Les entreprises de plus de 50 salariés et personnes morales de droit public employant au moins 50 agents ou salariés, ainsi que les communes de plus de 10 000 habitants doivent mettre en place depuis le 1er septembre 2022 des dispositifs d’alerte sécurisés qui garantissent la confidentialité de l’identité de l’auteur du signalement.
Dans ce contexte, le terme « dispositif d’alerte interne » apparaît souvent. Qu’est-ce qu’un dispositif d’alerte interne et quels sont les canaux de signalement autorisés par la loi ? Quelles entreprises doivent mettre en mettre en place un dispositif d’alerte interne et comment contribue-t-il à un système efficace de gestion de la conformité ? Dans cet article, nous répondons à toutes ces questions.
Dispositif d'alerte interne : définition
Un dispositif d’alerte interne permet de recueillir et de traiter, au stade le plus précoce possible, toutes les alertes portant sur un crime ou un délit, une menace ou un préjudice pour l’intérêt général, une violation ou une tentative de dissimulation d’une violation d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, une violation du droit de l’Union européenne, de la loi ou du règlement.
En outre, seront toutefois exclues du régime du droit d’alerte les informations couvertes par le secret, notamment la défense nationale, le secret médical, le secret entre un avocat et son client ainsi que par le secret des délibérations judiciaires, de l’enquête et de l’instruction.
La loi du 21 mars 2022 est venue modifier l’article 8 de la loi Sapin 2 notamment en simplifiant les canaux dont dispose le lanceur d’alerte pour effectuer des signalements. En effet, l’article 8 de la loi Sapin 2 dans son ancienne rédaction prévoyait que le lanceur d’alerte devait d’abord et obligatoirement effectuer son signalement en interne, ensuite en l’absence de traitement de son alerte, il pouvait effectuer un signalement externe et enfin en dernier recours, il pouvait effectuer une divulgation publique.
La loi a supprimé la hiérarchisation entre les canaux d’alertes internes et externes. Le lanceur d’alerte est donc libre de recourir directement à un canal externe sans avoir préalablement utilisé le dispositif interne mis en place par l’entité et peut ainsi au choix :
- Soit adresser un signalement interne, notamment lorsqu’il estime qu’il est possible de remédier efficacement à la violation par ce moyen et qu’il n’y a pas de risque de représailles ;
- Soit adresser un signalement externe, après avoir saisi le canal de signalement interne ou directement ;
- Soit procéder à une divulgation publique, dans certaines conditions
Si le lanceur d’alerte décide d’effectuer directement son signalement par le biais d’un canal externe, il pourra l’adresser :
- A l’une des 45 autorités externes compétentes désignées par l’annexe du décret du 3 octobre 2022 dont l’AFA, la DGCCRF, l’Autorité de la Concurrence, l’AMF, l’ACPR, la CNIL, etc. ;
- Au Défenseur des droits qui l’orientera vers l’autorité la mieux à même d’en connaître ;
- À l’autorité judiciaire ;
- Aux institutions, organes ou organismes de l’Union européenne compétents
Le dispositif d’alerte interne peut également prendre de nombreuses formes différentes, notamment celles de hotlines téléphoniques, d’adresses e-mail dédiées, de médiateurs, de plateformes digitales ou de systèmes combinant plusieurs canaux à la fois.
La législation française transposant la Directive Européenne sur la protection des lanceurs d’alerte stipule que le dispositif d’alerte interne doit être sécurisé et garantir la confidentialité de l’identité du lanceur d’alerte et son anonymat le cas échéant.
Comment fonctionne un dispositif d'alerte interne digital ?
Un dispositif d’alerte interne digital est une solution logicielle que les lanceurs d’alerte peuvent utiliser pour déposer une alerte. Il permet ainsi le recueil, le traitement et une gestion centralisée des alertes internes. Le dialogue entre le gestionnaire et le lanceur d’alerte dans un espace garantissant
la confidentialité des échanges est alors possible. Lors du signalement, les lanceurs d’alerte remplissent un formulaire exigeant des informations importantes sur l’alerte. Les lanceurs d’alerte sont libres de renseigner leurs données personnelles ou de rester anonymes. Dans le dernier cas de figure, le canal de signalement crée une boîte aux lettres par le biais de laquelle la personne en charge du dossier peut communiquer avec le lanceur d’alerte sans que celui-ci n’ait à révéler son identité. Lorsque le responsable de la conformité reçoit une alerte, il l’examine et prend les mesures nécessaires.
Quels avantages les entreprises peuvent-elles tirer du dispositif d'alerte interne ?
L’investissement dans un dispositif d’alerte interne ne doit pas être simplement considéré comme une obligation coûteuse. Il est bénéfique à de nombreux titres pour une organisation.
La mise en place d’un dispositif d’alerte interne signifie qu’une entreprise :
- respecte les exigences réglementaires,
- protége ses employés et se protége contre d‘éventuelles sanctions / risques réputationnels,
- améliore son image auprès de ses clients, partenaires, investisseurs, banques et collaborateurs,
- renforce son professionnalisme,
- promeut une culture de la prise de parole,
- se protège de scandales,
- détecte les risques plus tôt et donc
- peut prendre des mesures proactives et à un stade précoce contre toute infraction.
Dans son livre blanc intitulé « Les bénéfices des dispositifs d’alerte interne », Transparency International liste les principaux avantages d’un dispositif d’alerte interne parmi lesquels :
- Un signal public d’engagement à l’intégrité et à la responsabilité sociale
- La prévention et l’atténuation de la responsabilité juridique / pénale
- La prévention et la minoration des pertes financières
- L’amélioration continue de la conformité et de la gestion des risques
- Une réputation solide
- L’amélioration de la culture de l’organisation
Quels intérêts ont les entreprises à choisir un dispositif digital d'alerte interne ?
Lorsqu’elle met en place un dispositif d’alerte interne, une organisation dispose de plusieurs options mises en œuvre seules ou en combinaison : téléphone, e-mail, boîte aux lettres physique, médiateur ou plateforme digitale. Ces canaux diffèrent principalement au niveau de leur accessibilité pour les lanceurs d’alerte et des possibilités de dialogue dans un environnement sécurisé et confidentiel. Un dispositif d’alerte interne digital offre plusieurs avantages par rapport aux autres canaux :
- Il est accessible dans le monde entier, 24h/24 et 7j/7, et depuis n’importe quel appareil (smartphone, tablette, PC)
- Le lanceur d’alerte peut, s’il le souhaite, rester anonyme
- Un module de traitement des alertes est intégré à la plupart des plateformes digitales et garantit une gestion optimale des alertes et des enquêtes grâce à des workflows automatisés
- Il garantit le cryptage des données
- Les signalements reçus via d’autres canaux existants (téléphone ou adresse -email) peuvent être intégrés facilement à la plateforme digitale permettant ainsi une gestion centralisée des alertes
- Il facilite l'analyse des alertes à des fins statistiques
Dispositif d’alerte interne : FAQs
Selon le Rapport 2021 sur les alertes professionnelles, plus de la moitié des entreprises interrogées avaient reçu des signalements. Les grandes entreprises (plus de 250 salariés) avaient reçu en moyenne 46 alertes par an. Les petites entreprises (20 à 249 salariés) ont reçu environ 6 alertes par an. Presque un signalement sur deux reçu par les entreprises interrogées s’est avéré pertinent.
Absolument. Notre Rapport 2021 sur les alertes professionnelles montre que pour les entreprises qui ont autorisé l’anonymat, plus de la moitié des alertes ont été soumises de manière anonyme. En effet, de nombreux lanceurs d’alerte se sentent en insécurité et craignent des représailles, l’intimidation ou la perte d’emploi.
Selon l’étendue des fonctionnalités souhaitées, la mise en place d’un dispositif d’alerte interne digital peut prendre de quelques jours à environ quatre à six semaines.
Seules les plateformes digitales d’alerte internes permettent l’anonymat et offrent une sécurité maximale ainsi qu’une conformité au RGPD. Les plateformes digitales permettent d’anonymiser toutes les données personnelles si nécessaire et répondent également, dans le meilleur des cas, aux critères de sécurité de la certification ISO.
Transposition de la directive européenne sur la protection des lanceurs d’alerte en droit français
Télécharger gratuitement le livre blanc en collaboration avec KPMG Avocats.
