I – L’adoption de la procédure et le choix du référent

Chacun des organismes précités peut choisir l’instrument juridique le mieux à même de répondre à l’obligation d’établir une procédure de recueil des signalements (au plus tard le 1er janvier 2018).

Celle-ci pourra être adoptée conformément aux dispositions législatives et réglementaires qui régissent l’organisme. Il en est de même des autorités publiques et administratives indépendantes. Pour les administrations de l’État, la procédure de recueil des signalements sera créée par voie d’arrêté.

En outre, les organismes concernés précités sont tenus de désigner un référent.

Dans le secteur public, la fonction peut être exercée par le référent déontologue instauré par la loi Déontologie du 20 avril 2016 et dont la mission est d’apporter aux agents « tout conseil utile au respect des obligations et des principes déontologiques ».

Dans tous les cas, le référent doit disposer d’une capacité suffisante pour exercer ses missions.

Précision. Le référent peut être un salarié en activité (en CDI ou non) ou un retraité. Le référent peut aussi être extérieur au groupement.

Le référent « lanceur d’alerte » ne doit pas « uniquement » assurer la transmission du signalement mais bien être un « acteur utile » de son traitement. Dans les organisations de taille importante, un référent local ou sectoriel pourra être désigné dans chaque entité opérationnelle. Le référent du groupe s’appuiera sur ce réseau.

L’entreprise peut décider que l’alerte sera réceptionnée par un manager, un responsable dédié ou faire appel à un prestataire externe. Des cabinets d’avocats proposent ainsi de jouer ce rôle de prestataire externe. Ainsi, des plates-formes numériques sont par exemple proposées. Le lanceur d’alerte y créé un espace personnel et dépose une alerte qui sera gérée par un avocat et protégée par son secret professionnel2.

Conseil. Les prestataires les plus connus étant des entreprises américaines, il convient d’être vigilant compte tenu des liens de celles-ci avec les agences de renseignement.

II – Le contenu de la procédure de recueil des signalements

La procédure de recueil des signalements doit préciser les modalités selon lesquelles l’auteur du signalement peut adresser son signalement à son supérieur hiérarchique, direct ou indirect, à l’employeur ou au référent désigné par l’employeur et fournit les faits, informations ou documents de nature à étayer son signalement.

L’alerte interne peut emprunter différents canaux, par exemple : déclaration verbale, courrier, courriel, fax. Un numéro de téléphone pourra être mis en place ainsi qu’une adresse mail spécifique ; en cas de courrier postal, il faudra bien indiquer la mention « confidentiel » sur l’enveloppe, voire dans le mail.

Conseil. Par souci de confidentialité, il est recommandé d’utiliser le service personnel de messagerie électronique ou le téléphone personnel plutôt que ceux de l’employeur.

Le décret ne fixe pas de délai qui s’imposerait à l’organisme pour se prononcer sur la recevabilité de tel ou tel signalement « compte tenu de la multiplicité des situations possibles », précise le rapport de présentation de la Direction générale de l’administration et de la fonction publique (DGAFP). Il appartient en revanche à l’organisme concerné de préciser un délai « prévisible » et « raisonnable » qui pourra « varier selon le contenu du signalement et des investigations nécessaires pour en vérifier le bien-fondé » et pour l’informer des suites données à son signalement.

L’Autorité des marchés financiers (AMF), par exemple, a mis en place un dispositif qui prévoit la désignation de personnels spécialisés, dédiés à la réception et au traitement des signalements reçus. En outre, le dispositif prévoit un suivi adapté et attentif des signalements : un accusé de réception des signalements est adressé (sauf demande contraire du lanceur d’alertes), un suivi régulier de l’alerte est organisé par les seuls personnels spécialisés.

On peut rappeler qu’il n’existe pas de dispositif type. La mise en place d’un système standard est à proscrire autant que possible. Il doit être adapté à l’entreprise, à sa culture, ses risques et ses enjeux, dans le cadre de la loi.

Le Conseil d’État préconise de retenir une approche différenciée selon la taille des entreprises. S’agissant des très petites et moyennes entreprises, l’enjeu consiste à identifier des interlocuteurs de proximité susceptibles d’être saisis en interne.

Quoi qu’il en soit, les organismes concernés peuvent prévoir de n’établir qu’une seule procédure commune à plusieurs d’entre eux sous réserve d’une décision concordante des organes compétents de chacun des organismes concernés.

Il peut en être ainsi, notamment, dans les groupes de sociétés ou entre les établissements publics rattachés ou non à une même personne morale. Un arrêté du ministre compétent peut également créer une procédure commune à des services placés sous son autorité et à des établissements publics placés sous sa tutelle après décision en ce sens des organes compétents de ces établissements.

Précision. La loi n’a pas prévu de sanctions en cas de défaut de mise en œuvre de la procédure de recueil de signalements. Les entreprises auront néanmoins intérêt à mettre en place un tel système afin de canaliser plus efficacement les signalements et de limiter le risque que les lanceurs d’alertes ne divulguent directement les faits au public3.

Par ailleurs, il faut noter que les procédures de recueil des signalements doivent faire l’objet d’une publicité adéquate afin de permettre aux personnels et aux collaborateurs extérieurs et occasionnels d’en avoir une connaissance suffisante. Cette diffusion peut se faire par tout moyen, notamment par voie de notification, affichage ou publication, le cas échéant sur le site internet de l’entreprise.

La procédure devra également préciser les dispositions prises pour garantir la stricte confidentialité de l’auteur du signalement, des faits objets du signalement et des personnes visées, y compris en cas de communication à des tiers dès lors que celle-ci est nécessaire pour les seuls besoins de la vérification ou du traitement du signalement.

À l’AMF, par exemple, ont été mis en place des canaux de communication internes indépendants, autonomes et sûrs, permettant de garantir cette confidentialité : seuls les personnels spécialisés de l’AMF traitent le signalement et ont accès à l’identité du lanceur d’alerte et de l’auteur désigné par le signalement.

Enfin, devront être précisées les mesures prises pour détruire les éléments du dossier de signalement de nature à permettre l’identification de l’auteur du signalement et celle des personnes visées par celui-ci lorsque aucune suite n’y a été donnée, ainsi que le délai qui ne peut excéder deux mois à compter de la clôture de l’ensemble des opérations de recevabilité ou de vérification. L’auteur du signalement et les personnes visées par celui-ci doivent informer de cette clôture.

Précision. Si le recueil des signalements fait l’objet d’un traitement automatisé de données, l’employeur devra s’assurer d’avoir l’autorisation de la Cnil. La procédure devra mentionner l’existence d’un tel traitement.

En conclusion, on peut rappeler que la loi Sapin 2 a aussi prévu une obligation spécifique de mise en place d’un système d’alerte interne relatif aux faits de corruption. « Bien que le décret du 19 avril ne porte que sur le système de recueil de signalements des lanceurs d’alerte, les entreprises concernées auront sans doute intérêt à tenir compte de ses dispositions dans le cadre de la mise en œuvre de leur système d’alerte pour des faits de corruption. En effet, la plupart des entreprises adopteront un dispositif d’alerte commun, traitant aussi bien des signalements des faits de corruption que des signalements d’autres violations »4.