Tener un canal de denuncias ya no es suficiente: el caso del Puerto de Valencia cuestiona los servicios “llave en mano”

La implantación formal de un canal de denuncias ya no basta para acreditar el cumplimiento de la Ley 2/2023. El caso de la Autoridad Portuaria de Valencia evidencia que el verdadero riesgo puede encontrarse en la forma en que se ha configurado el Sistema Interno de Información y, especialmente, en las funciones atribuidas a proveedores externos. Según la información publicada por elDiario.es, la Autoridad Independiente de Protección del Informante —AIPI— habría finalizado unas actuaciones previas de comprobación relacionadas con el canal interno de la Autoridad Portuaria de Valencia y habría apreciado indicios suficientes para trasladar el asunto al departamento encargado del procedimiento sancionador. El expediente tendría su origen en una denuncia anónima y se centraría en el alcance de las funciones encomendadas a la empresa contratada para gestionar el canal.

La cuestión es relevante porque no se reprocha a la entidad la inexistencia de un canal, sino una posible externalización irregular de funciones que la legislación reserva al Responsable del Sistema Interno de Información. Conviene, no obstante, mantener la debida cautela. La Autoridad Portuaria señaló al citado medio que, mediante resolución de 14 de abril de 2026, se había declarado concluida la fase de comprobación e instrucción, pero que en ese momento no le constaba formalmente el inicio de un procedimiento sancionador. Tampoco se ha localizado en la web pública de la AIPI una resolución completa sobre este caso. Por tanto, no existe todavía una sanción firme y la eventual responsabilidad deberá determinarse dentro del correspondiente procedimiento, con todas las garantías aplicables.

El contrato que ha puesto el foco sobre la externalización

De acuerdo con la información publicada, la Autoridad Portuaria formalizó en mayo de 2023 un contrato de 74.959 euros, IVA incluido, y tres años de duración para la gestión de su canal interno de denuncias. El pliego habría atribuido al proveedor tareas como analizar las comunicaciones, determinar si existían evidencias razonables, recomendar el alcance de las investigaciones, emitir informes motivados y prestar servicios de investigación.  El problema jurídico no reside en contratar una plataforma tecnológica ni en recurrir a asesoramiento externo especializado. La controversia surge cuando el proveedor deja de ser un apoyo instrumental y pasa a asumir, de hecho, funciones centrales en la admisión, instrucción o valoración de los expedientes.

La Ley 2/2023 permite que un tercero externo gestione determinados aspectos del sistema, pero exige que esa gestión tenga carácter exclusivamente instrumental. En las administraciones públicas, además, la externalización solo puede acordarse cuando se acredite la insuficiencia de medios propios conforme a la legislación de contratos del sector público.

La Recomendación 1/2026 de la AIPI desarrolla este criterio con mayor precisión: en el sector público, la intervención externa debe limitarse al procedimiento de recepción de las informaciones, mientras que la tramitación, la investigación y las decisiones materiales deben permanecer bajo la responsabilidad de la entidad obligada.

La reciente Recomendación 3/2026, dedicada a la Administración General del Estado y sus entidades instrumentales, insiste en la misma separación. La plataforma puede ser operada por un proveedor especializado, pero las decisiones sobre admisión, investigación y resolución corresponden siempre al Responsable del Sistema. También recomienda que los contratos externos incorporen garantías reforzadas de confidencialidad, seguridad, protección de datos y limitación del acceso a los expedientes.

Canal y Sistema Interno de Información no son lo mismo

El caso pone de manifiesto una confusión todavía frecuente. El canal es únicamente la vía mediante la que se reciben las comunicaciones, mientras que el Sistema Interno de Información comprende también al responsable designado y al procedimiento completo de gestión. Una organización puede externalizar la tecnología necesaria para recibir comunicaciones anónimas, mantener una conversación segura con el informante, conservar documentos o registrar la trazabilidad de los accesos. También puede solicitar asistencia jurídica, forense o técnica para determinadas diligencias.

Lo que no debería hacer es permitir que el proveedor sustituya al Responsable del Sistema o convierta su intervención en una mera validación formal de decisiones ya adoptadas externamente. La diferencia no siempre resulta sencilla. Un tercero puede analizar documentación o elaborar un informe técnico por encargo del responsable, pero no debería decidir por sí mismo si una comunicación se admite, definir autónomamente el objeto y alcance de la investigación, dirigir las actuaciones o determinar el resultado final del expediente.

La AIPI previsiblemente atenderá a la realidad material de la gestión y no solo a la denominación utilizada en el contrato. Un servicio presentado como “asesoramiento” puede exceder los límites legales si, en la práctica, el proveedor controla las decisiones esenciales.

Una posible infracción muy grave

La información publicada vincula el posible incumplimiento con el artículo 63.1.g) de la Ley 2/2023, que tipifica como infracción muy grave el incumplimiento de la obligación de disponer de un Sistema Interno de Información en los términos exigidos legalmente.  Para las personas jurídicas, las infracciones muy graves pueden conllevar multas de entre 600.001 y 1.000.000 de euros. La ley también permite acordar medidas accesorias, como la amonestación pública o la publicación de la sanción firme en el Boletín Oficial del Estado.  Sin embargo, no toda deficiencia contractual conduce automáticamente a la máxima sanción. El procedimiento deberá determinar qué funciones ejercía realmente el proveedor, qué control conservaba la Autoridad Portuaria, si las recomendaciones externas eran vinculantes, quién adoptaba las decisiones y si la configuración afectaba de forma sustancial a la independencia y al funcionamiento del sistema.

Por ello, resulta más correcto afirmar que la entidad podría quedar expuesta al tramo sancionador máximo si los hechos fueran finalmente calificados como infracción muy grave, y no que ya se le haya impuesto o se le vaya necesariamente a imponer una multa de un millón de euros.

Impacto en el mercado de canales éticos “llave en mano”

El alcance del caso trasciende a la Autoridad Portuaria de Valencia. Durante los últimos años se han comercializado soluciones integrales bajo expresiones como “canal externalizado”, “gestión completa del canal” o “canal ético llave en mano”.

En algunos modelos, el proveedor no se limita a facilitar la plataforma, sino que recibe la comunicación, analiza su admisibilidad, mantiene la interlocución con el informante, realiza la calificación jurídica, propone o practica diligencias y presenta un informe final prácticamente cerrado. La organización conserva formalmente un Responsable del Sistema, pero su intervención se limita a aceptar o ratificar el trabajo realizado por el tercero. Ese modelo queda seriamente cuestionado.

La consecuencia no debería ser la desaparición de los proveedores especializados, sino una redefinición más rigurosa de su papel. El mercado tendrá que diferenciar claramente entre tres niveles de servicio.

La infraestructura tecnológica puede externalizarse, incluyendo la plataforma, el cifrado, el alojamiento, la trazabilidad y los mecanismos de comunicación anónima. El apoyo experto también puede contratarse mediante abogados, auditores, investigadores o especialistas forenses, siempre que actúen por encargo y bajo el control del Responsable del Sistema. Lo que no puede transferirse es la responsabilidad decisoria sobre el expediente.

La tecnología y la asistencia especializada pueden adquirirse en el mercado, pero la responsabilidad legal del sistema debe permanecer dentro de la organización.

El requisito adicional del sector público

Las entidades públicas afrontan una exigencia que a menudo se ha pasado por alto. No basta con justificar que un proveedor dispone de mayor especialización o que la contratación resulta económicamente conveniente. La entidad debe acreditar que carece de medios propios suficientes para asumir la gestión que pretende externalizar.  Esto obliga a revisar no solo los pliegos técnicos, sino también las memorias justificativas y los expedientes de contratación. Una referencia genérica a la necesidad de disponer de una herramienta especializada puede no ser suficiente si no se identifica qué capacidades internas faltan y por qué la contratación resulta necesaria. Pueden existir, por tanto, dos riesgos distintos: que no se haya justificado adecuadamente la insuficiencia de medios propios y que, además, el contrato atribuya al adjudicatario funciones materiales que exceden del apoyo instrumental permitido.

Consecuencias para los modelos de compliance

El caso también tiene una derivada relevante para los sistemas de prevención penal. El canal interno constituye uno de los elementos expresamente contemplados en los modelos de organización y gestión del artículo 31 bis del Código Penal, al tener que imponerse la obligación de informar sobre posibles riesgos e incumplimientos al organismo encargado de vigilar el modelo. Un canal mal configurado no provoca automáticamente la pérdida de cualquier posible exención o atenuación de responsabilidad penal. Esa valoración dependerá del funcionamiento general del modelo, de la gravedad del defecto y de su relación con el delito investigado.

Sin embargo, una externalización excesiva puede debilitar seriamente la capacidad de la organización para demostrar que su sistema de compliance estaba efectivamente implantado y funcionaba de manera adecuada. Será difícil sostener la eficacia del modelo si el órgano de cumplimiento desconoce cómo se admiten las comunicaciones, no dirige las investigaciones o se limita a recibir informes ya elaborados por el proveedor. La independencia, la trazabilidad y el control efectivo de las decisiones son, por tanto, relevantes tanto desde la perspectiva de la Ley 2/2023 como desde la eficacia probatoria del modelo de compliance.

El caso aconseja revisar de inmediato los contratos de canales internos, especialmente aquellos comercializados como servicios integrales. La revisión debería determinar quién recibe las comunicaciones, quién decide su admisión, quién mantiene la relación con el informante, quién define las diligencias, quién accede a las evidencias y quién adopta la decisión final. También será necesario comprobar si el Responsable del Sistema ha sido formalmente designado, si dispone de autonomía y recursos suficientes, si las instrucciones al proveedor quedan documentadas, si existen perfiles de acceso diferenciados y si el contrato regula adecuadamente la confidencialidad, la protección de datos, la subcontratación y la custodia de la información. En el sector público deberá verificarse, además, la justificación de la insuficiencia de medios propios y la correspondencia entre esa justificación y las prestaciones contratadas.

Un cambio de etapa en la supervisión

Aunque todavía no exista una resolución sancionadora pública y firme, el caso del Puerto de Valencia transmite un mensaje claro: la supervisión ya no se limitará a comprobar si existe un enlace denominado “canal de denuncias”.

La AIPI está construyendo un marco en el que se examinará la arquitectura completa del sistema, incluyendo la independencia del responsable, la separación de funciones, la seguridad de la información, la protección frente a represalias y el control efectivo de las investigaciones. Los servicios “llave en mano” no quedan necesariamente excluidos del mercado, pero deberán dejar de presentarse como una sustitución integral de las responsabilidades internas. El proveedor puede aportar tecnología, metodología y conocimiento especializado; la organización debe conservar la dirección, la decisión y la responsabilidad sobre el Sistema Interno de Información.