L'entrée en vigueur de la Loi 2/2023 a contraint des milliers d'entreprises espagnoles à mettre en place des canaux de signalement interne dans des délais très courts. Une mise en œuvre correcte n'est pas seulement une question de conformité réglementaire : un canal bien conçu peut constituer un outil précieux de gouvernance pour détecter les irrégularités avant qu'elles ne causent un préjudice plus grave.
Étape 1 : Évaluation du champ d’application
La première étape consiste à déterminer si l’entreprise entre dans le champ d’application de la loi. Les entreprises de 50 salariés et plus — en comptant les salariés à temps plein et à temps partiel — sont soumises à cette obligation. Dans les groupes de sociétés, le seuil est apprécié société par société, bien que la loi autorise le recours partagé au canal entre entités du même groupe.
Au-delà du critère d’effectif, la Loi 2/2023 impose le canal indépendamment de la taille de l’effectif pour les entités du secteur financier (banques, assureurs, gestionnaires de fonds), les partis politiques bénéficiant d’un financement public, les syndicats et organisations patronales financés sur fonds publics, ainsi que les fondations du secteur public.
Le champ matériel du canal est également plus large que beaucoup d’entreprises ne le supposent : il ne se limite pas aux infractions pénales. Il couvre également les violations du droit de l’Union européenne dans des domaines aussi variés que la concurrence, la fiscalité, la protection de l’environnement, la sécurité des produits, la protection des données, le blanchiment de capitaux et la sécurité alimentaire. En Espagne, la loi a étendu le champ d’application aux violations du droit espagnol en général.
Étape 2 : Conception du canal
Le canal peut être interne (géré par l’entreprise elle-même, par exemple via le département conformité ou l’audit interne) ou externe (externalisé auprès d’un prestataire spécialisé). La loi autorise les entreprises de 50 à 249 salariés à partager le canal avec des entités du groupe ou à recourir à des prestataires externes certifiés.
Le canal doit accepter les signalements écrits, oraux et, si le lanceur d’alerte le demande, en personne. Il doit garantir la confidentialité et l’anonymat lorsque le lanceur d’alerte l’exige.
Exigences techniques pour les systèmes numériques : si le canal est mis en œuvre via une plateforme numérique — la solution la plus courante —, celle-ci doit assurer un chiffrement de bout en bout, un stockage sécurisé des données du lanceur d’alerte, une séparation des accès entre le responsable du canal et la direction générale, et la possibilité d’une communication anonyme bidirectionnelle avec le lanceur d’alerte pour solliciter des informations complémentaires.
Traitement des signalements anonymes : la loi impose le traitement des signalements anonymes, mais n’oblige pas à les instruire systématiquement. La politique interne doit définir des critères clairs permettant de décider d’instruire ou non un signalement anonyme et de documenter cette décision.
Étape 3 : Politique interne et formation
Il est indispensable d’approuver une politique de gestion des signalements réglementant les délais, le processus d’instruction, la protection des lanceurs d’alerte et le régime des représailles interdites. La formation des responsables du canal et de la direction est essentielle pour éviter des erreurs susceptibles d’entraîner des sanctions.
Délais légaux à respecter : la loi fixe des obligations temporelles spécifiques qui doivent figurer dans la politique interne. Le responsable du canal doit accuser réception du signalement au plus tard sept jours calendaires après l’avoir reçu. Dans un délai de trois mois à compter de cet accusé de réception, le lanceur d’alerte doit être informé des actions planifiées ou entreprises et des raisons qui les motivent.
Protections pour le lanceur d’alerte : la loi interdit expressément toute représaille à l’encontre de quiconque signale de bonne foi, même si les informations communiquées s’avèrent inexactes. Les représailles interdites incluent non seulement le licenciement ou la sanction disciplinaire, mais également toute mesure préjudiciable telle que la modification des conditions de travail, des évaluations de performance négatives, l’exclusion des promotions ou les pressions psychologiques. Les entreprises doivent mettre en place des mécanismes internes pour détecter et remédier aux éventuelles représailles.
Étape 4 : Révision périodique et audit
Le canal doit être révisé au moins une fois par an afin de vérifier son fonctionnement effectif. Des audits internes ou externes permettent de détecter les déficiences avant qu’elles ne constituent une non-conformité sanctionnable.
Indicateurs d’efficacité : un audit périodique du canal doit évaluer le nombre de signalements reçus, le délai moyen de traitement, le pourcentage de signalements clôturés avec une instruction formelle, les types d’irrégularités signalées et les mesures correctives adoptées en conséquence. Un canal ne recevant aucun signalement pendant des années ne constitue pas nécessairement un indicateur positif : cela peut refléter une méfiance dans son efficacité ou un déficit de sensibilisation parmi les salariés.
Mise à jour de la politique : la politique doit être actualisée lors de modifications des activités de l’entreprise ou de la structure du groupe, ou lorsque des changements réglementaires pertinents interviennent. L’ajout de nouvelles activités réglementées peut élargir le champ matériel du canal.
Le canal d’alerte dans le programme de conformité global
Dans les entreprises disposant d’un programme de conformité complet, le canal d’alerte est l’une des composantes d’un système plus large comprenant le code d’éthique, la cartographie des risques, les procédures de contrôle interne et la matrice des responsabilités. Un canal bien conçu renforce une culture d’intégrité et est pris en compte par les juridictions pénales comme preuve de la diligence de la personne morale dans la prévention des infractions.
Chez BMC, nous accompagnons nos clients dans la conception, la mise en œuvre et l’audit de leurs canaux d’alerte professionnelle. Découvrez nos services de conformité et compliance pénale.