Whistleblower et Sapin 2 : comment structurer la procédure interne de signalement

Dix ans après l'adoption de la loi Sapin 2, le Défenseur des droits dresse, dans son rapport bisannuel 2024-2025 publié en juin 2026, un constat à la fois encourageant et préoccupant. Le nombre de signalements traités a été multiplié par cinq en deux ans, passant de 2 000 en 2023 à plus de 10 000 en 2025. Mais l'institution souligne aussi, sans détour, que l'absence d'alerte au sein d'une entreprise signifie souvent que le canal interne n'existe pas ou n'est tout simplement pas connu des salariés.

Ce constat replace la procédure interne de recueil des signalements au cœur des enjeux de conformité des entreprises de 50 salariés et plus. Il ne s'agit plus d'un exercice purement documentaire destiné à cocher une case réglementaire, mais d'un dispositif dont l'effectivité réelle conditionne à la fois la protection des lanceurs d'alerte et la maîtrise, par l'entreprise, de ses propres risques juridiques et réputationnels. Cet article revient sur le cadre juridique applicable, précise les entreprises concernées, détaille la structuration attendue de la procédure interne, les délais légaux à respecter, les garanties de confidentialité exigées, ainsi que les sanctions encourues en cas de dispositif défaillant.

Le cadre juridique du statut de lanceur d'alerte en France

Avant d'aborder la procédure interne elle-même, il convient de rappeler l'architecture législative qui la fonde, celle-ci ayant connu une évolution substantielle entre 2016 et 2022.

De la loi Sapin 2 à la réforme Waserman

Le socle du régime français repose sur la loi n° 2016-1691 du 9 décembre 2016, relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite loi Sapin 2. Ce texte initial a été substantiellement renforcé par la loi organique n° 2022-400 et la loi n° 2022-401 du 21 mars 2022, dites lois Waserman, elles-mêmes précisées par le décret n° 2022-1284 du 3 octobre 2022, qui détaille les modalités concrètes de la procédure de recueil et de traitement des signalements.

La définition légale du lanceur d'alerte

L'article 6 de la loi Sapin 2 définit le lanceur d'alerte comme une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général. Cette définition suppose la réunion de quatre conditions cumulatives : la bonne foi de l'auteur du signalement, l'absence de toute contrepartie financière directe, la connaissance personnelle des faits signalés, et l'appartenance de ces faits au champ matériel défini par la loi. La protection accordée par le texte s'étend par ailleurs aux facilitateurs, qu'il s'agisse de personnes physiques ou de personnes morales à but non lucratif venant en aide au lanceur d'alerte, ainsi qu'aux personnes de son entourage susceptibles de subir des représailles du seul fait de ce lien.

La fin de la hiérarchie des canaux de signalement

Sous l'empire initial de la loi Sapin 2, le lanceur d'alerte devait impérativement épuiser le canal interne avant de pouvoir envisager un signalement externe. La loi Waserman a mis fin à cette hiérarchisation : le lanceur d'alerte peut désormais choisir librement entre le signalement interne et le signalement externe, sans que l'un constitue un préalable obligatoire à l'autre. Cette évolution a une conséquence pratique directe pour les entreprises : l'existence d'une procédure interne réellement crédible et bien diffusée devient un facteur déterminant pour que les alertes soient traitées en interne plutôt que directement portées devant une autorité externe, avec les conséquences réputationnelles que cela peut impliquer.

Quelles entreprises doivent mettre en place une procédure interne ?

Cette section précise le périmètre exact des entreprises concernées par l'obligation, ainsi que les personnes protégées par le dispositif au-delà des seuls salariés.

Le seuil de 50 salariés et son appréciation

L'obligation de mettre en place une procédure interne de recueil et de traitement des signalements s'applique aux employeurs privés d'au moins 50 salariés, cet effectif s'appréciant sur deux années consécutives selon les modalités de calcul prévues par le code du travail. L'obligation est entrée en vigueur depuis le 1er septembre 2022 pour l'ensemble des entreprises atteignant ce seuil.

La mutualisation du dispositif pour les structures de moins de 250 salariés

Les entreprises de moins de 250 salariés disposent d'une faculté de mutualisation de leurs ressources pour le recueil et le traitement des signalements. Cette mutualisation trouve toutefois ses limites dans l'exigence de confidentialité et d'indépendance du traitement propre à chaque entité, ce qui suppose une organisation rigoureuse lorsque plusieurs structures juridiquement distinctes partagent un même dispositif.

Le cas des personnes morales de droit public

L'obligation s'étend également aux administrations de l'État et aux personnes morales de droit public employant au moins 50 agents, sous réserve des exceptions et modalités particulières prévues par les textes d'application pour certaines structures du secteur public.

Qui est protégé par le dispositif, au-delà des salariés ?

La protection accordée par le régime Sapin 2 ne se limite pas aux seuls salariés de l'entreprise : elle s'étend aux collaborateurs extérieurs et occasionnels, ainsi que, dans certains cas, aux anciens membres du personnel et aux candidats à un emploi, lorsque l'information à l'origine du signalement a été obtenue dans le cadre de cette relation professionnelle.

Comment structurer la procédure interne de recueil des signalements

C'est le cœur opérationnel de la conformité Sapin 2 : le décret du 3 octobre 2022 précise un contenu minimal attendu de la procédure interne, dont le respect conditionne directement son efficacité.

L'obligation de consultation préalable du CSE

La procédure interne doit être établie après consultation du comité social et économique. Il s'agit d'une consultation au sens strict, supposant le recueil d'un avis, et non d'un accord conforme du CSE, ce qui laisse à l'employeur la maîtrise finale du contenu du dispositif tout en l'obligeant à recueillir formellement la position des représentants du personnel.

Le contenu minimal exigé par le décret du 3 octobre 2022

La procédure doit identifier les personnes ou le service chargés de recueillir et de traiter les signalements, préciser les modalités concrètes d'accès au dispositif, qu'il s'agisse d'une adresse électronique dédiée, d'une plateforme spécifique ou de la voie hiérarchique, décrire la typologie des faits pouvant être signalés et les conditions pour bénéficier du statut de lanceur d'alerte, et exposer les mesures de garantie et de protection dont bénéficient les personnes concernées par le signalement.

Les garanties d'indépendance et d'impartialité

La procédure doit désigner clairement les personnes ou le service chargés du traitement des alertes, en veillant à ce qu'ils disposent de la compétence, de l'autorité et des moyens suffisants pour exercer cette mission. Une séparation fonctionnelle doit également être organisée entre les personnes chargées de l'instruction et celles qui pourraient elles-mêmes être visées par une alerte, afin d'éviter tout conflit d'intérêts dans le traitement du signalement.

L'accessibilité et la publicité de la procédure

Le décret impose une diffusion effective de la procédure, par voie de notification, d'affichage, de publication sur le site internet ou l'intranet de l'entreprise. Le règlement intérieur doit par ailleurs mentionner explicitement l'existence de ce dispositif de protection des lanceurs d'alerte, une exigence qui rejoint directement le constat du Défenseur des droits sur les canaux internes « non connus » des salariés.

L'articulation avec d'autres dispositifs d'alerte existants

Une entreprise peut choisir de regrouper au sein d'une procédure unique plusieurs régimes d'alerte distincts, tels que le dispositif Sapin 2, les alertes relatives au harcèlement ou à la discrimination. Le référentiel de la CNIL recommande, dans cette hypothèse, que le dispositif unifié vise explicitement l'ensemble des finalités correspondantes, afin de garantir la lisibilité du traitement des données personnelles pour chacune de ces finalités.

Les délais légaux à respecter dans le traitement d'une alerte

Le respect des délais légaux constitue l'un des points de vigilance les plus fréquemment négligés en pratique, alors qu'il conditionne directement la sécurité juridique du dispositif.

L'accusé de réception sous 7 jours ouvrés

L'entité destinataire du signalement doit adresser un accusé de réception à l'auteur de l'alerte dans un délai de 7 jours ouvrés à compter de la réception du signalement. En l'absence d'accusé de réception effectivement envoyé, ce délai constitue néanmoins le point de départ alternatif pour le calcul des délais suivants, ce qui empêche l'entreprise de neutraliser ses obligations par simple inaction.

Le retour d'information sous 3 mois

L'entité doit ensuite communiquer par écrit à l'auteur du signalement, dans un délai raisonnable n'excédant pas trois mois à compter de l'accusé de réception, ou à défaut à compter de l'expiration de la période de 7 jours ouvrés, les mesures envisagées ou prises pour évaluer l'exactitude des allégations. Il est important de souligner que ce retour d'information ne suppose pas nécessairement la communication du détail de l'instruction elle-même, mais des mesures adoptées pour évaluer les faits signalés.

Le tableau suivant synthétise ces différents délais et leurs conséquences.

Le commentaire à retenir de ce tableau est le suivant : la conformité formelle de la procédure écrite ne suffit pas si l'entreprise n'est pas capable, en pratique, de tracer précisément la date de réception de chaque signalement et de respecter ces échéances. Une entreprise qui se contente de rédiger une procédure conforme sur le papier, sans organiser en interne un suivi rigoureux des délais, s'expose au risque qu'un lanceur d'alerte insatisfait bascule vers une divulgation publique alors même que le fond du signalement aurait pu être traité de façon appropriée si les délais avaient été respectés.

La confidentialité et la protection des données personnelles

Au-delà des délais, la procédure interne doit organiser une protection rigoureuse de la confidentialité des personnes impliquées dans le processus de signalement.

Les trois cercles de confidentialité à garantir

La procédure doit garantir la confidentialité de l'identité de l'auteur du signalement, celle de la personne visée par ce signalement, ainsi que celle des tiers qui y sont mentionnés. Cette triple exigence de confidentialité constitue l'un des piliers de la crédibilité du dispositif, dans la mesure où l'absence de garantie suffisante dissuade en pratique de nombreux salariés d'utiliser le canal interne, contribuant au phénomène de sous-utilisation constaté par le Défenseur des droits.

Le référentiel CNIL relatif aux dispositifs d'alertes professionnelles

La CNIL a publié un référentiel relatif aux dispositifs d'alertes professionnelles, venu remplacer l'ancienne autorisation unique AU-004. Ce référentiel constitue un outil de droit souple, dépourvu de valeur contraignante, mais les organismes qui s'y conforment bénéficient d'une présomption de conformité de leurs traitements de données relatifs aux alertes professionnelles. Le référentiel précise notamment que le traitement de données sensibles, telles que des informations relatives à la santé ou aux orientations politiques d'une personne, peut être justifié, lorsque le dispositif répond à une obligation légale, par un motif d'intérêt public important au sens de l'article 9.2.f du règlement général sur la protection des données.

La durée de conservation des données

Les données collectées dans le cadre d'un signalement doivent être conservées pour une durée limitée, adaptée à la finalité du dispositif. Le régime de conservation diffère selon que le signalement donne lieu ou non à une procédure disciplinaire ou judiciaire, les données devant en principe être supprimées ou anonymisées plus rapidement lorsque le signalement s'avère infondé ou sans suite.

La protection du lanceur d'alerte contre les représailles

Cette section aborde le second pilier du dispositif : la protection juridique accordée au lanceur d'alerte lui-même, dont la loi Waserman a considérablement renforcé la portée.

L'irresponsabilité civile et pénale

Le lanceur d'alerte bénéficie d'une irresponsabilité pénale au titre de l'article 122-9 du code pénal, dès lors que les conditions légales de qualification sont réunies. Cette protection s'étend également, sur le plan civil, à la responsabilité du lanceur d'alerte pour les faits résultant de son signalement, et bénéficie de la même façon aux facilitateurs et aux personnes de son entourage susceptibles de subir des représailles.

L'interdiction des mesures de représailles

La loi interdit toute mesure de représailles à l'encontre d'un lanceur d'alerte, qu'il s'agisse d'un licenciement, d'une sanction disciplinaire, d'une discrimination ou de toute autre mesure défavorable liée au signalement. En cas de contentieux, la charge de la preuve se trouve renversée au profit du lanceur d'alerte : il appartient à l'employeur de démontrer que la mesure contestée repose sur des éléments objectifs et étrangers au signalement effectué.

Le rôle renforcé du Défenseur des droits

La loi Waserman a confié un rôle central au Défenseur des droits dans la protection des lanceurs d'alerte, avec la nomination d'une adjointe spécifiquement chargée de leur accompagnement. L'institution peut rendre une décision reconnaissant à une personne la qualité de lanceur d'alerte, et peut choisir de représenter cette décision en justice dans le cadre d'un contentieux ultérieur. Le Défenseur des droits a par ailleurs publié, dès mars 2023, un guide du lanceur d'alerte régulièrement actualisé, destiné à accompagner les entreprises comme les personnes concernées.

Exemple jurisprudentiel : l'arrêt Thalès du 1er février 2023

Dans un arrêt du 1er février 2023, la Cour de cassation s'est prononcée sur le cas d'une salariée licenciée après avoir signalé des soupçons de corruption et de trafic d'influence au sein du groupe Thalès. La Haute juridiction a reconnu que les lanceurs d'alerte doivent pouvoir accéder au référé prud'homal pour demander leur réintégration en urgence, afin d'éviter une dégradation majeure et durable de leur situation professionnelle et personnelle. Cette décision illustre concrètement l'attention particulière que la jurisprudence porte désormais à la protection effective des lanceurs d'alerte, au-delà de la seule lettre du texte.

Un dispositif de protection encore fragile en pratique

Le rapport bisannuel 2024-2025 du Défenseur des droits nuance toutefois ce cadre protecteur : l'institution constate des violations fréquentes de l'interdiction légale de représailles, en particulier dans le domaine de l'emploi, et souligne qu'aucune des 41 autorités externes désignées ne dispose, à ce jour, des moyens financiers ou psychologiques nécessaires à la mise en œuvre d'un accompagnement satisfaisant des lanceurs d'alerte, malgré les dispositions légales prévues en ce sens.

Le signalement externe : quand et vers quelles autorités ?

Bien que cet article se concentre sur la procédure interne, il est utile de rappeler brièvement les conditions dans lesquelles le lanceur d'alerte peut, ou doit, se tourner vers une autorité externe.

Le libre choix entre interne et externe

Depuis la loi Waserman, plus aucune obligation ne contraint le lanceur d'alerte à épuiser le canal interne avant de saisir une autorité externe. En pratique, ce choix se porte souvent vers l'externe lorsque le lanceur d'alerte redoute des représailles, lorsque la situation présente un caractère d'urgence particulier, ou lorsqu'il estime que le traitement interne n'a pas de chance raisonnable d'aboutir.

Les 41 autorités externes compétentes

Le décret du 3 octobre 2022 dresse la liste des autorités externes compétentes pour recevoir un signalement, parmi lesquelles figurent notamment le Défenseur des droits, l'Autorité des marchés financiers, l'Autorité de la concurrence, l'Agence française anti-corruption et la CNIL, chacune intervenant dans son domaine de compétence propre. Le Défenseur des droits joue un rôle d'orientation vers l'autorité compétente lorsque le lanceur d'alerte hésite sur l'autorité à saisir.

La divulgation publique, ultime recours

La divulgation publique demeure strictement encadrée et réservée aux situations où le signalement interne ou externe n'a pas abouti dans les délais légaux, ou aux hypothèses de danger imminent ou de risque de dommages irréversibles justifiant une exception à ce parcours progressif.

Les risques et sanctions en cas de dispositif défaillant

Cette section clarifie un point souvent source de confusion : la nature exacte des risques encourus par une entreprise dont le dispositif se révèle défaillant.

L'absence de sanction automatique pour défaut de canal interne

Il n'existe pas, en droit français, d'amende administrative automatique simplement pour l'absence de procédure interne de recueil des signalements. Ce constat ne doit toutefois pas conduire à sous-estimer les risques indirects qui en résultent, qu'il s'agisse d'un contentieux prud'homal ultérieur, d'une atteinte réputationnelle en cas de divulgation publique, ou d'une perte de confiance interne des équipes envers la culture de conformité de l'entreprise.

Les sanctions pénales en cas d'entrave

Le fait de faire obstacle à la transmission d'un signalement constitue un délit d'entrave sanctionné pénalement. Des sanctions aggravées s'appliquent en cas de discrimination ou de représailles avérées à l'encontre d'un lanceur d'alerte, dans le prolongement direct de l'interdiction de principe posée par la loi.

Les erreurs fréquentes constatées en pratique

Parmi les erreurs les plus fréquemment observées figure l'existence d'une procédure formellement conforme mais mal diffusée ou méconnue des salariés, rejoignant directement le constat dressé par le Défenseur des droits. S'y ajoutent la confusion entre le rôle de destinataire de l'alerte et celui de personne potentiellement visée par un signalement, ainsi que l'absence de traçabilité formalisée des délais légaux, qui expose l'entreprise à ne pas pouvoir démontrer, en cas de contentieux, le respect effectif de ses obligations.

Comment sécuriser juridiquement l'instruction d'une alerte sensible

Cette dernière section propose des recommandations pratiques pour structurer l'instruction d'une alerte, au-delà de la seule rédaction de la procédure.

La vérification préalable de la recevabilité

Il convient de vérifier, avant l'ouverture de l'instruction proprement dite, que la qualité de lanceur d'alerte et les conditions légales sont réunies. Le cas du signalement anonyme mérite une attention particulière : il demeure recevable, mais prive de fait l'auteur de la possibilité de recevoir un retour d'information direct, faute de pouvoir être identifié par l'entité destinataire.

La formation des managers et des RH

Les managers de proximité constituent souvent les premiers destinataires informels d'une alerte, avant même que celle-ci ne soit formellement adressée au canal dédié. Leur sensibilisation, ainsi que celle des équipes RH et juridiques, à la distinction entre une alerte relevant du dispositif Sapin 2 et d'autres types de signalement, tels que le harcèlement ou la discrimination, constitue un facteur déterminant de la qualité du traitement réservé aux alertes.

Le dispositif d'alerte comme outil de gouvernance, au-delà de la conformité

Un dispositif d'alerte bien structuré et réellement utilisé par les salariés constitue un signal de maturité de la culture d'entreprise, bien au-delà de la seule obligation légale qu'il vise à satisfaire. Son articulation avec le code de conduite et la cartographie des risques de l'entreprise permet, en pratique, de transformer une contrainte réglementaire en un véritable outil de gouvernance interne.

Foire aux questions sur le whistleblower et la procédure interne Sapin 2

Les questions suivantes reprennent, sous une forme synthétique, les points les plus fréquemment soulevés par les directions juridiques et RH confrontées à ce dispositif.

Qu'est-ce qu'un lanceur d'alerte au sens de la loi Sapin 2 ?

Un lanceur d'alerte est une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général, dont elle a eu personnellement connaissance dans le cadre de ses activités professionnelles.

Quelles entreprises doivent mettre en place une procédure interne de signalement ?

L'obligation s'applique aux employeurs privés d'au moins 50 salariés, cet effectif s'appréciant sur deux années consécutives, ainsi qu'aux personnes morales de droit public employant au moins 50 agents. Les entreprises de moins de 250 salariés peuvent mutualiser leurs ressources pour la mise en œuvre du dispositif.

Le signalement interne est-il obligatoire avant de saisir une autorité externe ?

Non. Depuis la loi Waserman de 2022, le lanceur d'alerte peut choisir librement entre le signalement interne et le signalement externe, sans hiérarchisation imposée entre ces deux canaux.

Quels délais l'entreprise doit-elle respecter pour traiter une alerte ?

L'entreprise doit adresser un accusé de réception dans un délai de 7 jours ouvrés, puis un retour d'information sur les mesures envisagées ou prises dans un délai de 3 mois à compter de cet accusé de réception, ou à défaut à compter de l'expiration du délai de 7 jours ouvrés.

Une entreprise peut-elle être sanctionnée pour absence de procédure interne ?

Il n'existe pas d'amende administrative automatique pour la simple absence de procédure interne. En revanche, le fait de faire obstacle à la transmission d'un signalement, ou d'exercer des représailles contre un lanceur d'alerte, expose l'entreprise et ses dirigeants à des sanctions pénales et civiles significatives.

Conclusion

La conformité au régime Sapin 2 ne se mesure pas à la seule existence d'une procédure écrite, mais à son effectivité réelle : accessibilité et diffusion suffisantes auprès des salariés, garanties d'indépendance et de confidentialité respectées, délais légaux tracés et tenus. Le rapport bisannuel 2024-2025 du Défenseur des droits le rappelle avec force : c'est souvent la méconnaissance du dispositif par les salariés eux-mêmes, plus que son absence formelle, qui explique la sous-utilisation persistante des canaux internes en France.

Cette logique de mécanisme d'alerte structuré, garantissant la confidentialité de l'auteur du signalement tout en organisant un traitement rigoureux et documenté, n'est pas propre au régime Sapin 2 : on la retrouve, sous une forme voisine, dans le mécanisme d'alerte exigé par la loi de 2017 sur le devoir de vigilance, qui impose également aux grandes entreprises la mise en place d'un dispositif d'alerte et de recueil des signalements au sein de leur plan de vigilance, ainsi que dans les obligations de notification structurée que l'on retrouve, sous une forme différente, dans les régimes de gestion des risques cyber prévus par NIS2 ou par DORA pour le secteur financier. Cette même logique de traçabilité des situations de conflit d'intérêts se retrouve dans le contrôle des conventions réglementées en SAS, où la documentation de la décision des associés joue un rôle tout aussi central pour sécuriser juridiquement l'entreprise. Dans tous ces cas, l'enjeu pour l'entreprise reste le même : transformer une obligation de conformité en un dispositif réellement opérationnel, plutôt qu'en une procédure de façade destinée au seul contrôle documentaire.

‍

‍