Preguntas y respuestas sobre la Recomendación 1/2026 de la Autoridad Independiente de Protección al Informante, en el marco de la Ley 2/2023

¿Qué es la Recomendación 1/2026 de la AIPI?

La Autoridad Independiente de Protección del Informante (AIPI) (en adelante, la “AIPI”), que el 1 de septiembre de 2025 entró en funcionamiento. es la autoridad administrativa regulada en la Ley 2/2023 de 20 de febrero, reguladora de la protección de las personas que informan sobre infracciones normativas y de lucha contra la corrupción (en adelante, “Ley de Protección al Informante”).

La AIPI ha publicado en enero de 2026 su primera recomendación para orientar a las organizaciones públicas y privadas en la implementación de sistemas internos de información conforme a la Ley 2/2023, Aunque la recomendación no tiene carácter vinculante, establece los estándares técnicos que convierten el sistema interno de información en una herramienta preventiva.

 

¿Por qué es importante esta Recomendación?

Esta Recomendación proporciona los criterios técnicos y organizativos que serán utilizados por la AIPI para evaluar y sancionar los sistemas internos de información. Por tanto, es imperativo que los sujetos obligados a tener un sistema interno de información revisen urgentemente si sus estructuras actuales se adecúan a estos nuevos estándares.

 

¿Qué sujetos del sector privado están obligados a tener un sistema interno de información?

Están obligados a implementar un sistema interno de información:

1. Empresas privadas con 50 o más trabajadores en España (computando todas las modalidades de contratación), con presencia organizada o establecimiento en territorio nacional, o que desarrollan actividades a través de sucursales, agentes o prestación de servicios sin establecimiento permanente
2. Entidades financieras y de seguros (sea cual sea su tamaño)
3. Empresas afectadas por regulaciones sobre blanqueo de capitales y financiación del terrorismo
4. Operadores de transporte y empresas con obligaciones de protección ambiental
5. Organizaciones que reciben fondos públicos como, por ejemplo, partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones asociadas

 

¿Qué sujetos del sector público están obligados a tener un sistema interno de información?

En el sector público, deberán tener un sistema interno de información los siguientes sujetos:

1. Administración General del Estado
2. Administraciones de las comunidades autónomas
3. Entidades locales, organismos y entidades públicas vinculadas
4. Autoridades administrativas independientes
5. Banco de España
6. Entidades gestoras de la Seguridad Social
7. Universidades públicas
8. Corporaciones de derecho público
9. Fundaciones del sector público

La Ley de Protección al Informante prevé como excepción que los municipios menores de 10.000 habitantes puedan compartir el sistema entre sí o con otras administraciones públicas de su comunidad autónoma.

 

¿Quiénes pueden utilizar el sistema interno de información?

Podrán presentar denuncias anónimas en el sistema interno de información (también denominado canal de denuncias):

1. Todos los trabajadores de la entidad
2. Autónomos y profesionales independientes que trabajen para la entidad
3. Personas vinculadas como proveedores o contratistas
4. Extrabajadores y excolaboradores
5. Personas en procesos de selección

Eso sí, el contenido de la denuncia tiene una única condición: debe haber sido información obtenida en un contexto laboral o profesional.

 

¿Qué tipo de infracciones pueden comunicarse?

El sistema debe estar habilitado para recibir todas las categorías de infracciones previstas en la Ley de Protección al Informante:

1. Delitos
2. Infracciones administrativas graves y muy graves
3. Infracciones del Derecho de la Unión Europea

Cabe subrayar que, además, pueden comunicarse infracciones que no constituyan un ilícito penal o administrativo. Sin embargo, quien lo haga, advierte la AIPI, debe saber que no entra dentro del ámbito de protección de la Ley de Protección al Informante, por lo que estaría amparada por los derechos que la citada Ley reconoce al informante.

 

¿Cuáles son los elementos esenciales del sistema interno de información?

El sistema interno de información, es decir, el canal de denuncias, debe incluir:

1. Confidencialidad integral. La plataforma debe estar cifrada de extremo a extremo, impidiendo la identificación directa o indirecta del informante, con protección también del contenido de las comunicaciones y de cualquier dato que permita su inferencia.
2. Múltiples canales de comunicación:
   • Escrita: Por ejemplo, formularios electrónicos seguros a través de Internet, correo postal o un correo electrónico dedicado exclusivamente a la recepción de
   • Verbal: Por ejemplo, una línea telefónica. A solicitud del denunciante, se deberá celebrar una reunión presencial con el Responsable del Sistema en un máximo de 7 días.
3. Integración de buzones sectoriales. Si existen múltiples canales de denuncia (uno dedicado al acoso laboral, otro a la discriminación, etc.), deben converger bajo supervisión de un único Responsable del Sistema, garantizando una ventana única de recepción.
4. Procedimiento ágil y eficaz. Los tiempos de respuesta deben ser razonables, garantizando la ausencia de represalias.
5. Existencia de un protocolo escrito y formal que regule cada fase desde el acuse de recibo hasta la conclusión y respuesta al informante.

 

¿Quién es el Responsable del Sistema Interno de Información?

El Responsable del Sistema Interno de Información es la persona encargada del sistema interno de información. En otras palabras, la persona que gestiona el canal interno de denuncias. Puede ser:

1. Una persona física (preferentemente un directivo que sea independiente del órgano de administración)
2. Un órgano colegiado (con un máximo de 5 miembros). La AIPI considera útil y óptima esta fórmula, ya que permite reforzar la confianza y distribuye las responsabilidades de quien gestiona el sistema interno.

En el sector público, el Responsable del Sistema Información será designado preferentemente entre empleados públicos.

Las características principales del Responsable son las siguientes:

1. Ejerce sus funciones con plena independencia y autonomía
2. No puede recibir instrucción alguna en el ejercicio de sus funciones
3. Debe disponer de todos los medios personales y materiales necesarios
4. Su nombramiento y eventual cese deben notificarse a la AIPI, especificando razones justificativas en caso de cese

Para el caso de que la empresa ya cuente con un responsable de cumplimiento normativo, esta figura podrá asumir las funciones propias del Responsable del Sistema.

 

¿Cómo deben documentarse las comunicaciones verbales?

En el caso de que la comunicación del informante sea verbal, esta deberá documentarse mediante:

1. Grabación en formato seguro y duradero, o
2. Transcripción completa y exacta, en cuyo caso el informante debe tener oportunidad de comprobar, rectificar y aceptar el documento mediante firma

 

¿Pueden las entidades externalizar la gestión del sistema?

La gestión del Sistema Interno de Información puede externalizarse a terceros. Sin embargo, la responsabilidad derivada de su incorrecto funcionamiento e incumplimiento de la Ley recae íntegramente en la entidad obligada. El Responsable del Sistema, aunque sea externo, debe cumplir los mismos requisitos de independencia.

Además, en el ámbito de la Administración General del Estado y administraciones autonómicas, la externalización solo será posible acreditando insuficiencia de medios propios.

 

¿Cómo deben actuar los sujetos obligados ahora?

Tras la publicación de la Recomendación, se han fijado una serie de estándares que deben incorporarse a los canales internos de denuncia, para que, llegado el caso, se pueda evitar una sanción por parte de la AIPI. Estas son nuestras recomendaciones:

1. Identificar posibles errores en la confidencialidad de las comunicaciones, así como asegurarse de que se cuenta con un procedimiento adecuado -escrito y con garantías-conforme a los estándares fijados por la Recomendación.
2. En el caso de que no se haya hecho ya, implementar procedimientos formales escritos que regulen todas las fases de gestión
3. Integrar todos los canales de denuncia bajo un único
4. Garantizar protecciones para evitar las represalias en la normativa interna, que fomenten una cultura de denuncia de conductas irregulares.
5. Documentar todas las comunicaciones de forma segura

 

¿En qué se traduce contar con un Sistema Interno de Información apropiado?

Contar con un adecuado Sistema Interno de Información, se trate o no de un sujeto obligado por la Ley, no solo evita sanciones por parte de la AIPI, sino que reporta una serie de elementos muy beneficiosos para una empresa, ya que:

1. Las infracciones se identifican a tiempo, antes de que erosionen la reputación corporativa y se normalicen como conducta habitual en la empresa.
2. Se facilita la implementación de acciones correctivas contundentes que terminen con las conductas ilícitas, reparen sus consecuencias y eviten su repetición.
3. Se consolida una cultura donde cada miembro de la organización actúa como custodio propio del cumplimiento normativo, extendiendo las funciones del compliance officer a cada
4. Se elimina el terreno fértil para la impunidad, trasformando el ambiente laboral en un lugar de responsabilidad colectiva y cumplimiento de la ley.

 

¿Dónde puedo consultar la Recomendación completa?

La Recomendación 1/2026 está disponible en la web de la AIPI: https://www.proteccioninformante.gob.es/

También es relevante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513

Así como la Directiva que resultó en la trasposición de la citada la ley. https://eur-lex.europa.eu/legal-content/ES/ALL/?uri=CELEX:32019L1937

 

¿Cómo podemos ayudarte?

En Lupicinio International Law Firm contamos con los profesionales más experimentados y reputados en materia de cumplimiento normativo. Nuestra Socia Responsable de las áreas Penal y Cumplimiento Normativo, Fátima Rodríguez, ha asistido a numerosas empresas a implementar un adecuado modelo de compliance.

Se trata no sólo de que la empresa cumpla con los requisitos establecidos por la Ley 2/2023, sino que implemente las novedades que introduce la Recomendación 1/2026 de la Autoridad Independiente de Protección al Informante para adecuar la compañía a un entorno laboral responsable, de ética corporativa, que beneficiará a largo plazo a la empresa, sus socios, y sus empleados.

 

Autores:

• Luis Manuel García: Socio y Responsable del área de Contratos Mercantiles y Civiles, Infraestructuras y Transporte, y Sanciones Internacionales
• Ángel Valdés: Socio-Director de la Oficina de Barcelona. Director del departamento de Derecho de la Competencia. Co-responsable de las áreas de Derecho Corporativo y de Compliance
• Fátima Rodríguez: Socia y Responsable de las áreas Penal y Cumplimiento Normativo

 

******

Más información:

Lupicinio International Law Firm

C/ Villanueva 29
28001 Madrid
T: +34 91 436 00 90