Comment mettre en œuvre des procédures de dénonciation ?

Nous avons déjà couvert ce qu'une procédure exemplaire de signalement des irrégularités devrait ressembler, et quel modèle une mise en œuvre d'un système de signalement devrait ressembler en pratique. Ces deux articles s'arrêtent cependant avant une question précise : comment le document de procédure commence-t-il à lier les personnes qui travaillent pour vous ? La rédaction n'est pas l'adoption, et l'adoption n'est pas la mise en application.

De « l'établissement des canaux » à un document contraignant en milieu de travail

L'article 8 de la Directive UE sur les lanceurs d'alerte oblige chaque entité juridique ayant au moins 50 salariés à mettre en place des canaux et procédures internes de signalement. La directive utilise le verbe « établir », qui est délibérément abstrait, car chaque État membre a été laissé libre de décider ce que « établir » signifie dans son propre ordre juridique. Certains traitent la procédure comme un règlement du travail relevant du droit du travail ; d'autres la traitent comme un acte de conformité interne adopté par l'organe de gouvernance. La page de protection des lanceurs d'alerte de la Commission suit le statut de transposition ; chaque État membre a maintenant transposé, plusieurs avec des retards de plusieurs années.

En pratique, cela signifie que vous ne pouvez pas simplement dire aux ressources humaines « d'ouvrir une boîte de réception » et vous considérer comme conforme. Le canal a besoin d'une procédure écrite qui nomme les personnes impliquées, fixe les délais, et survit au départ de celui qui l'a rédigée.

Ce que la procédure doit contenir

Les transpositions nationales varient, mais la liste minimale du contenu de la directive est plus ou moins invariante. Une procédure conforme nomme une unité ou une personne désignée autorisée à recevoir les signalements, et une unité ou une personne impartiale responsable du suivi. Ces deux rôles peuvent se trouver au même endroit, mais s'ils le font, l'impartialité du suivi doit être défendue sur d'autres bases.

Elle énumère les canaux de soumission acceptés : au minimum oral et écrit, et une réunion en personne à la demande du signataire. Elle indique si les signalements anonymes sont acceptés (les États membres diffèrent sur ce point). Elle s'engage à accuser réception dans un délai de 7 jours et à fournir des commentaires dans un délai de 3 mois à compter de l'accusé de réception. Et elle explique les voies de signalement externes (l'autorité compétente nationale et, le cas échéant, les institutions de l'UE), afin qu'un signataire qui choisit de ne pas utiliser le canal interne sache où aller. Une procédure qui omet le paragraphe de signalement externe canalise tout vers l'intérieur, ce qui est exactement le mode de défaillance que la directive a été écrite pour prévenir.

Consultez avant d'adopter

La plupart des transpositions nationales exigent une certaine forme de consultation du personnel avant que la procédure ne soit contraignante. La forme varie (conseil d'entreprise dans certains pays, syndicats reconnus dans d'autres, représentants élus des salariés là où aucun des deux n'existe), et la fenêtre de temps varie aussi, généralement quelques jours ouvrables entre la présentation du projet et la finalisation du texte. Quelques lois nationales font de la consultation une condition de validité : si vous l'omettez, la procédure n'est techniquement pas en vigueur, peu importe sa présentation.

Le raisonnement ne relève pas du formalisme. Un canal de signalement adopté unilatéralement gagne rarement la confiance dont il a besoin pour fonctionner ; les personnes qui l'utiliseraient réellement veulent un signal que les règles ont été convenues, non imposées. Une consultation brève, dûment documentée, est aussi la preuve la moins coûteuse que vous puissiez produire plus tard quand un régulateur demande comment la procédure a été mise en place.

Adoptez, communiquez, puis respectez un délai de préavis

La décision d'adoption suit la forme juridique de l'entité. Dans les sociétés de capitaux, il s'agit généralement du conseil d'administration ; dans les sociétés de personnes, les associés ; dans les organismes du secteur public, le chef de l'autorité ; dans les associations et les fondations, l'organe autorisé par les statuts. La décision devrait être sous la forme que l'entité utilise pour ses autres actes internes (généralement une résolution du conseil d'administration ou une décision écrite), de sorte qu'il existe une trace écrite de qui a adopté quoi, et quand.

La plupart des transpositions incluent également un bref délai de préavis entre l'annonce de la procédure et son entrée en vigueur. L'esprit de la directive est que les salariés doivent avoir une véritable opportunité de lire les règles avant que ces règles ne commencent à régir ce qui se passe pour eux. Publiez la procédure sur l'intranet, le tableau d'affichage ou tout autre canal que le personnel consulte réellement, et enregistrez la date de publication. La procédure s'applique à partir de cette date enregistrée plus le délai de préavis légal, non à partir du jour où le conseil d'administration l'a signée.

Pénalités pour non-respect

Les sanctions nationales varient. Certains États membres imposent des amendes administratives à l'entité ; d'autres ajoutent une responsabilité pénale pour les personnes qui entravent activement un signalement ou représailles contre un signataire. Les montants sont suffisamment importants pour être significatifs pour les employeurs de taille moyenne, et suffisamment petits pour être manqués dans un registre des risques de fin d'année si personne n'a signalé l'obligation.

Le changement plus important, cependant, est en amont. Le 6 mars 2025, la Cour de justice de l'UE a condamné cinq États membres pour non-transposition ou transposition tardive : 34 millions d'euros contre l'Allemagne, 2,3 millions d'euros contre la République tchèque, 1,75 million d'euros contre la Hongrie, 375 000 euros contre le Luxembourg, et 500 000 euros plus 1 500 euros par jour contre l'Estonie. Le communiqué de presse de la CJUE explique le raisonnement. Une fois que la Commission a montré qu'elle poursuivrait réellement les violations jusqu'à la pénalité, les régulateurs nationaux ont tendance à durcir leur propre posture d'application. Le coût de l'absence de procédure n'est pas seulement l'amende publicitaire. C'est l'attention des audits qui en découle.

Le document de procédure est un échafaudage administratif. Il doit exister, il doit être légalement adopté, il doit être communiqué, et il doit dire les bonnes choses. Aucun de cela, en soi, ne fait fonctionner le canal. Le problème plus difficile est de convaincre les personnes qui l'utiliseraient que le canal est sûr à utiliser, que le suivi impartial est réellement impartial, et que l'entreprise est plus intéressée par la correction de ce qui a été signalé que par la découverte de qui l'a signalé. Pour ce travail, la norme volontaire ISO 37002 est une référence utile : un modèle de maturité plutôt qu'une base de conformité, destiné à se situer aux côtés de la procédure légale plutôt que de la remplacer. ISO 37002 définit la perspective du système de gestion ; le document de procédure n'est que le point d'entrée.