Ashio whistleblowing software

Oct 4, 2026

Quelles sanctions en cas de canal d'alerte absent ou non conforme ? Le guide complet pour le dirigeant de PME

Quelles sanctions en cas de canal d'alerte absent ou non conforme ? Le guide complet pour le dirigeant de PME

Un dirigeant de PME sur deux ignore qu'il risque jusqu'à un million d'euros d'amende et cinq ans d'emprisonnement pour défaut de canal d'alerte. Les sanctions en cas de canal d'alerte absent ne relèvent pas du cas théorique : la loi Sapin II, complétée par la directive (UE) 2019/1937 et le décret n° 2017-564 du 19 avril 2017, fixe des seuils précis, des peines pénales et une responsabilité directe du dirigeant. Voici ce que disent vraiment les textes — et comment passer du risque à la conformité sans attendre le prochain contrôle.

Sommaire

Points clés

  • L'obligation de mettre en place un canal d'alerte s'applique en France à toute entité d'au moins cinquante agents, en vertu du décret n° 2017-564 du 19 avril 2017, et se renforce avec la transposition de la directive (UE) 2019/1937.
  • L'amende administrative peut atteindre un million d'euros pour les personnes morales, et la sanction pénale pour entrave au signalement expose à cinq ans d'emprisonnement et 75 000 € d'amende.
  • La responsabilité du dirigeant peut être engagée personnellement, et la CNIL peut superposer une sanction RGPD pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
  • Au-delà des amendes, l'absence de canal expose l'entreprise à une mise en cause civile, à l'exclusion des marchés publics et à une atteinte durable à la marque employeur.
  • La mise en conformité repose sur cinq étapes : cartographier l'obligation, choisir un canal conforme, documenter les procédures, former les équipes et prouver la réception sous sept jours.

Le cadre légal des sanctions : ce que prévoit la directive (UE) 2019/1937 et la loi Sapin II en France

L'arsenal répressif français repose sur deux étages complémentaires : la loi Sapin II du 9 décembre 2016, qui a posé les premières obligations pour les grandes entreprises, et la directive (UE) 2019/1937 du 23 octobre 2019, qui a étendu et harmonisé ces obligations dans toute l'Union européenne. La directive fixe trois obligations cardinales : l'accusé de réception du signalement sous sept jours, un retour d'information sur le suivi sous trois mois, et la protection de l'identité du lanceur d'alerte. Le calendrier et les seuils d'assujettissement sont consolidés dans la page dédiée à la directive européenne sur les lanceurs d'alerte.

En France, la loi Sapin II (article 17) avait déjà imposé un canal d'alerte aux personnes morales de droit privé d'au moins 500 salariés, ainsi qu'aux administrations de plus de 200 agents. Le décret n° 2017-564 du 19 avril 2017 en a précisé les modalités concrètes, en s'alignant sur le seuil de cinquante agents pour certaines entités publiques. La transposition de la directive européenne, par la loi du 21 mars 2022, a abaissé ce seuil à cinquante salariés dans le secteur privé, alignant la France sur la norme européenne.

La directive (UE) 2019/1937 prévoit des sanctions « effectives, proportionnées et dissuasives » contre les personnes physiques et morales qui entravent le signalement, exercent des représailles ou omettent de mettre en place les canaux requis. Le texte ne fixe pas de montant unique : il laisse aux États membres le soin de calibrer les peines en fonction de la gravité du manquement. C'est précisément ce calibrage national qui crée, pour le dirigeant de PME, un risque mesurable et opposable. Les sanctions en cas de canal d'alerte absent trouvent donc leur source directe dans cette articulation entre un texte européen harmonisateur et des dispositions nationales qui en précisent l'intensité.

Qui est réellement visé par l'obligation de mettre en place un canal d'alerte ? (à partir de 50 salariés, secteurs publics, entités du devoir de vigilance)

L'obligation pèse dès que l'entité franchit le seuil de cinquante salariés ou agents, qu'il s'agisse d'une entreprise privée, d'un établissement public ou d'une association reconnue d'utilité publique. Pour les structures de moins de cinquante salariés, l'obligation n'est en principe pas déclenchée, sauf si elles exercent une activité relevant du devoir de vigilance ou si elles sont filiales d'un groupe assujetti.

Quels sont les secteurs publics et privés concernés dès le premier salarié ?

Certaines activités sont soumises à l'obligation indépendamment de l'effectif : établissements de santé, services sociaux, opérateurs de transports publics, gestionnaires d'infrastructures critiques et entités soumises au devoir de vigilance défini par la loi du 27 mars 2017. Pour ces organisations, un canal d'alerte conforme n'est pas une option : c'est une condition d'exploitation.

Les associations et fondations sont-elles aussi concernées ?

Oui, dès lors qu'ellesemploient au moins cinquante agents ou qu'elles gèrent des fonds publics. La jurisprudence administrative confirme que le critère de l'effectif prime sur la nature juridique de l'entité, ce qui place les associations d'envergure dans le même cadre que les PME classiques.

Qu'en est-il des filiales de groupes étrangers ?

Une filiale française d'un groupe international reste soumise à l'obligation dès qu'elle atteint, en France, le seuil de cinquante salariés. La maison-mère ne peut s'y soustraire en invoquant un canal européen centralisé si ce dernier ne respecte pas les exigences de la loi française, notamment en matière de langue, de conservation des données et de réception par une personne habilitée sur le territoire national.

Combien risque l'entreprise qui n'a pas de canal d'alerte conforme ? Amende administrative, sanctions pénales et responsabilité du dirigeant

Les sanctions en cas de canal d'alerte absent s'articulent autour de trois étages distincts, qui peuvent se cumuler. L'amende administrative peut atteindre un million d'euros pour les personnes morales en cas de manquement aux obligations de la loi Sapin II. La sanction pénale vise spécifiquement l'entrave au signalement et la violation de la confidentialité de l'identité du lanceur d'alerte, avec des peines pouvant aller jusqu'à cinq ans d'emprisonnement et 75 000 € d'amende. La responsabilité personnelle du dirigeant peut enfin être engagée en cas de manquement à une obligation légale de prudence ou de mise en danger d'autrui.

Pour un dirigeant de PME, l'amende administrative représente le risque le plus immédiat : elle peut être prononcée par l'Agence française anticorruption (AFA) sans qu'une plainte soit nécessaire, à l'issue d'un simple contrôle. La sanction pénale, plus rare, intervient lorsqu'un signalement a été étouffé ou qu'un lanceur d'alerte a subi des représailles documentées. La responsabilité civile du dirigeant se matérialise par des actions de groupe ou des demandes de dommages-intérêts de salariés ou de tiers lésés.

Quel est le montant exact de l'amende administrative pour absence de canal d'alerte ?

Le code de commerce, dans sa rédaction issue de la loi Sapin II, prévoit une amende pouvant aller jusqu'à un million d'euros pour les personnes morales qui ne mettent pas en place les procédures requises. Pour les personnes physiques, l'amende est plafonnée à 200 000 €. Ces montants sont modulés en fonction de la taille de l'entreprise et de la gravité du manquement.

La CNIL peut-elle superposer une sanction RGPD ?

Oui, et c'est là que le risque devient substantiel pour une PME. Le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. La CNIL a documenté plusieurs cas où le défaut de canal d'alerte s'est accompagné d'un manquement à la protection des données, entraînant une sanction cumulée. Pour une PME dont le chiffre d'affaires dépasse 500 millions d'euros, le plafond RGPD devient mécaniquement supérieur au plafond Sapin II.

Le dirigeant peut-il être personnellement poursuivi ?

Oui, en qualité de représentant légal de la personne morale, le dirigeant engage sa responsabilité civile et, dans certains cas, pénale. La mise en cause intervient lorsqu'un signalement étouffé a conduit à un dommage avéré (harcèlement non traité, fraude non détectée, atteinte à l'environnement). La jurisprudence tend à reconnaître une obligation de résultat en matière de mise en place du canal, et non une simple obligation de moyens.

Au-delà de l'amende : les sanctions indirectes (mise en cause civile, exclusion des marchés publics, atteinte à la marque employeur)

L'amende administrative n'est que la face visible du risque. Les sanctions indirectes pèsent souvent plus lourd sur la trajectoire d'une PME que le montant du titre de perception. La mise en cause civile ouvre la voie à des actions de groupe portées par des salariés ou des associations agréées. L'exclusion des marchés publics frappe les entreprises qui dépendent de la commande publique ou qui visent des certifications sectorielles (ISO, RSE). L'atteinte à la marque employeur se traduit par une difficulté durable à recruter et à fidéliser des talents, dans un marché du travail où la transparence est devenue un critère de choix.

Quels marchés publics deviennent inaccessibles sans canal d'alerte conforme ?

Les appels d'offres publics comportent désormais, dans leur grande majorité, une clause de conformité aux obligations de la loi Sapin II et de la directive européenne. Un dossier de candidature présentant un canal d'alerte défaillant sera éliminé, même si l'offre technique est pertinente. Cette exclusion vaut également pour les marchés privés soumis à des politiques de conformité groupe.

Comment l'absence de canal affecte-t-elle la marque employeur ?

Les candidats, en particulier les profils qualifiés et les jeunes diplômés, intègrent désormais la qualité du dispositif d'alerte dans leur choix employeur. Une entreprise incapable de garantir la confidentialité d'un signalement devient unattractive, et ce signal se diffuse rapidement sur les plateformes d'avis et les réseaux professionnels. La perte de capital humain qui en résulte dépasse, sur trois à cinq ans, le montant d'une amende administrative.

Une action de groupe est-elle envisageable ?

Oui. Le code de justice administrative et le code de la consommation permettent des actions de groupe en matière de discrimination et de protection des données. Une PME dont l'absence de canal d'alerte a permis le maintien d'une situation de harcèlement ou de fraude documentée s'expose à une action collective aux conséquences financières et réputationnelles majeures.

Que risque le lanceur d'alerte si l'entreprise ne protège pas son identité ? Le reversement de la responsabilité

Le droit français protège le lanceur d'alerte, mais cette protection n'est effective que si l'entreprise a mis en place un canal réellement confidentiel. Lorsque l'identité du lanceur est révélée sans son consentement, ou lorsque des représailles sont exercées à la suite d'un signalement, la responsabilité de l'entreprise se trouve engagée sur le terrain de la discrimination, du harcèlement moral, voire de la violation du secret professionnel. Le risque pénal se déplace alors : ce ne sont plus seulement les sanctions en cas de canal d'alerte absent qui sont en jeu, ce sont les conséquences concrètes de cette absence sur la personne du lanceur.

L'article 23 de la directive (UE) 2019/1937 impose aux États membres de prévoir des sanctions contre les représailles et contre toute atteinte à la confidentialité de l'identité du lanceur. Le droit français, à travers l'article L. 1132-3-3 du code du travail et la loi du 21 mars 2022, transpose cette exigence en prévoyant la nullité des mesures de rétorsion et la réintégration de droit du lanceur d'alerte. Pour le dirigeant de PME, cela signifie qu'un signalement mal géré peut générer des condamnations supérieures à celles prévues pour le simple défaut de canal.

Que devient la charge de la preuve en cas de représailles ?

Le code du travail instaure un aménagement de la charge de la preuve : dès lors qu'un salarié établit des éléments de fait laissant supposer l'existence d'une mesure de rétorsion, il incombe à l'employeur de prouver que sa décision est justifiée par des éléments objectifs étrangers au signalement. Ce renversement place le dirigeant en position défensive et rend la documentation interne du canal d'alerte déterminante.

Quelles sanctions pour les représailles avérées ?

Les représailles exercées contre un lanceur d'alerte sont passibles d'un an d'emprisonnement et de 15 000 € d'amende pour les personnes physiques, doublées pour les personnes morales. Lorsqu'elles sont assorties d'une violation de la confidentialité de l'identité, les peines peuvent être portées à deux ans d'emprisonnement et 30 000 € d'amende, conformément à l'article 6 de la loi du 21 mars 2022.

L'employeur peut-il être contraint de réintégrer le lanceur d'alerte ?

Oui, la loi prévoit la nullité de toute mesure prise en représailles et l'obligation de réintégrer le lanceur d'alerte si celui-ci le demande. Cette mesure peut être ordonnée en référé, ce qui accélère considérablement la procédure et place l'employeur dans une situation d'urgence opérationnelle.

Comment se mettre en conformité rapidement : les 5 étapes pour éviter les sanctions avant le prochain contrôle

La mise en conformité n'est ni complexe ni coûteuse lorsqu'elle est conduite de manière structurée. Elle suppose de suivre un ordre précis : cartographier l'obligation, choisir un canal conforme, documenter les procédures, former les équipes et prouver le respect des délais. Chaque étape produit une trace documentaire qui alimentera la défense de l'entreprise en cas de contrôle ou de mise en cause.

Étape 1 : Cartographier l'obligation applicable

Identifier le seuil d'effectif atteint, le secteur d'activité et les obligations spécifiques qui en découlent. Pour une PME de 80 salariés dans le secteur privé non régulé, l'obligation Sapin II et la directive européenne s'appliquent pleinement. Pour une entité de 45 salariés dans un secteur soumis au devoir de vigilance, l'obligation peut exister indépendamment de l'effectif. Cette cartographie conditionne le choix du canal et le périmètre de la documentation.

Étape 2 : Sélectionner un canal d'alerte conforme

Un canal conforme doit garantir la confidentialité de l'identité du lanceur, permettre un accusé de réception sous sept jours, offrir un retour de suivi sous trois mois, et conserver une trace immuable des échanges. Pour une PME, le choix se résume souvent à deux options : un dispositif interne adossé à un outil dédié, ou un dispositif mutualisé. Le canal retenu doit être documenté, accessible à toutes les parties prenantes, et effectivement utilisé. Pour aller plus loin, la page canal de signalement interne détaille les exigences fonctionnelles à respecter.

Étape 3 : Documenter les procédures

La documentation doit couvrir la procédure de recueil, les rôles et responsabilités, les délais applicables, les modalités de traitement, les mesures de protection des données, et les voies de recours offertes au lanceur d'alerte. Cette documentation constitue la pièce maîtresse du dossier de conformité et le premier document demandé lors d'un contrôle de l'AFA ou de la CNIL.

Étape 4 : Former les équipes et informer les parties prenantes

L'obligation d'information pèse sur l'employeur : chaque salarié doit être informé de l'existence du canal d'alerte, de ses modalités d'accès et des protections associées. Une information lacunaire est, en soi, un manquement sanctionnable. La formation des équipes en charge du traitement des signalements conditionne la qualité de la réponse et la capacité à respecter les délais.

Étape 5 : Prouver le respect des délais

La capacité à démontrer qu'un accusé de réception a été émis sous sept jours, et qu'un retour de suivi a été fourni sous trois mois, repose sur une journalisation immuable des actions. Cette preuve est déterminante en cas de contrôle ou de contentieux, et elle suppose un outil qui horodate chaque interaction. C'est précisément sur ce point que se joue la différence entre un canal formellement conforme et un canal effectivement opérationnel.

Checklist de conformité : êtes-vous vraiment à l'abri d'une sanction ?

Checklist de conformité : êtes-vous vraiment à l'abri d'une sanction ? Cette checklist opérationnelle condense les points de contrôle qu'un dirigeant de PME peut auditer en interne, sans recourir à un cabinet externe, pour évaluer son exposition au risque de sanction. Elle reprend les exigences de la loi Sapin II, de la directive (UE) 2019/1937 et du RGPD, et se concentre sur les éléments vérifiables lors d'un contrôle.

L'effectif et le secteur d'activité déclenchent-ils l'obligation ?

Vérifier le nombre de salariés CDI, CDD et intérimaires, et le secteur d'activité. Si l'effectif atteint cinquante et que l'entité relève du droit privé, l'obligation Sapin II s'applique. Si l'entité relève d'un secteur régulé, l'obligation peut exister indépendamment de l'effectif.

Le canal d'alerte est-il réellement anonyme et confidentiel ?

Un canal conforme ne collecte pas d'adresse IP, ne dépose pas de cookies, ne nécessite pas d'adresse e-mail, et chiffre les échanges de bout en bout. La page RGPD & lanceurs d'alerte détaille les exigences techniques minimales. Toute promesse d'anonymat qui s'accompagne d'une collecte technique identifiable constitue un manquement.

L'accusé de réception sous sept jours est-il systématique ?

Tester le parcours : soumettre un signalement test et vérifier qu'un accusé de réception horodaté est émis dans le délai. En l'absence d'outil dédié, le suivi devient rapidement aléatoire et le délai est mécaniquement dépassé. La documentation de ce test constitue une preuve d'audit.

Le retour de suivi sous trois mois est-il tracé ?

Vérifier que chaque signalement fait l'objet d'un suivi documenté, avec une trace des décisions prises et des informations communiquées au lanceur d'alerte. L'absence de suivi est, en soi, une infraction distincte du défaut de canal.

L'information des salariés est-elle effective et actualisée ?

Le règlement intérieur, l'intranet, les contrats de travail et les notes de service doivent mentionner l'existence du canal d'alerte. Une information défaillante réduit à néant l'effort de conformité.

La protection des données est-elle documentée ?

Une analyse d'impact relative à la protection des données (AIPD) doit couvrir le canal d'alerte, avec mention des durées de conservation, des destinataires et des mesures de sécurité. Cette AIPD est un document standard lors d'un contrôle CNIL.

Les rôles et responsabilités sont-ils clairement attribués ?

Le dirigeant doit pouvoir désigner, à tout moment, la personne ou l'équipe habilitée à recevoir et traiter les signalements. Cette désignation doit être documentée et communiquée.

Un budget de conformité est-il alloué ?

La mise en conformité n'est pas un projet ponctuel : c'est un programme qui suppose un budget récurrent, des outils maintenus et des compétences formées. L'absence de budget est, en cas de contentieux, un indice d'intention négligente.

L'entreprise est-elle prête à un contrôle de l'AFA ou de la CNIL ?

Simuler un contrôle : un auditeur externe doit pouvoir, en moins d'une heure, accéder au canal, comprendre la procédure, consulter la documentation et vérifier le respect des délais. Si ce test n'est pas concluant, la mise en conformité n'est pas achevée.

Pour les responsables conformité qui orchestrent ce programme, le passage de la conformité formelle à la conformité opérationnelle suppose de disposer d'outils de suivi éprouvés et d'une équipe formée aux exigences de la directive. La page dédiée aux responsables conformité détaille comment transformer une obligation réglementaire en un dispositif réellement protecteur.

Questions fréquentes

Une PME de 45 salariés est-elle vraiment hors du champ de l'obligation ?

Pas nécessairement. Si elle exerce une activité relevant du devoir de vigilance, si elle est filiale d'un groupe assujetti, ou si elle opère dans un secteur régulé (santé, transport, énergie), l'obligation peut s'appliquer indépendamment de l'effectif. Le seuil de cinquante salariés est un seuil de droit commun, pas une immunité sectorielle.

Le dirigeant peut-il déléguer la responsabilité de la mise en conformité ?

Il peut la déléguer opérationnellement, mais il en conserve la responsabilité juridique. Le code de commerce et la directive (UE) 2019/1937 désignent le représentant légal comme le garant ultime de la conformité. En cas de manquement, la délégation n'est pas un argument de défense recevable.

Combien de temps faut-il pour se mettre en conformité ?

Pour une PME de cinquante à deux-cent-cinquante salariés, un programme sérieux se déploie en six à douze semaines, selon la complexité de l'organisation et le choix d'outillage. Ce délai inclut la cartographie, le choix du canal, la documentation, l'information des salariés et la formation de l'équipe de traitement.

La sanction pour défaut de canal d'alerte est-elle prescrite au bout de trois ans ?

La prescription de l'action publique en matière de sanctions pénales est de six ans pour les délits. Pour les amendes administratives, le délai de reprise est de trois ans à compter de la commission du manquement. L'absence de canal constitue un manquement continu tant qu'il n'est pas remédié, ce qui rouvre le délai à chaque contrôle.

Un simple canal par e-mail suffit-il à prouver la conformité ?

Non. Un canal par e-mail standard ne garantit pas la confidentialité de l'identité du lanceur, ne produit pas d'accusé de réception horodaté, et ne résiste pas à un contrôle technique approfondi. Les autorités de contrôle considèrent qu'un canal non chiffré, non tracé et non anonyme ne satisfait pas aux exigences de la directive. Pour les structures qui découvrent l'obligation, la page tarifs présente les fonctionnalités incluses dans une solution conforme.

Sources