Ashio whistleblowing software

ISO 37002 : la norme qui structure votre système de management du whistleblowing

Cover: ISO 37002 : la norme qui structure votre système de management du whistleblowing

La directive européenne fixe le socle minimal, mais ISO 37002 management du whistleblowing vous donne le cadre de gouvernance qui résiste à un audit. Publiée en 2021, cette norme internationale transforme une obligation légale en un système de management structuré : politiques, responsabilités, indicateurs, revue de direction et amélioration continue. Pour un responsable conformité, elle répond à une question simple : comment prouver, à un moment T, que le dispositif d'alerte professionnelle n'est pas seulement installé, mais réellement opérationnel et durable.

Sommaire

Origine et objectifs de la norme ISO 37002:2021

ISO 37002:2021 — Systèmes de management du lancement d'alerte — est la première norme internationale dédiée au whistleblowing. Elle a été élaborée par le comité technique ISO/PC 271, avec un secrétariat assuré par le BSI britannique, puis adoptée et publiée par l'ISO en septembre 2021. Son objectif : fournir un cadre volontaire, indépendant de toute législation nationale, pour concevoir, mettre en œuvre et améliorer en continu un canal d'alerte au sein de toute organisation, publique ou privée.

Avant cette norme, les entreprises qui voulaient structurer leur dispositif devaient bricoler à partir de textes sectoriels : directives anti-corruption, droit du travail, règlement intérieur. ISO 37002 rassemble ces bonnes pratiques dans un référentiel unique, construit sur la structure HLS (High Level Structure) commune à toutes les normes ISO de management (ISO 9001, ISO 27001, ISO 37001 anti-corruption). Cette compatibilité n'est pas un détail : elle facilite l'intégration du système d'alerte dans un dispositif QSE ou SSI déjà certifié, et permet un seul audit combiné.

La norme repose sur quelques principes structurants :

  • Indépendance et impartialité : le traitement des alertes doit être protégé de toute influence managériale ou hiérarchique.
  • Anonymat et confidentialité : protection de l'identité du lanceur d'alerte et des personnes mises en cause, avec accès limité aux données.
  • Non-représailles : la culture d'alerte ne peut fonctionner que si les signalements de bonne foi sont explicitement protégés.
  • Approche par les risques : les processus doivent être calibrés selon la taille, le secteur et l'exposition de l'organisation.
  • Amélioration continue : cycle PDCA, revue de direction, indicateurs et traitement des non-conformités.

Concrètement, ISO 37002 normalise ce que beaucoup d'organisations font déjà de manière dispersée : qui reçoit l'alerte, qui instruit, qui décide, sous quels délais, avec quelle traçabilité, et avec quel retour au lanceur d'alerte. Elle donne un vocabulaire commun aux auditeurs, aux juristes et aux opérationnels.

Les différences avec la directive 2019/1937 et la complémentarité

Comparer ISO 37002 vs directive 2019/1937 revient souvent à confondre règle obligatoire et cadre volontaire. La directive européenne est un texte juridiquement contraignant qui impose, dans les États membres, la mise en place d'un canal d'alerte interne et externe sous certaines conditions. Elle fixe des seuils (entités de 50 salariés et plus dans le secteur privé), des délais stricts (accusé de réception sous 7 jours, retour sous 3 mois), un statut protecteur du lanceur d'alerte et des sanctions en cas de non-conformité.

ISO 37002, elle, ne crée aucune obligation légale directe. Elle décrit comment construire un système de management conforme, efficace et durable, indépendamment de la loi applicable. C'est un guide de gouvernance, pas un texte punitif.

Dimension Directive 2019/1937 ISO 37002:2021
Statut Loi européenne transposée Norme internationale volontaire
Champ d'application Entités juridiques selon seuils et secteurs Toute organisation, tout secteur
Objet Impose un canal et protège le lanceur d'alerte Décrit le système de management complet
Délais 7 jours (accusé), 3 mois (retour) Recommandations, pas de délais imposés
Gouvernance Principes généraux Structure détaillée : rôles, revues, indicateurs
Preuve de conformité Autoévaluation et contrôles autorités Audit interne ou de tierce partie

La complémentarité est évidente : la directive répond à quoi faire, ISO 37002 répond à comment le faire durablement. Une organisation qui se contente de cocher les cases de la directive 2019/1937 aura un canal d'alerte légal, mais pas forcément un système de management auditable. Inversement, une organisation certifiée ISO 37002 couvre, par construction, la majorité des exigences de la directive — à condition de vérifier les points spécifiques à la transposition nationale (Loi Sapin II en France, HinSchG en Allemagne, etc.).

Pour un responsable conformité, l'intérêt est double : disposer d'un référentiel reconnu mondialement pour structurer sa politique d'alerte, et disposer d'un argument solide face à un régulateur, un client ou un partenaire qui demande des preuves de gouvernance au-delà du minimum légal.

Les 8 étapes de mise en œuvre d'un système de management

Infographic: Les 8 étapes de mise en œuvre d'un système de management Mettre en place un système conforme à ISO 37002 ne se résume pas à installer un formulaire web. La norme propose une démarche séquentielle en huit étapes, alignée sur le cycle PDCA. Chaque étape produit des livrables vérifiables lors d'un audit.

1. Obtenir l'engagement de la direction

Sans sponsorship au plus haut niveau — conseil d'administration, direction générale, comité d'audit — le système d'alerte reste fragile. La norme exige que la direction définisse une politique de lancement d'alerte, alloue les ressources nécessaires et désigne une fonction indépendante chargée du dispositif. Cette indépendance peut être interne (responsable conformité, déontologue) ou externe (avocat, prestataire certifié).

2. Analyser le contexte et les parties prenantes

Il s'agit d'identifier les obligations légales applicables, les attentes des régulateurs, des clients, des partenaires et des collaborateurs. Cette étape inclut une cartographie des risques de non-conformité, de fraude, de harcèlement, de sécurité des patients ou de corruption, selon le secteur d'activité.

3. Évaluer les risques liés au lancement d'alerte

ISO 37002 introduit une logique d'évaluation des risques propres au dispositif : risque de représailles, risque de fuite d'identité, risque de conflits d'intérêts dans le traitement, risque de surcharge du canal par des signalements abusifs. Chaque risque doit être noté, traité et documenté.

4. Concevoir la politique et les processus

La politique de lancement d'alerte formalise : périmètre (qui peut signaler, quoi signaler), canaux disponibles (interne, externe, anonyme), engagements de confidentialité et d'anonymat, règles de non-représailles, processus d'instruction, critères d'escalade. Les processus doivent être écrits, diffusés et compris.

5. Mettre en place les mécanismes de réception et de traitement

C'est ici qu'intervient le choix technologique. Le canal d'alerte doit garantir, selon la norme, la confidentialité des échanges et, lorsque l'organisation s'y engage, l'anonymat du déclarant. Les bonnes pratiques incluent un hébergement dans une juridiction avec cadre protecteur, un chiffrement de bout en bout, et une architecture zéro accès où même l'opérateur technique ne peut lire les contenus.

6. Former et sensibiliser

La norme insiste sur la formation : dirigeants, gestionnaires d'alertes, équipes RH, mais aussi ensemble des collaborateurs. Une politique d'alerte ignorée des salariés est un système mort. Les indicateurs de formation (taux de participation, compréhension des processus) font partie des preuves d'efficacité.

7. Piloter, mesurer, revoir

Indicateurs clés : nombre de signalements reçus, taux de traitement dans les délais, taux de représailles constatées, satisfaction des utilisateurs du canal, qualité de l'instruction. Une revue de direction annuelle examine ces indicateurs, les non-conformités et les opportunités d'amélioration.

8. Améliorer en continu

Sur la base des revues, des audits internes et des retours d'expérience, le système est ajusté. C'est la phase Act du cycle PDCA, qui ferme la boucle et prépare l'itération suivante.

Comment démontrer la conformité à un auditeur

Un système de management n'a de valeur que s'il laisse des traces. ISO 37002 attend de l'organisation qu'elle puisse prouver, à tout moment, que son dispositif fonctionne réellement — pas seulement qu'il existe sur le papier. Les auditeurs, internes comme externes, cherchent des preuves documentaires et factuelles.

Les éléments clés à préparer :

  • Politique écrite et datée, approuvée par la direction, accessible à tous les collaborateurs.
  • Procès-verbaux de revue de direction mentionnant explicitement le système d'alerte, ses indicateurs et ses décisions.
  • Registre des alertes traitées : numéro anonymisé, date de réception, catégorie, délai d'accusé de réception, délai de traitement, issue, mesures correctives. Les délais de 7 jours et 3 mois imposés par la directive 2019/1937 doivent apparaître clairement.
  • Preuves de formation : listes d'émargement, modules e-learning, taux de complétion.
  • Analyse des risques mise à jour et liée aux évolutions du contexte (nouveau secteur, nouvelle réglementation, fusion, etc.).
  • Plan de traitement des non-conformités : incidents, retards, violations de confidentialité, sanctions prises.
  • Évaluation de la culture d'alerte : enquêtes internes, taux d'utilisation du canal, perception de sécurité.

Un point souvent négligé : la preuve technique. Pour un canal numérique, l'auditeur voudra voir le modèle de chiffrement, la localisation des serveurs, les certifications de l'hébergeur (ISO 27001, SOC 2), et l'architecture de sécurité. Un hébergement dans une juridiction tierce sans garantie de protection des données peut suffire à disqualifier l'ensemble du dispositif, même si tous les autres critères sont remplis.

Quand la certification ISO 37002 devient un atout commercial

La certification ISO 37002 reste rare — la norme est jeune et volontaire — mais elle prend de la valeur dans plusieurs contextes précis.

Secteurs très exposés aux appels d'offres internationaux. Banques, assurances, industries régulées, ONG financées par des bailleurs institutionnels : le donneur d'ordre veut souvent la preuve que son partenaire prend l'éthique au sérieux, au-delà du simple code of conduct. Une certification ISO 37002, surtout combinée à ISO 37001 (anti-corruption) et ISO 27001 (sécurité de l'information), devient un raccourci de confiance.

Groupes multinationaux. Une maison-mère basée en Allemagne, avec des filiales en France, en Italie et en Pologne, doit démontrer une gouvernance cohérente quel que soit le droit local. La certification à une norme ISO offre un langage commun aux juridictions et un cadre identique pour tous les sites.

Entreprises en attente d'une loi. En Suisse, en Europe de l'Est ou au Royaume-Uni post-Brexit, certaines juridictions n'ont pas encore de loi complète sur le whistleblowing. Anticiper avec ISO 37002 permet de se positionner comme acteur éthique tout en étant prêt le jour où la législation s'impose.

Crises réputationnelles. Après un scandale de fraude ou de harcèlement, la direction a besoin de montrer qu'elle restructure sa gouvernance. La certification envoie un signal fort aux marchés, aux régulateurs et aux médias spécialisés.

Fusions-acquisitions. Lors d'une due diligence, l'acquéreur audite le dispositif d'alerte de la cible. Une certification ISO 37002 accélère l'analyse et réduit les provisions pour risques cachés.

Questions fréquentes

ISO 37002 est-elle obligatoire ?

Non. ISO 37002:2021 est une norme volontaire. Aucune loi n'impose sa mise en œuvre. En revanche, elle est souvent le moyen le plus rigoureux de prouver sa conformité à des textes obligatoires, dont la directive européenne 2019/1937 sur la protection des lanceurs d'alerte.

Quelle est la différence entre ISO 37001 et ISO 37002 ?

ISO 37001 porte sur le système de management anti-corruption (lutte contre la corruption, pots-de-vin, conflits d'intérêts). ISO 37002 porte sur le système de management du lancement d'alerte : comment recevoir, traiter et protéger les signalements. Les deux normes sont complémentaires : un signalement de corruption arrive via le canal ISO 37002, puis déclenche le processus ISO 37001.

Combien coûte une certification ISO 37002 ?

Le coût dépend de la taille de l'organisation, du périmètre (sites, pays) et de l'organisme de certification choisi. Il faut généralement prévoir un budget de l'ordre de plusieurs dizaines de milliers d'euros, incluant l'audit initial, les audits de surveillance annuels et le temps consacré à la préparation. Les frais de conseil et de mise à niveau du système d'information viennent en complément.

Combien de temps faut-il pour être certifié ?

Une mise en œuvre complète prend en moyenne douze à dix-huit mois pour une organisation de taille moyenne. Les premières étapes (engagement, analyse du contexte, évaluation des risques, politique) peuvent être finalisées en trois à six mois ; le déploiement opérationnel, la formation et les premiers cycles d'audit interne nécessitent ensuite six à douze mois supplémentaires.

ISO 37002 suffit-elle pour respecter la directive 2019/1937 ?

Elle couvre une grande partie des exigences, mais pas toutes. La directive impose des délais stricts (7 jours, 3 mois), un statut protecteur du lanceur d'alerte et des dispositions nationales spécifiques selon le pays de transposition. ISO 37002 doit donc être complétée par une veille juridique locale et par des clauses propres à chaque juridiction.

Sources

Plongez dans la page dédiée ISO 37002 pour voir comment Ashio s'intègre dans un système de management auditable.

ISO 37002 : la norme qui structure votre système de management du whistleblowing | Ashio