Sí, si la correduría es una persona jurídica. Una correduría constituida como sociedad está obligada a disponer de Sistema interno de información aunque tenga menos de 50 trabajadores. La excepción relevante son los corredores que ejercen como personas físicas autónomas: por debajo de 50 trabajadores no entran por el art. 10.1.b.
Ese es, a agosto de 2026, el punto de partida correcto.
Cuando apareció la Ley 2/2023, muchas empresas pequeñas hicieron una cuenta bastante lógica: "somos menos de 50; esto no nos afecta".
En una correduría pequeña el razonamiento parecía especialmente razonable. Nosotros mismos empezamos por ahí cuando revisamos la cuestión en Consulplan.
Pero el art. 10 contiene dos reglas distintas.
Por qué una correduría sociedad está obligada aunque tenga menos de 50 trabajadores
El art. 10.1.a establece la regla general: quedan obligadas las personas físicas o jurídicas del sector privado que tengan contratados 50 o más trabajadores.
El art. 10.1.b establece otra regla para determinados sectores: las personas jurídicas comprendidas en los actos de la Unión Europea enumerados en las partes I.B y II del anexo de la Directiva (UE) 2019/1937 deben disponer de Sistema interno con independencia de su número de trabajadores.
Y aquí está la conexión que faltaba en bastantes análisis iniciales del sector asegurador.
La parte I.B.1.x del anexo de la Directiva 2019/1937 incluye expresamente la Directiva (UE) 2016/97 sobre distribución de seguros, IDD.
La legislación española que transpone IDD define al corredor como la persona física o jurídica que realiza actividad de distribución de seguros. El Real Decreto-ley 3/2020 regula expresamente a los corredores dentro del régimen de distribución.
Por tanto, para una correduría persona jurídica, la conclusión ya no necesita apoyarse en que comercialice vida, inversión o IBIP:
la actividad de distribución de seguros es la conexión sectorial.
La AIPI ha confirmado además administrativamente el criterio. Sus FAQ v4, de 14 de abril de 2026, tratan expresamente las entidades del art. 10.1.b; y la Memoria anual 2025, en su §7.2, lo dice literalmente:
"auditores, asesores fiscales y contables, corredores de seguros y agencias inmobiliarias regulados en el artículo 10.1.b.
Personas Jurídicas. Las sociedades que operan en estos sectores están estrictamente obligadas a contar con un Sistema Interno de Información (SII) independientemente de su número de empleados.
Personas Físicas (Autónomos). La Autoridad ha determinado que los profesionales individuales de estos mismos sectores no están obligados legalmente por el art. 10.1.b... Solo estarán obligados si alcanzan el umbral general de 50 trabajadores."
La cita es literal y viene del organismo administrativo competente. Cierra el debate sobre corredurías <50 empleados.
¿Entonces la Ley 10/2010 ya no importa?
Importa, pero no es el fundamento general correcto para todas las corredurías.
El art. 2.1.b de la Ley 10/2010 alcanza específicamente a determinados corredores cuando actúan en relación con seguros de vida u otros servicios relacionados con inversiones.
Nuestro primer análisis daba demasiado protagonismo a esa vía.
Para una correduría sociedad que distribuye autos, hogar, comercio o RC no necesitamos forzar la normativa de prevención del blanqueo. El encaje general deriva de IDD.
Este matiz me parece importante porque una conclusión jurídicamente correcta pierde credibilidad si se sostiene con el artículo equivocado.
¿Qué ocurre con un corredor autónomo?
Aquí cambia la respuesta.
El art. 10.1.b habla expresamente de personas jurídicas. La AIPI ha interpretado que los profesionales individuales de estos sectores no quedan obligados por esa letra simplemente por ejercer la actividad sectorial.
Un corredor persona física entra, en cambio, en la regla general del art. 10.1.a cuando tenga 50 o más trabajadores.
Por eso conviene comprobar una cosa antes de mandar un requerimiento interno, contratar software o aceptar un argumento comercial: quién ejerce jurídicamente la actividad.
No es lo mismo "Correduría López, S.L." que Juan López operando como corredor persona física.
¿Qué pasa si somos una SL de seis empleados y solo hacemos autos y hogar?
Está obligada.
No hace falta que distribuya seguros de vida ni productos de inversión. La conexión es la actividad de distribución sometida a IDD.
¿Y una correduría sociedad sin ningún empleado?
El art. 10.1.b opera con independencia del número de trabajadores. Por tanto, el hecho de estar por debajo de 50 —incluso muy por debajo— no elimina por sí mismo la obligación de la persona jurídica.
Estar obligada no significa simplemente instalar un formulario
Esta segunda confusión sigue siendo importante.
La Ley regula un Sistema interno de información. El canal es una parte del Sistema.
Hay que aprobarlo, designar Responsable del Sistema Interno de Información —RSII—, establecer política y procedimiento, gestionar correctamente las comunicaciones y cumplir las garantías de confidencialidad y protección del informante.
También debe publicarse información clara sobre el canal conforme al art. 25.
En Consulplan esto fue bastante evidente cuando pasamos del texto legal a la práctica. Crear un formulario era la parte fácil. Lo importante era decidir qué ocurría cuando una denuncia llegara un lunes a las nueve: quién la ve, qué plazo empieza a correr y qué sucede si la persona afectada es precisamente alguien que normalmente tendría acceso.
¿Qué debe hacer ahora una correduría obligada?
Yo comprobaría seis cosas:
- aprobación formal del Sistema;
- designación correcta del RSII;
- notificación del nombramiento a la autoridad competente;
- canal confidencial y técnicamente adecuado;
- información pública conforme al art. 25;
- procedimiento real para recibir, investigar y cerrar comunicaciones.
Hay otro error que conviene evitar: la Ley no obliga de forma general a designar un "RSII titular y suplente".
Puede ser prudente establecer una sustitución para vacaciones, bajas o conflictos de interés. Pero no confundamos una buena práctica con el contenido del art. 8.
¿Qué plazos debe conocer el RSII?
Hay tres que suelen mezclarse.
El nombramiento o cese debe notificarse, con carácter general, dentro de 10 días hábiles. El procedimiento contempla un acuse de recibo en un máximo de 7 días naturales, con la excepción legal correspondiente, y un plazo máximo de investigación de 3 meses, ampliable otros 3 meses por especial complejidad.
El art. 32.4 establece además reglas específicas sobre la permanencia de datos personales en el propio Sistema.
Tres meses de investigación y tres meses de permanencia de determinados datos no significan exactamente lo mismo.
¿Puede sancionarse no tener el Sistema?
Sí.
Para personas jurídicas, el art. 65 contempla multas de hasta 100.000 € por infracciones leves, de 100.001 a 600.000 € por graves y de 600.001 a 1.000.000 € por muy graves. La cuantía concreta debe graduarse conforme al art. 66.
No utilizaría el millón como argumento principal.
La cuestión previa es más sencilla: si eres una correduría sociedad, existe una obligación legal que hay que resolver.
¿Qué haría yo en una correduría pequeña?
Primero confirmaría que quien figura como corredor es la sociedad. Segundo comprobaría qué parte del Sistema existe ya. Y tercero implantaría algo proporcionado al tamaño real de la organización.
Una correduría de ocho personas no necesita reproducir el departamento de compliance de un banco. Necesita un Sistema que funcione.
En Cumplecanal partimos de ese problema dentro de una correduría real. El servicio parte de 149 €/año (tarifa escalonada según empleados) y el canal puede quedar listo en 24-72 h.
Eso tampoco convierte al software en sustituto del RSII. La herramienta resuelve una parte tecnológica y documental; la responsabilidad de gestionar correctamente cada información sigue necesitando personas y procedimiento.