Dispositif d'alerte éthique : guide complet des obligations légales pour les entreprises

Pourquoi les entreprises ont une obligation légale d'agir

Le dispositif d'alerte éthique n'est plus une option réservée aux grands groupes : c'est une obligation légale pour toute entreprise d'au moins 50 salariés en France. Depuis la loi Sapin II de 2016, renforcée par la loi Waserman de 2022, le législateur a fait du signalement interne un pilier de la prévention de la corruption, de la fraude et des atteintes à l'intérêt général.

Cette évolution répond à un constat simple : les collaborateurs sont les mieux placés pour détecter les manquements au sein de leur organisation. Encore faut-il qu'ils disposent d'un canal sûr, confidentiel et efficace pour les signaler. C'est précisément ce que la loi impose désormais aux employeurs.

Cet article fait le point sur les obligations légales applicables aux dispositifs d'alerte éthique, les entreprises concernées, les sanctions encourues en cas de non-conformité, et les étapes concrètes pour se mettre en conformité.

Qui est concerné ? Les seuils fixés par la loi

Le seuil général : 50 salariés

Depuis la loi n° 2022-401 du 21 mars 2022 (dite loi Waserman), toute entreprise ou entité juridique employant au moins 50 salariés doit établir une procédure interne de recueil et de traitement des signalements. Cette obligation, initialement posée par l'article 8 de la loi Sapin II, concerne aussi les communes de plus de 10 000 habitants, les départements, les régions et les administrations de l'État.

Le régime renforcé anticorruption : 500 salariés et 100 M€

L'article 17 de la loi Sapin II impose un régime plus exigeant aux entreprises d'au moins 500 salariés dont le chiffre d'affaires dépasse 100 millions d'euros (seuils appréciés au niveau du groupe le cas échéant). Ces entreprises doivent déployer un programme anticorruption complet — cartographie des risques, code de conduite, formation, contrôles comptables — dont le dispositif d'alerte interne est une composante obligatoire, sous le contrôle de l'Agence française anticorruption (AFA).

Tableau récapitulatif des textes, seuils et obligations

Les textes clés en synthèse

Loi Sapin II : le texte fondateur

La loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique a posé le socle du droit français de l'alerte. Elle a créé le premier statut général du lanceur d'alerte et imposé aux entreprises concernées :

• des canaux de signalement permettant de recueillir les alertes de manière sécurisée ;
• des procédures de traitement garantissant un examen effectif de chaque signalement ;
• la protection des lanceurs d'alerte contre toute forme de représailles.

Loi Waserman : la transposition qui change la donne

La loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d'alerte, entrée en vigueur le 1er septembre 2022, transpose la directive européenne et modernise en profondeur le régime français :

• définition élargie du lanceur d'alerte : la personne n'a plus à agir « de manière désintéressée », il suffit qu'elle soit de bonne foi et sans contrepartie financière directe ;
• fin de la hiérarchie obligatoire des canaux : le lanceur d'alerte peut saisir directement une autorité externe compétente sans passer d'abord par le canal interne ;
• protection étendue aux facilitateurs (collègues, proches, syndicats et associations qui aident au signalement) ;
• rôle central confié au Défenseur des droits, chargé d'orienter les lanceurs d'alerte et de certifier leur statut.

Le décret n° 2022-1284 du 3 octobre 2022 précise les exigences opérationnelles : accusé de réception du signalement sous 7 jours ouvrés, information du lanceur d'alerte sur les suites données dans un délai raisonnable n'excédant pas 3 mois, et garanties d'intégrité et de confidentialité des informations recueillies.

Pour un panorama détaillé du cadre français, consultez notre guide de la réglementation whistleblowing en France.

La directive européenne 2019/1937

La directive (UE) 2019/1937 du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l'Union établit un socle minimal commun à tous les États membres : canaux de signalement internes obligatoires à partir de 50 travailleurs, canaux externes auprès des autorités compétentes, interdiction générale des représailles et renversement de la charge de la preuve au bénéfice du lanceur d'alerte. Chaque État membre l'a transposée avec ses spécificités — un point d'attention pour les groupes présents dans plusieurs pays européens.

Devoir de vigilance et CSRD : le cercle s'élargit

• La loi n° 2017-399 du 27 mars 2017 sur le devoir de vigilance impose aux sociétés d'au moins 5 000 salariés en France (ou 10 000 dans le monde) un plan de vigilance qui comprend obligatoirement un mécanisme d'alerte et de recueil des signalements relatif aux risques d'atteintes graves aux droits humains, à la santé, à la sécurité et à l'environnement.
• La directive CSRD (Corporate Sustainability Reporting Directive), transposée en droit français fin 2023, oblige progressivement les grandes entreprises à publier des informations de durabilité, y compris sur la conduite des affaires : la norme ESRS G1 couvre explicitement la prévention de la corruption et la protection des lanceurs d'alerte. Le dispositif d'alerte devient ainsi un élément de reporting scruté par les investisseurs et les parties prenantes.

Les éléments obligatoires d'un dispositif d'alerte conforme

Pour répondre aux exigences légales, un dispositif de signalement doit réunir plusieurs éléments clés :

1. Un canal de recueil sécurisé et accessible : le canal doit permettre le signalement écrit ou oral, être accessible aux salariés mais aussi, selon la procédure définie, aux collaborateurs extérieurs et occasionnels, actionnaires, cocontractants et sous-traitants. Une plateforme dédiée facilite l'accessibilité et la traçabilité.

2. La confidentialité garantie : l'identité du lanceur d'alerte, des personnes visées et de tout tiers mentionné doit être strictement protégée. Sa divulgation sans consentement est pénalement sanctionnée. Le dispositif doit également permettre de traiter les signalements anonymes.

3. Des délais de traitement encadrés : accusé de réception sous 7 jours ouvrés, information du lanceur d'alerte sur les suites données dans un délai maximal de 3 mois. Un outil de gestion des cas permet de piloter ces échéances et de documenter chaque étape.

4. La conformité RGPD : le traitement des données personnelles liées aux alertes doit respecter le référentiel de la CNIL : minimisation des données, durées de conservation limitées, information des personnes concernées et sécurité des accès.

5. Une procédure formalisée et diffusée : la procédure doit être établie après consultation des instances de dialogue social, faire l'objet d'une diffusion appropriée (règlement intérieur, intranet, affichage) et être connue de tous les collaborateurs.

6. La formation et la sensibilisation : référents alerte formés au traitement des signalements, sensibilisation régulière des équipes au fonctionnement du dispositif et aux protections dont bénéficient les lanceurs d'alerte.

Sanctions et risques en cas de non-conformité

L'absence de dispositif conforme expose l'entreprise et ses dirigeants à des risques significatifs :

1. Sanctions pénales pour entrave : faire obstacle à la transmission d'un signalement est un délit puni d'un an d'emprisonnement et de 15 000 € d'amende. La violation de la confidentialité de l'identité du lanceur d'alerte est punie de deux ans d'emprisonnement et de 30 000 € d'amende.

2. Amende civile pour procédure « bâillon » : toute action en justice abusive contre un lanceur d'alerte expose son auteur à une amende civile pouvant atteindre 60 000 €, en plus des dommages et intérêts.

3. Nullité des représailles : licenciement, sanction, discrimination ou toute mesure défavorable prise à l'encontre d'un lanceur d'alerte est nulle de plein droit, avec réintégration et indemnisation à la clé devant le conseil de prud'hommes.

4. Sanctions de l'AFA : pour les entreprises soumises à l'article 17 de la loi Sapin II, la commission des sanctions de l'AFA peut prononcer des amendes jusqu'à 200 000 € pour les dirigeants et 1 million d'euros pour l'entreprise en cas de manquement au programme anticorruption.

5. Risque réputationnel et commercial : un scandale révélé en externe faute de canal interne efficace, une exclusion des marchés publics ou la dégradation d'une notation extra-financière peuvent coûter bien plus cher que la mise en conformité elle-même.

Comment se mettre en conformité : les 5 étapes

1. Auditer l'existant : cartographier les canaux de signalement actuels, les procédures et les écarts par rapport aux exigences légales. Notre audit de maturité permet d'évaluer rapidement votre niveau de conformité.

2. Choisir un canal de recueil adapté : privilégier une plateforme sécurisée garantissant confidentialité, anonymat, accessibilité multilingue et traçabilité — des exigences difficiles à tenir avec une simple boîte mail.

3. Formaliser la procédure : rédiger la procédure de recueil et de traitement, la soumettre à la consultation du CSE, désigner les référents chargés du traitement et définir les règles de gestion des conflits d'intérêts.

4. Informer et former : diffuser la procédure à l'ensemble du personnel, former les référents au traitement des alertes et aux obligations de confidentialité, sensibiliser les managers aux protections légales des lanceurs d'alerte.

5. Piloter et améliorer en continu : suivre des indicateurs (volume de signalements, délais de traitement, taux de clôture), documenter chaque dossier pour être en mesure de démontrer la conformité, et ajuster le dispositif au fil des retours d'expérience.

Conclusion

Le dispositif d'alerte éthique est devenu un standard légal incontournable : obligation dès 50 salariés, exigences opérationnelles précises (confidentialité, délais, RGPD), sanctions pénales et civiles en cas de manquement. Au-delà de la conformité, un canal de signalement efficace est un outil de gouvernance qui permet de détecter les risques tôt, de les traiter en interne et de renforcer la confiance des collaborateurs et des partenaires.

Pour aller plus loin, téléchargez notre guide pratique de mise en conformité Loi Waserman ou échangez avec notre équipe sur votre projet de dispositif d'alerte.

---

Sources

• Loi n° 2016-1691 du 9 décembre 2016 (Sapin II) — Légifrance
• Loi n° 2022-401 du 21 mars 2022 (Waserman) — Légifrance
• Décret n° 2022-1284 du 3 octobre 2022 — Légifrance
• Directive (UE) 2019/1937 — EUR-Lex
• Le guide du lanceur d'alerte — Défenseur des droits
• Les dispositifs d'alertes professionnelles — CNIL