¿Cómo investigar una denuncia interna sin poner en riesgo a la empresa?

Investigar una denuncia interna de forma correcta ya no es solo una buena práctica de compliance: es una obligación legal exigible y sancionable. Desde la entrada en vigor de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, las empresas de 50 o más trabajadores —y otras entidades obligadas con independencia de su plantilla— deben contar con un Sistema Interno de Información (el «canal de denuncias«). Pero disponer del canal es solo el primer paso. La ley exige, además, que toda comunicación recibida dé lugar a una investigación gestionada conforme a unos principios estrictos: confidencialidad, imparcialidad, diligencia y protección del informante frente a represalias.

La Autoridad Independiente de Protección del Informante (AAI, también citada como AIPI) es plenamente operativa desde el 1 de septiembre de 2025 y ya tiene capacidad efectiva para inspeccionar, requerir documentación y sancionar. Esto significa que una investigación mal gestionada ya no es solo un riesgo laboral o reputacional: puede convertirse en un expediente sancionador administrativo, con sanciones que pueden alcanzar 1.000.000 € en el caso de personas jurídicas, además de la eventual responsabilidad personal de los administradores por omisión de sus deberes de diligencia.

A esto se suma que muchas denuncias internas —por acoso, discriminación, irregularidades contables o incumplimientos normativos— acaban, si se gestionan mal, judicializadas ante la jurisdicción social o penal. En ese terreno, los tribunales analizan con lupa cómo se instruyó la investigación, qué garantías se dieron al denunciado y si la decisión empresarial guardó relación real con los hechos investigados o con el propio hecho de haber denunciado.

¿Cuáles son los errores más frecuentes al investigar una denuncia interna?

En la práctica, los problemas no suelen surgir por mala fe, sino por prisas, desconocimiento del procedimiento o improvisación. Los más habituales son:

• Confundir «canal de denuncias» con «buzón de sugerencias». La AAI ha señalado en su Recomendación 1/2026 que el Sistema Interno de Información debe funcionar como una infraestructura de integridad única, con un Responsable del Sistema designado, y no como una simple dirección de correo genérica sin trazabilidad.
• No garantizar la confidencialidad de la identidad del informante. El artículo 26 de la Ley 2/2023 protege expresamente esta identidad; su quiebra —por ejemplo, comentarla informalmente entre mandos o dejarla accesible en documentos compartidos— es una de las infracciones más graves que puede sancionar la AAI
• Actuar contra el denunciado antes de investigar. Adoptar medidas disciplinarias precipitadas, sin dar audiencia ni recabar pruebas, vulnera el derecho de defensa y debilita cualquier sanción posterior ante los tribunales.
• Omitir la audiencia al investigado o limitarla de forma formal. La instrucción de la sesión de la Fundación Fide sobre esta materia recuerda que el orden habitual de comparecencia es: primero testigos relevantes, después testigos secundarios y, finalmente, la persona denunciada, con derecho a asistencia letrada y acceso a lo actuado en los términos que permita la investigación.
• No documentar el procedimiento. La ley exige un libro-registro de las informaciones recibidas y de las investigaciones que originan (art. 24 y 32 Ley 2/2023). La ausencia de trazabilidad documental deja a la empresa sin forma de acreditar que actuó con diligencia si el caso se judicializa.
• Recabar más datos personales de los estrictamente necesarios. El principio de minimización de datos aplica con especial rigor: solo se deben tratar los datos objetivamente necesarios para investigar los hechos denunciados, y no pueden reutilizarse para fines distintos.
• Confundir la protección del informante con inmunidad ante cualquier consecuencia. Utilizar el canal de forma fraudulenta —por ejemplo, para blindarse frente a una decisión empresarial ya anunciada— no otorga automáticamente el estatuto de persona protegida; los tribunales han empezado a examinar también estos usos abusivos.
• Retrasar el inicio de actuaciones. Transcurridos tres meses desde la recepción de la comunicación sin haber iniciado la investigación, la ley obliga a suprimir los datos personales asociados, salvo que la conservación se limite a acreditar el funcionamiento del sistema (art. 32.3 y 32.4 Ley 2/2023).

¿Cuál es el procedimiento correcto para investigar una denuncia interna?

Una investigación interna sólida sigue, con carácter general, esta secuencia:

1. Recepción y acuse de recibo. El Responsable del Sistema (o quien tenga delegada la función) registra la comunicación en el libro-registro y confirma su recepción al informante dentro de los plazos legales, sin exponer su identidad.
2. Análisis preliminar de admisibilidad. Se valora si los hechos encajan en el ámbito objetivo de la Ley 2/2023 (art. 2) y si existe conexión laboral o profesional entre informante y persona afectada. No toda comunicación exige una investigación formal; algunas pueden archivarse motivadamente si son manifiestamente infundadas.
3. Designación de un equipo instructor imparcial. Debe evitarse cualquier vínculo jerárquico o personal entre quien instruye y las personas implicadas. En organizaciones pequeñas, puede ser recomendable recurrir a instructores externos para reforzar la imparcialidad.
4. Plan de investigación y recogida de pruebas. Documentales, testificales y, en su caso, periciales, respetando en todo momento el principio de proporcionalidad y evitando medidas de control (correo electrónico, cámaras, geolocalización) que no cuenten con base legal o política interna previamente comunicada.
5. Audiencia a las personas implicadas. El momento de comunicar la investigación a la persona denunciada debe modularse en función del riesgo de destrucción de pruebas, pero en todo caso debe garantizarse su derecho a ser oída y, si procede, asistida.
6. Informe de conclusiones. Debe recoger de forma objetiva los hechos acreditados, la valoración de la prueba y una propuesta motivada, diferenciando claramente entre hechos probados y valoraciones.
7. Decisión y comunicación de resultados. La empresa adopta las medidas que procedan (disciplinarias, organizativas, de protección al informante) y comunica el resultado en los términos legalmente exigidos, conservando la documentación conforme a los plazos del artículo 32.
8. Protección continuada frente a represalias. La obligación de proteger al informante no termina con el informe: se extiende a cualquier perjuicio posterior relacionado, directa o indirectamente, con la comunicación realizada.

¿Qué consecuencias tiene investigar mal una denuncia interna?

Los riesgos de una investigación defectuosa se despliegan en varios frentes:

• Sancionador (AAI/AIPI). El incumplimiento de las obligaciones del Sistema Interno de Información —incluida una investigación que no respete confidencialidad o garantías— puede calificarse como infracción muy grave, con multas de entre 30.001 € y 300.000 € para personas físicas, y hasta 1.000.000 € para personas jurídicas, según los distintos rangos previstos en la norma. La AAI ya inspecciona y puede requerir documentación de forma efectiva.
• Laboral. Un despido u otra medida disciplinaria basada en una investigación defectuosa, o adoptada como represalia frente a una denuncia o al ejercicio de acciones legales, puede declararse nulo por vulneración de derechos fundamentales (garantía de indemnidad, art. 55.5 ET), con readmisión obligatoria e indemnización por daño moral, cuya cuantía los tribunales fijan de forma prudencial atendiendo, entre otros criterios orientativos, al régimen sancionador laboral.
• Protección de datos. El tratamiento de datos personales fuera de la finalidad de investigar los hechos denunciados, su conservación más allá de los plazos legales o su acceso por personas no autorizadas puede constituir, además, una infracción del RGPD y de la propia Ley 2/2023 en materia de protección de datos, con la correspondiente exposición ante la AEPD.
• Reputacional y de gobierno corporativo. Una investigación filtrada, parcial o percibida como un instrumento para represaliar a quien denuncia deteriora la confianza interna en el sistema de compliance y puede dificultar que futuras irregularidades se comuniquen a través del canal interno, en lugar de acabar directamente en la autoridad externa o en los medios.
• Prueba ilícita. Si la investigación se ha nutrido de pruebas obtenidas con vulneración de derechos fundamentales (por ejemplo, grabaciones o accesos a comunicaciones sin base legal), esas pruebas pueden ser inadmitidas en el proceso judicial posterior, debilitando la posición de la empresa aunque los hechos de fondo fueran ciertos.

¿Cómo se resume todo esto para la empresa?

Investigar bien una denuncia interna no es un ejercicio puramente formal: es la garantía que permite a la empresa actuar frente a irregularidades reales sin exponerse a sanciones administrativas, nulidades laborales o responsabilidad reputacional. La clave está en la combinación de tres elementos: un procedimiento diseñado conforme a la Ley 2/2023, una instrucción imparcial y documentada, y un tratamiento de datos personales ajustado al principio de minimización. Cuando estos tres elementos coinciden, la investigación protege tanto a quien denuncia de buena fe como a la organización que debe decidir con seguridad jurídica.

¿Cómo podemos ayudar a tu empresa?

En AGM Abogados asesoramos a empresas y fundaciones en el diseño e implementación de protocolos de investigación interna, en la instrucción de denuncias conforme a la Ley 2/2023 y en la prevención de riesgos penales derivados de una gestión inadecuada. Descubre más sobre nuestro servicio de Investigaciones internas.

Si necesitas ayuda o quieres ampliar información, Investigaciones internas.