TL;DR
- Investigar una denuncia interna empieza por decidir si hay algo que investigar. Antes de recopilar pruebas conviene valorar si los hechos son verosímiles, si entran en el ámbito de la Ley 2/2023 y si pueden probarse sin vulnerar derechos.
- La Ley 2/2023 obliga a acusar recibo en un máximo de siete días y a responder en tres meses, ampliables otros tres en casos de especial complejidad.
- La persona denunciada tiene derecho a conocer los hechos que se le atribuyen y a que se respete su presunción de inocencia, y la identidad del informante debe quedar protegida durante todo el proceso.
- La ley permite que la gestión del sistema la asuma un tercero externo, y un detective privado habilitado puede acreditar hechos que ocurren fuera de la empresa y que el equipo interno no alcanza a documentar.
- Desde 2026 los canales están bajo la supervisión efectiva de la Autoridad Independiente de Protección del Informante (AIPI), y una infracción muy grave puede costar a una empresa hasta 1.000.000 de euros.
Investigar una denuncia interna es la parte del canal de denuncias que más empresas siguen sin tener resuelta. Casi todas las organizaciones obligadas han publicado ya su formulario y su política, pero cuando llega la primera comunicación seria (un fraude en compras, un conflicto de intereses de un mando, un acoso) descubren que nadie ha decidido quién investiga, con qué medios ni con qué límites.
En los casos que hemos acompañado, la denuncia rara vez se pierde porque fuera falsa. Se pierde porque la investigación contaminó la prueba en las dos primeras semanas. El margen para improvisar, además, se ha estrechado este año.
Según el análisis publicado por Finreg360 en marzo de 2026, la AIPI difundió en enero sus primeras recomendaciones sobre los sistemas internos de información y en febrero habilitó el registro de responsables, de modo que el canal ha dejado de ser un enlace en la web para convertirse en algo que una autoridad externa puede revisar.
¿Qué exige la Ley 2/2023 cuando se quiere investigar una denuncia interna?
Exige un procedimiento con plazos tasados, garantías para las dos partes y un responsable identificado que responda de él. La Ley 2/2023, de protección de las personas que informen sobre infracciones normativas, obliga a disponer de un sistema interno de información a todas las empresas con 50 o más trabajadores y a determinadas entidades de sectores sensibles, como los servicios financieros, con independencia de su tamaño.
El artículo 9 de la ley fija el contenido mínimo del procedimiento. Hay que enviar acuse de recibo al informante en un plazo máximo de siete días naturales y darle respuesta en un máximo de tres meses, que pueden ampliarse hasta otros tres cuando el caso es especialmente complejo.
La persona afectada tiene derecho a que se le informe de las acciones u omisiones que se le atribuyen y a ser oída, siempre con respeto a su presunción de inocencia y a su honor. Y si los hechos pudieran ser constitutivos de delito, la información debe remitirse al Ministerio Fiscal.
| Obligación | Qué exige la Ley 2/2023 | Riesgo si se incumple |
| Acuse de recibo | Máximo siete días naturales desde la recepción | El informante puede acudir directamente al canal externo de la AIPI |
| Respuesta | Máximo tres meses, ampliables tres más si el caso es complejo | Infracción sancionable y pérdida de control sobre el caso |
| Confidencialidad del informante | Identidad protegida frente a terceros y frente al propio denunciado | Infracción muy grave, de 600.001 a 1.000.000 de euros para la empresa |
| Derechos del denunciado | Ser informado de los hechos, ser oído y presunción de inocencia | Prueba cuestionada y posible nulidad de la sanción posterior |
| Hechos con apariencia de delito | Remisión inmediata al Ministerio Fiscal | Responsabilidad de la empresa y de quien gestionó el caso |
¿Quién debe investigar una denuncia interna?
La investigación la dirige el responsable del sistema interno de información, pero no tiene por qué ejecutarla en solitario. El artículo 6 de la Ley 2/2023 permite que la gestión del sistema la asuma un tercero externo, siempre que ofrezca garantías de independencia, confidencialidad y protección de datos. En la práctica, las empresas medianas combinan tres perfiles según lo que haya que probar.
El equipo interno (cumplimiento normativo, RRHH o auditoría interna) conoce los procesos y puede revisar documentación, facturas o registros de acceso. Su límite aparece cuando el denunciado es un superior jerárquico o alguien con quien comparte equipo, porque el conflicto de intereses debilita cualquier conclusión. El abogado externo define la estrategia y decide qué consecuencias jurídicas puede tener cada hallazgo. Y cuando lo denunciado ocurre fuera de las oficinas o de los sistemas, hace falta alguien habilitado para documentarlo.
¿Qué aporta un detective privado a la investigación de una denuncia interna?
Aporta la acreditación de hechos que ocurren fuera y dentro de la empresa, con un testimonio que después puede ratificarse en juicio. Muchas denuncias describen conductas que ninguna auditoría documental puede confirmar por sí sola. Un responsable de compras que se reúne con un proveedor fuera del horario laboral, un directivo que dirige una sociedad paralela a través de un familiar o un empleado que utiliza vehículos y recursos de la empresa para un negocio propio son ejemplos habituales. Dentro de la empresa el detective puede realizar una investigación mediante la obtención de información, realización de entrevistas u otras técnicas de investigación para la recopilación de información y pruebas sobre los hechos.
La Ley 5/2014, de Seguridad Privada habilita al detective para investigar conductas y hechos privados por encargo de quien tiene un interés legítimo, y le impone límites claros. No puede acceder a comunicaciones ni a domicilios, y tampoco puede investigar delitos perseguibles de oficio, que en ese caso deben comunicarse a la autoridad. Lo que observa en espacios públicos lo recoge en su informe y lo declara en sala como testigo cualificado. Los límites que debe respetar un detective privado [ENLACE PENDIENTE: post publicado sin URL WordPress en Notion] son los mismos que en cualquier otro encargo.
| Equipo interno | Detective privado | |
| Qué acredita | Documentos, facturas, accesos y entrevistas | Conductas observables fuera y dentro de la empresa |
| Dónde actúa | Dentro de la organización y sus sistemas | Espacios públicos y registros accesibles |
| Riesgo principal | Conflicto de intereses si el denunciado es un superior | Superar los límites del artículo 48 de la Ley 5/2014 |
| Cómo llega a juicio | Documental y testifical de los entrevistados | Testimonio cualificado del detective, ratificado en sala |
¿Cómo investigar una denuncia interna sin contaminar la prueba?
El orden importa más que la rapidez, y el error más frecuente es actuar antes de haber planificado. Este es el recorrido que recomendamos cuando una empresa tiene que investigar una denuncia interna con posibles consecuencias disciplinarias o judiciales.
- Registrar la comunicación y acusar recibo sin adelantar ninguna valoración, ni siquiera de manera informal entre directivos.
- Decidir si se admite a trámite, comprobando que los hechos son verosímiles, concretos y entran en el ámbito de la ley.
- Redactar un plan de investigación antes de mover ficha, con las hipótesis, lo que hay que probar, los medios y quién se encarga de cada parte.
- Preservar la evidencia documental y técnica antes de cualquier entrevista, porque una conversación prematura alerta al denunciado.
- Informar a la persona afectada en el momento y la forma que no frustren la investigación, como permite la propia ley.
- Documentar cada entrevista con acta firmada y cerrar con un informe de conclusiones que separe hechos acreditados de simples indicios.
Caso práctico: una denuncia anónima sobre compras
El siguiente ejemplo es ilustrativo y no corresponde a ningún cliente real. Una empresa logística de unos 400 empleados recibe por su canal una comunicación anónima, que la ley permite, según la cual el jefe de compras adjudica el mantenimiento de la flota a un taller vinculado a su familia. La revisión interna confirma que los contratos con ese taller suman 640.000 euros anuales y que sus precios superan en un 18% la media de otros proveedores homologados.
El Registro Mercantil muestra que el administrador es un familiar del jefe de compras, pero eso solo prueba la relación, no la conducta. La investigación de campo, de tres semanas, documenta reuniones fuera del horario laboral en las instalaciones del taller y el uso de un vehículo de empresa para ese fin. Con ambos bloques de prueba, el responsable del sistema puede cerrar el expediente y el abogado puede fundamentar el despido y reclamar el perjuicio.
El cálculo de negocio es directo. Un sobrecoste del 18% sobre 640.000 euros supone 115.200 euros anuales que la empresa deja de perder, a lo que se suma haber cumplido el plazo de tres meses y evitado una sanción de la AIPI.
Errores comunes al investigar una denuncia interna
Error 1. Encargar la investigación al superior del denunciado
El problema. La cercanía jerárquica genera conflicto de intereses y cualquier conclusión, favorable o desfavorable, queda en entredicho.
Qué hacer. Dejar la dirección en manos del responsable del sistema y apoyarse en un tercero externo cuando el denunciado ocupe un puesto relevante.
Error 2. Entrevistar al denunciado el primer día
El problema. El denunciado tiene tiempo para borrar rastros, coordinar versiones o cambiar sus hábitos antes de que la empresa haya preservado nada.
Qué hacer. Preservar primero la evidencia y planificar la entrevista como uno de los últimos pasos, respetando su derecho a ser informado y oído.
Error 3. Revelar la identidad del informante, aunque sea de forma indirecta
El problema. Comentar detalles del caso que permitan deducir quién denunció es una infracción muy grave y expone a la empresa a represalias que la ley prohíbe.
Qué hacer. Limitar el acceso al expediente a quien lo necesita y pedir a cualquier colaborador externo un compromiso expreso de confidencialidad.
Preguntas frecuentes
¿Cuánto tiempo tiene una empresa para investigar una denuncia interna del canal?
Tres meses desde el acuse de recibo, ampliables otros tres en casos especialmente complejos. El acuse debe enviarse en un máximo de siete días naturales. Conviene fijar el plan de investigación en la primera semana para no apurar el plazo.
¿Puede una empresa contratar un detective para investigar una denuncia interna?
Sí, siempre que lo denunciado no sea un delito perseguible de oficio y la investigación se limite a hechos observables. El detective puede documentar conductas dentro y fuera de la empresa, pero no acceder a comunicaciones ni a domicilios. Su testimonio puede ratificarse después en un procedimiento.
¿Hay que informar al empleado denunciado en el canal de denuncias?
Sí, la Ley 2/2023 le reconoce el derecho a conocer los hechos que se le atribuyen y a ser oído. La empresa puede elegir el momento y la forma para no frustrar la investigación, pero no puede omitir ese trámite.
¿Qué pasa si la denuncia del canal es anónima?
Se tramita igual, porque la ley obliga a admitir comunicaciones anónimas. La dificultad es que no se puede pedir más información al informante si el canal no lo permite, por lo que la investigación depende más de la prueba que la empresa sea capaz de reunir.
¿Qué multa puede recibir una empresa por gestionar mal su canal de denuncias?
Las infracciones muy graves se sancionan con multas de 600.001 a 1.000.000 de euros para las personas jurídicas. Entre ellas figuran vulnerar la confidencialidad del informante o adoptar represalias contra él.
En resumen
- Investigar una denuncia interna exige primero valorar si los hechos son verosímiles y entran en el ámbito de la Ley 2/2023.
- La empresa debe acusar recibo en siete días naturales y responder en tres meses, ampliables tres más.
- El denunciado tiene derecho a conocer los hechos, a ser oído y a la presunción de inocencia.
- La gestión del sistema puede encargarse a un tercero externo con garantías de independencia (artículo 6 de la Ley 2/2023).
- Un detective privado acredita conductas fuera y dentro de la empresa y nunca accede a comunicaciones ni domicilios (artículo 48 de la Ley 5/2014).
- Vulnerar la confidencialidad del informante se sanciona con hasta 1.000.000 de euros.
- Desde 2026 la AIPI supervisa activamente los sistemas internos de información.
Nuestra recomendación es que el plan de investigación exista antes de que llegue la primera denuncia seria, con los perfiles y los límites ya decididos. Cuando la empresa tiene que inventarlo sobre la marcha, el plazo de tres meses se consume en discusiones internas y la prueba se resiente. Si tu empresa ha recibido una comunicación que no sabe cómo abordar, escríbenos y lo valoramos de forma confidencial.
Fuentes
- Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE), artículos 6, 7, 9 y régimen sancionador.
- Ley 5/2014, de 4 de abril, de Seguridad Privada (BOE), artículo 48.
- Comienza la supervisión real de los canales de denuncias, Finreg360, marzo de 2026.
- Qué es el canal de denuncias y cuándo es obligatorio, Legálitas.
