Se trata de la primera gran guía emitida por la AIPI desde su puesta en marcha en septiembre de 2025, y responde —según reconoce la propia institución— a la “avalancha de consultas” recibidas por parte de entidades públicas y privadas que aún presentan dudas sobre cómo cumplir correctamente con las obligaciones legales en materia de canales internos de denuncia.
Un documento para convertir la obligación legal en una herramienta de integridad
La Recomendación 1/2026 no tiene carácter normativo ni vinculante, pero sí pretende fijar estándares mínimos de calidad para que los SII dejen de ser un mero requisito formal y se conviertan en una infraestructura de integridad capaz de prevenir riesgos, detectar irregularidades y reforzar la cultura ética de las organizaciones.
El documento subraya que el SII debe funcionar como un mecanismo de aprendizaje organizacional, permitiendo:
-
Detectar infracciones antes de que se consoliden.
-
Adoptar medidas correctoras eficaces.
-
Reforzar la idea de que todos los miembros de la organización son “guardianes de la legalidad”.
-
Reducir espacios de impunidad y fomentar la responsabilidad compartida.
La AIPI insiste en que el SII no puede ser “un simple buzón”, sino el corazón de una estrategia integral de cumplimiento.
Quiénes están obligados a implantar un SII
La Recomendación dedica un amplio apartado a aclarar el alcance de la obligación legal, que afecta tanto al sector privado como al sector público.
En el sector privado, deben implantar un SII:
-
Empresas con 50 o más trabajadores.
-
Entidades sujetas a normativa europea en materia financiera, medioambiental, transporte o prevención del blanqueo, sin importar su tamaño.
-
Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones si gestionan fondos públicos.
La AIPI detalla criterios de cómputo de plantilla, incluyendo contratos temporales, ETT, fijos discontinuos y teletrabajadores.
En el sector público, están obligados:
-
Todas las administraciones (estatal, autonómica y local).
-
Organismos públicos, universidades, corporaciones de derecho público y fundaciones del sector público.
-
Sociedades mercantiles públicas con participación mayoritaria.
-
Órganos constitucionales y sus equivalentes autonómicos.
Cómo debe ser un Sistema Interno de Información
La Recomendación desarrolla los principios esenciales que debe cumplir cualquier SII para considerarse conforme a la Ley 2/2023:
1. Accesibilidad universal
El sistema debe permitir comunicar infracciones no solo a empleados, sino también a autónomos, proveedores, extrabajadores y candidatos en procesos de selección.
2. Confidencialidad absoluta
La plataforma debe garantizar la protección de la identidad del informante mediante sistemas seguros y cifrados, con acceso restringido y trazabilidad controlada.
3. Omnicanalidad obligatoria
El canal debe admitir comunicaciones por escrito y verbalmente, incluyendo la posibilidad de solicitar una reunión presencial en un plazo máximo de siete días.
4. Gestión centralizada
Todos los canales internos existentes (por ejemplo, acoso laboral, ética, cumplimiento) deben integrarse bajo la supervisión del Responsable del Sistema Interno de Información (RSII).
5. Independencia funcional
El SII debe ser autónomo respecto de otros sistemas de la organización y, en caso de externalización, la responsabilidad última seguirá recayendo en la entidad obligada.
6. Transparencia interna
Las organizaciones deben aprobar y difundir una política del SII, accesible para toda la plantilla y colaboradores.
7. Procedimiento claro y garantista
El sistema debe cumplir los plazos legales:
-
7 días para acusar recibo.
-
3 meses para dar respuesta motivada.
8. Protección frente a represalias
La entidad debe garantizar que el informante no sufrirá consecuencias negativas por comunicar de buena fe.
El papel clave del Responsable del Sistema Interno de Información
La Recomendación dedica un apartado extenso a la figura del RSII, que se convierte en el eje operativo del sistema. Puede ser:
-
Una persona física (preferentemente un directivo con independencia real).
-
Un órgano colegiado.
-
Un externo, siempre que se garantice su autonomía.
En el sector público, la AIPI recomienda que el RSII sea un empleado público, evitando cargos electos o responsables políticos para preservar la neutralidad.
Externalización, sistemas compartidos y grupos de empresas
La AIPI aclara cuestiones que habían generado dudas:
-
La externalización es posible, pero solo para la recepción de informaciones, y la responsabilidad sigue siendo de la entidad.
-
Municipios de menos de 10.000 habitantes y empresas de 50 a 249 trabajadores pueden compartir SII.
-
En los grupos de empresas, cada sociedad es sujeto obligado individual, aunque pueden utilizar un sistema común si cumple íntegramente la Ley 2/2023.
Una guía que marca el camino del cumplimiento
Con esta Recomendación 1/2026, la AIPI busca homogeneizar criterios, resolver dudas y elevar el estándar de calidad de los sistemas internos de información en España. La institución anuncia que en los próximos meses publicará recomendaciones sectoriales específicas para ámbitos con particularidades propias.
La guía se presenta como un documento vivo, susceptible de actualización, y aspira a convertirse en la referencia técnica para empresas, administraciones y profesionales del cumplimiento normativo.