Désigner qui traite les signalements

Un canal ne suffit pas à lui seul — la loi exige une personne

Il est possible de mettre en place un formulaire de soumission et de ne toujours pas disposer d'un canal conforme, car la directive n'exige pas seulement un endroit où les signalements peuvent arriver — elle exige quelqu'un de responsable de ce qui se passe ensuite. L'art. 9(1)(c) impose « la désignation d'une personne ou d'un service impartial compétent pour assurer le suivi des signalements... qui maintiendra la communication avec l'auteur du signalement et, si nécessaire, demandera un complément d'information à cette personne et lui fournira un retour d'information. » Un formulaire dont personne n'est clairement responsable satisfait à la lettre du « nous avons un canal » tout en manquant ce à quoi le canal sert réellement.

La même personne ou le même service peut à la fois recevoir les signalements et en assurer le suivi — la directive n'exige pas deux rôles distincts — mais quelle que soit la personne concernée, elle doit être nommément désignée, impartiale, et réellement dotée des moyens d'assurer le suivi, pas simplement affectée nominalement.

En interne ou externalisé — les deux sont explicitement autorisés

C'est une véritable décision ouverte, que la directive ne pousse pas dans un sens plutôt que dans l'autre. L'art. 8(5) précise explicitement que les canaux de signalement « peuvent être gérés en interne par une personne ou un service désigné à cet effet ou fournis en externe par un tiers. » Les deux sont légitimes :

• En interne. Quelqu'un au sein de l'entreprise — souvent les RH, le service juridique, ou un responsable conformité — traite directement les signalements. Cette personne comprend déjà le contexte de l'organisation, ses collaborateurs et son histoire, ce qui rend le suivi plus rapide et mieux informé. Le compromis porte sur l'indépendance : plus l'entreprise est petite, plus il est difficile de trouver quelqu'un n'ayant aucune proximité avec les personnes susceptibles d'être mises en cause.
• Externalisé. Un médiateur externe, un cabinet d'avocats, ou un prestataire spécialisé traite les signalements (ou au moins le tri initial) à la place du personnel interne. Cela apporte une réelle distance vis-à-vis des jeux d'influence internes et des lignes hiérarchiques, au prix d'une personne moins familière du contexte propre de l'organisation qui doit se mettre à niveau sur chaque dossier.

Aucun de ces choix ne concerne le logiciel utilisé pour faire fonctionner le canal — une entreprise peut utiliser une plateforme dédiée tout en traitant chaque dossier en interne, ou utiliser la même plateforme et acheminer les dossiers vers un gestionnaire externe. L'outil et la décision de traitement sont deux choses distinctes.

Ce que « impartial » exclut en pratique

« Impartial » est le mot clé de l'art. 9(1)(c), et il a une implication pratique qu'il vaut la peine d'anticiper avant qu'un véritable signalement ne la mette à l'épreuve : la personne désignée ne devrait pas être quelqu'un qui finirait par investiguer sa propre conduite, ou celle de son propre supérieur direct. Dans une entreprise venant tout juste de dépasser le seuil des 50 salariés, cela est souvent réellement difficile — une petite équipe dirigeante signifie un vivier limité de personnes sans conflit plausible. C'est fréquemment exactement le moment où les entreprises décident de faire appel à un gestionnaire externe, au moins pour les dossiers où un conflit interne est probable, même si la plupart des signalements restent traités en interne.

Combien de personnes devraient réellement avoir accès

Il existe un second équilibre à trouver, distinct de l'impartialité : la taille du groupe désigné. Plus petit est généralement mieux pour la confidentialité — l'exigence de l'art. 9(1)(a) selon laquelle un canal « empêche l'accès à celui-ci par des membres du personnel non autorisés » est plus facile à garantir réellement à mesure que la liste compte moins de personnes. Mais un gestionnaire unique et nommé constitue un point de défaillance unique : maladie, congé, conflit d'intérêts sur un dossier précis, ou simple surcharge peuvent tous laisser des signalements réellement sans prise en charge. Un groupe désigné de deux ou trois personnes, avec une couverture de remplacement claire, est un plancher plus réaliste qu'une seule personne pour la plupart des entreprises franchissant le seuil.

Comment Provoxis s'inscrit dans cette décision

Provoxis ne prend pas cette décision à votre place — qui sont vos gestionnaires est un choix organisationnel que l'entreprise doit faire quelle que soit la plateforme sous-jacente, que cela retombe sur une seule personne, une petite équipe interne, ou un prestataire externe ajouté comme gestionnaire sur la plateforme. Ce que Provoxis fait, c'est faire respecter la frontière une fois cette décision prise : seul le personnel qu'une entreprise a explicitement ajouté comme gestionnaire ou administrateur peut voir les détails d'un lanceur d'alerte identifié, le journal d'audit enregistre chaque ouverture d'un signalement par l'un d'eux, et l'accès n'est pas quelque chose qui peut subsister discrètement via un mot de passe partagé ou une ancienne règle de transfert, comme cela peut être le cas avec une boîte mail partagée.

Fondement juridique

• Art. 9(1)(c), directive (UE) 2019/1937 — l'exigence de désigner une personne ou un service impartial compétent pour assurer le suivi des signalements.
• Art. 8(5) — les canaux de signalement internes peuvent être gérés en interne par une personne ou un service désigné, ou fournis en externe par un tiers.
• Art. 9(1)(a) — l'exigence que les canaux soient conçus et gérés de manière à empêcher l'accès par du personnel non autorisé, le fondement du maintien volontaire d'un groupe désigné restreint.