Dejan Jasnic · Cofondateur et responsable de la conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil d’administration de l’ACFE Swiss Chapter
Oui, un seul système de signalement peut couvrir plusieurs pays de l’UE, à condition que chaque entité juridique comptant 50 travailleurs ou plus dispose de son propre canal de signalement interne et que le processus respecte la législation nationale de chaque pays. L’utilisation d’une plateforme unique est autorisée. En revanche, une boîte de réception unique et indifférenciée pour l’ensemble du groupe ne l’est pas.
La difficulté réside dans le fait que l’UE n’a fixé qu’une norme minimale. Chaque État membre a élaboré sa propre loi par-dessus, de sorte qu’un même groupe peut être confronté à des règles différentes en matière d’anonymat, d’autorités externes, de conservation des dossiers et d’amendes dans chaque pays où il emploie du personnel. Ce guide explique la règle par entité, compare les législations nationales en Allemagne, en Espagne, en France et en Italie, et présente un plan en sept étapes pour le déploiement d’un système transfrontalier.
chaque entité
Une seule plateforme, un canal de signalement distinct pour chaque entité juridique. Trusty sépare les signalements, les gestionnaires de dossiers et les droits d’accès de chaque filiale, propose le formulaire de signalement en plusieurs langues et héberge toutes les données dans des centres de données certifiés ISO/IEC 27001 en Allemagne. Votre premier canal est prêt en moins de cinq minutes.
Les entreprises de 50 salariés ou plus peuvent mettre en place le logiciel de signalement de Trusty en quelques minutes, à partir de 49 € par mois.
Pourquoi le signalement d’alerte est-il plus complexe pour les employeurs multi-pays ?
Le signalement d’alerte est plus difficile pour les employeurs multi-pays car l’UE a établi une norme minimale et chacun des 27 États membres a bâti sa propre législation sur cette base. La directive (UE) 2019/1937 fixe les obligations fondamentales : un canal interne sécurisé dans chaque entité juridique de 50 travailleurs ou plus, un accusé de réception de chaque signalement sous sept jours, un retour d’information sous trois mois et une protection contre les représailles.
Presque tout le reste relève du droit national. Chaque pays décide si la protection s’étend aux violations du droit national en plus du droit de l’UE, si les signalements anonymes doivent être acceptés, quelle autorité reçoit les signalements externes, combien de temps les dossiers sont conservés et quel est le montant des amendes. Plusieurs pays ayant transposé la directive tardivement, beaucoup de ces règles ne sont entrées en vigueur qu’en 2023.
Un groupe possédant des entités dans trois pays doit donc gérer trois ensembles de règles, trois autorités externes et généralement trois langues. Les lanceurs d’alerte peuvent également s’adresser directement à une autorité nationale au lieu d’utiliser votre canal ; ainsi, un canal difficile à trouver ou ne semblant pas sûr incite à envoyer les signalements à l’extérieur de l’entreprise.
Un groupe d’entreprises peut-il utiliser un canal de signalement centralisé ?
Un groupe peut exploiter un canal centralisé, mais il ne peut se reposer uniquement sur celui-ci. Dans deux déclarations datées des 2 et 29 juin 2021, la Commission européenne a précisé que chaque filiale doit disposer de son propre canal distinct, et que les lanceurs d’alerte peuvent choisir entre la voie locale et la voie centrale.
Le raisonnement de la Commission est que l’obligation prévue à l’article 8, paragraphe 3, de la directive s’applique à chaque entité juridique, et non au groupe dans son ensemble, et qu’une société mère ne peut être considérée comme un tiers externalisé pour ses propres filiales. La règle dépend ensuite de la taille de chaque entité juridique :
Taille de l'entité | Ce qu'implique la position de la Commission |
|---|---|
Moins de 50 salariés | Aucune obligation générale de disposer d'un canal, sauf si des règles sectorielles ou la législation nationale en disposent autrement |
De 50 à 249 salariés | Doit disposer d'un canal, mais peut partager des ressources avec d'autres entités pour recevoir et instruire les signalements, à condition que le canal local reste disponible |
250 salariés ou plus | Doit disposer de son propre système de signalement, fonctionnant indépendamment de tout système centralisé |
Pour les entités comptant de 50 à 249 travailleurs, la Commission a assorti l’utilisation des ressources de la société mère de trois conditions :
• Le canal local reste ouvert. Le canal de signalement propre à la filiale doit rester en place et disponible.
• L’auteur du signalement est informé et donne son accord. Le lanceur d’alerte doit être informé et consentir avant que quiconque au niveau du groupe n’ait accès au signalement. Un auteur qui refuse peut retirer son signalement et s’adresser à l’autorité compétente.
• Les obligations clés restent locales. La confidentialité, le retour d’information au lanceur d’alerte et toute mesure corrective ou sanction restent de la responsabilité de la filiale.
Comment les lois nationales ont-elles appliqué la position de la Commission ?
Les déclarations de la Commission n’ont pas de valeur juridique contraignante, et les lois nationales ont adopté des approches différentes :
• Espagne : la société mère peut approuver une politique générale pour l’ensemble du groupe, et le système interne d’information peut être commun à toutes les sociétés du groupe (article 11 de la Ley 2/2023).
• Allemagne : selon l’exposé des motifs de la HinSchG, une autre société du groupe peut agir comme tiers indépendant chargé de recevoir les signalements de ses filiales. Chaque filiale reste responsable de remédier à la violation.
• France : les sociétés d’un même groupe peuvent partager une procédure de signalement, mais uniquement sur décision concordante de l’organe compétent de chaque société. Certains praticiens considèrent que le décret réserve cette possibilité aux sociétés de moins de 250 salariés.
• Italie : les entités comptant jusqu’à 249 travailleurs peuvent partager un canal interne, y compris entre sociétés affiliées d’un même groupe, mais la loi ne prévoit aucune règle spécifique pour les groupes multinationaux.
• Irlande : la loi est généralement interprétée dans le sens de la Commission, de sorte qu’un canal central de groupe ne suffit pas à lui seul.
Qu’est-ce que cela signifie en pratique ?
En pratique, utilisez une seule plateforme et attribuez à chaque entité juridique sa propre page de signalement, ses gestionnaires de dossiers et ses droits d’accès. Cette conception satisfait à la fois l’interprétation stricte et l’interprétation flexible, vous évitant ainsi d’avoir à la remanier lorsqu’une règle nationale change ou qu’un régulateur adopte le point de vue de la Commission.
La conformité au niveau du groupe conserve un rôle. Elle peut définir la politique, former les gestionnaires de dossiers et soutenir les enquêtes complexes, à condition qu’un signalement ne parvienne au niveau du groupe qu’avec le consentement de son auteur et que la filiale conserve la responsabilité du retour d’information et du suivi.
En quoi les lois sur le signalement d’alerte diffèrent-elles selon les pays de l’UE ?
Les lois européennes sur le signalement d’alerte diffèrent principalement sur cinq points : ce qui peut être signalé, l’obligation ou non d’accepter les signalements anonymes, l’autorité qui reçoit les signalements externes, la durée de conservation des dossiers et le montant des amendes. Les règles relatives aux canaux à l’échelle du groupe et à l’implication des représentants du personnel varient également.
Point | Allemagne | Espagne | France | Italie |
|---|---|---|---|---|
Loi | Hinweisgeberschutzgesetz (HinSchG) | Ley 2/2023 | Loi Sapin II, modifiée par la loi Waserman | Décret législatif 24/2023 |
Applicable depuis | 2 juillet 2023 (17 décembre 2023 pour les entités de 50 à 249 salariés) | 13 mars 2023 (canaux à mettre en place avant le 13 juin 2023, ou le 1er décembre 2023 pour les entités de 50 à 249 salariés) | 1er septembre 2022 | 15 juillet 2023 (17 décembre 2023 pour les entités de 50 à 249 salariés) |
Champ d'application au-delà du droit de l'UE | Infractions pénales et certaines infractions administratives | Infractions pénales et administratives graves et très graves | Crimes, délits et menaces ou atteintes à l'intérêt général | Pour les entreprises disposant d'un modèle 231, infractions pertinentes au titre du décret 231/2001 |
Signalements anonymes | Doivent être traités ; aucune obligation de proposer un canal anonyme | Doivent être acceptés | Peuvent être acceptés ; aucune obligation générale | Peuvent être traités ; la protection s'applique si l'auteur du signalement est ultérieurement identifié |
Autorité externe | Office fédéral de la justice, ainsi que la BaFin et l'Office fédéral de lutte contre les cartels (Bundeskartellamt) dans leurs domaines respectifs | Autorité indépendante pour la protection des lanceurs d'alerte (AIPI) et autorités régionales | Autorités sectorielles désignées par décret, ou le Défenseur des droits | ANAC |
Conservation des données | 3 ans après la clôture du dossier | Pas plus de 10 ans | Uniquement le temps strictement nécessaire | Pas plus de 5 ans après l'issue définitive |
Canal pour l'ensemble du groupe | Une autre société du groupe peut agir en tant que tiers | Un système unique pour le groupe est autorisé | Procédure partagée avec l'accord de chaque société | Mutualisation autorisée pour les entités jusqu'à 249 salariés |
Représentants du personnel | Les droits de codécision du comité d'entreprise peuvent s'appliquer | Consultation des représentants des travailleurs | Consultation du CSE | Consultation des syndicats |
Amendes maximales | 50 000 €, ou jusqu'à 500 000 € pour les entreprises | 1 000 000 € pour les entreprises | 15 000 € et 1 an d'emprisonnement pour obstruction à un signalement | 50 000 € (amendes administratives de l'ANAC) |
En Allemagne, les amendes pour les entreprises peuvent atteindre 500 000 € car la HinSchG applique le multiplicateur par dix de l’article 30 de la loi sur les infractions administratives. En Italie, les manquements peuvent également engager la responsabilité d’une entreprise en vertu du décret 231/2001.
Vérifiez le texte actuel de chaque loi ou consultez un conseiller juridique local avant de finaliser votre configuration. Les règles nationales font encore l’objet d’amendements.
horodaté, journalisé
Appliquez la règle nationale la plus stricte à l’ensemble du groupe. Trusty accepte les signalements écrits anonymes et les messages vocaux avec modification de la voix, avec une boîte de réception bidirectionnelle pour le suivi. Chaque signalement reçoit un horodatage qualifié eIDAS et un journal d’audit infalsifiable, et des politiques prêtes à l’emploi ainsi qu’une formation des salariés sont incluses. Ou réservez une démo.
Que doit permettre un système de signalement multi-pays ?
Un système de signalement multi-pays doit maintenir la séparation des entités, être disponible dans chaque langue locale et appliquer la règle la plus stricte à laquelle vous êtes confronté. Sept fonctionnalités sont essentielles :
• Séparation des entités. Chaque entité juridique dispose de sa propre page de signalement et de sa propre équipe de traitement, et les gestionnaires d’une entité ne peuvent pas consulter les dossiers d’une autre.
• Langues locales. Le formulaire, la politique et le retour d’information sont disponibles dans la langue de chaque effectif, avec des traductions relues pour les termes juridiques.
• Signalement écrit et oral. La directive autorise les signalements écrits ou oraux et impose une rencontre en personne à la demande de l’auteur. L’Allemagne exige les deux options, écrite et orale : proposez donc les deux partout.
• Signalement anonyme avec suivi. L’Espagne impose d’accepter les signalements anonymes : acceptez-les donc partout et prévoyez un moyen de répondre sans révéler l’identité de l’auteur.
• Suivi des délais. Chaque signalement doit faire l’objet d’un accusé de réception sous sept jours et d’un retour d’information sous trois mois, dans chaque entité.
• Informations locales. Chaque page de signalement indique l’autorité nationale compétente pour les signalements externes.
• Piste d’audit unique. La conformité groupe peut vérifier le respect des délais dans chaque entité sans ouvrir les dossiers individuels.
La conservation nécessite également une planification, car les limites vont de trois ans en Allemagne jusqu’à dix ans en Espagne. Définissez un calendrier de suppression par entité dans votre politique.
La localisation des données est tout aussi importante. Les signalements contenant souvent des données personnelles sensibles, leur hébergement au sein de l’UE ou de l’EEE permet d’éviter les questions de transfert international de données au titre du RGPD pour chaque entité.
Comment déployer un système de signalement unique dans plusieurs pays ?
Le déploiement d’un système de signalement unique dans plusieurs pays s’effectue en sept étapes, commençant par une cartographie de vos entités juridiques et se terminant par un examen annuel.
1. Cartographiez vos entités. Listez chaque entité juridique de l’UE, son pays et son effectif, et identifiez celles comptant 50 travailleurs ou plus. Comptez par entité juridique, et non par groupe, et vérifiez les règles sectorielles, car les entités dans des domaines tels que les services financiers sont couvertes quelle que soit leur taille.
2. Définissez le socle commun. Prenez l’exigence la plus stricte sur chaque point et appliquez-la à l’échelle du groupe. Par exemple, acceptez les signalements anonymes partout parce que l’Espagne l’exige, et proposez le signalement oral parce que l’Allemagne l’exige.
3. Rédigez une politique centrale avec des annexes par pays. Maintenez un processus identique et placez le champ d’application local, l’autorité et la période de conservation dans une courte annexe pour chaque pays.
4. Nommez des gestionnaires de dossiers par entité. Désignez une personne ou une équipe impartiale pour chaque entité, exempte de conflits d’intérêts et disposant du temps nécessaire pour respecter les délais. Décidez quelles entités de 50 à 249 travailleurs partageront leurs ressources.
5. Consultez les représentants du personnel. Impliquez les comités d’entreprise, le CSE ou les syndicats lorsque la législation nationale l’exige, avant la mise en service.
6. Configurez et traduisez le canal. Créez une page de signalement pour chaque entité dans sa langue locale, avec les coordonnées de l’autorité compétente.
7. Formez, lancez et révisez. Expliquez à chaque effectif comment effectuer un signalement, formez les gestionnaires de dossiers, puis vérifiez chaque année les délais et les volumes de dossiers.
La majeure partie du temps est consacrée aux étapes 4 et 5. Avec le logiciel approprié, la configuration technique de l’étape 6 ne prend que quelques minutes.
Quel système de signalement convient aux employeurs multi-pays ?
Trusty est un logiciel de signalement conçu autour de la directive européenne sur la protection des lanceurs d’alerte, et il gère plusieurs entités et langues sur une seule plateforme. Un canal interne est prêt en moins de cinq minutes.
Besoin multi-pays | Réponse de Trusty |
|---|---|
Un canal distinct pour chaque entité juridique | La séparation des entités et les droits d'accès par rôle sont intégrés à la plateforme |
Langues locales | Formulaire de signalement et interface en plusieurs langues |
Signalements anonymes avec suivi | Boîte de réception anonyme bidirectionnelle ouverte avec un code d'accès |
Signalement oral sans centre d'appels | Messages vocaux dans le navigateur avec modification de la voix ; une ligne téléphonique peut être ajoutée |
Preuves pour chaque autorité | Horodatage qualifié eIDAS sur chaque signalement et journal d'audit infalsifiable |
Résidence des données dans l'UE | Hébergement dans des centres de données certifiés ISO/IEC 27001 en Allemagne |
Déploiement plus rapide | Politiques de conformité prêtes à l'emploi et formation des salariés incluses |
Essayez Trusty gratuitement pendant 7 jours sur trusty.report, ou réservez une courte démonstration pour voir une configuration multi-entités.
Questions fréquentes sur le signalement d'alerte multi-pays
Oui. Une seule plateforme peut servir l'ensemble d'un groupe, à condition que chaque entité juridique comptant 50 salariés ou plus dispose de son propre canal de signalement au sein de celle-ci et que le processus respecte la législation nationale de chaque pays.
Oui, si elle compte 50 salariés ou plus. La position de la Commission européenne est que chaque filiale de cette taille doit disposer d'un canal distinct. Les filiales de 50 à 249 salariés peuvent partager des ressources pour recevoir et instruire les signalements, mais leur propre canal doit rester disponible.
Il s'apprécie par entité juridique. Un groupe de 300 salariés répartis entre des entités de moins de 50 salariés chacune peut n'avoir aucune obligation générale, alors qu'une seule entité de 50 salariés y est soumise. Des règles sectorielles peuvent s'appliquer en dessous de ce seuil, par exemple dans les services financiers.
Oui. Une entité juridique de l'UE comptant 50 salariés ou plus doit se conformer à la législation de son pays, quel que soit le lieu du siège de la société mère.
Selon la directive, chaque entité doit accuser réception d'un signalement dans un délai de sept jours et donner un retour au lanceur d'alerte dans les trois mois suivant l'accusé de réception. Ces délais s'appliquent dans tous les pays, quelle que soit la structure du groupe.
Cela dépend du point considéré. L'Espagne est la plus stricte en matière d'anonymat et d'amendes, avec une acceptation obligatoire des signalements anonymes et des amendes pouvant atteindre 1 000 000 € pour les entreprises. La France a l'un des champs d'application les plus larges, et l'Allemagne exige à la fois des options de signalement écrit et oral.
La directive exige une information claire et facilement accessible : il convient donc de proposer le canal et la politique dans une langue que chaque effectif comprend. En pratique, cela signifie la langue locale de chaque pays où vous disposez d'une entité.
Elle peut y contribuer, mais le canal propre de la filiale doit rester disponible. Selon la Commission, l'auteur du signalement doit en être informé et donner son accord avant que le signalement soit transmis au niveau du groupe. S'il refuse, il peut retirer son signalement et saisir l'autorité compétente.
Sources
• Directive (UE) 2019/1937, EUR-Lex
• Hinweisgeberschutzgesetz (HinSchG), Ministère fédéral allemand de la Justice
• Ley 2/2023, Boletín Oficial del Estado
• Ce que la directive sur le signalement d’alerte signifie pour les canaux de signalement dans les groupes d’entreprises, Osborne Clarke
• Système de signalement à l’échelle du groupe : insuffisant pour la Commission européenne, Oppenhoff
• Pas de lanceur d’alerte dans les groupes, KPMG Avocats
• Protection des lanceurs d’alerte et canaux de signalement en Italie, CMS
• Dispositions clés du nouveau régime de signalement d’alerte, Matheson
• Trusty, informations produit
Cet article constitue une information générale et non un conseil juridique.
à la directive européenne et au RGPD
Logiciel de signalement simplifié, conçu par des experts en conformité.