Dejan Jasnic · Cofondateur et responsable de la conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil d’administration de l’ACFE Swiss Chapter
Une politique d’alerte conforme au droit de l’UE doit couvrir dix éléments : qui peut signaler, ce qui peut être signalé, comment signaler, qui traite les signalements, la confidentialité, les délais, la protection contre les représailles, le signalement externe, la protection des données et la tenue des registres. Le modèle ci-dessous vous propose une formulation pour chacun d’entre eux.
Copiez-le, remplacez le texte entre crochets et adaptez-le à chaque pays où vous employez 50 travailleurs ou plus.
Une politique d’alerte est un document écrit qui indique aux personnes comment signaler des actes répréhensibles au travail et comment l’organisation traitera le signalement et protégera la personne qui l’a effectué. On l’appelle aussi politique relative aux lanceurs d’alerte, politique de « speak-up » ou procédure de signalement interne.
En pratique, oui. La directive (UE) 2019/1937 exige que les employeurs de 50 travailleurs ou plus disposent de procédures de signalement interne et de suivi, et qu’ils fournissent des informations claires et facilement accessibles à ce sujet. Une politique écrite est le moyen de remplir ces deux obligations et de prouver que vous l’avez fait.
Certaines lois nationales sont plus explicites. La Ley 2/2023 espagnole, par exemple, exige une politique publiée et une procédure de gestion des signalements. Pour un aperçu des règles, consultez notre guide sur la législation de l’UE sur les lanceurs d’alerte.
Que doit inclure une politique d’alerte ?
Une politique d’alerte doit inclure dix éléments, chacun lié à un article de la directive européenne sur la protection des lanceurs d’alerte. Utilisez ce tableau comme liste de contrôle pour votre politique actuelle.
fonctionne en pratique
Chaque promesse de votre politique, intégrée au canal. Trusty vous offre des signalements écrits et vocaux, une boîte de réception anonyme bidirectionnelle, un accès basé sur les rôles et un suivi des délais, ainsi que des politiques de conformité prêtes à l’emploi. Votre premier canal est prêt en moins de cinq minutes.
Élément | Ce que la politique doit indiquer | Directive |
|---|---|---|
1. Qui peut signaler | Les employés et toute autre personne ayant un lien professionnel, y compris les sous-traitants, les candidats et les anciens travailleurs | Article 4 |
2. Ce qui peut être signalé | Les infractions couvertes, avec des exemples, et ce qui relève des canaux RH | Article 2 |
3. Comment signaler | Les canaux disponibles, par écrit, oralement ou les deux, et le droit de demander une réunion | Article 9(2) |
4. Qui traite les signalements | La personne ou l'équipe impartiale qui reçoit et assure le suivi des signalements | Article 9(1)(c) |
5. Confidentialité | Que l'identité du lanceur d'alerte est protégée et qui peut accéder à un signalement | Article 16 |
6. Délais | Accusé de réception dans les 7 jours et retour d'information dans les 3 mois | Article 9, paragraphe 1, points b) et f) |
7. Protection contre les représailles | Que les représailles sont interdites et que faire si elles se produisent | Articles 19 et 21 |
8. Signalement externe | Comment signaler à l'autorité nationale compétente | Article 9(1)(g) |
9. Protection des données | Comment les données personnelles sont traitées en vertu du RGPD | Article 17 |
10. Tenue des registres | Comment les signalements sont documentés et combien de temps ils sont conservés | Article 18 |
Les entreprises de 50 salariés ou plus peuvent mettre en place un logiciel de signalement de Trusty en quelques minutes, à partir de 49 € par mois.
Modèle de politique d’alerte
Ce modèle couvre les dix éléments. Remplacez le texte entre crochets, puis faites-le réviser au regard de la loi nationale de chaque pays où vous l’utilisez.
1. Objet
[Nom de l’entreprise] souhaite être informée au plus tôt des actes répréhensibles afin de pouvoir agir. Cette politique explique comment signaler une préoccupation, comment nous la traitons et comment nous vous protégeons.
2. Qui peut signaler
Cette politique s’applique aux employés, dirigeants, membres du conseil d’administration, actionnaires, stagiaires, bénévoles, candidats à un emploi, anciens travailleurs, prestataires, fournisseurs et à leur personnel.
3. Ce que vous pouvez signaler
Vous pouvez signaler une violation réelle ou suspectée de la loi dont vous avez eu connaissance dans le cadre de votre travail avec [Nom de l’entreprise]. Les exemples incluent la fraude, la corruption, le blanchiment d’argent, les violations du droit de la concurrence, les risques pour la santé et la sécurité, les dommages environnementaux, les violations de la protection des données, les problèmes de sécurité des produits et les violations du règlement européen sur l’IA (AI Act).
Les griefs personnels liés à l’emploi doivent être adressés au [contact RH], à moins qu’ils n’impliquent également une violation de la loi.
4. Comment signaler
Vous pouvez effectuer un signalement par écrit ou par message vocal sur [URL du canal de signalement]. Vous pouvez également demander une réunion en personne avec [rôle ou équipe], que nous organiserons dans un délai de [nombre] jours.
Vous pouvez effectuer un signalement de manière anonyme. Si vous le faites, conservez le code d’accès que vous recevrez afin que nous puissions vous poser des questions et vous donner un retour d’information.
5. Qui traite votre signalement
Les signalements sont reçus et suivis par [rôle ou équipe], qui agit de manière indépendante et est formé pour les traiter. Si votre signalement concerne cette personne ou cette équipe, il est transmis à [rôle de remplacement].
6. Confidentialité
Votre identité, ainsi que toute information susceptible de la révéler, ne sont partagées qu’avec les personnes autorisées à traiter votre signalement. Nous ne la divulguerons à personne d’autre sans votre consentement explicite, à moins que la loi ne l’exige.
7. Ce qui se passe après votre signalement
Nous confirmons la réception dans les 7 jours. Nous évaluons le signalement, enquêtons si nécessaire et vous informons des mesures que nous avons prises ou prévoyons de prendre dans un délai de 3 mois à compter de cette confirmation.
8. Protection contre les représailles
[Nom de l’entreprise] interdit toute représaille, menace ou tentative de représaille à l’encontre d’une personne qui effectue un signalement au titre de cette politique, ou à l’encontre de toute personne qui l’aide. Les représailles constituent une faute disciplinaire. Signalez-les via le même canal.
Vous êtes protégé si vous aviez des motifs raisonnables de croire que les informations étaient vraies au moment du signalement. Le fait d’effectuer sciemment un faux signalement n’est pas protégé.
9. Signalement à l’extérieur de l’entreprise
Nous vous encourageons à effectuer d’abord un signalement interne, mais vous pouvez signaler directement à l’autorité compétente : [nom et coordonnées de l’autorité nationale]. Vous pouvez également effectuer un signalement auprès de l’organisme de l’UE concerné, le cas échéant.
10. Protection des données et registres
Nous traitons les données personnelles conformément au RGPD et à la [loi nationale sur la protection des données]. Nous enregistrons chaque signalement et le conservons pendant [période de conservation], ou plus longtemps si la loi ou des procédures en cours l’exigent. Les données qui ne sont manifestement pas pertinentes sont supprimées sans délai.
11. Responsable de la politique et révision
Cette politique est sous la responsabilité de [rôle]. Elle a été approuvée le [date] et est révisée au moins une fois par an.
chaque entité
Une plateforme, un canal de signalement distinct pour chaque entité juridique. Trusty sépare les signalements, les gestionnaires de dossiers et les droits d’accès de chaque filiale, propose le formulaire de signalement en plusieurs langues et héberge toutes les données dans des centres de données certifiés ISO/IEC 27001 en Allemagne.
Comment adapter une politique d’alerte pour chaque pays de l’UE ?
Vous adaptez une politique d’alerte en modifiant quatre éléments par pays : le champ d’application, la règle d’anonymat, l’autorité externe et la période de conservation. La loi nationale peut également vous obliger à consulter les représentants du personnel avant l’entrée en vigueur de la politique.
Pays | Ce qu'il faut modifier dans le modèle |
|---|---|
Allemagne (HinSchG) | Élargir le champ d'application aux infractions pénales et à certaines infractions administratives. Désigner l'Office fédéral de la justice comme bureau de signalement externe. Supprimer les enregistrements trois ans après la clôture du dossier. Impliquer le comité d'entreprise. |
Espagne (Ley 2/2023) | Indiquer que les signalements anonymes sont acceptés. Nommer la personne responsable du système et l'Autorité indépendante de protection des lanceurs d'alerte (AIPI). Publier la politique. Conserver les enregistrements pendant dix ans maximum. |
France (Sapin II et décret n° 2022-1284) | Élargir le champ d'application aux crimes, délits et menaces ou préjudices pour l'intérêt général. Consulter le comité social et économique (CSE). Accuser réception dans les sept jours ouvrables. Nommer le Défenseur des droits. |
Italie (Décret législatif 24/2023) | Désigner l'ANAC comme canal externe. Consulter les représentants syndicaux. Conserver les enregistrements pendant cinq ans maximum après la communication du résultat. S'aligner sur votre modèle 231 si vous en avez un. |
Un groupe peut conserver une politique de base unique et ajouter une courte annexe nationale pour chacun de ces points. Traduisez la politique dans la langue de chaque effectif. Notre guide sur les dispositifs d’alerte pour les employeurs multi-pays couvre plus en détail les configurations de groupe.
Quelles sont les erreurs les plus courantes dans une politique d’alerte ?
L’erreur la plus courante est une politique qui décrit un processus que l’organisation ne peut pas réellement mettre en œuvre. Six erreurs reviennent sans cesse :
• Ne couvrir que les employés. La loi protège également les prestataires, les fournisseurs, les candidats et les anciens travailleurs.
• Exiger d’abord un signalement interne. Un lanceur d’alerte peut s’adresser directement à l’autorité, et la politique doit indiquer comment.
• Exiger la « bonne foi ». Le critère juridique est celui des motifs raisonnables de croire que l’information est vraie, et non le mobile de l’auteur du signalement.
• Omettre les délais. L’accusé de réception sous sept jours et le retour d’information sous trois mois doivent figurer dans la politique.
• Désigner une adresse e-mail comme canal. Une boîte de réception partagée est difficile à garder confidentielle et ne laisse aucun dossier propre. Voir logiciel d’alerte vs e-mail vs ligne téléphonique.
• Publier et oublier. Une politique que personne n’a lue ne protège personne ; formez donc le personnel et révisez-la chaque année.
Une politique n’est que la moitié de la conformité. Le canal qui la soutient doit tenir les promesses faites par la politique.
Comment mettre en pratique une politique d’alerte ?
Vous mettez en pratique une politique d’alerte en l’associant à un canal de signalement qui applique ce que la politique promet. Trusty est un logiciel de signalement conçu autour de la directive européenne sur la protection des lanceurs d’alerte, et un canal interne est prêt en moins de cinq minutes.
Ce que promet votre politique | Comment Trusty le met en œuvre |
|---|---|
Signalements écrits ou vocaux | Formulaire en ligne et messages vocaux intégrés au navigateur avec masquage de la voix |
Signalement anonyme avec retour d'information | Boîte de réception anonyme bidirectionnelle ouverte avec un code d'accès |
Accès réservé aux gestionnaires autorisés | Accès basé sur les rôles, séparé pour chaque entité juridique |
Délais de 7 jours et 3 mois | Tableau de bord des dossiers affichant chaque signalement et son statut |
Un enregistrement fiable | Horodatage eIDAS qualifié sur chaque signalement et journal d'audit infalsifiable |
Traitement conforme au RGPD | Hébergement dans des centres de données certifiés ISO/IEC 27001 en Allemagne |
Trusty comprend également des politiques de conformité prêtes à l’emploi et des formations pour les employés, de sorte que vous n’avez pas à partir d’une page blanche.
Questions fréquentes sur les politiques d’alerte
Une politique d’alerte est un document écrit qui explique comment signaler les irrégularités au travail, comment l'organisation traite les signalements et comment elle protège la personne qui signale.
Les entreprises privées de 50 travailleurs ou plus et les organismes du secteur public de l'UE ont besoin de procédures de signalement interne et doivent fournir des informations claires à leur sujet. Une politique d’alerte écrite est le moyen habituel de remplir ces deux obligations.
Elle doit inclure qui peut signaler, ce qui peut être signalé, comment signaler, qui traite les signalements, la confidentialité, les délais de 7 jours et 3 mois, la protection contre les représailles, le signalement externe, la protection des données et la tenue des registres.
Deux à quatre pages suffisent. Un lecteur devrait pouvoir savoir comment signaler et ce qui se passe ensuite, en moins d'une minute.
Cela dépend du pays. Le droit de l'UE laisse la décision aux États membres, et l'Espagne exige des employeurs qu'ils acceptent les signalements anonymes. Les autoriser partout est l'approche la plus simple pour un groupe.
Oui. Un groupe peut utiliser une politique de base unique avec une courte annexe pour chaque pays qui définit le champ d'application local, l'autorité, la règle d'anonymat et la période de conservation.
Révisez-la au moins une fois par an, et chaque fois que la loi change. L'extension en 2026 aux signalements relevant du règlement européen sur l'IA est l'un de ces changements.
Sources
• Directive (UE) 2019/1937, EUR-Lex
• Article 87 : Signalement des infractions et protection des personnes effectuant un signalement, règlement européen sur l’intelligence artificielle
• Trusty, informations produit
Ce modèle et cet article constituent des informations générales et non des conseils juridiques. Faites réviser votre politique finale par un conseiller juridique local.
à la directive européenne et au RGPD
Logiciel de signalement simplifié, conçu par des experts en conformité.