Premier signalement d'un dénonciateur : que faire ?

Être employeur implique de nombreuses obligations. La plupart concernent la manière dont vous traitez votre personnel. Le moment où quelqu'un décide de signaler des irrégularités au sein de votre entreprise peut être le jour le plus stressant de l'année. En une seule conversation, vous apprenez que quelque chose ne va pas. Vous découvrez aussi qu'un employé portait ce secret depuis assez longtemps pour se sentir blessé ou effrayé. Avant de faire quoi que ce soit d'autre, accordez-vous un moment. Réfléchissez attentivement aux étapes que vous devez suivre maintenant. La loi ne laisse désormais que très peu de place au hasard.

Comment les lois sur le signalement ont changé

La directive UE 2019/1937 définit les standards européens pour protéger les lanceurs d'alerte. La date limite pour les États membres était le 17 décembre 2021. Cependant, la mise en conformité a été lente. En mars 2025, la Cour de justice de l'UE a condamné plusieurs pays à des amendes pour ne pas avoir suivi les règles. Parmi eux figuraient l'Allemagne, le Luxembourg, la Tchéquie, l'Estonie et la Hongrie. Chaque État membre dispose désormais d'une législation, même si la Commission européenne signale encore des lacunes dans la protection.

Cour de justice de l'Union européenne, Luxembourg
©Cédric Puisney (CC BY 2.0)

La Pologne a été l'un des derniers pays à rejoindre le mouvement. La Ustawa o ochronie sygnalistów (Loi sur la protection des lanceurs d'alerte) est entrée en vigueur le 25 septembre 2024. Toute organisation comptant au moins 50 personnes doit disposer d'une procédure écrite de signalement interne. Cela s'applique aux entités privées comme publiques. Certains secteurs, comme les services financiers ou la sécurité des transports, sont couverts quelle que soit leur taille. Si votre entreprise a dépassé ce seuil et que votre procédure n'est encore qu'un projet, vous êtes déjà exposé.

Un signalement n'arrive pas dans le vide. Il déclenche un processus réglementé avec des délais stricts. Ces délais commencent dès que votre canal reçoit le signalement. Traiter cela comme une simple discussion RH est désormais une erreur juridique.

Qui peut recevoir le signalement

Les signalements peuvent être adressés au propriétaire, à un membre de la direction ou aux RH. Les grandes entreprises peuvent même avoir un contact pour les lanceurs d'alerte dédié. Dans tous les cas, deux conditions doivent être remplies. Premièrement, cette personne doit avoir une autorisation écrite de l'entreprise pour gérer les signalements. Deuxièmement, elle doit être impartiale. Elle ne doit pas avoir de conflit d'intérêts avec les personnes mentionnées. Par exemple, vous ne devriez pas choisir le responsable direct de l'équipe signalée.

La norme internationale ISO 37002:2021 suggère trois principes : Confiance, Impartialité et Protection. Elle définit également un processus en quatre étapes : recevoir, évaluer, traiter et conclure. Cela vous aide à séparer la réception de l'information de l'enquête elle-même. Une même personne peut faire les deux, mais ce sont deux tâches distinctes.

Les 7 premiers jours

Une fois le signalement enregistré, vous avez 7 jours pour confirmer sa réception au déclarant. Ce n'est pas un verdict. C'est un signal que le dossier est dans le système et qu'un humain s'en occupe. Indiquez qui est responsable de l'affaire et ce qui va se passer ensuite. Utilisez un langage simple et évitez les promesses sur le résultat. Un mauvais accusé de réception peut ressembler à un rejet et causer plus de problèmes.

Le canal utilisé est aussi important. Si quelqu'un fait un signalement en personne ou par téléphone, vous devez rédiger un compte rendu. Laissez le déclarant le vérifier. Ne répondez jamais à un mail de signalement en faisant "répondre à tous". Si vous utilisez un logiciel de signalement, gardez-y tous les messages. Ne copiez pas d'informations sensibles dans un système de tickets d'entreprise accessible à d'autres.

La fenêtre de réponse de 3 mois

Dans les 3 mois suivant l'accusé de réception, vous devez donner un retour substantiel au déclarant. Vous devez expliquer quelles mesures vous comptez prendre ou avez déjà prises. Le délai concerne l'entreprise, pas seulement l'enquêteur. Si le dossier est complexe, dites au déclarant pourquoi avant la fin du délai.

Le premier travail du récepteur est d' évaluer si le signalement est "dans le champ d'application". La loi polonaise couvre de nombreux domaines : corruption, marchés publics, blanchiment d'argent ou sécurité des produits. Elle couvre aussi la protection de l'environnement et de la vie privée. Les simples conflits de travail entre un employé et l'entreprise ne sont généralement pas inclus. Vous devez analyser le fond du signalement, pas seulement le ton agressif du mail.

Parfois, les signalements sont liés à des rancunes personnelles. Vous devez quand même les examiner avec soin au lieu de les rejeter. L'article 57 de la loi polonaise punit le signalement délibéré d'informations fausses. Cela peut mener à 2 ans de prison. Cependant, les erreurs honnêtes sont protégées. Traiter un signalement gênant comme malveillant est le moyen le plus rapide de faire face à une plainte pour représailles.

Sejm de la République de Pologne, Varsovie, où la Loi sur la protection des lanceurs d'alerte a été adoptée le 14 juin 2024
©Sandra Cohen-Rose and Colin Rose (CC BY-SA 2.0)

Registre et confidentialité

Chaque signalement est inscrit dans un registre des signalements internes. Ce registre suit la date de réception, le sujet et les actions prises. Vous devez protéger ces données. L'identité du déclarant doit rester secrète. La loi polonaise exige de conserver ces dossiers pendant 3 ans après la clôture de l'affaire.

Le niveau de confidentialité est très élevé. C'est bien plus strict que les anciens règlements d'entreprise. Vous ne pouvez révéler le nom du déclarant que si c'est absolument nécessaire et légal. Un tribunal peut, par exemple, l'ordonner. Toute personne travaillant sur le dossier doit signer un accord de confidentialité. Le registre est aussi soumis aux règles du RGPD sur la protection des données.

Les entreprises internationales devraient vérifier leurs anciens modèles. En septembre 2024, la SEC américaine a condamné sept entreprises à plus de 3 millions USD d'amendes. Leurs contrats de travail contenaient des clauses décourageant les signalements. Une autre firme a payé 240 000 USD pour des clauses de confidentialité n'autorisant pas le contact avec les régulateurs. Les anciens accords de confidentialité ou de départ peuvent être vus comme la preuve que vous bloquez les alertes. Revoir ces modèles coûte peu. Une amende coûte cher.

Prendre soin du déclarant

Recevoir un signalement oblige souvent à poser des questions difficiles. Vous devez évaluer les preuves sans blâmer ni flatter personne. La manière de poser les questions est cruciale. Adoptez des méthodes basées sur le trauma. Posez des questions ouvertes et laissez le déclarant utiliser ses propres mots. Donnez-lui un certain contrôle sur le calendrier. Laissez-le venir avec une personne de confiance. Si vous commencez par demander "êtes-vous sûr d'avoir vu cela ?", vous recevrez beaucoup moins de signalements à l'avenir.

Le déclarant doit pouvoir continuer à travailler en sécurité. Contactez-le via le même canal que celui utilisé pour l'alerte. Confirmez que son poste est protégé et expliquez les étapes suivantes. Demandez-lui comment il va. La plupart des gens ne saisissent un régulateur que si leur propre entreprise garde le silence.

Quand faire appel à une aide extérieure

Vous ne pouvez pas tout résoudre en interne. Parfois, il est utile de parler à des avocats externes. C'est important si l'alerte concerne des crimes, des pertes d'argent importantes ou des membres de la direction. Des experts externes aident quand l'impartialité ne peut être garantie en interne. La norme ISO 37002 le recommande si l'affaire concerne des personnes haut placées.

Le déclarant peut aussi porter l'affaire hors de l'entreprise. En Pologne, le canal principal est le Commissariat aux droits de l'homme (RPO). D'autres administrations peuvent aussi aider. Aller voir la presse n'est protégé que dans des cas très précis. Prendre le signalement au sérieux permet généralement de le garder en interne. Une mauvaise gestion donne au déclarant une raison de chercher de l'aide à l'extérieur.

Bureau du Commissariat aux droits de l'homme (RPO), Aleja Solidarności 77, Varsovie
©Adrian Grycuk (CC BY-SA 3.0 PL)

Ce qu'il en coûte de se tromper

La loi polonaise punit sévèrement les représailles. Bloquer un signalement ou révéler l'identité du déclarant peut mener à des amendes allant jusqu'à 1 080 000 PLN. Cela peut aussi conduire à 3 ans de prison. Les organisations sans procédure adéquate risquent d'autres sanctions. En cas de représailles, c'est à l'employeur de prouver que ses décisions n'avaient aucun lien avec le signalement. Les lanceurs d'alerte peuvent aussi obtenir des indemnités sans plafond.

Le calcul est simple. Un signalement bien géré demande quelques semaines de travail. Un signalement mal géré détruit votre réputation et attire les autorités. Cela finit souvent par une plainte directe à la police ou un scandale dans la presse.

La version honnête du message à retenir

Recevoir un premier signalement est stressant, mais cela ne doit pas être chaotique. Les règles sont désormais très précises. Les bases sont simples : accusez réception sous 7 jours et répondez sous 3 mois. Notez tout et respectez le déclarant. Ce sont les mêmes habitudes que les bons enquêteurs ont toujours eues. Maintenant que la loi est là, il vous suffit de les appliquer.