La norme ISO 37002:2021, publiée en juillet 2021, fournit des lignes directrices internationales pour la mise en place, la mise en œuvre, le maintien et l'amélioration des systèmes de gestion des signalements.
Élaborée par le Comité technique 309 de l'ISO (Gouvernance des organisations), la norme ISO 37002:2021 fournit des orientations complètes pour aider les organisations à mettre en place des dispositifs d'alerte efficaces, fondés sur trois principes fondamentaux : la confiance, l'impartialité et la protection. Contrairement aux cadres réglementaires obligatoires tels que la directive européenne sur le lancement d’alerte, la norme ISO 37002 est une norme d’orientation volontaire que les organisations peuvent adopter pour démontrer leur engagement en faveur d’une gouvernance éthique et pour faciliter la mise en conformité avec les exigences réglementaires applicables.
Pour les responsables de la conformité confrontés à des obligations complexes en matière de dénonciation, la norme ISO 37002 offre un cadre précieux qui vient compléter les exigences légales. Cette norme s'applique à toutes les organisations, quels que soient leur type, leur taille, la nature de leurs activités ou leur secteur d'activité – qu'il s'agisse d'organismes publics, privés ou à but non lucratif. Les organisations peuvent mettre en œuvre la norme ISO 37002 en tant que guide autonome ou l’intégrer à d’autres normes ISO relatives aux systèmes de management, notamment la norme ISO 37001 (Lutte contre la corruption) et la norme ISO 37301 (Management de la conformité).
Pour en savoir plus sur les obligations de conformité à la directive européenne, consultez notre centre de ressources consacré à la conformité à la directive européenne sur la protection des lanceurs d'alerte.
Qu'est-ce que la norme ISO 37002 ?
La norme ISO 37002 est une norme de type B, ce qui signifie qu’elle fournit des lignes directrices plutôt que des exigences donnant lieu à une certification. Les organisations ne peuvent pas obtenir la « certification » ISO 37002 comme elles le peuvent avec la norme ISO 37001 (lutte contre la corruption) ou la norme ISO 37301 (gestion de la conformité). La norme ISO 37002 propose plutôt des recommandations de bonnes pratiques que les organisations appliquent en fonction de leur situation spécifique, de leur taille, de leur complexité et de leur profil de risque.
La norme couvre l'ensemble du cycle de vie du signalement à travers quatre étapes clés :
Signalement des irrégularités : mettre en place des canaux accessibles et sécurisés permettant à toute personne de signaler des irrégularités présumées ou des risques. La norme souligne qu’au moins un de ces canaux doit être relié à une instance extérieure à la hiérarchie de gestion habituelle, afin de garantir son indépendance.
Évaluation des signalements d'irrégularités : mettre en place des procédures claires et cohérentes pour évaluer les signalements reçus. L'évaluation doit être impartiale, bien documentée et menée par des personnes disposant de l'expertise et de l'autorité nécessaires.
Traitement des signalements d'irrégularités : prendre les mesures appropriées en cas de signalements avérés, notamment mener une enquête, mettre en œuvre des mesures correctives, prendre des mesures disciplinaires, améliorer les processus ou saisir les autorités compétentes.
Clôture des dossiers de dénonciation : mener les dossiers à leur terme en fournissant un retour d'information adéquat aux lanceurs d'alerte, en consignant les résultats et en tirant les enseignements de ces cas afin d'améliorer le système.
Les trois principes fondamentaux
La norme ISO 37002 repose sur trois principes fondamentaux qui doivent imprégner chaque aspect d'un système de gestion des signalements :
Confiance
La confiance est essentielle pour encourager les lanceurs d'alerte à divulguer des informations concernant des fautes professionnelles. Sans la certitude que leurs signalements seront traités de manière appropriée et que la protection dont ils bénéficieront sera réelle, les salariés préfèrent garder le silence ou s'adresser à des autorités de régulation ou aux médias. Pour instaurer cette confiance, il faut :
- Des canaux de signalement accessibles, réellement disponibles et faciles à utiliser
- Une communication claire sur la manière dont les signalements sont traités et sur les mesures de protection mises en place
- Un engagement visible de la direction, qui se traduit par des mesures cohérentes en réponse aux préoccupations
- Des éléments prouvant que les lanceurs d'alerte précédents ont été protégés et n'ont pas fait l'objet de représailles
- Des procédures transparentes permettant aux lanceurs d'alerte de comprendre ce qu'il advient de leurs signalements
Les études montrent systématiquement qu’une confiance accrue des salariés envers leur entreprise augmente la probabilité qu’ils signalent des problèmes en interne. À l’inverse, en l’absence de confiance, les salariés choisissent soit de garder le silence, soit de contourner les canaux internes, privant ainsi les entreprises de la possibilité de répondre à ces préoccupations avant qu’elles ne s’aggravent.
Impartialité
L'impartialité garantit que les signalements sont examinés et font l'objet d'enquêtes de manière équitable, sans parti pris en faveur d'aucune partie. Cela implique :
- Absence de conflits d'intérêts chez les personnes chargées du traitement des rapports
- Une évaluation objective fondée sur des données factuelles plutôt que sur des idées préconçues
- Un traitement équitable tant pour les lanceurs d'alerte que pour les personnes visées par les allégations
- Des décisions fondées sur des faits plutôt que sur la politique interne de l'organisation ou les relations personnelles
- Une application cohérente des normes dans tous les rapports, quelles que soient les personnes impliquées
Au cours de nos 25 années passées à accompagner des organisations dans la mise en place de dispositifs d'alerte, nous avons constaté que l'impartialité constitue un défi particulièrement difficile à relever lorsque les signalements impliquent la haute direction ou remettent en cause des pratiques établies. L'indépendance professionnelle – qu'elle soit assurée par des prestataires externes ou par des structures internes correctement organisées – est essentielle pour garantir une impartialité crédible.
Protection
La protection désigne les mesures visant à prévenir et à lutter contre les représailles à l'encontre des lanceurs d'alerte, ainsi qu'à leur apporter un soutien tout au long du processus. Une protection efficace nécessite :
- La confidentialité de l'identité du lanceur d'alerte est préservée tout au long de la procédure
- Des politiques claires de lutte contre les représailles, dont l'application est visible
- Mécanismes de soutien aidant les lanceurs d'alerte à s'y retrouver dans la procédure
- Suivi continu visant à détecter et à prévenir les représailles
- Une réaction rapide et décisive en cas de représailles
La directive européenne relative à la protection des lanceurs d’alerte impose des mesures de protection assorties d’un renversement de la charge de la preuve en matière de représailles. La norme ISO 37002 fournit des recommandations sur la mise en œuvre d’une protection qui respecte et va au-delà de ces exigences légales. « Comment les entreprises peuvent-elles protéger les lanceurs d’alerte contre les représailles ? » examine en détail les mesures de protection.
Pourquoi la norme ISO 37002 est-elle importante ?
Bonnes pratiques volontaires
Alors que la directive européenne relative à la protection des lanceurs d’alerte impose des obligations légales aux organisations opérant en Europe, la norme ISO 37002 fournit des recommandations facultatives permettant à ces dernières d’aller au-delà des exigences minimales de conformité. Les organisations qui adoptent la norme ISO 37002 démontrent ainsi leur engagement en faveur d’une gouvernance éthique allant au-delà des exigences réglementaires.
Conforme aux exigences réglementaires
La norme ISO 37002 aide les organisations à respecter tant « l’esprit » que la « lettre » de la législation relative à la dénonciation. La directive européenne énumère trois canaux de signalement dans lesquels les lanceurs d’alerte sont protégés : en interne, auprès des autorités de régulation ou auprès des médias. Les organisations préfèrent naturellement le signalement interne, car cela leur permet de traiter les problèmes avant qu’ils ne soient rendus publics. En se conformant à la norme ISO 37002 et en mettant en place des systèmes fondés sur la confiance, l’impartialité et la protection, les organisations augmentent les chances que leurs employés s’expriment en interne plutôt qu’en externe.
Intégration avec d'autres normes
La structure harmonisée de la norme ISO 37002 permet son intégration avec d'autres normes ISO relatives aux systèmes de management :
ISO 37001 (Lutte contre la corruption) : Les dispositifs d'alerte soutiennent les programmes de lutte contre la corruption en permettant de signaler les cas présumés de corruption. Comment les dispositifs d'alerte contribuent-ils au respect des exigences en matière de lutte contre la corruption ? Cet article explore cette intégration.
ISO 37301 (Gestion de la conformité) : Le signalement des irrégularités offre une capacité de détection essentielle pour les systèmes de gestion de la conformité, permettant d’identifier les manquements avant qu’ils ne s’aggravent.
ISO 31000 (Gestion des risques) : les données issues des signalements alimentent les évaluations des risques, mettant en évidence les domaines nécessitant un renforcement des contrôles ou une amélioration des processus.
L'intégration permet aux organisations d'harmoniser leurs pratiques, de réduire la charge administrative liée à la documentation et d'améliorer la communication entre les différentes fonctions de gouvernance.
Confiance des parties prenantes
L'adoption de la norme ISO 37002 démontre aux parties prenantes – investisseurs, clients, autorités de régulation, collaborateurs – que l'organisation prend au sérieux le signalement des irrégularités. Cela renforce la confiance dans la qualité de la gouvernance et peut constituer un avantage concurrentiel lors d'appels d'offres, permettre d'améliorer les notations ESG et renforcer la réputation de l'entreprise. « Quel est le rôle du signalement des irrégularités dans la conformité d'entreprise ? » examine les avantages plus larges en matière de gouvernance.
Lien avec les cadres réglementaires
La norme ISO 37002 n'est pas juridiquement obligatoire, mais elle complète les exigences obligatoires :
Directive européenne sur les lanceurs d'alerte
Les organisations qui mettent en œuvre la norme ISO 37002 satisferont automatiquement à la plupart des exigences de la directive européenne. Les recommandations de la norme concernant les canaux de signalement, les procédures d’évaluation, les mesures de protection et la gestion des cas sont conformes aux normes minimales de la directive et vont souvent au-delà. Toutefois, les organisations doivent tout de même veiller à respecter les exigences spécifiques à chaque État membre, qui varient d’un pays à l’autre parmi les 27 États membres de l’UE.
Cadre PIDA du Royaume-Uni
Bien que la législation britannique relative à la PIDA n'impose pas la mise en place de canaux de signalement internes (sauf dans les secteurs réglementés), les organisations qui adoptent volontairement la norme ISO 37002 mettent en place des dispositifs allant au-delà des exigences minimales de protection prévues par la PIDA. Cela leur permet d'être bien préparées à d'éventuelles réformes au Royaume-Uni, notamment le projet de loi sur l'Office of the Whistleblower.
Réglementations spécifiques à chaque secteur
Les secteurs réglementés, notamment celui des services financiers, sont soumis à des exigences supplémentaires de la part des autorités de régulation sectorielles. La norme ISO 37002 fournit un cadre garantissant que les dispositifs mis en place répondent à ces attentes accrues, tout en assurant la cohérence entre les différents domaines réglementaires.
Éléments clés de la mise en œuvre de la norme ISO 37002
Contexte de l'organisation
Les organisations doivent bien cerner leur contexte interne et externe spécifique, notamment leur taille, leur complexité, leur implantation géographique, leur environnement réglementaire, leur profil de risque, ainsi que les besoins et les attentes des parties prenantes. Cette compréhension du contexte détermine la manière dont les recommandations de la norme ISO 37002 sont mises en œuvre de façon proportionnée et efficace.
Par exemple, une multinationale du secteur des services financiers aura besoin d’un système de gestion des signalements plus complexe qu’une petite association caritative ; toutefois, les deux peuvent appliquer les principes de confiance, d’impartialité et de protection d’une manière adaptée à leur contexte.
Leadership et engagement
La direction générale, et le cas échéant l'organe de gouvernance, doit démontrer son engagement en faveur d'un système efficace de signalement des irrégularités en mettant en place une politique en la matière, en allouant des ressources suffisantes, en garantissant l'indépendance, l'impartialité et la protection des lanceurs d'alerte, en sensibilisant l'ensemble de l'organisation à l'importance du signalement des irrégularités et en soutenant la fonction de gestion des signalements.
Sans un engagement visible et constant de la part de la direction, les dispositifs d'alerte ne parviennent pas à instaurer la confiance nécessaire à leur efficacité.
Planification
Les organisations doivent mettre en place leur système de gestion des signalements en identifiant les risques et les opportunités, en fixant des objectifs et en définissant les mesures à prendre pour les atteindre. La planification consiste notamment à définir le champ d’application et le fonctionnement du système, notamment les types d’irrégularités pouvant faire l’objet d’un signalement, les personnes habilitées à signaler (par exemple, les seuls salariés ou des groupes plus larges de parties prenantes), les canaux de signalement disponibles, les modalités d’évaluation et d’enquête sur les signalements, ainsi que les mesures de protection et de soutien qui seront mises en œuvre. La planification doit également tenir compte des changements susceptibles d’affecter l’efficacité du système de gestion des signalements.
Fonctionnement
Les éléments opérationnels du système de gestion des signalements comprennent :
Réception des signalements : mise à disposition de plusieurs canaux de signalement accessibles (par exemple, par téléphone, en ligne, par écrit), communication claire sur la manière de signaler des préoccupations, prise en charge multilingue le cas échéant, mesures de confidentialité et de protection des données, et possibilités de signalement anonyme lorsque cela est approprié.
Traitement des signalements : triage initial visant à déterminer la gravité et l'urgence, évaluation des risques liés à des comportements préjudiciables, attribution de l'enquête à des services indépendants et compétents, consignation des décisions prises à l'issue de l'évaluation et accusé de réception envoyé en temps utile aux lanceurs d'alerte.
Traitement des signalements : procédures d’enquête proportionnées et impartiales, collecte et évaluation des éléments de preuve pertinents, mise en œuvre de mesures correctives lorsque les préoccupations sont avérées, mesures disciplinaires le cas échéant, protection et soutien des lanceurs d’alerte et des autres parties concernées, et amélioration des processus afin d’éviter que de tels incidents ne se reproduisent.
Clôture des dossiers : communication des résultats aux lanceurs d’alerte, le cas échéant ; consignation formelle des conclusions des dossiers ; et recueil des enseignements tirés afin de favoriser l’amélioration continue du système de gestion des signalements.
Évaluation des performances
Les organisations doivent surveiller, mesurer, analyser et évaluer l’efficacité du système de gestion des signalements. Cela implique notamment d’utiliser des indicateurs qualitatifs et quantitatifs pertinents, tels que le volume et les tendances des signalements, les habitudes d’utilisation des canaux de signalement, la rapidité des réponses, les taux de validation des signalements, ainsi que les retours des salariés et des autres parties prenantes concernant la sensibilisation, la confiance et la crédibilité du système. L’évaluation des performances doit également inclure des audits internes et un examen par la direction afin de garantir que le système de gestion des signalements reste efficace, adapté et fait l’objet d’une amélioration continue.
« Quel est le rôle du lancement d'alerte dans la conformité d'entreprise ? » aborde en détail la question de la mesure de l'efficacité.
Amélioration
L'amélioration continue est un principe fondamental de la norme ISO 37002. Les organisations doivent régulièrement évaluer l'efficacité de leur système de gestion des signalements, identifier les possibilités d'amélioration et mettre en œuvre des mesures d'amélioration en s'appuyant sur les résultats de l'évaluation des performances, les enseignements tirés des cas de signalement, l'évolution des exigences légales et réglementaires, ainsi que les retours d'information des lanceurs d'alerte et des autres parties prenantes. Lorsque des non-conformités sont identifiées, des actions correctives doivent être prises afin d'éviter qu'elles ne se reproduisent et de renforcer le système.
Avantages de l'adoption de la norme ISO 37002
Les organisations qui mettent en place des systèmes de gestion des signalements conformes à la norme ISO 37002 bénéficient des avantages suivants :
Détection précoce des irrégularités : des approches systématiques en matière de réception et d'évaluation des signalements permettent d'identifier les fautes professionnelles avant qu'elles n'entraînent des responsabilités graves ou une atteinte à la réputation.
Amélioration de la gouvernance : le fait de démontrer aux conseils d'administration, aux comités d'audit, aux autorités de régulation et aux investisseurs l'existence de mécanismes solides de signalement des irrégularités apporte une garantie quant à la qualité de la gouvernance.
Conformité réglementaire : bien qu’elle soit facultative, la norme ISO 37002 aide les organisations à aller au-delà des exigences obligatoires prévues par la directive européenne, les réglementations sectorielles et la législation nationale.
Réduction de la responsabilité : la détection précoce des problèmes et la mise en œuvre de mesures appropriées permettent de réduire la responsabilité en matière d'emploi, les amendes réglementaires, les actions civiles et les risques de poursuites pénales. Comment les services d'alerte peuvent-ils contribuer à réduire la responsabilité sur le lieu de travail ? Cet article examine la réduction de la responsabilité grâce à un système d'alerte efficace.
Amélioration de la culture d'entreprise : la mise en place de systèmes fondés sur la confiance, l'impartialité et la protection contribue à instaurer une culture d'entreprise éthique, où l'expression libre d'opinions est encouragée et où les manquements sont traités de manière appropriée.
Confiance des parties prenantes : un engagement tangible envers les principes de la norme ISO 37002 renforce la confiance des collaborateurs, des investisseurs, des clients et des autorités de régulation.
Quels sont les avantages des systèmes d'alerte conformes à la norme ISO ? Cet article explore ces avantages de manière exhaustive.
Les défis liés à la mise en œuvre de la norme ISO 37002
Les organisations sont souvent confrontées à plusieurs défis :
Allocation des ressources : la mise en place de systèmes complets de gestion des signalements nécessite des investissements dans les canaux de signalement, la formation, les capacités d’enquête et le suivi continu. Les petites organisations peuvent avoir du mal à justifier ces ressources, mais la souplesse de la norme permet une mise en œuvre adaptée à leur taille.
Exigences en matière d'indépendance : Il peut être difficile de préserver l'impartialité et l'indépendance, en particulier au sein des petites structures ou lorsque les problèmes concernent la direction. Les prestataires externes peuvent compléter les capacités internes et garantir l'indépendance lorsque cela s'avère nécessaire.
Résistance culturelle : certaines cultures d'entreprise perçoivent négativement le lancement d'alerte. Pour faire évoluer cette culture et considérer le fait de s'exprimer comme une contribution positive à la gouvernance, il faut un engagement durable de la part des dirigeants et des mesures concrètes démontrant que les lanceurs d'alerte sont valorisés et protégés.
Complexité de l'intégration : les organisations disposant déjà de programmes de conformité, d'éthique ou de gestion des risques doivent intégrer de manière appropriée les mécanismes d'alerte, sans créer de doublons administratifs ni de confusion quant à la fonction de chaque canal.
Comment Safecall facilite la mise en œuvre de la norme ISO 37002
Les services d'alerte de Safecall sont conformes aux principes et aux exigences de la norme ISO 37002 :
Confiance
Safecall renforce la confiance dans les dispositifs d'alerte en offrant une expérience de signalement cohérente et professionnelle dès le moment où des préoccupations sont soulevées. Les signalements sont reçus 24 heures sur 24, 7 jours sur 7, par des spécialistes formés et dotés d'une grande expérience dans le traitement des divulgations sensibles, ce qui leur permet de poser des questions de clarification pertinentes et de consigner avec précision les préoccupations de manière sereine et professionnelle.
Le rôle de Safecall se limite à la réception et à l'enregistrement des signalements. Un contrôle qualité est mis en place pour garantir que les informations sont saisies de manière claire, exhaustive et impartiale avant d'être transmises en toute sécurité à l'organisation. La responsabilité d'évaluer, d'enquêter et de traiter les signalements incombe à l'organisation, ce qui renforce la confiance tout en préservant la responsabilité de l'organisation, conformément à la norme ISO 37002.
Impartialité
En tant que prestataire externe, Safecall assure la réception indépendante des signalements, à l'abri de tout conflit d'intérêts interne. Safecall reçoit et consigne les signalements, et ne procède à un premier tri que dans le but d'assurer leur acheminement approprié, d'identifier d'éventuels conflits d'intérêts et de recueillir des informations complètes et exactes. La responsabilité de la gestion, de l'enquête et du traitement des signalements incombe à l'organisation.
Protection
Safecall soutient la protection des lanceurs d'alerte en garantissant la confidentialité au moment du signalement et en permettant les signalements anonymes grâce à des systèmes sécurisés qui limitent au maximum la collecte d'informations permettant d'identifier les auteurs. Les appels téléphoniques ne sont pas enregistrés et les identifiants techniques, tels que les adresses IP, ne sont pas collectés.
Safecall ne gère pas la protection des lanceurs d’alerte pour le compte de l’organisation ; la responsabilité du suivi et de la gestion des risques de représailles incombe à l’organisation. Le système de Safecall permet aux organisations de consigner les mesures de protection mises en place et de démontrer qu’un suivi approprié a été assuré.
Notre logiciel de gestion des dossiers permet aux organisations de suivre les mesures de protection, de surveiller la situation des lanceurs d'alerte et de démontrer qu'elles ont réagi de manière appropriée aux allégations de représailles.
Accompagnement en quatre étapes
Signalement : Notre système de signalement multicanal propose des lignes d'assistance téléphonique (disponibles 24 h/24, 7 j/7, dans plus de 175 langues), un formulaire de signalement en ligne sécurisé et la possibilité d'envoyer un signalement par écrit.
Évaluation : Les opérateurs professionnels savent identifier les situations préoccupantes nécessitant une remontée immédiate, tout en respectant les normes de documentation en vigueur.
Approche : Pour les dossiers complexes, nos services d'enquête indépendants apportent une expertise et une objectivité conformes aux exigences de la norme ISO 37002.
En conclusion : les outils de gestion des dossiers permettent d'apporter un retour d'information approprié aux lanceurs d'alerte et de consigner les résultats obtenus, ce qui favorise l'amélioration continue.
Intégration dans un cadre de gouvernance plus large
La norme ISO 37002 encourage les organisations à considérer le signalement des irrégularités non pas comme une simple exigence de conformité isolée, mais comme un mécanisme de gouvernance à part entière. Une intégration efficace nécessite :
- Supervision au niveau du conseil d'administration, avec des rapports réguliers sur les indicateurs et les thèmes liés aux signalements
- Lien avec la gestion des risques, permettant d'intégrer les données issues des signalements dans les évaluations des risques
- Liens vers des programmes de conformité dans lesquels le signalement des irrégularités facilite la détection de problèmes dans plusieurs domaines de conformité
- Coordination avec l'audit interne afin de fournir des informations complétant la planification de l'audit
- Adhésion aux initiatives en matière d'éthique et de culture qui encouragent les collaborateurs à s'exprimer librement
Quel est le rôle du lancement d'alerte dans la conformité d'entreprise ? Cet ouvrage examine ces liens de manière exhaustive.
Prochaines étapes pour les organisations
Les organisations qui envisagent d'adopter la norme ISO 37002 devraient :
- Évaluer les dispositions actuelles à la lumière des orientations de la norme concernant les principes, les processus et les pratiques
- Identifier les lacunes des systèmes actuels par rapport aux recommandations de la norme ISO 37002
- Déterminer un niveau de mise en œuvre proportionné, adapté à la taille, à la complexité et aux risques de l'organisation
- Prévoir l'intégration avec les systèmes de gestion existants (conformité, lutte contre la corruption, gestion des risques)
- Allouer des ressources aux canaux de communication, à la formation, aux capacités d'enquête et à la surveillance continue
- Mettre en œuvre systématiquement le cycle « Planifier-Faire-Vérifier-Agir » recommandé par la norme ISO 37002 afin de favoriser l'amélioration continue.
- Évaluer l'efficacité à l'aide d'indicateurs alignés sur les résultats attendus de la norme ISO 37002
- S'améliorer en permanence en s'appuyant sur l'expérience, les évolutions réglementaires et les retours des parties prenantes
Pour bénéficier de conseils d'experts sur la mise en place de systèmes de gestion des signalements, contactez Safecall au +44 (0) 191 516 7720 ou rendez-vous sur notre page consacrée aux solutions de signalement.
Pour obtenir des conseils à ce sujet, consultez nos articles intitulés « Comment les entreprises peuvent-elles se conformer aux directives européennes relatives à la protection des lanceurs d'alerte? » et « Comment les organisations gèrent-elles le risque de représailles à l'encontre des lanceurs d'alerte? », ainsi que notre centre de ressources consacré à la conformité à la directive européenne sur les lanceurs d'alerte.