Dispositif d'Alerte Interne Sapin II

Les obligations en matière de dispositif d'alerte sont issues de deux textes complémentaires : la loi Sapin II (article 8) pour le volet anticorruption, et la loi Waserman (loi n° 2022-401 du 21 mars 2022) qui élargit le périmètre et renforce les protections.

Ce qu'impose la loi Sapin II (article 8)

• Mise en place d'un dispositif d'alerte interne permettant de recueillir les signalements
• Applicable aux entreprises ≥ 500 salariés réalisant ≥ 100 M€ de CA (périmètre Sapin II)
• Le dispositif doit permettre de signaler des violations du code de conduite et de tout comportement susceptible de constituer de la corruption ou du trafic d'influence
• Inclusion dans le programme anticorruption soumis au contrôle de l'AFA

Ce qu'ajoute la loi Waserman (2022)

• Seuil abaissé à 50 salariés pour l'obligation de canal interne de signalement
• Périmètre élargi : tout signalement de violation du droit de l'UE et du droit national (pas seulement anticorruption)
• Obligation de canal interne avant de pouvoir recourir au canal externe (autorités)
• Délai de traitement imposé : accusé de réception sous 7 jours, retour sur les suites sous 3 mois
• Interdiction explicite de toute forme de représailles contre les lanceurs d'alerte
• Reversement possible de la charge de la preuve en cas de représailles alléguées

La question du niveau d'anonymat est au cœur de l'efficacité d'un dispositif d'alerte. La loi ne impose pas l'anonymat total — elle impose la confidentialité obligatoire de l'identité du lanceur d'alerte. Mais la capacité à signaler anonymement est un facteur déterminant du taux d'utilisation réel du dispositif.

Ce que dit la loi sur l'anonymat

• L'identité du lanceur d'alerte est strictement confidentielle — même si elle est connue du gestionnaire du dispositif
• Le dispositif peut accepter les signalements anonymes, mais ce n'est pas une obligation légale
• L'AFA recommande fortement de permettre les signalements anonymes pour maximiser l'usage
• Si le dispositif n'accepte pas l'anonymat, l'entreprise doit justifier pourquoi et renforcer les garanties de confidentialité

Ce qui est interdit

• Utiliser un formulaire dont les métadonnées permettent d'identifier l'émetteur (adresse IP, horodatage croisé avec les logs)
• Faire traiter le signalement par le supérieur hiérarchique direct de l'alerteur
• Exiger une identification pour accéder au canal
• Stocker l'identité de l'alerteur dans un système accessible aux opérationnels concernés par l'alerte

La protection des lanceurs d'alerte est le cœur de la loi Waserman. Sans protection effective, aucun salarié ne risquera d'utiliser le dispositif — le rendant inutile sur le plan opérationnel et non conforme sur le plan légal. La loi est explicite et les sanctions pour représailles peuvent être lourdes.

Les protections garanties par la loi

• Irrecevabilité du licenciement lié à un signalement de bonne foi — le juge prud'homal peut prononcer la nullité du licenciement
• Interdiction de toute mesure discriminatoire : rétrogradation, mutation forcée, notation défavorable, mise à l'écart
• Inversion de la charge de la preuve : si le lanceur d'alerte démontre qu'il a signalé et qu'une mesure défavorable a suivi, c'est à l'employeur de prouver que la mesure n'est pas liée au signalement
• Protection contre les procédures abusives intentées contre le lanceur d'alerte (SLAPP : poursuites-bâillons)
• Protection étendue aux facilitateurs : collègues, syndicats, associations qui ont aidé le lanceur d'alerte

Ce que l'employeur doit mettre en place

• Désigner un référent alerte indépendant des opérationnels (peut être le DRH, DG, compliance officer, ou un tiers externe)
• Documenter formellement la garantie de protection dans la charte du dispositif
• Former les managers sur l'interdiction de représailles et les risques légaux associés
• Établir une procédure de traitement qui isole l'information sur l'identité de l'alerteur

Cas particulier : les signalements de mauvaise foi

• La protection ne s'applique qu'aux signalements de bonne foi
• Un salarié qui signale un fait qu'il sait inexact pour nuire à un collègue ne bénéficie pas de la protection légale
• La mauvaise foi doit être prouvée par l'employeur — la seule erreur sur les faits ne suffit pas à caractériser la mauvaise foi
• Procédure disciplinaire pour signalement malveillant avéré : possible mais risquée sans documentation solide

Déployer un dispositif d'alerte conforme n'est pas un projet informatique — c'est un projet organisationnel avec une composante technique. Les entreprises qui échouent le traitent comme un outil à installer ; celles qui réussissent le traitent comme un processus à construire.

Étape 1 : Définir la gouvernance du dispositif

• Désigner le référent alerte (et son suppléant) avec délégation formelle
• Définir le périmètre des signalements couverts (anticorruption seul, ou étendu à tout manquement légal)
• Décider du niveau d'externalisation : référent interne, tiers externe, ou hybride
• Impliquer le CSE (pour les entreprises ≥ 50 salariés) : information ou consultation selon les accords collectifs

Étape 2 : Choisir et déployer le canal technique

• Exclure les solutions non conformes : email générique, formulaire de contact, boîte aux lettres physique non sécurisée
• Choisir une solution garantissant l'anonymat technique : chiffrement de bout en bout, absence de logs IP, hébergement sécurisé
• Tester le dispositif avant déploiement : vérifier que l'anonymat est réellement impossible à contourner
• Documenter les caractéristiques techniques du canal dans le registre compliance

Étape 3 : Rédiger les documents associés

• Charte du dispositif d'alerte (publiée sur l'intranet et dans le règlement intérieur)
• Procédure de traitement des alertes (de la réception à la clôture)
• Modèle d'accusé de réception (envoyable dans les 7 jours)
• Procédure de retour vers l'alerteur (dans les 3 mois)

Étape 4 : Communiquer et former

• Communication générale à l'ensemble des salariés lors du lancement (email, réunion, intranet)
• Formation spécifique des managers : qu'est-ce qu'un signalement, comment réagir, interdiction de représailles
• Rappels annuels dans le cadre du plan de sensibilisation anticorruption
• Communication aux tiers (sous-traitants, partenaires) si le périmètre leur est étendu

Étape 5 : Piloter dans le temps

• Suivi du nombre d'alertes reçues et traitées (indicateur KPI annuel)
• Rapport annuel au comité de direction et au conseil d'administration
• Revue annuelle du dispositif (procédures à jour, référent toujours en poste, canal toujours fonctionnel)
• Archivage sécurisé des alertes pendant 5 ans minimum

L'AFA publie ses recommandations et documente les points de contrôle lors des audits. Les retours des contrôles effectués depuis 2017 permettent de cartographier précisément ce qui est vérifié — et ce qui est régulièrement insuffisant dans les programmes ETI.

Points de contrôle systématiques

• Existence du canal : URL ou référence du dispositif, accessibilité vérifiée lors du contrôle
• Procédure documentée : Qui reçoit ? Qui traite ? Quel délai ? Qui archive ?
• Désignation du référent : Nomination formelle, fonctions détaillées, indépendance documentée
• Communication aux salariés : Preuve de diffusion (email, intranet, PV de réunion)
• Formation des managers : Contenu de la formation, dates, taux de couverture
• Traçabilité des alertes : Registre des alertes reçues, délais de traitement, suites données
• Rapport de pilotage : Présentation annuelle aux instances dirigeantes avec PV

Insuffisances les plus fréquentes relevées par l'AFA

• Canal existant mais non communiqué aux salariés (pas de preuve de diffusion)
• Référent alerte désigné mais sans procédure formalisée pour traiter les signalements
• Dispositif déployé mais jamais révisé depuis 2017 (non conforme à la loi Waserman 2022)
• Absence de rapportage aux instances dirigeantes sur l'activité du dispositif
• Canal technique accessible mais anonymat non garanti (logs IP accessibles, métadonnées tracées)

Les sanctions liées à l'absence ou à l'insuffisance du dispositif d'alerte viennent de deux directions : l'AFA pour le volet anticorruption Sapin II, et les tribunaux prud'homaux pour le volet représailles Waserman. Les deux peuvent s'appliquer simultanément.

Sanctions AFA (programme anticorruption)

• Injonction de mise en conformité avec délai imposé — publiée sur le site de l'AFA
• Amende pour la personne morale : jusqu'à 200 000 €
• Amende pour le dirigeant : jusqu'à 100 000 € (responsabilité personnelle)
• Publication de la sanction sur le site de l'AFA (effet de réputation)
• Ces sanctions s'appliquent même en l'absence de tout acte de corruption avéré — le seul fait de ne pas avoir de programme conforme suffit

Sanctions prud'homales (représailles contre un lanceur d'alerte)

• Nullité du licenciement et réintégration forcée ou indemnisation majorée
• Dommages et intérêts pour préjudice moral et professionnel — montants parfois supérieurs aux amendes AFA
• Condamnation au titre des discriminations (code du travail article L. 1132-3-3)
• En cas de harcèlement caractérisé après signalement : aggravation des peines

Sanctions pénales (obstruction à un lanceur d'alerte)

• Tentative d'identifier un lanceur d'alerte ayant signalé anonymement : délit pénal
• Représailles intentionnelles caractérisées : possibilité de plainte pénale
• Dépôt d'une plainte abusive contre un lanceur d'alerte (procédure SLAPP) : le tribunal peut condamner l'auteur