Externalizar el canal de denuncias: qué permite la ley y qué no
Actualizado a enero 2026 · 7 minutos de lectura
Publicado el por el equipo de EticAlert
Muchas pymes que reciben la noticia de la obligación de tener un canal de denuncias reaccionan con una pregunta razonable: ¿puede hacerlo alguien por nosotros? La respuesta es: sí, en parte. La Ley 2/2023 permite externalizar elementos importantes del sistema, pero establece límites claros. Entender qué se puede y qué no se puede delegar es fundamental para no caer en el error de creer que has cumplido cuando en realidad sigues expuesto.
Qué SÍ se puede externalizar
1. La herramienta técnica (plataforma SaaS)
La infraestructura técnica del canal puede y debe externalizarse. No tiene ningún sentido que una pyme de 50-100 empleados construya su propio software de canal de denuncias. Usar una plataforma SaaS como EticAlert es exactamente eso: externalizar la tecnología manteniendo el control operativo.
La plataforma SaaS actúa como encargado del tratamiento (art. 28 RGPD) y firma el correspondiente Acuerdo de Encargado de Tratamiento con la empresa responsable.
2. La instrucción de denuncias complejas
El RSII interno puede —y a menudo debe— apoyarse en asesores externos para la instrucción de casos complejos. Un caso de acoso sexual, un fraude contable con ramificaciones penales o una irregularidad en una licitación pública son situaciones que justifican contratar a un abogado especialista en compliance o laboral para llevar la investigación.
El asesor externo actúa como apoyo al RSII, no como sustituto. La responsabilidad formal sigue siendo del RSII y de la organización.
3. La formación del RSII
Cursos de formación en gestión de canales de denuncias, compliance, RGPD o protocolo de investigación pueden ser impartidos por terceros. Es una externalización deseable: el RSII debe estar bien formado y la formación externa aporta perspectiva y conocimiento especializado.
4. La redacción de la política del SII
Un despacho de abogados o consultora de compliance puede redactar la política del SII en nombre de la empresa. La empresa la aprueba y la firma: la responsabilidad sigue siendo suya, pero la elaboración del documento puede externalizarse.
5. La comunicación interna sobre el canal
Agencias de comunicación interna, consultoras de RRHH o incluso la propia plataforma SaaS pueden ayudar a diseñar y ejecutar la campaña de comunicación interna del canal.
Qué NO se puede externalizar
1. El RSII debe ser una persona de la propia organización
Este es el límite más importante y el que más confusión genera. La Ley 2/2023 exige que el Responsable del Sistema Interno de Información sea una persona perteneciente a la organización con la independencia funcional necesaria. No puede ser un abogado externo quien asuma completamente el rol de RSII.
Lo que sí puede hacerse es que el RSII sea alguien con perfil que minimice el conflicto de interés (el director financiero, el director jurídico interno, el compliance officer), y que esa persona se apoye en asesores externos para los casos que requieran más conocimiento especializado.
2. La responsabilidad de cumplimiento no se delega
Aunque contrates a la mejor consultora del mercado para implantar y gestionar tu canal, la responsabilidad ante la AIPI en caso de incumplimiento recae sobre la organización y sus administradores, no sobre la consultora.
Si la consultora hace mal su trabajo y el canal no cumple los requisitos, la sanción la recibe la empresa. Por eso, aunque externalices la ejecución, debes mantener la supervisión.
3. La notificación del RSII a la AIPI
La notificación oficial del RSII designado a la AIPI es un acto formal que debe realizarse con los datos de una persona interna. No puedes notificar a la AIPI que tu RSII es una consultora externa.
4. La decisión final sobre las medidas adoptadas
La resolución de cada expediente —qué medidas se adoptan, si hay sanción disciplinaria, si se deriva a las autoridades— es siempre una decisión de la organización. El asesor externo puede recomendar, pero decidir corresponde a la empresa.
El modelo habitual para pymes
El modelo más frecuente en pymes españolas que cumplen la ley correctamente combina tres elementos:
- Plataforma SaaS (como EticAlert): proporciona la infraestructura técnica del canal. Coste mínimo, activación inmediata, mantenimiento automático.
- RSII interno: el director de RRHH, el CFO o el director jurídico asume el rol. Gestiona el canal en el día a día, acusa recibo, tramita expedientes sencillos.
- Despacho partner (opcional): para casos complejos que excedan la capacidad o conocimiento del RSII interno. Se contrata puntualmente, por caso.
Este modelo es el más eficiente: mínimo coste, máximo cumplimiento, responsabilidad claramente asignada.
Grupos de empresas: compartir canal si hay menos de 250 empleados
Un caso especial de "externalización" permitida por la ley: los grupos de empresas cuyas entidades tengan entre 50 y 249 empleados pueden compartir un único canal de denuncias para todo el grupo. Esto es especialmente relevante para:
- Grupos familiares con varias sociedades, cada una con 50-150 empleados.
- Franquiciadores que quieran ofrecer un canal compartido a sus franquiciados.
- Holdings con filiales que individualmente no tendrían la escala para justificar una inversión en compliance.
Incluso compartiendo el canal, cada empresa del grupo sigue siendo responsable de designar su propio RSII y de cumplir con la Ley 2/2023 de forma individual.
EticAlert como infraestructura externalizada
EticAlert cubre exactamente la parte que sí se puede —y debe— externalizar: la tecnología. La empresa mantiene el control operativo a través del RSII interno, pero no tiene que preocuparse por la seguridad técnica, el cumplimiento del RGPD, las actualizaciones ante cambios normativos ni la disponibilidad del sistema.
→ Cómo funciona el canal de denuncias de EticAlert para pymes
La herramienta la ponemos nosotros. La responsabilidad es tuya
EticAlert externaliza la tecnología para que tu RSII se concentre en gestionar los casos, no en mantener sistemas. Starter desde 9€/mes · Business 19€/mes · Company 39€/mes.
La herramienta la ponemos nosotros. La responsabilidad es tuya →Recursos relacionados: