L'entrée en vigueur de la loi 2/2023 a obligé des milliers d'entreprises espagnoles à mettre en place des canaux de signalement interne dans des délais très courts. Une mise en œuvre correcte ne relève pas uniquement de la conformité réglementaire : un canal bien conçu constitue un outil de gouvernance précieux pour détecter les irrégularités avant qu'elles ne causent des dommages plus importants.
Étape 1 : évaluation du périmètre
La première étape consiste à déterminer si l’entreprise entre dans le champ d’application de la loi. Les entreprises comptant 50 salariés ou plus — en incluant les salariés à temps plein et à temps partiel — sont soumises à cette obligation. Au sein des groupes de sociétés, le seuil est apprécié société par société, bien que la loi autorise le partage du canal entre les entités d’un même groupe.
Au-delà du critère d’effectif, la loi 2/2023 impose la mise en place du canal indépendamment de la taille de l’effectif pour les entités du secteur financier (banques, compagnies d’assurance, sociétés de gestion de fonds), les partis politiques bénéficiant de financements publics, les syndicats et organisations patronales recevant des fonds publics, ainsi que les fondations du secteur public.
Le périmètre matériel du canal est également plus large que ce que de nombreuses entreprises supposent : il ne se limite pas aux infractions pénales. Il couvre également les violations du droit de l’Union européenne dans des domaines aussi variés que la concurrence, la fiscalité, la protection de l’environnement, la sécurité des produits, la protection des données, la lutte contre le blanchiment d’argent et la sécurité alimentaire. En Espagne, la loi a étendu le périmètre aux violations du droit espagnol en général.
Étape 2 : conception du canal
Le canal peut être interne (géré par l’entreprise elle-même, par exemple par le département conformité ou d’audit interne) ou externe (confié à un prestataire spécialisé). La loi permet aux entreprises comptant entre 50 et 249 salariés de partager le canal avec les entités du groupe ou de recourir à des prestataires externes certifiés.
Le canal doit accepter les signalements écrits, oraux et, si l’informateur le demande, en personne. Il doit garantir la confidentialité et l’anonymat lorsque l’informateur le souhaite.
Exigences techniques pour les systèmes numériques : Si le canal est mis en œuvre via une plateforme numérique — la solution la plus courante —, celui-ci doit assurer le chiffrement de bout en bout, le stockage sécurisé des données de l’informateur, la séparation des accès entre le gestionnaire du canal et la direction, ainsi que la possibilité d’une communication bidirectionnelle anonyme avec l’informateur pour demander des informations complémentaires.
Traitement des signalements anonymes : La loi exige que les signalements anonymes soient traités, mais n’impose pas d’obligation d’enquête systématique. La politique interne doit définir des critères clairs pour décider quand enquêter sur un signalement anonyme et comment documenter cette décision.
Étape 3 : politique interne et formation
Il est essentiel d’adopter une politique de gestion des signalements qui réglemente les délais, la procédure d’enquête, la protection de l’informateur et le régime des représailles interdites. La formation des gestionnaires du canal et de la direction est déterminante pour éviter les erreurs susceptibles d’entraîner des sanctions.
Délais légaux à respecter : La loi fixe des obligations temporelles précises qui doivent être reflétées dans la politique interne. Le gestionnaire du canal doit accuser réception du signalement dans un délai maximal de sept jours ouvrables à compter de sa réception. Dans les trois mois suivant cet accusé de réception, l’informateur doit être informé des mesures prévues ou adoptées et de leurs motifs.
Protections de l’informateur : La loi interdit expressément toute représaille à l’encontre de quiconque effectue un signalement de bonne foi, même si les informations communiquées s’avèrent inexactes. Les représailles interdites comprennent non seulement le licenciement ou les sanctions disciplinaires, mais aussi toute mesure préjudiciable telle que la modification des conditions de travail, les évaluations de performance négatives, l’exclusion des promotions ou les pressions psychologiques. Les entreprises doivent mettre en place des mécanismes internes pour détecter et remédier aux éventuelles représailles.
Étape 4 : révision périodique et audit
Le canal doit faire l’objet d’une révision au moins annuelle afin de vérifier son fonctionnement effectif. Des audits internes ou externes permettent de détecter les insuffisances avant qu’elles ne deviennent des manquements sanctionnables.
Indicateurs d’efficacité : Un audit périodique du canal doit évaluer le nombre de signalements reçus, le délai moyen de traitement, le pourcentage de signalements ayant donné lieu à une enquête formelle, les types d’irrégularités signalées et l’adoption éventuelle de mesures correctives. Un canal ne recevant aucun signalement pendant des années n’est pas nécessairement un indicateur positif : cela peut refléter un manque de confiance dans son efficacité ou une méconnaissance de son existence parmi les salariés.
Révision de la politique : La politique doit être mise à jour lorsque les activités de l’entreprise ou la structure du groupe évoluent, ou lorsque des modifications réglementaires pertinentes interviennent. L’ajout de nouvelles activités réglementées peut élargir le périmètre matériel du canal.
Le canal de dénonciation dans le cadre du programme de conformité
Dans les entreprises disposant d’un programme de conformité complet, le canal de dénonciation constitue l’un des éléments d’un système plus large qui comprend le code d’éthique, la cartographie des risques, les procédures de contrôle interne et la matrice des responsabilités. Un canal bien conçu renforce la culture d’intégrité et est pris en considération par les juridictions pénales comme preuve de la diligence de la personne morale dans la prévention des infractions.
Chez BMC, nous accompagnons nos clients dans la conception, la mise en œuvre et l’audit de leurs canaux de dénonciation. Découvrez nos services de conformité.
