Un lanceur d'alerte est la personne qui vous signale ce qui ne va pas avant que le problème n'arrive au tribunal, dans la presse ou sur le bureau du régulateur. La promesse de tout canal interne est la même chose, mais en sens inverse : si votre organisation crée les conditions propices à la remontée d'information, celle-ci vous parvient en premier. C'est cette promesse qui pousse réellement les salariés à franchir la porte marquée « Signalez les anomalies » dans la cuisine, et c'est ce que la plupart des lignes d'alerte n'arrivent toujours pas à tenir.
L'objectif de cet article est d'examiner cette question du point de vue des salariés. Il existe beaucoup d'études sur la raison pour laquelle un système de dénonciation protège les entreprises des amendes, de la fraude et des dommages à la réputation. Il en existe beaucoup moins sur les avantages concrets qu'un salarié retire d'un système construit sur quelque chose de plus solide qu'une simple adresse e-mail. Il y a cinq ans, cette question était largement culturelle. Aujourd'hui, elle est aussi juridique : la Directive UE sur les lanceurs d'alerte, la norme ISO 37002 et l'évolution de la jurisprudence sur les représailles ont tous redessiné la frontière entre « nous avons une ligne d'alerte » et « les gens l'utilisent ».
Le socle juridique : Directive UE 2019/1937
La Directive (UE) 2019/1937 est désormais en vigueur dans les 27 États membres de l'UE. Elle impose à chaque organisation publique ou privée comptant au moins 50 salariés d'exploiter un canal de signalement interne capable d'accepter des rapports écrits ou oraux, de donner suite dans les trois mois et de protéger le signalant contre les représailles. La liste des violations que le canal doit couvrir est large : services financiers, lutte contre le blanchiment d'argent, marchés publics, protection de l'environnement, sécurité des produits, sécurité alimentaire, santé publique, protection des consommateurs, protection des données et cybersécurité.
La date limite de transposition était le 17 décembre 2021. La conformité a été inégale, et la Commission européenne ne l'a pas laissé passer. Le 25 avril 2024, la Cour de justice a condamné la Pologne pour défaut de transposition. Le 6 mars 2025, la Cour a jugé contre l'Allemagne, la République tchèque, la Hongrie, l'Estonie et le Luxembourg dans un ensemble de cas connexes. L'Allemagne à elle seule a reçu une amende de 34 millions EUR ; la République tchèque 2,3 millions EUR, la Hongrie 1,75 million EUR, le Luxembourg 375 000 EUR, l'Estonie 500 000 EUR plus une pénalité quotidienne de 1 500 EUR jusqu'à l'adoption de la loi.
« Un État membre ne peut pas invoquer des dispositions, pratiques ou situations existant dans son ordre juridique interne pour justifier le non-respect des obligations découlant du droit de l'Union, telles que le défaut de transposition d'une directive. »
Cour de justice de l'Union européenne, jugement du 6 mars 2025
Cette décision a une importance pratique pour un salarié à Hambourg ou à Tallinn, au-delà du chiffre de l'amende : elle place la loi nationale de protection des lanceurs d'alerte de chaque État membre sur un pied d'égalité juridique. La Directive pose un socle, non un plafond, de sorte que les pays peuvent être plus stricts, mais non moins exigeants. Combinée à la consultation ouverte de la Commission européenne sur le prochain Plan d'action pour la protection des lanceurs d'alerte, la protection juridique dont jouit un salarié qui remonte une information ne peut que s'améliorer. Pour une vue d'ensemble pays par pays de la façon dont la Directive s'applique dans le droit national, consultez notre aperçu de la législation sur les lanceurs d'alerte en Europe.
Cour de justice de l'Union européenne, Luxembourg
© Cédric Puisney (CC BY 2.0)
Du canal de conformité à la culture de la prise de parole
Une ligne d'alerte seule ne fait très peu. Le Rapport mondial sur l'intégrité d'EY 2024 a constaté que 93 % des organisations gèrent désormais une ligne d'alerte, contre 86 % il y a deux ans. C'est la case cochée. Mais dans le même sondage, 54 % des personnes qui ont réellement signalé une violation ont déclaré avoir senti une pression pour ne pas le faire ; 40 % des membres du conseil d'administration ont déclaré avoir personnellement assisté à des représailles contre un lanceur d'alerte ; et seuls 25 % des salariés ont dit qu'ils savaient quelles protections des lanceurs d'alerte leur étaient disponibles. La ligne existe ; les conditions pour que quelqu'un l'utilise sans craindre les conséquences n'existent pour la plupart pas.
C'est la différence entre un canal de conformité et une culture de la prise de parole. Un canal de conformité est un numéro que personne n'appelle. Une culture de la prise de parole est un lieu de travail où le canal est l'une des plusieurs options normales et où chaque niveau de direction, chaque responsable direct, chaque responsable RH, chaque responsable éthique, chaque outil d'anonymat, traite un signalement comme une information utile plutôt que comme un problème de gestion du personnel. Le sondage international 2024 de l'Institute of Business Ethics a révélé que la volonté de signaler à un responsable direct a en réalité diminué depuis 2020, passant de 46 % à 40 %. L'infrastructure juridique s'est améliorée ; l'infrastructure de confiance n'a pas suivi.
Pour les employeurs, l'implication est que le travail n'est pas terminé lorsque le système est acquis. Le travail est terminé lorsque les personnes qui utiliseraient le système savent qu'il existe, savent ce qu'il couvre, et font confiance à sa non-utilisation leur coûter leur carrière. C'est aussi le moment où un bon logiciel de dénonciation cesse de ressembler à une simple case à cocher et commence à ressembler bon pour l'entreprise : chaque préoccupation remontée en interne est une préoccupation de moins qui s'en va du bâtiment vers un régulateur ou un journaliste.
« Les organisations devraient communiquer régulièrement, au point de peut-être trop communiquer, l'importance de la prise de parole. »
Jonathan Feig, EY Forensic & Integrity Services
La norme de confiance : ISO 37002
L'année même où cet article a été écrit pour la première fois, l'Organisation internationale de normalisation a publié ISO 37002:2021, Systèmes de gestion des lanceurs d'alerte : Lignes directrices. La norme est volontaire et non certifiable, mais elle est rapidement devenue le point de référence auquel les cadres de conformité, les régulateurs sectoriels et les grandes équipes d'approvisionnement pointent lorsqu'ils veulent définir ce que « bien » signifie.
Le choix structural qu'ISO a fait a son importance pour le lecteur de cet article. ISO 37002 repose sur trois principes : la confiance, l'impartialité et la protection du signalant. La rapidité de l'enquête, la défendabilité de la conformité et l'efficacité de la gestion des dossiers sont toutes des conséquences de ces trois principes ; elles échouent sans eux et ils en découleraient une fois que la confiance est en place. Un salarié qui n'a pas confiance au canal ne y met pas de signalement, et une organisation sans signalements ne détecte pas à temps les abus pour les traiter.
Le changement par rapport à une ligne d'alerte éthique de 2010 est que le système est désormais conçu à partir du signalant vers l'extérieur. L'anonymat est préservé par défaut, non comme une exception. Le signalant reçoit un retour d'information obligatoire dans la fenêtre juridique de trois mois. Les enquêtes doivent être impartiales par rapport à la ligne d'activité dans laquelle la conduite alléguée s'est produite. Le signalant doit être protégé contre les représailles qui peuvent prendre des formes beaucoup plus subtiles qu'un licenciement : réaffectation, gels de promotion, non-renouvellement de contrat, refus de formation. ISO 37002 nomme tous ceux-ci explicitement.
L'écart des représailles
Les représailles sont la plus grande raison pour laquelle les bons systèmes continuent de sous-performer. L'Enquête mondiale 2023 sur l'éthique commerciale de l'Ethics & Compliance Initiative est la donnée la plus rigoureuse que nous ayons sur la question. Elle a constaté que 65 % des salariés ont observé des violations au travail au cours de la période sondée, contre 60 % en 2020. Parmi ceux qui l'ont observé, 72 % l'ont signalé en interne ou en externe : le taux de signalement est en réalité élevé. Mais parmi ceux qui ont signalé, 46 % ont alors subi des représailles. Le chiffre s'est maintenu à peu près stable d'une enquête à l'autre : environ la moitié des personnes qui font bien reçoivent une punition pour cela.
La plus grande conclusion structurelle de l'ECI est que seuls 13 % des salariés travaillent dans ce que l'enquête définit comme une forte culture éthique. Les 87 % autres se trouvent dans des lieux de travail où les signaux éthiques de la direction sont mitigés, faibles ou activement contredits par ce qui est récompensé. La conclusion d'EY selon laquelle 64 % des membres du conseil d'administration se sentaient sous pression pour ignorer les violations vient du même endroit : la pression descend de haut en bas, et une ligne d'alerte au bas d'une organisation qui fait pression sur ses administrateurs pour détourner les yeux n'est pas une ligne qu'on appelle.
Ce qu'un système efficace fait, c'est réduire l'écart entre les 72 % qui signaleraient et les 46 % qui en subissent les conséquences. Cela se fait par de véritables options d'anonymat pour les signalements sensibles, un suivi obligatoire du traitement du signalant après le signalement, un itinéraire d'enquête indépendant pour les cas où le responsable direct est le sujet, et une application visible lorsque les représailles sont établies. La question de suivi naturelle du lecteur, est-il sûr d'être un lanceur d'alerte, a une réponse différente selon que le système au-dessus d'eux en est un ou simplement un formulaire de contact.
Ce que les salariés gagnent réellement
Lorsque le socle juridique et l'infrastructure culturelle se maintiennent tous deux, les protections que le salarié obtient sont concrètes et méritent d'être nommées.
Un canal protégé qu'ils n'ont pas eu à inventer. En vertu de la Directive, chaque organisation couverte doit en fournir un. Le signalant n'a pas à trouver seul un journaliste sympathique ou un régulateur compréhensif ; la première étape est interne et doit être confidentielle. L'anonymat est disponible comme option par défaut, non comme une faveur accordée sur appel. Les systèmes modernes mettent en œuvre le signalement chiffré, aveugle à l'identité, de bout en bout. Le signalant peut être contacté pour des questions de suivi via le même fil de cas anonyme sans jamais être démasqué, et bon logiciel de dénonciation leur donne la garantie cryptographique par écrit plutôt que la promesse de l'équipe juridique.
La règle des trois mois de suivi de la Directive n'est pas un accord de niveau de service, c'est une obligation juridique. Le signalant ne peut pas être laissé en silence ; il doit être informé de ce qui se passe avec son signalement. Aux côtés de la chronologie se trouve la protection juridique contre les représailles : la plupart des transpositions nationales mettent en œuvre l'inversion de la charge de la preuve, de sorte que si le signalant est licencié, rétrogradé ou sanctionné dans une fenêtre définie après un signalement, l'employeur doit prouver que l'action était sans rapport. C'est un changement significatif par rapport à la position de 2010, où le signalant devait prouver la causalité lui-même.
Au-delà des mécanismes juridiques, la politique elle-même envoie un signal. Le but d'une politique de dénonciation n'est pas le document ; c'est ce que le document dit aux salariés sur la personne dont la voix porte du poids dans l'organisation. Un salarié qui a utilisé le système une fois, l'a vu fonctionner, et a vu le problème résolu devient un type de salarié différent dans l'organisation : plus engagé, non moins. La voix et la sortie sont les deux seuls moyens qu'une personne peut utiliser pour réagir à un problème au travail ; un système qui rend la voix possible rend la sortie inutile.
Un canal de dénonciation construit sur les principes que la Directive et ISO 37002 énoncent est une pièce d'infrastructure au lieu de travail qui réorganise qui peut parler à qui, à quelles conditions, avec quelle protection. L'organisation obtient une meilleure information et le signalant obtient de la couverture, ce qui s'avère être le même projet plutôt que deux projets concurrents.
