Loi Sapin II & Loi Waserman — Conformité lancement d'alerte en France

La Loi Sapin II de 2016 concernait les entreprises de 500 salariés et plus. La Loi Waserman de 2022 a transposé la Directive UE 2019/1937 et abaissé le seuil à 50 salariés. Elle a également renforcé la protection des lanceurs d'alerte et élargi le cercle des personnes protégées.

Oui, la loi permet de confier le rôle de référent alerte à un prestataire externe. Ashio peut servir de canal de signalement externe tout en respectant toutes les obligations légales françaises.

Les sanctions peuvent inclure des amendes administratives, des sanctions pénales (notamment en cas d'entrave au signalement ou de représailles), et des dommages et intérêts. L'absence de procédure de signalement peut également entraîner des sanctions de la CNIL pour non-respect du RGPD.

La CNIL ne valide pas individuellement les dispositifs, mais elle publie des recommandations et des référentiels que votre procédure doit respecter. Ashio est conçu conformément à ces recommandations.

La loi française, comme la Directive UE, impose le traitement confidentiel et encourage — sans l'imposer strictement — le signalement anonyme. Ashio prend en charge les deux, avec une protection renforcée de l'anonymat.

Avec Ashio, votre canal de signalement peut être opérationnel en moins de 10 minutes. Il vous suffit de vous inscrire, de nommer votre organisation, de personnaliser votre formulaire et de désigner votre référent alerte dans vos paramètres.

L'article 17 de la loi Sapin II fixe les exigences de forme du canal de signalement : confidentialité stricte, accusés de réception dans les 7 jours ouvrés, retour d'information dans les 3 mois, protection contre les représailles et conservation des données pendant 3 ans minimum. Ashio est conçu pour satisfaire toutes ces exigences dès le premier jour.

Une cartographie des risques Sapin 2 identifie les processus exposés à la fraude et à la corruption : achats, ventes, RH, finance, R&D. Pour chaque processus, évaluez la probabilité et l'impact (1 à 5), puis priorisez les contrôles. Ashio propose un modèle de cartographie prêt à l'emploi, avec un guide de mise en œuvre pour chaque catégorie de risque identifiée.

Les entreprises employant au moins 500 salariés ou réalisant plus de 100 millions d'euros de chiffre d'affaires, ainsi que les entreprises qui leur sont liées, doivent mettre en place les mesures anticorruption prévues à l'article 17. En pratique, les filiales détenues directement ou indirectement à plus de 50 % héritent des obligations de leur société mère.

Oui, car les deux seuils ne visent pas la même obligation. Le dispositif interne de recueil des signalements est obligatoire dès 50 salariés (article 8), tandis que le seuil de 500 salariés ou 100 M€ de chiffre d'affaires conditionne le programme de conformité anticorruption de l'article 17. Une entreprise de 200 salariés doit donc bien disposer d'un canal d'alerte interne, même si elle n'est pas soumise au programme anticorruption complet.

La loi Sapin 2 (loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique) est le texte anticorruption français : elle impose aux entreprises dépassant certains seuils un dispositif anticorruption fondé sur les 8 piliers, protège les lanceurs d'alerte et crée l'Agence française anticorruption (AFA), qui contrôle ces dispositifs. Depuis 2022, les règles relatives à la protection des lanceurs d'alerte sont fixées par la loi Waserman.

Engagement de la direction, cartographie des risques, code de conduite, dispositif d'alerte interne, formation, évaluation des tiers, contrôle comptable et régime disciplinaire. Ces huit piliers constituent le référentiel utilisé par l'AFA lors des contrôles : le canal d'alerte (pilier 4) doit être opérationnel et accessible, y compris pour les alertes anonymes.

Oui dès lors qu'une entreprise du secteur dépasse les seuils (500 salariés ou 100 M€ de chiffre d'affaires, filiales liées incluses). Le secteur immobilier est exposé aux risques de corruption via les permis, les appels d'offres et les intermédiaires : le dispositif d'alerte interne doit couvrir ces flux.

Le texte officiel est publié sur Légifrance (loi n° 2016-1691). Pour une évaluation interne, notre questionnaire d'auto-évaluation Sapin 2 est disponible en PDF, avec la cartographie des risques et le dispositif d'alerte présentés sur cette page.

Non : la loi Sapin II (article 17) n'exige aucune certification de l'outil. Ce qu'elle exige, ce sont les propriétés du dispositif : confidentialité stricte de l'identité du lanceur d'alerte, accusé de réception sous 7 jours ouvrés, retour d'information sous 3 mois, protection contre les représailles et tenue d'un registre des signalements. Un audit ou un contrôle porte sur ces points, pas sur un label — un « certifié conforme à la loi Sapin II » n'existe pas. Ce que vous pouvez vérifier : le canal accepte-t-il les signalements anonymes, les deux délais sont-ils outillés et affichés, le registre est-il exportable pour un contrôle, et les traitements sont-ils documentés (base légale, durée de conservation, accès) au titre du RGPD. La certification au niveau européen est traitée sur la page consacrée à la directive 2019/1937.

En libre-service, c'est plus rapide et plus transparent qu'un projet d'intégration : Ashio se configure en quelques minutes — choix du tarif, diffusion du lien, gestion des dossiers dans le tableau de bord — l'interface existe en 18 langues et les dossiers sont chiffrés. Avant d'acheter, chez nous comme ailleurs, vérifiez cinq points : l'accusé de réception sous 7 jours ouvrés est-il outillé, le retour d'information sous 3 mois est-il suivi, la gestion des dossiers est-elle chiffrée de bout en bout, la langue de vos salariés est-elle disponible, et le prix est-il public plutôt que sur devis.