La entrada en vigor de la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, de la que ya hablábamos en este otro artículo, ha supuesto un cambio estructural en los sistemas de cumplimiento normativo de entidades públicas y privadas en España.
En las últimas semanas, el interés por esta norma se ha incrementado notablemente debido a que ya está plenamente operativa la Autoridad Independiente de Protección del Informante (AIPI), lo que activa definitivamente determinadas obligaciones que muchas organizaciones siguen teniendo pendientes. Entre ellas, hay una especialmente relevante: la obligación de comunicar la designación del Responsable del Sistema Interno de Información dentro del plazo establecido, es decir, antes del 10 de abril de 2026.
En este artículo, repasamos:
- Qué entidades están obligadas por la Ley 2/2023.
- Qué es la AIPI y cuál es su función.
- Por qué es obligatorio comunicar el Responsable del Sistema.
- Qué ocurre a nivel autonómico con los canales externos.
Ámbito de aplicación: ¿qué entidades están obligadas?
La Ley 2/2023 transpone la Directiva (UE) 2019/1937 y establece la obligación de implantar un Sistema Interno de Información (SII) en los siguientes casos:
Sector privado
- Personas físicas o jurídicas con 50 o más trabajadores.
- Empresas de cualquier tamaño que operen en determinados sectores regulados (servicios financieros, prevención del blanqueo, seguridad del transporte, protección del medio ambiente, etc.).
- Partidos políticos, sindicatos y organizaciones empresariales que reciban financiación pública.
Sector público
- Todas las entidades del sector público.
- Administraciones territoriales.
- Organismos y entidades vinculadas o dependientes.
- Universidades públicas.
- Corporaciones de derecho público.
Es decir, hablamos de una gran cantidad de organizaciones que ya deberían tener un canal interno operativo, un procedimiento aprobado y un Responsable del Sistema designado. Y ahora, además, esa designación debe notificarse a la AIPI.
¿Qué es la Autoridad Independiente de Protección del Informante (AIPI)?
La AIPI es el organismo estatal que se encarga de:
- Gestionar el canal externo de información.
- Garantizar la protección de las personas informantes.
- Supervisar el correcto funcionamiento del sistema.
- Ejercer potestad sancionadora.
Su finalidad principal es ofrecer una vía externa segura para comunicar infracciones cuando no exista canal interno o este no sea fiable o seguro. Y, con su operatividad al 100%, el sistema español de protección del informante queda ya completamente desplegado.
Comunicar el Responsable del Sistema Interno de Información, una obligación clave
Uno de los aspectos que más dudas está generando actualmente es la obligación de comunicar a la AIPI la identidad del Responsable del Sistema Interno de Información, que aplica a todas las entidades que, en cumplimiento de la Ley 2/2023, ya hayan designado a su Responsable del Sistema.
¿Qué implica esta comunicación?
- Notificación formal a la AIPI, o en su caso, a las Autoridades Autonómicas.
- Identificación de la persona responsable.
- Actualización si se produce un cambio.
No se trata de una cuestión meramente formal: la ley configura al Responsable del Sistema como una figura central que debe garantizar independencia, autonomía, ausencia de conflicto de intereses y recursos suficientes.
No implantar el sistema o no designar adecuadamente al responsable antes de la fecha límite (10 de abril) puede dar lugar a infracciones graves con sanciones económicas importantes.
Las Autoridades Autonómicas
Además de la AIPI a nivel estatal, varias comunidades autónomas cuentan con autoridades propias como canales externos de información a las cuales también hay que comunicar el Responsable. Estas son las que existen en estos momentos:
- Oficina Antifraude de Cataluña.
- Agencia de Prevención y Lucha contra el Fraude y la Corrupción de la Comunitat Valenciana.
- Oficina de Buenas Prácticas y Anticorrupción de Navarra.
- Oficina Andaluza contra el Fraude y la Corrupción.
- Autoridad Gallega de Protección de la Persona Informante.
- Autoridad Independiente en materia de Corrupción de Castilla y León.
- Consejo Regional de Transparencia y Buen Gobierno de Castilla-La Mancha.
- Consejo de Transparencia y Protección de Datos de la Comunidad de Madrid.
Riesgos y buenas prácticas
Las consecuencias de incumplir la Ley 2/2023 no son menores:
- Multas de hasta 1.000.000 € para personas jurídicas.
- Publicidad de la sanción.
- Prohibición de obtener subvenciones o contratar con el sector público.
- Daños irreparables en la reputación y en la imagen de la entidad afectada.
En muchos casos, las organizaciones han implantado el canal pero no han completado alguna o varias de las obligaciones asociadas. Desde APDTIC y con una perspectiva de compliance, te recomendamos que revises las siguientes cuestiones dentro de tu organización:
- ¿Existe Sistema Interno de Información formalmente aprobado?
- ¿Está designado el Responsable del Sistema?
- ¿Se ha documentado adecuadamente su independencia?
- ¿Se ha comunicado su designación a la AIPI / Autoridad Autonómica?
- ¿Está actualizado el procedimiento conforme a la Ley 2/2023?
- ¿Se han formado los empleados?
Conclusión
Ya no basta con tener un buzón o una herramienta tecnológica similar. Ahora, la AIPI está plenamente operativa y ello marca un punto de inflexión en la aplicación real de la Ley 2/2023. Si eres una entidad obligada, ya no puedes posponer más ni la implantación del Sistema Interno de Información, ni la designación formal del Responsable ni la comunicación de dicha designación.
En un momento en el que la transparencia y la lucha contra la corrupción forman parte de la agenda regulatoria europea, recuerda que el cumplimiento de esta ley no es solo una exigencia legal: constituye un elemento estratégico de gobernanza y reputación.
