Mettre en place un canal de signalement : ce que la plupart des entreprises oublient

La plupart des entreprises qui mettent en place un canal de signalement réussissent la partie visible : il existe un formulaire ou une adresse e-mail, publiés quelque part. Les lacunes se trouvent généralement dans tout ce qui l'entoure. Qui lit ce qui arrive ? Qui d'autre peut le voir ? Qui a le droit d'utiliser le canal ? Et que doit-il s'être passé au 7e jour et au 3e mois ? Personne ne remarque ces lacunes avant l'arrivée d'un vrai signalement, et à ce moment-là, elles font déjà partie du problème.

Voici les dix plus fréquentes. Pour chacune : ce qui se passe habituellement, pourquoi cela ne suffit pas, et ce qu'il faut faire à la place. Les références juridiques renvoient à la directive européenne sur les lanceurs d'alerte (directive (UE) 2019/1937). Les entreprises britanniques n'y sont pas soumises, mais elle reste la description la plus complète d'un canal qui fonctionne (voir Royaume-Uni vs UE : ce qui est réellement exigé où). Vous trouverez à la fin une vérification à appliquer à votre propre canal, avec pour chaque point la manière de le contrôler.

1. Personne n'en est précisément responsable

Ce qui se passe habituellement : les signalements arrivent dans une boîte mail partagée, ou « aux RH » en général, et chacun suppose que quelqu'un d'autre s'en occupe.

Pourquoi cela ne suffit pas : la directive exige une personne ou un service impartial désigné pour assurer le suivi des signalements (art. 9(1)(c)). Une boîte mail n'est pas une personne. Un signalement qui reste non lu pendant quinze jours parce que trois personnes pensaient chacune qu'une autre l'avait pris en charge a déjà manqué le premier délai.

Ce qu'il faut faire : désignez la personne avant de publier le canal où que ce soit. Mieux encore, désignez un petit groupe de deux ou trois personnes, afin que les congés et les absences ne laissent pas de signalements sans suite. Voir Désigner qui traite les signalements.

2. Personne n'a vérifié qui d'autre peut voir les signalements

Ce qui se passe habituellement : la liste des personnes chargées du traitement est courte, mais les signalements parviennent quand même à d'autres. Un administrateur informatique peut ouvrir toutes les boîtes mail. L'e-mail de notification contient le signalement complet. L'outil de formulaire stocke les réponses dans un espace auquel la moitié de l'entreprise peut se connecter.

Pourquoi cela ne suffit pas : l'article 9(1)(a) exige que le canal soit conçu et exploité de manière sécurisée, afin que le personnel non autorisé ne puisse pas accéder aux signalements. L'article 16 protège l'identité de l'auteur du signalement vis-à-vis de toute personne autre que celles qui traitent le signalement. Cela doit être garanti par le système lui-même, et non reposer sur la prudence de chaque personne ayant accès.

Ce qu'il faut faire : suivez un signalement test de sa soumission à son stockage, et listez toutes les personnes qui pourraient y accéder à chaque étape, y compris les administrateurs, les sauvegardes et les notifications par e-mail. Voir « Une adresse e-mail suffit-elle comme canal de signalement ? » et « Google Forms comme dispositif d'alerte : est-ce possible ? ».

3. Seuls les signalements écrits sont acceptés

Ce qui se passe habituellement : un formulaire web ou une adresse e-mail constitue tout le canal.

Pourquoi cela ne suffit pas : la directive elle-même permet de recueillir les signalements par écrit, par oral, ou les deux (article 9(2)), et le décret français laisse aussi ce choix à la procédure ; un canal uniquement écrit n'est donc pas automatiquement non conforme. Mais d'autres droits nationaux exigent davantage. Les Pays-Bas imposent une voie orale par téléphone ou messagerie vocale, et le régulateur italien attend des signalements écrits et oraux. L'Allemagne admet un canal uniquement écrit, mais impose une rencontre en personne si l'auteur du signalement la demande. Et en pratique, certaines personnes ne mettront jamais une préoccupation par écrit. La voix pose en outre un problème particulier : un enregistrement peut identifier quelqu'un même lorsque son nom ne figure pas dans le signalement.

Ce qu'il faut faire : ajoutez une option vocale, décidez comment les enregistrements seront protégés, et indiquez dans votre politique comment demander une rencontre et qui la mènera. Voir Signalements vocaux et anonymisation, expliqués simplement.

4. Seuls les salariés savent que le canal existe

Ce qui se passe habituellement : le lien figure sur l'intranet ou dans le livret d'accueil.

Pourquoi cela ne suffit pas : la protection de la directive va bien au-delà des effectifs : travailleurs indépendants, personnel des fournisseurs, bénévoles et stagiaires, actionnaires et administrateurs non exécutifs, candidats à l'embauche et anciens salariés (art. 4). Le droit national détermine en partie si chacun de ces groupes peut utiliser votre canal interne (art. 8(2)), mais tous peuvent s'adresser directement à une autorité. S'ils ne trouvent pas votre canal, ils signaleront hors de l'entreprise.

Ce qu'il faut faire : publiez le canal à un endroit accessible depuis l'extérieur de l'entreprise, comme votre site web, et décidez explicitement à quels groupes il est ouvert. Voir Qui est protégé au titre de la directive.

5. Les délais dépendent de la mémoire de quelqu'un

Ce qui se passe habituellement : les dates d'accusé de réception et de retour d'information sont notées dans l'agenda de quelqu'un, ou nulle part.

Pourquoi cela ne suffit pas : la directive fixe deux délais. La réception doit être confirmée dans les 7 jours (art. 9(1)(b)). Le retour d'information doit suivre dans un délai raisonnable, et au plus tard 3 mois après l'accusé de réception (art. 9(1)(f)). Le retour d'information a d'ailleurs un sens précis : indiquer à l'auteur du signalement les mesures prises ou envisagées, et pourquoi (art. 5(13)). « Nous examinons la question » ne compte pas.

Ce qu'il faut faire : automatisez l'accusé de réception, laissez le système suivre l'échéance des 3 mois et vous avertir avant qu'elle n'arrive, et prévoyez un retour qui dit ce qui se passe réellement. Voir Le délai de 7 jours / 3 mois pour le retour d'information, expliqué.

6. Un auteur anonyme ne peut pas être recontacté

Ce qui se passe habituellement : le canal accepte un signalement anonyme, mais rien ne repart dans l'autre sens. Un formulaire en ligne n'a pas de fonction de réponse, et un compte e-mail anonyme est souvent abandonné après un seul message.

Pourquoi cela ne suffit pas : les délais de la directive supposent un échange. La réception est accusée sous 7 jours (art. 9(1)(b)), le suivi est diligent (art. 9(1)(d)), ce qui implique souvent de poser des questions à l'auteur du signalement, et le retour d'information intervient sous 3 mois (art. 9(1)(f)). Ces obligations s'appliquent aux signalements anonymes que vous acceptez comme aux signalements identifiés. Un canal qui ne peut joindre l'auteur que par ses coordonnées l'oblige à choisir entre l'anonymat et le retour d'information, et beaucoup renonceront alors à signaler.

Ce qu'il faut faire : donnez à chaque auteur un moyen de revenir dans son dossier qui ne dépend pas de ses coordonnées, par exemple une référence de dossier qui lui permet de lire les messages et d'y répondre. Si votre canal ne le permet pas, dites-le clairement là où l'on signale, et proposez un moyen de contact facultatif. Voir signalement anonyme ou identifié.

7. Les auteurs de signalement ne savent pas comment s'adresser aux autorités

Ce qui se passe habituellement : la politique explique comment signaler en interne, et s'arrête là.

Pourquoi cela ne suffit pas : l'article 9(1)(g) exige des informations claires et facilement accessibles sur le signalement externe auprès des autorités compétentes. Les entreprises les omettent souvent, parce que cela donne l'impression d'envoyer les gens ailleurs. Mais c'est une partie obligatoire de la procédure, et une personne qui fait confiance à votre canal l'utilisera généralement en premier de toute façon.

Ce qu'il faut faire : nommez les autorités compétentes pour chaque pays où vous opérez, et mettez ces informations dans votre politique et à côté du canal. Voir Signalement interne, externe et public : les différentes voies.

8. Rien n'est prévu pour un signalement visant la personne chargée du traitement

Ce qui se passe habituellement : chaque signalement va à la même personne, y compris un signalement qui la concerne, qui concerne son responsable ou sa propre équipe.

Pourquoi cela ne suffit pas : l'article 9(1)(c) exige que la personne chargée du suivi soit impartiale. Personne n'est impartial face à un signalement qui le concerne, aussi bonnes que soient ses intentions.

Ce qu'il faut faire : désignez dans votre politique un autre contact, par exemple un dirigeant, le président du conseil d'administration ou un conseil externe, et indiquez aux auteurs de signalement de s'adresser directement à lui si leur préoccupation concerne la personne chargée du traitement. Décidez-le maintenant. Si vous attendez qu'un tel signalement arrive, cette personne l'aura déjà vu.

9. Les représentants du personnel n'ont pas été consultés (UE)

Ce qui se passe habituellement : la direction choisit le canal et le lance sans associer qui que ce soit.

Pourquoi cela ne suffit pas : l'article 8(1) prévoit que les canaux internes sont établis après consultation des partenaires sociaux et, lorsque le droit national le prévoit, en accord avec eux. En France, le CSE doit être consulté avant que la procédure soit arrêtée. En Allemagne, le comité d'entreprise dispose d'un droit de codétermination sur le fonctionnement du canal. D'autres États membres ont leurs propres variantes. Sauter cette étape peut exposer le canal à une contestation, même si tout le reste est correct.

Ce qu'il faut faire : vérifiez ce qu'exige le droit de votre pays avant le lancement, et prévoyez le temps nécessaire. Voir La loi Sapin II (et la loi Waserman) en France, expliquées et la loi allemande HinSchG pour deux exemples.

10. Aucune règle ne fixe la durée de conservation des dossiers

Ce qui se passe habituellement : les signalements et les dossiers sont conservés indéfiniment, ou supprimés chaque fois que quelqu'un fait du rangement.

Pourquoi cela ne suffit pas : l'article 18 exige un enregistrement de chaque signalement, conservé pas plus longtemps que nécessaire et proportionné. L'article 17 y ajoute le droit de la protection des données : les données personnelles qui ne sont pas nécessaires ne doivent pas être conservées. Tout garder indéfiniment et supprimer trop tôt sont deux échecs. Il vous faut aussi un moyen de suspendre la suppression lorsqu'un dossier risque d'aller en justice.

Ce qu'il faut faire : fixez des durées de conservation selon l'issue du dossier, supprimez automatiquement à leur expiration, et prévoyez un moyen de geler un dossier. Voir Choisir une politique de conservation.

Vérifiez votre propre canal

Pour chaque question, la deuxième ligne indique comment le savoir. Si vous ne pouvez pas répondre, considérez que la réponse est « non ».

1. Pouvez-vous nommer la personne qui lira le prochain signalement, et celle qui la remplace ?

   Demandez qui a ouvert le dernier signalement, et qui l'aurait fait pendant ses congés.

2. Avez-vous listé toutes les personnes qui peuvent techniquement voir un signalement ?

   Envoyez un signalement de test et suivez-le : boîte mail ou formulaire, notifications, tableurs, administrateurs capables de réinitialiser un mot de passe ou de fouiller la messagerie, sauvegardes.

3. Peut-on signaler oralement, et demander une rencontre ?

   Relisez votre procédure du point de vue de quelqu'un qui ne veut rien écrire. Y a-t-il un numéro à appeler, et une personne désignée pour tenir les rencontres ?

4. Un prestataire, un fournisseur ou un ancien salarié peut-il trouver le canal ?

   Cherchez-le sur votre site public, sans être connecté.

5. Les délais de 7 jours et de 3 mois sont-ils suivis, avec une alerte avant que l'un d'eux ne soit dépassé ?

   Pour votre dernier signalement, retrouvez la date de l'accusé de réception et l'échéance du retour d'information.

6. Pouvez-vous recontacter un auteur anonyme ?

   Envoyez un signalement de test sans coordonnées, puis essayez de lui poser une question.

7. Votre politique explique-t-elle comment s'adresser aux autorités ?

   Vérifiez qu'elle nomme l'autorité compétente de chaque pays où vous êtes présent, par exemple le Défenseur des droits en France.

8. Votre politique dit-elle où adresser un signalement visant la personne chargée du traitement ?

   Vérifiez que le contact alternatif est nommé, et joignable sans passer par cette personne.

9. Les représentants du personnel ont-ils été consultés, là où votre pays l'exige ?

   Retrouvez le procès-verbal de consultation du CSE ou l'accord correspondant.

10. Avez-vous des durées de conservation pour les dossiers clos, et un moyen d'en suspendre une ?

    Retrouvez le plus ancien dossier clos que vous détenez encore, et la règle qui justifie sa conservation.

Chaque « non » est une lacune à combler avant le prochain signalement, pas après.

Vous utilisez une adresse e-mail ou un formulaire ? C'est là que commencent la plupart de ces lacunes. Passez en revue les points propres à votre canal dans « Une adresse e-mail suffit-elle comme canal de signalement ? » ou « Google Forms comme dispositif d'alerte : est-ce possible ? », avec une solution pour chaque lacune repérée.

Quand s'y mettre

Si vous êtes dans l'UE avec 50 salariés ou plus, un canal est déjà une obligation légale (voir Le seuil des 50 salariés, expliqué). En dessous de ce seuil, ou au Royaume-Uni, il n'y a pas de date fixe. Le bon moment pour être prêt, c'est avant le premier signalement sérieux : un canal monté à la hâte après qu'une préoccupation a déjà émergé de manière informelle présente généralement la plupart des lacunes ci-dessus.

Comment Provoxis comble ces lacunes

Trois de ces points relèvent de décisions que vous seul pouvez prendre : qui traite les signalements (1), où va un signalement visant la personne chargée du traitement (8) et qui vous consultez (9). Provoxis comble le reste :

Chaque action sur un dossier est consignée dans le journal d'audit, et les signalements sont hébergés dans l'UE (ou au Royaume-Uni pour les clients britanniques), chiffrés au repos et en transit. La mise en place se fait en autonomie avec une liste de contrôle guidée, le prix est un abonnement mensuel fixe (voir les tarifs), et un essai gratuit de 30 jours est proposé.

Fondement juridique

Toutes les références renvoient à la directive (UE) 2019/1937.

• Art. 4 : qui la directive protège, y compris des personnes extérieures aux effectifs de l'employeur.
• Art. 5(13) : ce que signifie « retour d'information ».
• Art. 6(2) : l'obligation d'accepter les signalements anonymes est laissée aux États membres.
• Art. 8(1) : l'établissement des canaux internes après consultation des partenaires sociaux, lorsque le droit national le prévoit.
• Art. 8(2) : à qui les canaux internes doivent, et peuvent, être ouverts.
• Art. 9(1)(a)–(g) : conception sécurisée, accusé de réception sous 7 jours, une personne ou un service impartial désigné, un suivi diligent, un retour d'information sous 3 mois et des informations sur le signalement externe.
• Art. 9(2) : signalement par écrit, par oral, ou les deux ; l'oral par téléphone ou messagerie vocale, et une rencontre en personne sur demande.
• Art. 16 : confidentialité de l'identité de l'auteur du signalement.
• Art. 17 et 18 : traitement des données personnelles et archivage des signalements.