Checklist de cumplimiento de la Ley 2/2023: los 5 pasos que no te puedes dejar

Cuando se habla de "cumplir la Ley 2/2023", la mayoría piensa solo en tener un canal técnico donde recibir denuncias. Pero la ley exige cinco cosas, no una, y las cuatro que no son "tener la herramienta" son las que más empresas se dejan a medias. Este es el checklist completo.

1. Tener el canal publicado y operativo

El punto de partida: una dirección propia donde cualquier persona —empleado, proveedor, excolaborador— pueda presentar una comunicación, con o sin identificarse. Debe admitir anonimato real, no solo "no preguntar el nombre". Si todavía tienes dudas sobre qué implica esto exactamente, lo explicamos en detalle en qué es un canal de denuncias.

2. Aprobar formalmente la política del canal

No basta con tener el canal activo: la ley exige que exista un documento de política aprobado formalmente por quien administra la empresa —tú mismo si eres autónomo, o el órgano de administración si sois varios. No es un trámite simbólico: define cómo se presentan las comunicaciones, quién las gestiona, los plazos y las garantías de confidencialidad. Sin esa aprobación formal (firmada y fechada, o recogida en acta), el canal existe técnicamente pero el cumplimiento está incompleto.

3. Designar al Responsable del Sistema

Alguien tiene que gestionar lo que llega al canal, y esa persona debe cumplir un requisito que se pasa por alto con frecuencia: independencia real respecto a quienes podría tener que investigar. Te explicamos quién puede serlo y cómo se hace correctamente en cómo designar al Responsable del Sistema.

4. Comunicar la designación a la autoridad competente

Este es, probablemente, el paso que más pymes se dejan sin hacer — no por negligencia, sino porque no saben que existe. En los 10 días hábiles siguientes al nombramiento del Responsable, hay que comunicarlo formalmente a la Autoridad Independiente de Protección del Informante (A.A.I.) o a la autoridad autonómica competente, según dónde tenga centros de trabajo tu empresa. La tabla completa, comunidad por comunidad, está en nuestra guía de comunicación a la A.A.I.

5. Gestionar cada comunicación dentro de los plazos legales

Una vez llega una comunicación, empieza a correr el reloj:

• 7 días naturales para el acuse de recibo.
• 3 meses para la investigación (prorrogables en casos especialmente complejos).
• Registro de toda la actividad en el libro-registro del expediente, con trazabilidad de quién accede y cuándo.

Dejar pasar estos plazos sin gestión es en sí mismo un incumplimiento, incluso si al final la comunicación se resuelve bien.

Lo que pasa si te dejas alguno a medias

No hace falta incumplir los cinco puntos para tener un problema: basta con uno. No comunicar la designación a tiempo, o no tener la política aprobada, son infracciones sancionables por sí solas, aunque el canal esté técnicamente funcionando — puedes ver los importes concretos en nuestra guía de sanciones.

Cómo verificar tu propio estado

Si usas 1r9, este checklist está literalmente integrado en tu panel: ves de un vistazo cuáles de los cinco puntos tienes resueltos y cuáles no, con un enlace directo a completar cada uno. Si gestionas tu canal por otra vía, revisa uno por uno estos cinco puntos — es habitual descubrir que el "cumplimos la ley" real se queda en el primero de los cinco.