Fecha de inicio de actividades de la Autoridad Independiente de Protección del Informante

A partir de este momento, las empresas obligadas por la Ley 2/2023, de Protección al Informante (la “Ley 2/2023”), que no hayan implementado un Sistema Interno de Información (comúnmente “canal de denuncias”) y designado y comunicado antes del 1 de noviembre de 2025 a la AAI un responsable de su gestión, o no hayan adaptado a esta normativa sus antiguos canales de denuncia, podrán ser sancionadas con multas de entre 600.001 a 1.000.0000 de euros, además de otras sanciones adicionales como la prohibición de contratar con el sector público u obtener subvenciones.
 

1. ¿Quiénes están obligados?

La obligación afecta a un espectro muy amplio de empresas, bien en función de su actividad, bien por su número de empleados:

• En función de su actividad:
  • Empresas sujetas a la normativa de prevención de blanqueo de capitales y financiación del terrorismo (entidades financieras, aseguradoras, inmobiliarias, auditores, asesores legales y fiscales, notarios, registradores, casinos, fundaciones, proveedores de servicios de criptomonedas, etc.).
  • Empresas de sectores regulados en servicios, productos, mercados financieros, seguridad del transporte y protección medioambiental.
  • Empresas que desarrollen su actividad a través de sucursales o agentes o mediante la prestación de servicios sin establecimiento permanente que desarrollen su actividad en España, aunque no tengan su domicilio en el país.

• En función de su número de empleados:
  • Toda empresa o entidad con 50 o más empleados, sea cual sea su sector de actividad.

2. ¿Cuál es el plazo para la notificación del Responsable del Sistema Interno de Información a la AAI?

Con la entrada en vigor de la AAI, las empresas que ya hubieran designado responsable del Sistema Interno de Información desde marzo de 2023 deberán notificarlo en el plazo extraordinario que finaliza el 1 de noviembre de 2025. A partir de esa fecha, cualquier nombramiento o cese deberá ser comunicado a la AAI dentro de los diez días hábiles siguientes a su adopción, conforme al artículo 8.3 de la Ley.

3. ¿Cómo debe realizarse la notificación?

Por el momento, ninguna de las disposiciones aprobadas en esta materia (ni la propia Ley, ni el Estatuto de la AAI ni la reciente Orden) ha concretado el procedimiento específico para formalizar el nombramiento o cese del responsable del Sistema Interno de Información. Todo apunta a que la Autoridad Nacional habilitará un canal telemático accesible desde su web, previsiblemente de acuerdo con estándares ya aplicados por otras autoridades autonómicas (como es el caso de la Oficina Antifrau de Catalunya). Sin embargo, aún no se han publicado instrucciones detalladas, formularios específicos o direcciones de contacto para este trámite. Por tal motivo, recomendamos estar atentos a la próxima actualización oficial de la AAI, que se espera antes del 1 de noviembre de 2025.

4. Recomendaciones para un cumplimiento eficaz

Mientras tanto –y con vistas a minimizar riesgos– las empresas obligadas deben llevar a cabo una hoja de ruta básica para garantizar el cumplimiento:

• Revisar y documentar que la designación del responsable (o responsables) del sistema interno de información es válida y conforme a la Ley.
• Preparar toda la información necesaria para su comunicación inmediata a la AAI cuando se habilite el registro.
• Asegurarse de que el canal de denuncias y sus políticas cumplen con todos los requisitos legales, especialmente en materia de confidencialidad y protección frente a represalias.
• Formalizar y comunicar internamente la política y procedimiento operativo del sistema, asegurando que todos los empleados han recibido información adecuada y accesible.
• Implementar medidas técnicas y organizativas que garanticen la protección de la identidad del informante y la correcta conservación de la información.
• Verificar la transparencia en la web corporativa, esto es, la existencia de un acceso sencillo y visible al canal, así como toda la información exigida por la Ley 2/2023.

En conclusión, la puesta en marcha efectiva de la AAI exige en este momento a las empresas pasar de la mera adecuación formal a la verdadera cultura de cumplimiento, siendo aconsejable la revisión de sus procedimientos, designar a los responsables y anticipar su registro.