La confiance : condition sine qua non des systèmes d’alerte

Depuis l’entrée en vigueur de la loi Sapin 2 il y a 5 ans déjà, les entreprises de plus de 50 salariés ont l’obligation de déployer un dispositif de recueil et traitement des alertes. La loi du 21 mars 2022, qui transpose la directive européenne sur la protection des lanceurs d’alerte, est entrée en vigueur depuis le 1^er septembre 2022 et vient modifier le régime en vigueur depuis 2017.

Force est de constater que depuis leur mise en place dans les entreprises, les résultats observés sont très inégaux d’une entreprise à l’autre. Si certaines ont réussi à construire et mettre en œuvre des dispositifs efficaces, c’est-à-dire des systèmes permettant aux lanceurs d’alerte d’effectuer leur signalement et de les traiter de manière sérieuse, un grand nombre d’entre elles se sont contentées d’une mise en conformité de forme, s’inscrivant dans une stratégie visant à limiter au maximum le nombre de signalements.

Vers une inflation du nombre d’alertes ?

Or, les modifications apportées par la nouvelle loi sont significatives et portent tant sur les conditions de recevabilité des alertes, que sur les canaux utilisables par les lanceurs d’alerte, ou encore sur les conditions de protection des lanceurs d’alerte et de ceux qui les assistent.

Il est vraisemblable que ce nouvel environnement juridique conduise à une augmentation du nombre d’alertes que les entreprises seront amenées à traiter. Pour mémoire, ces alertes peuvent porter sur tout manquement à la loi ou aux règles en vigueur au sein de l’entreprise, notamment en matière de lutte contre la corruption et de manquements à la probité.

En effet, l’une des principales nouveautés apportées par cette loi du 21 mars 2022 réside dans la faculté qui est désormais accordée au lanceur d’alerte d’effectuer un signalement externe, c’est-à-dire auprès d’autorités (dont on attend encore la désignation au travers d’un décret d’application) sans être contraint de réaliser un signalement préalable auprès de l’entreprise comme cela était le cas jusqu’à présent, ni même que celle-ci soit informée de l’alerte formulée !

On peut anticiper deux conséquences au moins, avec chacune des effets dommageables pour les entreprises.
La première, évidente, réside dans le fait que cela risque de conduire des autorités externes à s’immiscer dans la gestion des entreprises afin de faire la lumière sur les allégations formulées dans ces alertes.
La seconde, plus indirecte, serait que ces autorités risquent, si le flux d’alertes est significatif, de ne pas avoir la capacité de faire face au volume et donc de ne pas les traiter dans les délais impartis. Or la loi autorise le lanceur d’alerte à divulguer publiquement ses allégations si l’alerte n’est pas traitée de manière diligente. L’entreprise se retrouverait ainsi à « laver son linge sale », au mieux face à une autorité externe, et au pire face au grand public.

En tout état de cause, il pourra être tentant, pour un lanceur d’alerte, de s’orienter vers un signalement externe qui pourrait apparaître comme plus sûr et source de moins de risques de représailles.
Il faut bien reconnaître que la destinée d’un lanceur d’alerte est souvent funeste et relève régulièrement du parcours du combattant. Plagiant le célèbre titre des Rita Mitsouko (sic), le directeur de l’Audit Interne d’un groupe du CAC 40 confiait que « les histoires d’alerte finissent mal en général » !

L’expérience de la confiance…

Face à cette situation et au changement d’environnement légal, l’entreprise n’a pas d’autre choix que de trouver le moyen d’inciter les lanceurs d’alerte à utiliser son dispositif plutôt que le dispositif externe.

Bien sûr, le premier enjeu est un enjeu de communication, alors que jusqu’à présent certaines entreprises se satisfaisaient volontiers d’une méconnaissance de l’existence même du dispositif par l’essentiel de ses salariés qui limitait de fait le nombre d’alertes formulées. Il s’agit désormais de faire connaître à tous le dispositif, de le rendre accessible et compréhensible.
Mais cette communication, bien que nécessaire, ne sera pas suffisante. Selon nous, l’enjeu principal consistera pour l’entreprise à inspirer confiance au lanceur d’alerte. Et contrairement à un reptile bien connu, une ritournelle hypnotique (« aie confiance… ») ne sera pas suffisante…

Cette confiance va devoir se bâtir sur la solidité technique du dispositif, qui implique le recours à un outil dédié et sécurisé, et à la mobilisation de ressources compétentes pour traiter les alertes.

Comme le souligne l’Agence Française Anticorruption dans ses recommandations, le traitement des alertes peut conduire à la mise en œuvre d’une enquête interne. Or, la réalisation de ces enquêtes internes nécessite la mise en œuvre d’une méthodologie rigoureuse voire de techniques d’investigation spécifiques de digital forensic par exemple.
Ainsi, pour gagner la confiance des lanceurs d’alerte potentiels, la mise en œuvre d’une procédure de traitement des alertes nécessitera de fait un investissement de la part des entreprises.
Celles-ci devront décider si elles privilégient la mise en place de solutions internes, impliquant l’acquisition des outils nécessaires tant pour la gestion des alertes que pour la conduite des investigations, mais également la mise en place d’équipes compétentes, soit par recrutement externe, soit par un programme de formation spécifique.
Cette approche interne, qui peut sembler naturelle, présente au moins deux écueils majeurs.
Le premier est technique et correspond au large spectre de compétences spécifiques à acquérir.
Le second est plus insidieux et découle du doute qui pourra subsister dans l’esprit des lanceurs d’alerte sur le réel niveau d’indépendance et d’objectivité d’une équipe d’investigation, qui restera malgré tout hiérarchiquement dépendante du management de l’entreprise, alors même que l’alerte pourrait concerner ce dernier.

De plus, il est toujours difficile d’engager des investissements qui peuvent être lourds sans avoir de visibilité sur le volume réel auquel l’entreprise sera confrontée.

C’est pourquoi nous avons la conviction que l’externalisation, totale ou partielle, de la gestion des alertes constitue une solution à privilégier pour les entreprises, au moins dans un premier temps.
Elle permet de mobiliser les compétences adéquates, tant en qualité qu’en quantité, de garantir un niveau élevé d’indépendance mais également d’éprouver et de calibrer le dispositif.

Reposant sur des professionnels aguerris ayant l’expérience du traitement des alertes et de la conduite des investigations, cette approche contribue de manière efficace à gagner la confiance des lanceurs d’alertes qui oseront se confier en interne plutôt que préférer le confort apparent de l’anonymat administratif d’une autorité externe.