Le lanceur d’alerte : un maillon de contrôle interne à ne pas négliger !

La publication de la loi visant à améliorer la protection des lanceurs d’alerte (loi 2022-401 du 21 mars 2022, JO du 22) est l’occasion de revenir sur la procédure d’alerte professionnelle à mettre en place pour les entreprises d'au moins 50 salariés. Sachant que le renseignement est un vecteur important de révélation des fraudes (à hauteur de 42 % selon l’Association of certified fraud examiners/ACFE « Report to the nations 2022 »), voici l’opportunité d’intégrer ce dispositif dans le processus de contrôle interne de l’entreprise.

Rappel du cadre réglementaire

La mise en place d’un dispositif de protection du lanceur d’alerte a été instaurée par la loi relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique dite « loi Sapin II » (loi 2016-1691 du 9 décembre 2016). Si cette loi a créé un environnement favorable au signalement de faits délictueux, les affaires récentes (Mediator, Wirecard) ont mis en exergue les difficultés rencontrées par les lanceurs d’alerte dans leur démarche, notamment à cause des pressions exercées par les auteurs des délits.

Dans un souci d’harmoniser les pratiques au sein de l’Union européenne, la directive UE 2019/1957 du 23 octobre 2019 a, quant à elle, renforcé la protection des lanceurs d’alerte.

La loi de mars dernier vient intégrer les dispositions de cette directive en droit national. Elle entrera en vigueur le 1^er septembre 2022 (loi 2022-401, art. 18).

Signalons que, parallèlement à cette loi, a été publiée une loi organique, qui vise à renforcer le rôle du Défenseur des droits en matière de signalement (loi 2022-400 du 21 mars 2022, JO du 22).

Rappelons qu'une loi organique est définie comme telle car elle a généralement pour objet de préciser l’organisation et le fonctionnement des pouvoirs publics, en application d’articles de la Constitution. Le Défenseur des droits (DDD) est une autorité administrative indépendante instituée par la loi organique du 29 mars 2011. Le DDD est chargé de défendre les droits des citoyens face aux administrations et dispose également de prérogatives particulières en matière de promotion des droits de l'enfant, de lutte contre les discriminations, du respect de la déontologie des activités de sécurité.

Les apports de la nouvelle loi

Une définition étendue du lanceur d’alerte

Par rapport à la définition de la loi Sapin II, la notion est précisée puisque les agissements du lanceur d’alerte ne seront plus « à caractère désintéressé » mais devront être caractérisés par une absence de contrepartie financière.

Dans le cadre professionnel, le lanceur d’alerte pourra signaler des faits qui lui ont été rapportés et non plus des faits dont il avait personnellement la connaissance (loi 2016-1691, art. 6 modifié).

Sous certaines conditions, les « facilitateurs », ceux qui ont aidé les lanceurs d’alerte dans leur démarche, pourront bénéficier de la protection juridique des lanceurs d’alerte. La loi en donne la définition suivante : il s’agit d’une personne physique ou morale de droit privé à but non lucratif qui aide le lanceur d’alerte à effectuer un signalement (loi 2016-1691, art. 6-1 nouveau).

L’élargissement à une catégorie de personne morale devrait permettre à des syndicats ou des associations de jouer le rôle de facilitateur.

Une notion élargie des faits incriminés

Pour rappel, entrent dans le champ du signalement un crime, un délit, une menace ou un préjudice pour l’intérêt général, ainsi qu’une violation du droit international ou de l’Union européenne, de la loi ou du règlement. Les tentatives de dissimulation de tels actes seront aussi prises en compte.

En outre, ces faits n’auront plus besoin d’être graves et manifestes pour le signalement (loi 2016-1691, art. 6 modifié).

Une protection renforcée des lanceurs d’alerte

Il s’agit d’une avancée significative de la loi. En effet, dans la pratique, il s’est avéré que le lanceur d’alerte n’était pas assez protégé et que les sanctions encourues pour les auteurs qui empêchaient volontairement que le signalement puisse aboutir n’étaient pas assez dissuasives.

Interdiction de mener des représailles contre le lanceur d’alerte

Aussi, les représailles interdites contre le lanceur d’alerte comprendront également l’intimidation, l’atteinte à la réputation notamment sur les réseaux sociaux, l’orientation abusive vers des soins médicaux ou psychiatriques (loi 2016-1691, art. 10-1 nouveau).

Les représailles interdites sont, par exemple, les suivantes :
-suspension, mise à pied, licenciement ;
-transfert de fonctions, changement de lieu de travail, modification des horaires de travail ;
-mise sur liste noire sur la base d’un accord formel ou informel à l’échelle sectorielle ou de la branche d’activité rendant difficile pour le lanceur d’alerte de trouver un nouvel emploi.

Immunité civile et pénale du lanceur d’alerte

La protection du lanceur d’alerte passe aussi par son immunité civile et pénale : ainsi, il ne sera pas déclaré civilement responsable des dommages causés par le signalement ou la divulgation publique dès lors qu’il avait des motifs raisonnables de croire que les informations fournies étaient nécessaires à la sauvegarde des intérêts en cause.

Article 122-9 du code pénal
Selon les dispositions de l’article 122-9 du code pénal, « n'est pas pénalement responsable la personne qui porte atteinte à un secret protégé par la loi, dès lors que cette divulgation est nécessaire et proportionnée à la sauvegarde des intérêts en cause, qu'elle intervient dans le respect des procédures de signalement définies par la loi et que la personne répond aux critères de définition du lanceur d'alerte prévus à l'article 6 de la loi 2016-1691 précitée.

L’irresponsabilité pénale visée à l’article 122-9 du code pénal est également prévue pour des signalements portant atteinte à un secret protégé par la loi, dans le respect des conditions de la procédure d’alerte. Il en est de même lorsque le lanceur d’alerte soustrait, détourne ou recèle des documents dont il a eu connaissance de manière licite et qui ont servi au signalement.

Une avancée notable est également à signaler sur les aspects financiers : le lanceur d’alerte peut demander qu’il lui soit alloué une provision pour frais lorsqu’une instance civile ou pénale est en cours.

Sanctions alourdies en cas de discriminations contre le lanceur d’alerte

Enfin, un alourdissement des sanctions est prévu : les discriminations contre le lanceur d’alerte sont punissables d’une peine de 3 ans de prison et de 45 000 € d’amende (c. pén. art. 225-1 modifié et art. 225-2). En outre, l’amende civile est portée à 60 000 € au titre de pratiques dilatoires et abusives à l’encontre du lanceur d’alerte, celui-ci pouvant en sus obtenir des dommages et intérêts (loi 2016-1691, art. 13 modifié).

Par ailleurs, les personnes jugées coupables de telles pratiques sont susceptibles de voir publier la décision de justice, engendrant ainsi un risque de réputation non négligeable (loi 2016-1691, art. 13-1 nouveau).

Une plus grande latitude dans le choix du canal de signalement

Un point notable à signaler est le choix offert au lanceur d’alerte dans le mode de signalement.

Pour rappel, la loi Sapin II prévoit dans la procédure de signalement un ordre hiérarchique :

-le signalement est effectué en premier par la voie interne ;

-puis par voie externe (autorités, ordres professionnels) ;

-et en dernier lieu par divulgation publique si les procédures ci-avant n’ont pu aboutir.

Les lanceurs d’alerte ont désormais plus de choix dans la procédure qu’ils estiment la plus adéquate pour leur signalement (loi 2016-1691, art. 8 modifié).

La voie interne peut être toujours privilégiée, notamment lorsqu’un référent externe et indépendant a été désigné au sein de l’entreprise, mais il sera désormais possible pour le lanceur d’alerte d’effectuer son alerte directement aux organismes externes suivants :

-à l’autorité compétente (à définir par décret à paraître) ;

-au Défenseur des droits ;

-à l’autorité judiciaire ;

-aux institutions, organes ou organisme de l’UE compétent dans le champ de la directive UE 2019/1957 du 23 octobre 2019.

Le stade ultime, à savoir, la divulgation publique, est quant à lui réservé, aux situations dans lesquelles la procédure interne ou externe n’a pu aboutir ou en cas de danger grave et imminent, notamment lorsqu’il existe une situation d’urgence, un risque de représailles ou encore un risque de conflit d’intérêts.

Cette dernière possibilité n’est toutefois pas prévue lorsque la divulgation porte atteinte aux intérêts de la défense et de la sécurité nationales (loi 2016-1691, art. 8, III modifié).

Un accompagnement plus important du Défenseur des droits

La loi organique précitée va indéniablement faciliter l’usage du canal externe pour le signalement. En effet, il est créé le statut d’adjoint au Défenseur des droits chargé d’aider les lanceurs d’alerte dans leur démarche, en leur prodiguant des conseils et, le cas échéant, en les orientant vers l’autorité compétente (loi organique 2011-333 du 29 mars 2011, art. 11 modifié).

En outre, le Défenseur des droits sera habilité à donner des avis sur le respect des conditions liées à la qualification du lanceur d’alerte, permettant ainsi à celui-ci de savoir s’il peut bénéficier de la protection accordée au lanceur d’alerte (loi organique 2011-333 du 29 mars 2011, art. 35-1 nouveau).

Mettre en place/actualiser une procédure d’alerte

Une procédure de contrôle interne utile à l’entreprise

Même si la procédure de recueil des signalements et de leur traitement ne s’impose que pour les entreprises d'au moins 50 salariés, il semble opportun de nourrir une réflexion sur l’utilité de mettre en place ce type de procédure d’une façon plus large, car elle participe à l’éthique de l’entreprise et surtout elle permet de détecter des faits de fraude et de corruption plus rapidement et de minimiser, par conséquent, les impacts négatifs pour l’entreprise dans ces aspects financiers mais aussi réputationnels.

S’agissant des entreprises qui sont déjà dans le champ de cette obligation, elles devront bien sûr actualiser leur procédure à l’aune de cette nouvelle loi.

Quelles sont les différentes étapes de la procédure ?

Rappels

Au préalable, il convient de rappeler la nécessité de préserver la confidentialité de la procédure et de l’identité du lanceur d’alerte (à moins que celui-ci n’ait autorisé à divulguer son nom).

Dans la mesure où la notion de lanceur d’alerte a été élargie (cf. les « facilitateurs »), les entreprises devront en tenir compte dans leur procédure de protection des données personnelles (conformité au RGPD).

En pratique, dans un document écrit, l’exposé de la procédure d’alerte reprendra les éléments suivants.

Une définition stricte du lanceur d’alerte

La procédure reprendra la définition donnée par la loi. Le fait que la personne qui signale soit de bonne foi exclut les personnes qui agiraient de façon diffamatoire, notamment pour des raisons personnelles.

Lister les faits entrant dans le champ du dispositif

Si les tentatives de dissimulation sont désormais incriminées, les délits doivent être visés par l’article 6 de la loi Sapin II, comme la falsification d’états financiers, la corruption, le détournement de fonds publics.

Identification des personnes pouvant effectuer un signalement

Outre les salariés de l’entreprise, la procédure reprendra les personnes mentionnées à l’article 8. I de la loi Sapin II (actionnaires, collaborateurs externes et occasionnels, etc.).

Exposé de la procédure

En raison, désormais, de la possibilité de choix du vecteur du signalement, la procédure devra indiquer que l’auteur de l’alerte peut utiliser la voie interne ou externe pour le signalement.

En ce qui concerne la procédure par voie interne, l’entreprise a une certaine liberté de conception. Ainsi, il peut être prévu que le supérieur hiérarchique soit prévenu en premier, puis d’autres personnes (direction juridique, par exemple).

Mais en tout état de cause, un référent doit être nommé par les organes de gouvernance de l’entité. De préférence, ce référent doit être extérieur à l’entité et être indépendant afin d’éviter tout risque de conflit d’intérêts. La procédure devra indiquer son identité, son adresse postale et, le cas échéant, son adresse courriel pour l’envoi du signalement. Par ailleurs, le délai de traitement de l’information reçue sera indiqué.

S’agissant de la voie externe, seront listés les instances et organismes auxquels peut avoir recours le lanceur d’alerte (dont le Défenseur des droits : Défenseur des droits Libre réponse 71120 75342 Paris CEDEX 07).

Enfin, l’entité indiquera les modalités de clôture du signalement ainsi que de conservation et de suppression des données.

Diffusion de la procédure

L’entité doit procéder à la diffusion de la procédure de recueil des signalements qu'elle a établie, par tout moyen (notamment par voie électronique), par voie de notification, d’affichage ou de publication, le cas échéant sur son site Internet, dans des conditions propres à la rendre accessible aux personnes susceptibles d’effectuer une alerte.

À ce titre, signalons que la nouvelle loi (dans son article 4) impose de mentionner l’existence du dispositif d’alerte dans le règlement intérieur de l’entreprise (c. trav. art. L. 1321-2 modifié).

Transposant la directive UE d’octobre 2019, la loi 2022-401 de mars dernier améliore l’efficacité de la procédure d’alerte grâce à une protection renforcée du lanceur d’alerte et à une plus grande latitude laissée dans le choix du mode de signalement.
Les entreprises doivent être très rigoureuses dans la formalisation de leur procédure interne d’alerte professionnelle afin que le lanceur d’alerte s’oriente plus facilement vers cette voie, car cela permet une meilleure maîtrise, par l’entreprise, des conséquences induites par les révélations.
Les entreprises concernées ont jusqu’au 1^er septembre 2022 pour se conformer aux nouvelles dispositions, les décrets fixant certaines modalités devant paraître d’ici là.