Obligation légaleCanal d'alerte pour les entreprises

Qui est concerné

La loi 2/2023 sur la protection des lanceurs d’alerte impose de disposer d’un Système interne de signalement aux entreprises de 50 salariés ou plus, aux partis politiques, syndicats et fondations recevant des fonds publics, ainsi qu’à certaines entités indépendamment de leur effectif, telles que celles soumises à la réglementation anti-blanchiment.

Il ne s’agit pas d’une recommandation de bonnes pratiques. C’est une obligation dont le non-respect est sanctionné, et les amendes pour la personne morale atteignent un million d’euros pour les infractions très graves.

Ce que presque personne ne fait correctement

De nombreuses entreprises pensent être en conformité parce qu’elles ont souscrit un formulaire web. Elles ne le sont pas. La loi exige bien davantage :

• Un responsable du système formellement désigné, doté d’autonomie et d’indépendance.
• Un procédure de gestion écrite et approuvée par l’organe d’administration.
• Accusé de réception sous 7 jours et réponse dans un délai maximal de 3 mois.
• Possibilité de présenter le signalement de manière anonyme, et garantie de confidentialité de l’identité du lanceur d’alerte.
• Un registre des signalements reçus.
• Et surtout : interdiction absolue de représailles contre la personne qui signale, étendue à son entourage.

Le risque réel réside dans la gestion, pas dans le canal

Le danger pour l’entreprise n’est pas de ne pas avoir de canal. C’est d’en avoir un et de le mal gérer.

Un signalement interne mal traité, ou un lanceur d’alerte à l’encontre duquel une décision défavorable est ensuite prise, transforme un petit problème en deux grands problèmes : l’infraction initiale et les représailles, présumées lorsque le préjudice survient dans les deux années suivantes.

Et il y a quelque chose que beaucoup de dirigeants ne voient pas venir : tout signalement interne est aussi un avertissement. C’est la dernière occasion de connaître un problème et de le corriger avant qu’il ne parvienne au Parquet ou à l’Inspection. La gâcher est l’erreur la plus coûteuse.

Ce que nous faisons

Nous concevons et mettons en place le système complet, pas seulement le formulaire : politique, procédure, désignation du responsable, registre et formation. Et nous assumons, si vous le souhaitez, la gestion externalisée du canal et l’instruction des signalements reçus, ce qui apporte l’indépendance exigée par la loi et qu’un membre du personnel peut difficilement avoir.

Lorsque le signalement est fondé, nous engageons une enquête interne avec toutes les garanties.

Voir aussi : compliance pénale et responsabilité pénale de la personne morale.

Les sanctions, et qui les paie

Le non-respect n’est pas théorique. La loi classe les infractions en légères, graves et très graves, et les amendes pour la personne morale atteignent un million d’euros pour les très graves. Et l’entreprise n’est pas la seule responsable : les personnes physiques responsables peuvent également être sanctionnées.

Parmi les comportements les plus graves figurent le fait d’exercer des représailles contre le lanceur d’alerte, de violer le devoir de confidentialité de son identité, et de ne pas disposer de système interne lorsqu’on y est tenu.

S’y ajoute un effet qui préoccupe davantage les conseils d’administration : l’absence ou l’inefficacité du canal affaiblit le programme de compliance, et avec lui la possibilité pour l’entreprise d’être exonérée de responsabilité pénale dans une procédure future. Le canal n’est pas une formalité administrative : c’est un élément de la défense.

Les représailles : le concept à bien comprendre

C’est là que la plupart des entreprises se trompent de bonne foi. Les représailles ne se limitent pas au licenciement. Il s’agit de tout acte ou omission constituant un traitement défavorable et plaçant le lanceur d’alerte en situation de désavantage : non-renouvellement, changement de fonctions, exclusion d’une promotion, modification des horaires, retrait d’une prime, mise à l’écart, évaluation dégradée.

Et il existe une règle qui change la donne : si le préjudice survient dans les deux ans suivant le signalement, il est présumé constituer des représailles, et c’est à l’entreprise de prouver que la décision reposait sur des motifs légitimes et étrangers au signalement.

Cela ne rend pas le lanceur d’alerte intouchable. Cela signifie que chaque décision le concernant doit être documentée et justifiée par écrit selon des critères objectifs, et que l’entreprise doit pouvoir le démontrer. Sans cette documentation, la présomption l’emporte.

La protection s’étend en outre à son entourage : collègues qui l’ont aidé, représentants du personnel et personnes morales qui lui sont liées.

Ce que nous faisons lorsqu’un signalement arrive

Le moment critique n’est pas l’installation du canal : c’est le jour où arrive le premier signalement fondé. C’est là que se décide si l’entreprise gère le problème ou si le problème gère l’entreprise.

• Analyse de recevabilité et accusé de réception dans les délais.
• Mesures immédiates de confinement du risque si le risque persiste, et protection effective du lanceur d’alerte dès le premier jour.
• Enquête interne avec toutes les garanties, confiée à un tiers indépendant afin que son résultat soit crédible devant l’autorité.
• Décision éclairée : corriger, sanctionner, dénoncer ou se défendre. Avec les faits sous les yeux, pas avec des soupçons.
• Clôture documentée et réponse au lanceur d’alerte dans le délai légal.

Bien gérer un signalement interne est, presque toujours, bien moins coûteux que mal gérer ses conséquences.

Questions fréquentes

Nous avons 60 salariés mais nous n’avons jamais eu de problèmes. Est-ce vraiment obligatoire ? Oui, à partir de 50 salariés. Cela ne dépend pas de la survenance d’incidents, et son absence est sanctionnée en elle-même.

Nous avons mis un formulaire sur l’intranet. Sommes-nous en conformité ? Non. La loi exige un responsable désigné et autonome, une procédure approuvée par l’organe d’administration, un accusé de réception sous 7 jours, une réponse sous 3 mois, la possibilité d’anonymat et un registre. Le formulaire n’est que la petite partie.

Puis-je savoir qui a fait le signalement ? Non. La confidentialité de l’identité du lanceur d’alerte est une obligation essentielle, et sa violation constitue une infraction très grave.

Le lanceur d’alerte est peu performant et je veux le licencier. Attention : tout préjudice dans les deux années suivantes est présumé constituer des représailles, et la charge de prouver le contraire pèse sur l’entreprise. Cela ne signifie pas qu’il est intouchable, mais que chaque décision doit être documentée et justifiée par des motifs étrangers au signalement.

Un cabinet externe peut-il le gérer ? Oui, et il apporte l’indépendance qu’un membre du personnel peut difficilement avoir.