Conformité au quotidien
Le canal est la partie facile. Le vrai sujet est la discipline qui l'entoure : qui peut lire un signalement, sous quel délai vous devez répondre, ce que vous devez conserver et où la loi nationale va plus loin que la directive.
Dernière vérification : 1 novembre 2026
Checklist
Mis en place une fois, ils permettent à un auditeur, à un CSE ou à l'inspection du travail de voir un processus qui fonctionne, pas un simple formulaire.
Partagez le lien de signalement sur l'intranet, dans le code de conduite et à l'arrivée des salariés. Votre politique de signalement doit nommer le canal, indiquer qui reçoit les signalements et préciser que les représailles sont interdites.
Les administrateurs de compte gèrent la marque, l'équipe et la facturation et ne peuvent pas ouvrir un signalement. Les gestionnaires de dossier lisent les signalements et ne voient jamais une facture. C'est cette séparation qui rend la promesse vraie : seule l'équipe en charge des dossiers peut lire un signalement.
Une seule personne est un point de défaillance unique : congés, maladie et le délai de 7 jours ne se négocient pas. Invitez un second collègue, un conseil externe, ou les deux, et tenez la liste des rôles à jour.
L'accusé de réception automatique confirme la réception dès l'arrivée d'un signalement. Sans lui, confirmez à la main le jour même. Dans les deux cas, le délai apparaît sur le dossier et la personne qui signale dispose d'un lien pour suivre.
Le délai court à partir de l'accusé de réception, pas du signalement. Les changements de statut et les messages du dossier retracent ce qui a été dit, et ils s'exportent avec le dossier.
La conservation se configure par organisation : un, trois ou cinq ans. Elle figure dans la politique de confidentialité que lit la personne qui signale. Choisissez la durée qu'impose votre droit national plutôt que de garder la valeur par défaut.
Rôles et indépendance
L'indépendance est une exigence légale dans la plupart des États membres, pas une question de style. Deux décisions en découlent : qui a accès aux signalements, et qui doit être tenu à l'écart d'un dossier. Les deux se prennent plus facilement avant le premier signalement qu'après.
En principe, oui. Le droit européen n'interdit pas expressément à un dirigeant de recevoir les signalements et d'y donner suite. Cette solution peut être pratique, en particulier dans les organisations plus petites qui n'ont pas de service conformité dédié.
Toutefois, la fonction de signalement désignée doit être exercée de manière impartiale et indépendante, sans conflits d'intérêts. La directive européenne sur la protection des lanceurs d'alerte reconnaît que, dans les organisations plus petites, cette fonction peut être cumulée avec un autre rôle de l'entreprise, à condition que ces garanties soient maintenues.
Un dirigeant peut donc traiter les signalements portant sur d'autres sujets, à condition de pouvoir agir de manière impartiale et indépendante. Il ne doit pas traiter les signalements relatifs à son propre comportement, ni les situations dans lesquelles ses intérêts personnels ou ses responsabilités créent un conflit d'intérêts. Dans ces cas, le signalement doit être traité par une autre personne impartiale et dûment qualifiée : un autre salarié, un membre d'un organe de surveillance ou un conseil externe.
Ashio sépare l'administration du compte du traitement des dossiers. L'administrateur du compte gère l'abonnement, la facturation, les membres de l'équipe et la configuration de la plateforme sans avoir automatiquement accès aux signalements confidentiels, et le rôle de gestionnaire donne accès aux signalements et au traitement des dossiers sans exiger l'accès aux informations de facturation. Le dirigeant peut donc porter l'abonnement, recevoir les factures et gérer le compte tout en assurant le traitement des dossiers lorsque c'est approprié.
Notre recommandation : même si le dirigeant traite lui-même les signalements, prévoyez une solution de repli avant le premier signalement, afin qu'un autre salarié ou un conseil externe disposant du rôle de gestionnaire puisse reprendre dès qu'un conflit d'intérêts apparaît. Cela donne de la souplesse aux organisations plus petites et aide à préserver l'impartialité et la crédibilité de la procédure.
Une personne directement mise en cause dans un signalement ne devrait pas être chargée de l'évaluer ni d'y donner suite. Cela créerait un conflit d'intérêts et nuirait à l'impartialité de la procédure.
Si l'organisation ne dispose que d'un seul gestionnaire désigné, elle doit prévoir une solution de repli pour ces situations. Selon sa structure, il peut s'agir d'un autre salarié dûment qualifié, d'un membre d'un organe de surveillance ou d'un conseil externe, voire d'un prestataire externe.
Le droit européen permet que la fonction de signalement soit appuyée par des tiers externes, à condition que les garanties nécessaires d'indépendance, d'impartialité et de confidentialité soient maintenues.
Ashio maintient la séparation entre les deux rôles, et la solution de repli se prépare dans la liste de l'équipe : une seconde personne disposant du rôle de gestionnaire, un salarié ou un conseil externe, est déjà là quand le signalement arrive et peut le reprendre si le gestionnaire habituel est mis en cause. Un rôle de gestionnaire attribué après coup n'atteint pas un signalement déjà déposé.
Notre recommandation : même si votre organisation n'a qu'un gestionnaire habituel, mettez la solution de repli en place avant le premier signalement. Cela permet de traiter chaque signalement de manière impartiale.
Pas dans Ashio, et c'est justement pourquoi il existe deux rôles. Un administrateur de compte ne peut pas s'attribuer le rôle de gestionnaire : l'accès aux signalements exige donc toujours une seconde personne pour le confirmer.
Chaque changement de rôle est écrit dans le journal d'activité de l'équipe avec la personne qui l'a fait. La question de savoir qui a donné accès aux signalements à qui trouve donc une réponse des mois plus tard, sans compter sur la mémoire.
Une organisation qui ne compte qu'une personne doit d'abord inviter un collègue, car personne ne peut s'attribuer ce rôle. Si cela ressemble à une friction, c'est la même friction que celle d'une seconde signature sur un paiement, et elle apporte la même chose : personne ne peut se donner accès sans qu'on le voie.
Oui. Le droit européen autorise expressément les organisations à désigner des tiers externes pour recevoir les signalements et y donner suite. Le considérant 54 de la directive européenne sur la protection des lanceurs d'alerte cite expressément les avocats externes, les auditeurs et les fournisseurs de plateformes de signalement externes.
Pour les organisations plus petites, c'est un moyen pratique de faire traiter les signalements de manière impartiale sans créer une équipe conformité interne dédiée. Le conseil externe peut être chargé de recevoir les signalements, de communiquer avec les lanceurs d'alerte et de coordonner le suivi.
Le prestataire externe doit offrir des garanties appropriées d'indépendance, de confidentialité, de protection des données et de secret professionnel.
Ashio rend le traitement externe simple. Invitez votre avocat ou conseil externe comme membre de l'équipe avec le rôle de gestionnaire. Il accède aux signalements concernés, aux échéances et à l'historique d'audit depuis son propre compte, et chacune de ses actions lui est attribuée.
Deux points sont faciles à manquer. Le conseil a besoin d'un mandat : Ashio fournit le canal de signalement et la gestion des dossiers, mais n'enquête pas lui-même et n'agit pas comme votre représentant juridique, l'organisation convient donc du périmètre avec le conseil. Et l'accès est propre à chaque organisation : un conseil qui travaille pour plusieurs entités est invité séparément dans chacune.
L'organisation peut ainsi recourir à une expertise externe tout en gardant une responsabilité clairement définie sur son dispositif de signalement.
La directive autorise expressément les avocats et conseils externes, mais la loi nationale de transposition peut ajouter des conditions, et nommer un conseil ne transfère pas les responsabilités juridiques de l'organisation.
Exigences par pays
Voici quelques-unes des différences nationales qui peuvent changer la façon dont vous configurez et exploitez votre canal de signalement.
Le service de signalement interne doit travailler de manière indépendante et sans conflits d'intérêts. Les gestionnaires peuvent exercer d'autres fonctions, à condition que celles-ci ne créent pas de conflits, et doivent disposer de l'expertise nécessaire.
Tous les signalements doivent être documentés et les données sont en principe supprimées trois ans après la conclusion de la procédure, sauf si une conservation plus longue est nécessaire et proportionnée au regard du droit applicable.
Lorsqu'un comité social et économique existe, il faut vérifier ses attributions, en particulier si le logiciel constitue un dispositif technique destiné à contrôler le comportement ou la performance des salariés.
Les organisations soumises aux exigences du dispositif interne de signalement doivent mettre en place une procédure de réception et de suivi des signalements. Cette procédure doit désigner la personne, le service ou le tiers externe compétent pour traiter les signalements.
La CNIL impose de fixer des durées de conservation adaptées, fondées sur la finalité du traitement et les principes du RGPD. Il n'existe pas de durée fixe unique applicable à tous les dossiers de signalement.
La loi Waserman a élargi la protection des lanceurs d'alerte et révisé le cadre français pour mieux l'aligner sur la directive européenne.
L'organisation doit désigner un Responsable del Sistema, la personne responsable du système interne d'information. Elle est désignée par l'organe de direction et doit exercer ses fonctions de manière indépendante et autonome, sans recevoir d'instructions dans ce rôle.
L'organisation doit accuser réception dans les 7 jours calendaires et répondre dans les 3 mois suivant la réception du signalement. Dans les cas particulièrement complexes, ce délai peut être prolongé de 3 mois supplémentaires au maximum.
La nomination et la révocation de la personne responsable doivent aussi être notifiées à l'autorité compétente dans les 10 jours ouvrés.
Le canal de signalement interne doit être confié à une personne ou à un service autonome disposant de personnel spécifiquement formé. Selon l'organisation, cette fonction peut être assurée en interne ou en externe.
Les signalements doivent en principe être accusés sous 7 jours et suivis sous 3 mois. L'ANAC, l'autorité nationale anticorruption, est responsable du canal externe et dispose de pouvoirs de surveillance et de sanction.
Les employeurs soumis aux exigences du dispositif interne de signalement doivent désigner des personnes indépendantes chargées de recevoir les signalements et d'en assurer un suivi attentif.
La procédure doit prévoir un accusé de réception sous 7 jours et un retour dans un délai maximal de 3 mois après cet accusé.
La loi permet aussi aux employeurs privés de 50 à 249 salariés de mutualiser des moyens pour recevoir et instruire les signalements, sous réserve des conditions applicables.
La procédure de signalement interne doit désigner la personne ou l'unité organisationnelle habilitée à recevoir les signalements et une personne ou unité interne impartiale chargée du suivi.
Les signalements doivent en principe être accusés sous 7 jours et recevoir une réponse dans un délai maximal de 3 mois, selon les conditions prévues par la loi.
Avant de mettre en place la procédure interne, l'organisation doit consulter l'organisation syndicale concernée ou, à défaut, les représentants des salariés. Ces consultations doivent durer entre 5 et 10 jours.
Les informations juridiques doivent être vérifiées au regard de la législation nationale en vigueur avant toute mise en œuvre. Cet aperçu couvre certains États membres de l'UE, pas les 27. Les exigences nationales peuvent évoluer et dépendre de la taille, du secteur et de la structure de l'organisation.
Cette page est un guide opérationnel, pas un avis juridique. La loi, votre CSE et vos conseils juridiques déterminent ce qui s'applique à vous. Chaque page pays indique sa date de dernière révision.
Ouvrez le canal, invitez un second gestionnaire et laissez les délais se suivre tout seuls. 14 jours gratuits, sans carte bancaire.