En su nueva Recomendación 3/2026 de fecha 7 de julio la Autoridad Independiente de Protección del informante (AIPI) fija un criterio con aplicación directa a cualquier empresa pública o privada, concretamente el de que la externalización del Sistema Interno de Información solo puede alcanzar la recepción técnica de las comunicaciones, nunca la instrucción del expediente, criterio que ya está aplicando y que ya ha supuesto la imposición de una sanción económica a una Administración Pública.
La Recomendación aporta un protocolo de gestión en torno a once fases y exige, de forma expresa, separar funcionalmente la instrucción de cualquier decisión política, disciplinaria o de gestión ordinaria, por lo que las organizaciones obligadas a tener que disponer de canal de denuncias deben comprobar que cumplen con los siguientes requisitos:
- Que la externalización se limita a la recepción técnica, con exclusión de tareas de instrucción.
- Que existe separación funcional entre quien instruye y quien decide.
- Que el protocolo de gestión está debidamente estructurado por fases.
Obviamente la externalización no exime en absoluto de responsabilidad a la organización obligada, de modo que debe tenerse siempre monitorizada con objeto de prever eventuales incumplimientos.