo al denunciante dentro del plazo de 7 días naturales previsto en el artículo 9.1.
  4. Asignación del caso a uno o varios gestores autorizados, con constancia del momento de la asignación.
  5. Cualquier cambio de estado (en estudio, admitida a trámite, en investigación, archivada, trasladada a la autoridad competente).
  6. Comunicaciones bidireccionales con el denunciante, registradas con su fecha, su emisor y, cuando proceda, un resumen funcional de su contenido.
  7. Acceso al expediente por parte de cada miembro del equipo, con marca temporal.
  8. Decisión final de archivo o de traslado, con motivación breve.
  9. Cierre del caso, con la fecha de cierre y la verificación de que se cumplió el plazo máximo de 3 meses para dar respuesta (o, en investigaciones complejas, la prórroga documentada conforme a la ley).

Esta enumeración no es arbitraria. Cada evento responde a una obligación concreta de la norma: el acuse de recibo al deber de información, los cambios de estado al deber de seguimiento, las comunicaciones al principio de bidireccionalidad y la decisión de archivo a la obligación de motivar y documentar el cierre. Si falta cualquiera de ellos, el registro deja un hueco que el auditor puede interpretar como una infracción formal.

¿Qué nivel de detalle es suficiente para acreditar el cumplimiento?

Basta con información objetiva y verificable: fecha, hora, usuario del equipo (o seudónimo) que realiza la acción y tipo de evento. No es necesario (ni recomendable) incluir detalles sustantivos del caso en el propio log; eso corresponde al expediente. La clave es que, a partir del registro, pueda reconstruirse la línea temporal completa de la denuncia sin lagunas.

Cómo debe almacenarse el registro para que sea válido ante un auditor: inmutabilidad, cadena de custodia y plazos de conservación

Cómo debe almacenarse el registro para que sea válido ante un auditor: inmutabilidad, cadena de custodia y plazos de conservación Un registro exhaustivo sirve de poco si puede alterarse a posteriori. Por eso la Ley 2/2023, en su artículo 24.2, exige que el registro garantice la confidencialidad y la integridad de la información. En la práctica, esto se traduce en tres requisitos técnicos que el auditor suele comprobar de forma sistemática.

En primer lugar, la inmutabilidad: una vez escrito, el evento no puede ser modificado ni borrado por nadie, incluidos los administradores del sistema. La forma habitual de demostrarlo es mediante un registro encadenado (cada nuevo evento incluye un hash del anterior) o mediante una firma temporal emitida por una autoridad de sellado. Cuando el registro reside en una hoja de cálculo compartida, esta propiedad no se puede asegurar: cualquier usuario con permisos de edición puede alterar una fila y no queda huella del cambio original.

En segundo lugar, la cadena de custodia: cada acceso, exportación o descarga del registro debe quedar también registrado, con identidad del usuario, fecha y motivo. Esto permite al auditor reconstruir quién vio qué y cuándo, y descartar accesos indebidos. La trazabilidad debe cubrir, como mínimo, a los gestores de cumplimiento, al personal autorizado y, en su caso, a los encargados del tratamiento que presten soporte técnico.

En tercer lugar, el plazo de conservación. La ley no fija un plazo único en años, pero sí obliga a conservar los datos "durante el tiempo necesario" para cumplir la finalidad del canal y, en todo caso, mientras subsista la obligación legal de conservar la denuncia y su resolución. En la práctica, y siguiendo criterios de la Agencia Española de Protección de Datos y de la AEPD, se recomienda conservar la documentación un mínimo de 3 meses tras la decisión final del caso si no se ha iniciado un procedimiento disciplinario o judicial, y durante el plazo de prescripción de las infracciones (hasta 4 años) si el expediente se ha archivado por motivos distintos de la inadmisión. Para empresas sujetas a normativa sectorial (financiero, prevención de blanqueo, defensa de la competencia), el plazo puede ser mayor, por lo que conviene cruzarlo con la regulación aplicable.

¿Basta con que el registro esté cifrado para cumplir?

El cifrado es necesario para proteger la confidencialidad de los datos personales del denunciante, pero no sustituye a la inmutabilidad. Un registro puede estar cifrado y, aun así, ser alterable por un administrador con la clave. Lo que el auditor valora es la combinación de cifrado, inmutabilidad, trazabilidad de accesos y exportación verificable. Este conjunto es el que convierte el log de auditoría del canal de denuncias en una prueba admisible.

Registro manual vs registro automatizado: por qué un Excel deja sin defensa al compliance officer

El canal de denuncias puede montarse con medios muy distintos: desde un buzón genérico tipo denuncias@empresa.es acompañado de una hoja de cálculo compartida, hasta una plataforma específica con cifrado de extremo a extremo y registro integrado. La ley no impone una tecnología concreta, pero la elección condiciona directamente la capacidad de defender el programa ante una inspección.

Un registro manual —típicamente una hoja de cálculo en la nube o un documento compartido— presenta debilidades estructurales que se hacen evidentes durante una auditoría:

  • Trazabilidad limitada. Las versiones anteriores de un Excel en la nube no siempre son accesibles, y la pestaña de "historial de cambios" es fácilmente editable o desactivable.
  • Riesgo de acceso no controlado. Cualquier persona con el enlace puede abrir el archivo, lo que rompe la confidencialidad sobre los denunciantes y compromete la presunción de anonimato.
  • Ausencia de automatización de plazos. Los recordatorios de los 7 días y los 3 meses hay que gestionarlos a mano, con el riesgo de olvidos y de no poder demostrar que se cumplieron.
  • Dificultad de exportación auditable. Convertir un Excel en un informe firmado y verificable requiere un trabajo adicional que rara vez se hace.

Frente a este escenario, un canal con registro automatizado genera de forma nativa la evidencia que el auditor espera: cada acción del gestor (acuse, asignación, cambio de estado, comunicación, cierre) se registra con marca temporal y autor, sin posibilidad de edición retroactiva. Las plataformas más maduras, además, permiten exportar el log en formatos estándar y firmar los exportes para acreditar su integridad. La diferencia, en la práctica, es la que existe entre "tengo un canal que dice que cumplió los plazos" y "tengo un canal que puede demostrarlo evento por evento".

Para empresas medianas que necesitan ese nivel de prueba sin montar una infraestructura a medida, existen soluciones especializadas que cubren exactamente este vacío. Una de ellas es ashio, un software de canal de denuncias orientado a PYMEs europeas que mantiene un registro de actividad preparado para auditoría y con cifrado de extremo a extremo; puede ser una opción a considerar para quienes buscan ese nivel de trazabilidad sin montar una infraestructura a medida.; no es la opción adecuada para organizaciones con requisitos sectoriales complejos (banca, defensa de la competencia), que probablemente necesiten una solución enterprise con módulos de cumplimiento adicionales.

Plantilla de los 9 eventos mínimos que un registro conforme debe incluir

Una forma práctica de no dejarse nada es tratar el registro como una lista cerrada de eventos obligatorios. La siguiente plantilla, derivada directamente del artículo 24 y de las obligaciones operativas del canal interno de denuncias, recoge los 9 eventos mínimos que cualquier log auditable debe contener, con el campo, la fuente del dato y la finalidad de cada uno:

# Evento Datos mínimos a registrar Finalidad legal
1 Recepción de la denuncia Fecha, hora, canal de entrada, identificador seudonimizado Acreditar inicio del cómputo del plazo de 7 días
2 Asignación del caso Fecha, gestor o equipo asignado, rol Demostrar trazabilidad interna
3 Acuse de recibo al denunciante Fecha y hora del acuse, canal utilizado Cumplir art. 9.1 (plazo de 7 días naturales)
4 Acceso al expediente Fecha, usuario, tipo de acceso (lectura, edición, exportación) Garantizar cadena de custodia
5 Cambio de estado Estado anterior, estado nuevo, fecha, motivo resumido Acreditar seguimiento y diligencia
6 Comunicación con el denunciante Fecha, emisor, tipo (pregunta, respuesta, solicitud de aclaración) Demostrar bidireccionalidad
7 Prórroga documentada (si aplica) Fecha, motivo, nueva fecha de respuesta prevista, autoridad interna que la aprueba Cumplir art. 9.2 en investigaciones complejas
8 Decisión final Fecha, tipo (archivo, traslado, sanción, propuesta de medida), motivación breve Acreditar resolución motivada
9 Cierre del caso Fecha, verificación de plazos, referencia al expediente final Cierre formal y conservación posterior

Esta plantilla no sustituye al registro completo del caso, pero garantiza que el log de auditoría del canal de denuncias contiene, al menos, la información que cualquier autoridad va a pedir. Un registro que cubra estos nueve puntos y respete las propiedades de inmutabilidad y cadena de custodia descritas en la sección anterior se acerca mucho al estándar que un auditor considera "defendible".

Cómo enseñar este registro al DPO y al auditor sin levantar sospechas de manipulación

De nada sirve tener un buen log si al presentarlo genera dudas sobre su integridad. La forma de enseñarlo importa tanto como su contenido. Hay tres principios que el responsable de cumplimiento debe aplicar cuando el DPO o un auditor externo solicita acceso al registro.

El primero es la entrega ordenada y cronológica. No se debe abrir el sistema y dejar que el auditor explore libremente. Lo profesional es preparar un exporte firmado (PDF con hash o CSV con cadena de hashes) que cubra el período objeto de la revisión, y entregarlo con un índice de casos y un resumen ejecutivo del estado de cada uno. Este formato reduce el margen de interpretación y evita discusiones sobre qué versión del log se está consultando.

El segundo es la coherencia entre el log y la documentación soporte. Las fechas del registro deben coincidir con las de los correos, los acuses y los informes de investigación. Si el log dice que el acuse se envió el día 5 y el correo sale el día 8, la inconsistencia se convierte en evidencia de incumplimiento. Antes de cualquier entrega, conviene una revisión cruzada para descartar desfases.

El tercero es la limitación del acceso. El registro completo incluye datos personales del denunciante, cuyo tratamiento está sometido al RGPD y a la Ley Orgánica 3/2018 (LOPDGDD). Por tanto, el acceso del auditor debe limitarse a la información necesaria para acreditar el cumplimiento del canal, y el del DPO, a sus funciones de supervisión. Cualquier acceso adicional debe documentarse y, en su caso, ampararse en una base jurídica específica.

¿Qué preguntas suelen hacer los auditores sobre el registro?

Las preguntas más habituales son tres: "¿puede un administrador modificar una entrada ya registrada?", "¿cómo se acredita que el acuse de recibo se hizo dentro de los 7 días naturales?" y "¿quién ha tenido acceso al expediente y cuándo?". Tener respuestas claras y verificables para estas tres cuestiones es la mejor preparación posible. Estas preguntas se enmarcan en los requisitos de la Directiva (UE) 2019/1937, que la Ley 2/2023 transpone.

Errores frecuentes que convierten un registro válido en papel mojado ante una inspección

La diferencia entre un programa de compliance que supera una inspección y uno que la suspende rara vez está en la teoría: está en los detalles operativos del registro. Los errores más habituales que dejan al compliance officer sin defensa son los siguientes.

El primero es confundir el registro de actividad con el libro-registro general. Algunas empresas solo conservan este último, un documento agregado que resume el estado de las denuncias, pero sin la traza evento a evento. Ese resumen, por sí solo, no prueba que se cumplieron los plazos de 7 días ni de 3 meses en cada caso concreto.

El segundo es no documentar la fecha real de acuse de recibo. En muchos canales basados en correo electrónico, se envía el acuse desde una plantilla automática, pero no se conserva dentro del log del canal, sino en la bandeja del denunciante o del gestor. Si el auditor no encuentra ese evento en el log, asume que no se hizo.

El tercero es mezclar el expediente sustantivo con el log técnico. Guardar el log como una pestaña más del mismo Excel donde se vuelcan los detalles del caso no permite separar la cadena de custodia de la documentación del caso. Cualquier modificación del caso contamina el log.

El cuarto es no definir un plazo de conservación claro. Aunque la ley no fija un número exacto de años, dejar la política de retención en blanco o no documentar el criterio aplicado impide al auditor validar la destrucción o conservación futura de los datos, lo que suele acabar en observaciones formales.

El quinto, y el más costoso, es no poder demostrar la inmutabilidad. Si el sistema permite borrar filas, editar celdas o cambiar la fecha de un evento, todo el registro queda bajo sospecha. El auditor no necesita demostrar que efectivamente se manipuló: basta con que la manipulación sea técnicamente posible para que el registro pierda valor probatorio.

Evitar estos cinco errores no garantiza por sí solo el cumplimiento, pero sí elimina los motivos más comunes por los que un canal formalmente existente queda sin defensa real ante una inspección.

Preguntas frecuentes

¿Qué diferencia hay entre el registro de actividades y el libro-registro de denuncias?

El registro de actividades es la bitácora cronológica evento a evento de cada denuncia (recepción, acuse, comunicaciones, cambios de estado, cierre), mientras que el libro-registro es un documento agregado que enumera todas las denuncias tramitadas con su resultado final. El primero sirve para demostrar el cumplimiento de plazos y la cadena de custodia; el segundo, para tener una visión de conjunto del programa. Ambos son obligatorios y se complementan.

¿Cuánto tiempo debe conservarse el registro de una denuncia?

La Ley 2/2023 no fija un plazo único, pero la práctica recomendada, alineada con criterios de la AEPD, es conservar la documentación al menos hasta que se haya cerrado el caso y, posteriormente, durante el plazo de prescripción de las posibles responsabilidades (hasta 4 años en el caso general). En sectores con normativa específica, como el financiero o el de prevención de blanqueo, el plazo puede ser mayor y debe consultarse la regulación sectorial aplicable.

¿Una hoja de cálculo compartida puede servir como registro conforme?

Una hoja de cálculo puede contener los datos, pero presenta limitaciones estructurales que la invalidan como prueba ante un auditor: no garantiza la inmutabilidad de las filas, carece de trazabilidad de accesos confiable, no automatiza los plazos y depende de un control de versiones externo. Por eso, aunque la ley no prohíbe expresamente un registro manual, en la práctica solo un sistema con registro inmutable y exportable se considera defendible.

¿Quién debe tener acceso al registro de actividad del canal de denuncias?

El acceso debe limitarse al responsable del canal, a los gestores de cumplimiento autorizados, al DPO en el ejercicio de sus funciones y, en su caso, a los encargados del tratamiento que presten soporte técnico con garantías suficientes. El denunciante no tiene acceso al registro, pero sí derecho a conocer el estado de la tramitación y la resolución de su denuncia, sin que ello suponga acceso al log técnico.

¿Qué pasa si el auditor detecta una inconsistencia en el registro?

Una inconsistencia aislada no implica automáticamente incumplimiento, pero obliga al responsable de cumplimiento a justificar la discrepancia y, en su caso, a aportar documentación soporte (por ejemplo, el correo real de acuse de recibo). Si las inconsistencias son reiteradas o afectan a plazos legalmente previstos, el regulador puede considerarlas un indicio de mal funcionamiento del canal, con las consecuencias administrativas que correspondan.

Fuentes