Les organisations qui mettent en place des dispositifs d'alerte doivent décider si elles souhaitent gérer ces systèmes en interne ou faire appel à des prestataires externes.
Si la gestion en interne présente des avantages – contrôle direct, familiarité avec la culture d'entreprise, coûts potentiellement moins élevés –, elle engendre également des risques spécifiques que les responsables de la conformité doivent évaluer avec soin. La compréhension de ces risques aide les organisations à prendre des décisions éclairées pour déterminer si leurs capacités internes sont suffisantes au regard de leur situation, ou si le recours à une expertise externe leur permettrait de mieux respecter leurs obligations en matière de conformité et d'atteindre leurs objectifs de gouvernance.
La décision n'est pas binaire. De nombreuses organisations combinent des éléments internes et externes : des équipes internes de gestion des dossiers soutenues par des services d'assistance téléphonique externes, des enquêtes internes pour les cas simples et des enquêtes externes pour les affaires complexes ou sensibles, ou encore des procédures internes complétées par un contrôle qualité externe. L'évaluation des risques permet de déterminer le juste équilibre.
Pour en savoir plus sur les exigences en matière de conformité, consultez notre centre de ressources consacré à la conformité à la directive européenne sur la protection des lanceurs d'alerte et découvrez comment les entreprises peuvent se conformer aux directives européennes relatives à la protection des lanceurs d'alerte.
Indépendance et conflits d'intérêts
Le risque le plus important lié à la gestion en interne est le manque d'indépendance, qu'il soit perçu ou réel :
Conflits structurels
Lorsque des salariés font part de leurs préoccupations à leurs collègues, à leurs supérieurs hiérarchiques ou aux équipes internes chargées de la conformité, ils peuvent douter que ces signalements soient traités en toute impartialité. Ce problème est particulièrement aigu lorsque :
- Les allégations concernent des membres de la haute direction ou des cadres supérieurs
- Ces préoccupations mettent en cause des personnalités puissantes exerçant une influence sur les destinataires des rapports
- Les lanceurs d'alerte font part de leurs observations concernant les services avec lesquels ils travaillent
- Les petites structures où tout le monde se connaît
La directive européenne relative à la protection des lanceurs d’alerte exige que les personnes désignées soient « impartiales et exemptes de tout conflit d’intérêts ». Les membres du personnel interne peuvent avoir du mal à en apporter la preuve lorsque les préoccupations concernent des collègues, des supérieurs hiérarchiques ou des pratiques organisationnelles auxquelles ils sont eux-mêmes soumis.
Les défis liés à la protection contre les représailles
Il est difficile de protéger les lanceurs d’alerte contre les représailles lorsque les personnes chargées de recevoir les signalements travaillent aux côtés de ceux susceptibles d’exercer ces représailles. Le personnel interne peut :
- Faire face à la pression visant à révéler l'identité des lanceurs d'alerte
- Difficultés à préserver la confidentialité au sein des petites équipes
- ont du mal à s'opposer aux mesures de représailles prises par les cadres supérieurs
- Conflits entre la loyauté envers ses collègues et les obligations de protection
Comment les entreprises peuvent-elles protéger les lanceurs d'alerte contre les représailles ? Et comment les organisations gèrent-elles le risque de représailles à l'encontre des lanceurs d'alerte? Examinons en détail les défis liés à leur protection.
Crédibilité réglementaire
Les autorités de régulation chargées d'évaluer les dispositifs d'alerte interne s'interrogent sur la capacité des systèmes internes à garantir une indépendance suffisante. La Financial Conduct Authority, par exemple, attend des entreprises du secteur des services financiers qu'elles fassent preuve d'une véritable indépendance dans la manière dont elles traitent les signalements. Une gestion entièrement interne peut susciter le scepticisme des autorités de régulation.
Lacunes en matière d'expertise et de capacités
Pour garantir l'efficacité des procédures de signalement, il faut disposer d'une expertise spécifique qui fait souvent défaut au sein même de l'entreprise :
Compétences en matière d'enquête
L'examen des signalements d'irrégularités exige des compétences qui vont au-delà de la formation classique en ressources humaines ou en conformité :
- Mener des entretiens permettant de recueillir des éléments de preuve complets tout en préservant la confidentialité
- Savoir reconnaître quand des préoccupations laissent présager des risques graves nécessitant une remontée immédiate
- Comprendre les implications réglementaires des cas de manquement signalés
- Consigner les enquêtes conformément à des normes permettant de résister à l'examen minutieux d'un tribunal ou d'une autorité de régulation
Au cours de nos 25 années d'accompagnement d'organisations, nous avons constaté que la qualité des enquêtes avait une incidence significative sur les résultats. Une expertise professionnelle en matière d'enquête – telle que celle dont disposent les anciens policiers – permet d'identifier les problèmes graves et de recueillir les éléments de preuve pertinents, ce que le personnel non spécialisé pourrait ne pas être en mesure de faire.
Connaissances juridiques et réglementaires
Le signalement d'irrégularités s'inscrit dans des cadres juridiques complexes : la loi PIDA, la directive européenne, le RGPD, le droit du travail et les réglementations sectorielles. Les équipes internes peuvent ne pas disposer de connaissances exhaustives dans tous ces domaines, ce qui engendre des risques tels que :
- Protection juridique insuffisante des lanceurs d'alerte
- Violations du RGPD dues à un traitement inapproprié des données
- Non-identification des éléments devant faire l'objet d'une notification réglementaire
- Procédures d'enquête non conformes aux normes légales
La complexité des relations transfrontalières
Les organisations multinationales qui gèrent leurs propres systèmes doivent composer avec les exigences variables des États membres, les différences linguistiques et culturelles, la législation locale du travail régissant les enquêtes, ainsi que les restrictions en matière de transferts transfrontaliers prévues par le RGPD. Cette complexité dépasse souvent les capacités internes de ces organisations.
Contraintes liées aux ressources et à la disponibilité
Les systèmes internes se heurtent à des contraintes pratiques :
Disponibilité 24 h/24, 7 j/7
La directive exige que les canaux de signalement soient accessibles en permanence. Assurer en interne une véritable disponibilité 24 heures sur 24, 7 jours sur 7, nécessite des ressources considérables :
- Dispositions relatives à la gestion du personnel pour les nuits, les week-ends et les jours fériés
- Plusieurs membres du personnel formés pour traiter les signalements de manière cohérente
- Procédures garantissant que les problèmes urgents soient traités sans délai
De nombreuses organisations ne peuvent pas justifier de consacrer ces ressources uniquement au dispositif d'alerte. Des prestataires externes tels que Safecall gèrent des lignes d'assistance disponibles 24 heures sur 24 et 7 jours sur 7 dans le cadre de leur activité principale, ce qui leur permet de répartir les coûts entre plusieurs clients.
Capacité de pointe
Le volume des rapports varie de manière imprévisible. Les organisations confrontées à des hausses soudaines – à la suite d’incidents médiatisés, d’un contrôle réglementaire ou de changements au sein de la direction – peuvent ne pas disposer des ressources internes nécessaires pour faire face à ces pics d’activité tout en garantissant la qualité et le respect des délais. Les prestataires externes disposent de la flexibilité nécessaire pour adapter rapidement leur soutien.
Ressources spécialisées
Les enquêtes complexes peuvent nécessiter l'intervention d'experts-comptables judiciaires, d'experts techniques ou de spécialistes juridiques. Les équipes internes doivent soit acquérir une expertise étendue, soit faire appel à des ressources externes en cas de besoin. Les approches exclusivement internes créent une dépendance vis-à-vis d'un personnel interne limité.
Risques liés à la confidentialité et à l'anonymat
Il est difficile de garantir la confidentialité au sein même de l'entreprise :
Les défis des petites organisations
Dans les organisations comptant moins de 100 salariés, il est pratiquement impossible de préserver l’anonymat. Lorsque les signalements contiennent des détails précis sur les incidents, leur chronologie ou leur lieu, les destinataires peuvent souvent déduire l’identité de l’auteur, même en l’absence de nom. Le recours à des prestataires externes crée une distance qui rend l’identification plus difficile.
Sécurité du système
Les systèmes internes utilisant une infrastructure informatique standard peuvent ne pas disposer des fonctionnalités de sécurité nécessaires pour garantir un véritable anonymat :
- Le suivi des adresses IP permet de révéler l'identité d'un journaliste
- Journaux d'audit indiquant qui a accédé aux systèmes en ligne
- Métadonnées des e-mails permettant d'identifier les expéditeurs
- Chiffrement insuffisant pour protéger les données
Les prestataires externes spécialisés investissent dans des infrastructures de sécurité – chiffrement de bout en bout, absence totale de suivi des adresses IP, communication bidirectionnelle sécurisée – auxquelles les services informatiques internes ne donnent pas nécessairement la priorité dans le cadre du seul dispositif d’alerte.
Divulgation involontaire
Les membres du personnel interne assumant plusieurs fonctions peuvent divulguer des informations par inadvertance :
- Discuter de dossiers avec des collègues qui ne devraient pas y avoir accès
- Laisser des dossiers à la vue de personnes non autorisées
- Utilisation de moyens de communication non sécurisés
- Ne pas se rendre compte que certains détails pourraient permettre d'identifier les journalistes
Les prestataires externes spécialisés appliquent des protocoles de confidentialité stricts, élaborés spécifiquement pour tenir compte du caractère sensible des signalements.
Les défis liés à la conformité au RGPD
Quelles sont les politiques de conservation des données applicables aux systèmes d'alerte ? Cet article examine les exigences en matière de protection des données. La gestion en interne engendre des risques spécifiques liés au RGPD :
Analyses d'impact relatives à la protection des données
Les dispositifs d’alerte nécessitent des analyses d’impact relatives à la protection des données (AIPD) afin d’évaluer les risques élevés pesant sur les droits des personnes. Les équipes internes peuvent ne pas disposer de l’expertise nécessaire pour mener à bien ces AIPD ou mettre en œuvre les mesures de protection recommandées.
Décisions relatives à la conservation des données
Pour déterminer les durées de conservation appropriées, il faut trouver un juste équilibre entre les obligations légales et les principes de minimisation des données. Le personnel interne peut être soumis à des pressions l'incitant à conserver les données plus longtemps que nécessaire (pour protéger l'organisation) ou à les supprimer prématurément (pour réduire le risque de litige).
Transferts transfrontaliers
Les organisations multinationales qui transfèrent des données relatives aux lanceurs d'alerte entre leurs différentes entités doivent veiller au respect du RGPD. Les systèmes centralisés en interne peuvent, sans le vouloir, enfreindre les restrictions en matière de transfert, en particulier après le Brexit pour les services basés au Royaume-Uni qui traitent des données relatives aux lanceurs d'alerte provenant de l'UE.
Risques liés à la qualité et à la cohérence
La gestion en interne pose des défis en matière de contrôle qualité :
Formation et rotation du personnel
Le personnel chargé de recevoir les signalements doit suivre régulièrement des formations afin de maintenir ses compétences et ses connaissances à jour. Le roulement du personnel implique un investissement continu dans la formation. Des incohérences dans le traitement des signalements surviennent lorsque différents membres du personnel appliquent des normes variables ou ne disposent pas des connaissances réglementaires à jour.
Normes de documentation
Les prestataires externes professionnels veillent à ce que la documentation soit cohérente et conforme aux exigences réglementaires. Les équipes internes peuvent produire des documents de qualité variable, ce qui engendre des risques lors des inspections réglementaires ou des procédures judiciaires nécessitant la preuve d'une gestion appropriée.
Lacunes dans la piste d'audit
Pour démontrer la conformité, il est nécessaire de disposer de pistes d'audit complètes attestant de la rapidité des prises en compte, des activités d'enquête, de la communication des retours d'information et des mesures de protection mises en place. Les systèmes internes utilisant la messagerie électronique, des tableurs ou des bases de données basiques peuvent ne pas offrir les capacités de piste d'audit robustes que fournissent les logiciels spécialisés de gestion des dossiers.
Quand les prestataires externes apportent une valeur ajoutée
Les prestataires externes sont particulièrement utiles aux organisations confrontées à :
Environnements à enjeux élevés : secteurs réglementés où la surveillance réglementaire est intense et où la qualité des enquêtes est cruciale. « Qu'est-ce qui rend une solution de signalement adaptée aux secteurs réglementés ? » examine ces exigences.
Cas complexes : les enquêtes impliquant des cadres supérieurs, nécessitant une expertise judiciaire ou s'étendant sur plusieurs juridictions tirent profit d'une indépendance externe et de compétences spécialisées. Les services d'enquête indépendants apportent cette expertise.
Contraintes en matière de ressources : les petites organisations qui ne disposent pas d'équipes dédiées à la conformité ou qui ne sont pas en mesure d'assurer une couverture 24 heures sur 24, 7 jours sur 7, tirent parti de l'envergure et de la disponibilité des prestataires externes.
Exigences en matière de crédibilité : lorsqu'il est important de démontrer son indépendance vis-à-vis des autorités de régulation, des investisseurs ou d'autres parties prenantes, le recours à des prestataires externes permet d'assurer une séparation visible par rapport à la direction.
Approches hybrides
De nombreuses organisations parviennent à combiner efficacement des éléments internes et externes :
- Lignes d'assistance externes pour la réception des signalements, avec enquête interne pour les cas simples
- Gestion interne des dossiers, soutenue par un contrôle qualité externe
- Procédures internes pour la plupart des problèmes nécessitant une enquête externe dans le cas de questions sensibles
- Plateformes logicielles de suivi des dossiers, complétées par des services professionnels externes lorsque l'expertise est nécessaire
Comment Safecall vient en complément des équipes internes
Safecall accompagne les organisations qui privilégient une gestion partiellement interne grâce à :
Réception des signalements par des professionnels : des lignes d'assistance téléphonique disponibles 24 h/24 et 7 j/7, gérées par d'anciens policiers britanniques (chacun ayant plus de 25 ans d'expérience), qui reçoivent et enregistrent les signalements de manière professionnelle avant de les transmettre aux équipes internes.
Assurance qualité : chaque rapport est examiné par des responsables opérationnels expérimentés qui s'assurent de son exhaustivité et de la pertinence des pièces justificatives, apportant ainsi leur soutien aux enquêteurs internes.
Indépendance lorsque cela s'avère nécessaire : nous intervenons pour des enquêtes complexes ou sensibles nécessitant une expertise externe et une indépendance vis-à-vis des structures internes.
Une collaboration flexible : les organisations choisissent les aspects qu’elles gèrent en interne et ceux pour lesquels elles ont besoin d’un soutien externe, mettant ainsi en place des modalités adaptées à leur situation particulière.
Prochaines étapes
Les organisations qui envisagent de mettre en place un système interne de gestion des signalements devraient :
- Évaluer les risques liés à l'indépendance, en particulier dans les cas susceptibles de concerner la haute direction
- Évaluer la disponibilité des compétences nécessaires aux fins d'enquête, de conformité réglementaire et au regard des exigences du RGPD
- Prendre en compte les besoins en ressources liés à une couverture 24 heures sur 24, 7 jours sur 7, ainsi qu’à la capacité de réponse aux pics de demande
- Examiner les possibilités en matière de confidentialité au sein des petites structures, où l'anonymat est difficile à garantir
- Définir une approche hybride associant les atouts internes à l'expertise externe là où des lacunes existent
Pour obtenir des conseils sur la mise en place de dispositifs efficaces de signalement, contactez Safecall au +44 (0)191 516 7720 ou consultez notre page consacrée aux solutions de signalement.