Premier signalement d'un dénonciateur : que faire ?

Être employeur s'accompagne d'une longue liste d'obligations, dont beaucoup concernent la manière dont vous traitez les personnes qui travaillent pour vous. Le moment où quelqu'un décide de signaler des irrégularités au sein de votre entreprise peut être le plus stressant de l'année. Vous apprenez, en une seule conversation, que quelque chose s'est mal passé sur le lieu de travail que vous gérez, et que l'une de vos personnes porte cette connaissance depuis assez longtemps pour se sentir blessée, effrayée, ou les deux. Avant de faire quoi que ce soit d'autre, accordez-vous un moment, puis réfléchissez attentivement aux étapes que vous devez prendre ensuite. La loi ne laisse désormais très peu de place à l'improvisation.

Pourquoi le premier signalement est différent en 2026 qu'il ne l'était en 2021

La ligne de base européenne est définie par la Directive UE 2019/1937 sur la protection des personnes qui signalent des violations du droit de l'Union. Le délai de transposition pour les États membres était le 17 décembre 2021, mais la conformité a été lente, et en mars 2025, la Cour de justice de l'UE a ordonné à l'Allemagne, au Luxembourg, à la Tchéquie, à l'Estonie et à la Hongrie de payer des pénalités financières pour n'avoir pas transposé la directive. En 2026, chaque État membre dispose d'une législation en vigueur, même si la Commission européenne signale toujours des lacunes dans le champ d'application et la protection.

Cour de justice de l'Union européenne, Luxembourg
©Cédric Puisney (CC BY 2.0)

La Pologne a été l'une des arrivées tardives. La Ustawa o ochronie sygnalistów du 14 juin 2024 est entrée en vigueur le 25 septembre 2024, les canaux externes d'État devant être opérationnels le 25 décembre 2024. Toute personne morale de droit privé ou public employant au moins 50 personnes au 1er janvier ou au 1er juillet d'une année donnée est tenue de mettre en place une procédure écrite de signalement interne. Les entités opérant dans les services financiers, la lutte contre le blanchiment de capitaux, la sécurité des transports et la protection de l'environnement sont couvertes indépendamment du nombre d'employés. Si votre entreprise a dépassé ce seuil et votre procédure réside toujours dans un dossier de projet, vous êtes déjà exposé.

La raison pour laquelle cela a de l'importance quand un seul signalement arrive sur votre bureau est que le signalement n'arrive pas dans le vide. Il arrive à l'intérieur d'un processus réglementé, avec des délais qui commencent à compter dès que votre canal l'enregistre. Traiter le premier comme une conversation RH, comme les employeurs le faisaient il y a vingt ans, est désormais une erreur juridique.

Qui est autorisé à recevoir le signalement

Selon la taille de l'organisation, les signalements peuvent être adressés au propriétaire, à un membre du conseil d'administration, aux RH, ou à une personne embauchée spécifiquement comme contact pour les lanceurs d'alerte . Quelle que soit la personne, deux choses doivent être vraies. Elle doit avoir une autorisation écrite de la personne morale pour recevoir les signalements, prendre des mesures de suivi et traiter les données personnelles impliquées, et elle doit être en position d'agir de manière impartiale, exempte de tout conflit d'intérêts avec les personnes ou les unités concernées par le signalement. Choisir le responsable direct de l'équipe signalée est l'exemple typique de ce qu'il ne faut pas faire.

ISO 37002:2021, la norme internationale sur les systèmes de gestion des lanceurs d'alerte, organise le travail autour de trois principes, Confiance, Impartialité, Protection, et autour d'un cycle de vie à quatre étapes : recevoir, évaluer, traiter, conclure. Vous n'avez pas besoin d'être certifié selon la norme pour utiliser son vocabulaire, et le vocabulaire est utile précisément parce qu'il vous force à séparer l'accueil (une tâche relationnelle) de l'enquête (une tâche analytique). La même personne peut faire les deux, mais elle ne peut pas le faire au même moment.

Les 7 premiers jours

À partir du moment où le signalement est enregistré, la personne autorisée dispose de 7 jours pour accuser réception au déclarant. Ceci n'est pas une confirmation que vous les croyez, et ce n'est pas un verdict. C'est un signal que le signalement est dans le système, qu'un vrai humain l'a, et que la loi a commencé à fonctionner. Précisez qui traite le dossier (ou quel rôle, si l'anonymat est requis), ce qui se passe ensuite en gros traits, et où le déclarant peut vous joindre avec des informations supplémentaires. Évitez les promesses de résultat et évitez le langage évaluatif. La plupart des catastrophes à ce stade proviennent d'accusés de réception qui ressemblent à des réfutations.

Le canal lui-même a aussi de l'importance. Un signalement oral (un appel téléphonique, une ligne enregistrée, une rencontre face à face) vous oblige à produire un compte rendu écrit fidèle et à donner au déclarant la chance de le vérifier. Un signalement par courrier électronique ne doit jamais recevoir de réponse en réponse-à-tous. Un signalement soumis via une plateforme numérique de signalement doit rester sur cette plateforme, et non être dupliqué sur un système de tickets d'entreprise que les personnes signalées peuvent consulter.

La fenêtre de retours de 3 mois

Dans les 3 mois suivant l'accusé de réception du signalement (six mois dans les cas justifiés), vous devez au déclarant un retours substantiel sur l'action envisagée ou déjà prise, et les fondements de celle-ci. Le délai s'adresse à la personne morale, non à l'enquêteur. Si l'enquête est véritablement complexe, le déclarant doit en être informé, et savoir pourquoi, avant l'expiration du délai, non après.

La première chose que le récepteur doit évaluer est de savoir si le signalement décrit une violation dans le champ d'application. La loi polonaise couvre une longue mais finie liste : corruption, marchés publics, règles des services financiers, lutte contre le blanchiment de capitaux, sécurité des produits, sécurité des transports, protection de l'environnement, santé publique, protection des consommateurs, protection de la vie privée et des données personnelles, et violations de la Constitution. Les différends stricts en matière de droit du travail entre un employé et l'entreprise ont été exclus du texte final, ce qui signifie qu'une plainte RH n'est pas automatiquement un signalement protégé ; l'évaluation doit se concentrer sur le fond, non sur le ton agressif du courriel.

L'inimité personnelle, le règlement de comptes, ou les signalements recyclés d'un différend connu font aussi partie de l'évaluation, mais ils sont une raison d'enquêter attentivement, non de rejeter. L'article 57 de la loi polonaise ne criminalise que les signalements faits sciemment pour communiquer un mensonge, avec des peines allant jusqu'à 2 ans de prison ; les erreurs honnêtes du déclarant restent protégées, et traiter un signalement gênant comme malveillant est l'un des moyens les plus rapides pour un employeur de se retrouver face à une réclamation en matière de représailles.

Sejm de la République de Pologne, Varsovie, où la Loi sur la protection des lanceurs d'alerte a été adoptée le 14 juin 2024
©Sandra Cohen-Rose and Colin Rose (CC BY-SA 2.0)

Tenue des dossiers et confidentialité

Chaque signalement est enregistré dans un registre des signalements internes. Le registre suit la date de réception, l'objet du signalement, les mesures prises et le résultat ; il doit être conservé de manière à ne pas révéler l'identité du déclarant à quiconque n'y est pas autorisé. La loi polonaise exige la conservation pendant 3 ans après la fermeture du dossier.

La barre de confidentialité est élevée, et plus stricte que les vagues promesses « personne ne le découvrira » que les anciennes politiques internes ont l'habitude de faire. L'identité du déclarant est protégée, et ne peut être divulguée que lorsque la divulgation est strictement nécessaire et légale, par exemple aux procureurs ou à une ordonnance du tribunal. Quiconque a accès au dossier doit signer des engagements de confidentialité, et le registre lui-même est une donnée RGPD, avec tous les devoirs de contrôle d'accès et de minimisation qui en découle.

C'est aussi là que les employeurs opérant à l'international doivent examiner leurs modèles. En septembre 2024, la US Securities and Exchange Commission a conclu un règlement avec sept sociétés ouvertes pour plus de 3 millions USD combinés concernant les accords d'emploi et de séparation qui contenaient un langage que la SEC a lu comme décourageant le signalement, et avec une société de planification financière distincte pour 240 000 USD concernant les clauses de confidentialité sans exception réglementaire. Les accords de non-divulgation, les accords de départ et les entretiens de départ rédigés il y a des années pour un objectif entièrement différent peuvent être lus par un régulateur comme une preuve que l'entreprise entrave le signalement. Un examen de ces modèles coûte très peu ; découvrir la dure façon coûte beaucoup.

Prendre soin du déclarant

Souvent, le travail de la personne recevant un signalement implique de poser des questions difficiles, parfois indiscrètes. Les déclarants doivent apporter des preuves, et vous devez les évaluer sans flatter ni blâmer. La manière dont vous posez les questions a autant d'importance que ce que vous demandez. La pratique d'accueil informée par le trauma, désormais recommandée comme ligne directrice dans les enquêtes sur le lieu de travail, se réduit à quelques habitudes utiles : posez des questions ouvertes, laissez le déclarant utiliser ses propres mots, donnez-lui un certain contrôle sur le format et le calendrier où la loi le permet, et laissez-le amener une personne de soutien s'il le souhaite. Les enquêteurs qui arrivent avec « avez-vous vraiment vu cela, en êtes-vous sûr ? » n'obtiennent pas moins de faux signalements, ils en obtiennent moins de tout type, et le canal devient silencieux.

Tout au long de l'évaluation et de la résolution, il doit être sûr pour le déclarant de continuer à travailler. Par le canal de communication externe qu'il a utilisé pour vous atteindre, vérifiez périodiquement. Confirmez que sa position est protégée, expliquez en termes honnêtes quelles mesures ont été prises, et demandez, clairement, comment ils vont. Le signal le plus courant qu'un déclarant est sur le point d'escalader vers un régulateur est le silence de votre côté, non la colère.

Quand faire appel à une aide extérieure

Tous les signalements ne peuvent pas être résolus en interne. Une consultation avec un conseil externe est souvent le bon coup, surtout quand les faits signalés touchent à la loi pénale, à une perte financière importante, aux industries réglementées, ou aux membres du conseil. Les enquêteurs externes sont utiles lorsque l'impartialité ne peut pas être crédiblement garantie en interne, et ISO 37002 recommande explicitement un enquêteur extérieur dans les cas où la hiérarchie managériale est trop proche du comportement.

Le déclarant a aussi le droit de porter l'affaire en dehors de vos murs. En Pologne, le canal externe central est le Commissariat aux droits de l'homme (RPO), soutenu par des organismes publics sectoriels. La divulgation publique (aller à la presse, par exemple) n'est protégée qu'après que les canaux internes et externes aient échoué ou aient été contournés pour des raisons étroites énoncées dans la loi. Le traitement interne qui prend le signalement au sérieux maintient généralement l'affaire en interne ; le traitement interne bâclé tend à donner au déclarant à la fois un droit clair et une forte motivation pour la faire sortir.

Bureau du Commissariat aux droits de l'homme (RPO), Aleja Solidarności 77, Varsovie
©Adrian Grycuk (CC BY-SA 3.0 PL)

Ce qu'il en coûte de se tromper

La loi polonaise traite les représailles, l'obstruction d'un signalement, et la révélation d'un déclarant comme des infractions pénales, punissables par des amendes pouvant atteindre PLN 1 080 000, une restriction de liberté, ou une emprisonnement allant jusqu'à 3 ans. L'absence d'une procédure dans une organisation couverte déclenche une responsabilité administrative distincte. Dans une affaire de représailles, la charge de la preuve est inversée : l'employeur doit prouver qu'une action négative contre le déclarant n'était pas liée au signalement. Un lanceur d'alerte dont les droits sont violés a droit à une compensation d'au moins le salaire mensuel moyen national, sans plafond sur les dommages lorsque le préjudice est plus important.

L'arithmétique est impitoyable. Un premier signalement traité proprement vous coûte le temps d'un récepteur formé et quelques semaines d'enquête attentive. Le même signalement traité mal coûte la procédure, les personnes, l'attention du régulateur, et, fréquemment, le déclarant, qui se rend directement au RPO, au procureur, ou à la presse.

La version honnête du message à retenir

Recevoir un premier signalement est, dans presque tous les cas, un moment stressant pour l'employeur. Ce n'est pas obligatoire que ce soit un moment chaotique. Le cadre juridique autour du rôle du récepteur est désormais à la fois détaillé et humain, et les bases procédurales (« accuser réception en 7 jours, donner des retours substantiels en 3 mois, tout écrire, traiter le déclarant comme une personne, jamais seul ») correspondent à ce que les bons enquêteurs faisaient déjà avant que la loi ne les rattrape. Si la loi et l'instinct humain pointent dans la même direction, la seule chose qu'il reste à faire est de développer la mémoire musculaire et de l'utiliser la première fois, pas la troisième.