Ashio whistleblowing software

50 salariés : à partir de quand êtes-vous vraiment obligé d'avoir un canal d'alerte ?

Cover: 50 salariés : à partir de quand êtes-vous vraiment obligé d'avoir un canal d'alerte ?

La directive européenne fixe un seuil de 50 salariés, mais chaque État membre a ses propres exceptions. En France, l'obligation canal d'alerte entreprise 50 salariés France ne se résume pas à un simple décompte d'effectif : elle dépend du statut juridique, du secteur d'activité et, depuis la loi « Sapin II » puis la transposition de la directive, de seuils distincts. Voici le tableau clair des obligations réellement applicables aux entreprises françaises en 2026.

Sommaire

Directive 2019/1937 : ce que prévoit le seuil de 50 salariés

La directive (UE) 2019/1937, dite « directive sur les lanceurs d'alerte », impose aux entités juridiques du secteur privé employant 50 salariés ou plus de mettre en place un canal de signalement interne. Ce seuil de 50 salariés directive whistleblowing a été fixé par le législateur européen comme le compromis entre l'objectif de protection des lanceurs d'alerte et la charge administrative supportable par les très petites entreprises. La directive laisse toutefois aux États membres la possibilité de relever ce seuil à 250 salariés pour les entités du secteur privé, sauf dans deux cas où le seuil de 50 reste non négociable : les entités soumises au droit de l'Union en matière de services financiers, et les entités exposées à un risque particulier de blanchiment ou de financement du terrorisme.

Concrètement, dès que l'effectif franchit le seuil, l'entité doit :

  • mettre en place un canal de signalement interne accessible aux salariés comme aux tiers (prestataires, fournisseurs, sous-traitants, actionnaires, candidats, anciens employés) ;
  • garantir la confidentialité de l'identité du lanceur d'alerte et de toute personne mentionnée dans le signalement ;
  • désigner une personne ou un service impartial, compétent et formé pour le suivi ;
  • accuser réception du signalement dans un délai de sept jours ;
  • fournir un retour au lanceur d'alerte dans un délai de trois mois maximum ;
  • conserver les signalements pendant la durée nécessaire à la procédure, sans excéder la durée prévue par le droit national après clôture.

Le texte européen encadre aussi la protection des lanceurs d'alerte contre les représailles : licenciement, rétrogradation, discrimination, atteinte à la réputation, ou encore inclusion sur une « liste noire » sectorielle. Cette protection s'applique indépendamment de la taille, dès lors que le lanceur d'alerte agit de bonne foi et sur la base de motifs raisonnables.

La transposition française : qui est réellement concerné

La transposition directive 2019/1937 France s'est faite en deux temps. D'abord, la loi du 9 décembre 2016, dite « Sapin II », avait déjà imposé un canal d'alerte aux entreprises de droit français employant au moins 50 salariés, leurs filiales et aux administrations. Ensuite, la loi du 21 mars 2022 a ajusté le dispositif pour l'aligner sur la directive européenne. Le résultat, parfois déroutant, superpose deux régimes.

Pour le secteur privé, sont concernées par le canal d'alerte PME France obligation :

  • les personnes morales de droit privé employant au moins 50 salariés (effectif calculé selon les règles du code du travail) ;
  • les personnes morales de droit privé employant au moins 50 salariés et dont le chiffre d'affaires ou le bilan annuel dépasse 10 millions d'euros, en raison de leurs obligations anti-corruption ;
  • les filiales et sociétés contrôlées par ces entités, même si elles atteignent seules moins de 50 salariés ;
  • les sociétés de l'économie sociale et solidaire (associations, mutuelles, fondations) employant au moins 50 salariés.

À l'inverse, la dispense PME canal d'alerte existe bel et bien : les entités de droit privé employant strictement moins de 50 salariés ne sont pas tenues par le régime Sapin II, sauf si elles relèvent d'un secteur régulé (banque, assurance, santé, énergie) où d'autres textes imposent un dispositif de signalement. Il ne s'agit donc pas d'une dispense automatique et globale : beaucoup de dirigeants de TPE confondent encore « moins de 50 salariés » avec « aucune obligation ». Or, dès qu'une filiale est détenue par un groupe dépassant le seuil, ou dès qu'une activité régulée est exercée, l'obligation renaît.

Pour le secteur public, la loi Sapin II impose un canal d'alerte aux administrations de l'État, aux collectivités territoriales, aux établissements publics et aux sociétés d'économie mixte employant au moins 50 agents ou salariés, ainsi qu'aux établissements publics de coopération intercommunale à fiscalité propre de plus de 10 000 habitants.

Pour bien comprendre la portée de ces seuils et exceptions, il est utile de consulter une vue d'ensemble consolidée de la eu whistleblowing directive, qui rappelle les obligations européennes sans confusion avec les spécificités nationales.

Les entités du secteur public et les exceptions

Le périmètre de l'obligation n'est pas uniforme. Certaines entités sont explicitement exclues du seuil de 50 salariés, d'autres y restent soumises quel que soit leur effectif.

Exceptions et dispenses :

  • Les entités du secteur privé de moins de 50 salariés, hors secteurs régulés, ne sont pas tenues par la loi Sapin II, mais peuvent l'être par d'autres textes sectoriels (lutte contre la fraude, droit bancaire, santé).
  • Les administrations de moins de 50 agents ne sont pas soumises à l'obligation Sapin II, mais restent tenues par des obligations de signalement propres (corruption, conflits d'intérêts, fonction publique).
  • Les juridictions et autorités constitutionnelles ne sont pas couvertes par le régime général.

Cas où l'obligation persiste malgré un effectif inférieur à 50 :

  • Les entités assujetties au droit bancaire ou financier, ainsi qu'à la lutte contre le blanchiment : l'obligation résulte alors de textes sectoriels (CMF, code monétaire et financier, règlement DORA) qui prévoient un seuil de 50 voire parfois inférieur.
  • Les entités exposées à des risques sectoriels particuliers : énergie, transports, santé publique, sécurité nucléaire.
  • Les entreprises détenues ou contrôlées par un groupe dépassant lui-même le seuil.

La frontière reste donc poreuse, et un dirigeant qui s'appuie uniquement sur l'effectif de sa propre entité passe parfois à côté d'une obligation qui s'applique via sa maison-mère, son actionnariat ou son secteur. Pour éviter cette zone grise, mieux vaut s'appuyer sur une internal reporting channel qui décrit précisément les périmètres couverts par les textes européens et nationaux.

Les sanctions encourues en cas d'absence de canal d'alerte

L'absence de canal d'alerte conforme expose l'entité à un double risque : pénal et civil.

Sur le plan pénal, le fait de ne pas mettre en place un dispositif de recueil de signalements est puni d'une amende pouvant aller jusqu'à 1 million d'euros pour les personnes morales, et de 200 000 euros pour les personnes physiques, ces montants pouvant être doublés en cas de récidive. Lorsque l'infraction est commise par un dirigeant de grande entreprise, le juge peut prononcer une peine d'inéligibilité.

Sur le plan civil et administratif, l'absence de canal expose l'entité à des mises en demeure de la CNIL ou de l'AFA (Agence française anticorruption), à des injonctions sous astreinte, ainsi qu'à une responsabilité accrue en cas de contentieux ultérieur avec un lanceur d'alerte. Le défaut de canal est en effet considéré comme un manquement substantiel à la protection due au salarié, ce qui renforce le risque de condamnation pour licenciement nul ou harcèlement moral.

Sur le plan réputationnel, l'absence de canal devient un indicateur public de mauvaise gouvernance : c'est désormais un critère observé par les donneurs d'ordre, les partenaires ESG, les agences de notation extra-financière et les autorités européennes.

La sévérité croissante des sanctions confirme que la conformité n'est plus un sujet périphérique, mais un pilier de la gestion du risque opérationnel. Pour un cadre structuré, la page eu whistleblowing compliance propose une lecture consolidée des obligations et des risques associés.

Checklist pratique : que doit contenir un canal conforme dès le premier jour

Infographic: Checklist pratique : que doit contenir un canal conforme dès le premier jour Un canal d'alerte n'est pas un simple formulaire web. Pour être conforme dès l'activation, il doit remplir plusieurs critères cumulatifs. Voici une grille de lecture utile à tout responsable conformité ou dirigeant de PME :

  1. Accessibilité étendue : le canal doit être ouvert aux salariés, mais aussi aux candidats, anciens employés, sous-traitants, fournisseurs, actionnaires et, dans certains cas, aux bénéficiaires ou usagers. Une simple boîte e-mail nominative ne suffit pas.
  2. Anonymat et confidentialité technique : les échanges doivent être chiffrés de bout en bout, le serveur ne devant pas pouvoir lire les contenus. L'identité du lanceur d'alerte ne doit être accessible qu'aux seules personnes habilitées au traitement.
  3. Bidonctionnalité sécurisée : le lanceur d'alerte doit pouvoir compléter son dossier, répondre à des questions, transmettre des pièces jointes, et recevoir un accusé de réception, puis un retour d'information dans les délais légaux (7 jours pour l'accusé, 3 mois pour le retour).
  4. Suivi structuré des dossiers : chaque signalement doit être tracé, catégorisé, affecté à un enquêteur, suivi avec des étapes horodatées et un délai de traitement documenté.
  5. Piste d'audit immuable : aucun élément ne doit pouvoir être supprimé ou modifié rétroactivement sans laisser de trace. Les journaux d'activité doivent être exportables dans des formats ouverts et exploitables par un commissaire aux comptes ou par un régulateur.
  6. Hébergement souverain : les données doivent être hébergées dans un pays offrant des garanties conformes au RGPD, idéalement avec une certification ISO 27001, et excluant toute juridiction à risque d'accès gouvernemental extra-européen.
  7. Documentation prête pour l'audit : procédure interne, charte de fonctionnement, registre des signalements, registre des conflits d'intérêts des enquêteurs, politique de protection contre les représailles, formation des destinataires du canal.
  8. Multilinguisme : pour les entités internationales ou multi-sites, le canal doit accepter les signalements dans plusieurs langues et garantir la même qualité de traitement, quel que soit l'auteur.
  9. Membres d'équipe illimités : l'entité doit pouvoir désigner autant de destinataires que nécessaire, sans surcoût lié au nombre de gestionnaires habilités.
  10. Branding personnalisable : le canal doit pouvoir être intégré à l'identité visuelle de l'organisation, afin de crédibiliser le dispositif et de lever la défiance des futurs lanceurs d'alerte.
  11. Gestion des notifications : alertes internes, escalades, rappels d'échéance, alertes de blocage doivent être paramétrables par l'organisation.
  12. Résiliation sans rétention abusive : le contrat doit prévoir une sortie claire, avec export des données, suppression chiffrée des contenus, et possibilité pour l'organisation de conserver sa propre piste d'audit.

Un dispositif conforme ne se mesure pas seulement à la présence d'un formulaire, mais à la robustesse de bout en bout : depuis l'accueil du lanceur d'alerte jusqu'à la traçabilité post-clôture. Les for compliance officers confrontés à des audits internes ou à des contrôles externes (CNIL, AFA, ACPR) trouvent dans cette checklist un référentiel immédiatement opérationnel.

Au-delà des seuils et des sanctions, l'obligation canal d'alerte entreprise 50 salariés France s'apprécie comme un dispositif de gouvernance à part entière. Un canal conforme n'est pas une charge administrative supplémentaire : c'est un outil de détection précoce des risques, un signal de maturité donné aux partenaires et un rempart juridique pour l'organisation. Mieux vaut activer un canal structuré avant que le premier signalement n'arrive par voie détournée, plutôt que de justifier a posteriori l'absence de dispositif.

Consultez la page dédiée au canal d'alerte interne pour voir comment Ashio couvre les obligations légales dès l'activation.

Sources

50 salariés : à partir de quand êtes-vous vraiment obligé d'avoir un canal d'alerte ? | Ashio