Dispositifs d'alerte : les pièges à éviter

Piège n°1 : s’en tenir à une simple déclinaison de dispositions réglementaires

La Loi Sapin II et la Loi sur le devoir de vigilance permettent à toute personne physique, de signaler, de manière désintéressée et de bonne foi, des faits dont elle a eu personnellement connaissance .

Mais loin de se limiter à une « simple » application de ces réglementations, la conception du dispositif d’alerte doit s’intégrer dans une démarche plus globale de conformité, en lien avec le Code Ethique de l’organisation, et permettre la remontée de signalements sur des thèmes aussi variés que la corruption et la fraude, la lutte contre le blanchiment d’argent et le financement du terrorisme, les conflits d’intérêt, le harcèlement, la santé, l’environnement, les pratiques anti-concurrentielles, les données à caractère personnel, la confidentialité, les délits d’initié, etc.

Ce large périmètre soulève deux questions majeures : 

• d’une part celle de la qualification des signalements remontés et donc des réponses à y apporter, juridiques ou non en fonction de la nature des allégations ;
• d’autre part, celle du respect du Droit de la protection des données à caractère personnel vis-à-vis des dispositions prévues par la Commission Nationale de l’Informatique et des Libertés (« CNIL »). Jusqu’au 25 mai 2018, entrée en vigueur du Règlement général sur la protection des données à caractère personnel, les dispositifs d’alerte sont soumis à autorisation préalable de la CNIL. Cette autorisation peut prendre la forme d’une procédure d’autorisation simplifiée (engagement de conformité AU-004) pour les dispositifs d’alerte conformes aux dispositions de la Loi Sapin II ou d’une autorisation spécifique pour les dispositifs d’alerte dont les traitements n’entrent pas dans le champ d’application de l’AU-004.

Piège n°2 : recueillir un signalement et ne pas le traiter

Le dispositif d’alerte ne doit pas être pensé dans une démarche d’approche par les risques. Il doit permettre la remontée et le traitement de tout type de signalement, quel que soit le risque y afférent, et offrir également aux utilisateurs une possibilité de consultation auprès du référent désigné par l’organisation. Il se fonde sur des principes stricts et robustes, tels que la confidentialité (signature de clauses de confidentialité) et la sécurité des données à tout moment (chiffrement des données dès la collecte, et ce jusqu’à la destruction), qui permettent de garantir l’intégrité et l’exhaustivité du processus de traitement des signalements.

Piège n°3 : oublier de communiquer !

Afin de garantir son bon fonctionnement et son efficacité, le déploiement du dispositif d’alerte doit s’accompagner d’actions de communication et de sensibilisation en interne, auprès de salariés comme en externe, auprès de tiers soumis aux dispositions de la Loi Sapin II et de la Loi sur le devoir de vigilance. Le Code Ethique, des formations éthiques, la mise à jour de la page intranet, des newsletters, etc. seront des moyens efficaces de communiquer. Un engagement fort de la Direction Générale est également essentiel, chaque salarié doit bien comprendre que le dispositif est soutenu au plus haut niveau. Ces actions permettent notamment de communiquer sur l’existence du dispositif, sa robustesse en matière de confidentialité et de sécurité et sur des sujets majeurs tels que la protection du lanceur d’alerte et la politique en matière de signalements anonymes. Elles sont garantes de la confiance accordée au dispositif dans son ensemble.

L’expérience montre qu’un dispositif d’alerte adapté est finalement la mesure la plus efficace pour détecter et traiter des manquements à la fois aux obligations réglementaires et aux principes définis en interne. Mais malheureusement, encore trop de dispositifs ne sont pas efficaces ni compris par les parties prenantes, en raison d’approches trop « techniques », ne traitant qu’un sujet et déconnectées des autres fonctions de gouvernance, mal « vendues » et perçues au mieux comme une contrainte.

Article écrit avec la participation d'Alexandra Schmoll, Senior Manager Forensic, Financial Advisory.