Loi 2016-1691 du 9 décembre 2016 (« Sapin 2 ») / Décret n°2017-564 du 19 avril 2017

Il s’agit d’un dispositif qui existe depuis déjà longtemps dans la Fonction publique et permet aux fonctionnaires de signaler des faits délictueux.

Au sein des établissements bancaires depuis la loi Sarbanes-Oxley de 2002, l’ensemble du personnel peut faire part « d’interrogations » sur « d’éventuels dysfonctionnement relatifs au mécanisme du contrôle interne ». Mais la loi Sapin 2 va plus loin :
 elle consacre un régime général de « l’alerte » notamment dans le domaine bancaire ;
 elle prévoit un dispositif de protection du lanceur d’alerte ;
 elle détermine une procédure précise de signalement générale.

1/ Sur le régime général

La loi Sapin 2 impose désormais aux grandes entreprises dont les établissements bancaires de mettre en place un dispositif de signalement des alertes professionnelles à l’échelle interne pour des faits commis dans l’entreprise.

Du point de vue bancaire, cela soulève des interrogations au regard de la compatibilité d’un tel dispositif avec le secret bancaire si l’alerte est portée à l’extérieur.

2/ Sur la protection du lanceur d’alerte

La loi Sapin 2 a limité ce dispositif de protection à la sphère professionnelle et donc au lanceur d’alertes procédant à un signalement visant l’organisme qui l’emploie ou l’organisme auquel il apporte sa collaboration dans un cadre professionnel.

La protection accordée à l’intéressé est toutefois conditionnée au fait qu’il agisse de « manière désintéressée et de bonne foi ».

Si cette condition préalable est remplie, alors le lanceur d’alerte pourra bénéficier d’une protection revêtant différentes formes :
 Une immunité pénale : l’intéressé ne pourra pas être poursuivi pénalement pour avoir révélé ou signalé des faits délictueux. Ainsi en matière bancaire l’application de l’article L. 226-13 du Code pénal sera écartée (atteinte au secret professionnel).
 Une immunité dans les relations de travail : l’intéressé ne pourra « ni être écarté d’une procédure de recrutement ou de l’accès à un stage ou à une période de formation professionnelle », ni « être sanctionné, licencié ou faire l’objet d’une mesure discriminatoire directe ou indirecte, notamment en matière de rémunération, de mesures d’intéressement ou de distribution d’actions, de promotion professionnelle, de mutation … »
 L’anonymat du lanceur d’alerte sera garanti, car il est évident que malgré le fait de jouir d’une immunité dans les relations de travail, il sera difficile pour l’intéressé de se maintenir dans un milieu professionnel après avoir lancé une alerte, quand bien même celle-ci permettrait en réalité d’assainir ce même milieu professionnel.

3/ Sur la procédure de signalement générale

La loi Sapin 2 impose en effet aux entreprises de plus de 50 salariés de mettre en place une procédure appropriée de recueil des signalements.

Ainsi trois phases ont été déterminées :
 Un signalement auprès de l’employeur via son supérieur hiérarchique,
 Un signalement auprès d’une autorité administrative ou judiciaire en cas d’inertie de son supérieur et du chef d’entreprise,
 Un signalement auprès du public si aucune des deux premières phases n’a permis un traitement du signalement, tout en prenant en compte le délai écoulé durant les deux premières phases, qui doit être un délai « raisonnable ».

Il faut toutefois souligner qu’en matière bancaire une procédure de signalement spéciale est prévue puisque cette dernière devra être combinée avec les procédures déjà imposées par l’arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque soumises au contrôle de l’ACPR.

Dès lors la loi Sapin 2 prévoit la mise en place au sein de l’Autorité des Marchés Financiers (AMF) et de l’ACPR d’une procédure de signalement adéquate permettant aux agents y exerçant leurs fonctions de procéder au signalement des faits susceptibles de caractériser l’un ou plusieurs des manquements aux obligations définies par les règlements européens, par le Code monétaire et financier ou par le règlement général de l’AMF.

En sens inverse, ces mêmes autorités devront probablement organiser un processus de réception des alertes lancées par des salariés et collaborateurs des établissements bancaires. En effet, ces derniers doivent pouvoir porter à la connaissance de l’AMF et de l’ACPR des faits qui n’auraient pas reçu le traitement adéquat dans le cadre d’une alerte interne.

4/ Sur les modalités de mise en œuvre des procédures internes de recueils des signalements des lanceurs d’alerte

Le décret n° 2017-564 du 19 avril 2017 précise que le référent désigné doit disposer de la compétence, de l’autorité et des moyens suffisants à l’exercice de ses missions.

Chaque société de plus de cinquante salariés doit mettre en place une procédure de recueil des signalements des lanceurs d’alerte, procédure précisant l’identité du référent interne susceptible de recevoir les alertes (le référent doit disposer, par son positionnement, de la compétence, de l’autorité et des moyens suffisants à l’exercice de ses missions).

Tout salarié devra respecter la procédure qui précisera notamment que le signalement est d’abord adressé au supérieur hiérarchique direct ou indirect, à l’employeur lui-même ou au référent désigné. Le salarié doit fournir (s’il en dispose), les faits, informations, documents quels que soient leur forme ou leur support afin d’étayer son signalement, mais aussi fournir les éléments permettant le cas échéant un échange avec le destinataire su signalement.

La procédure doit également préciser les dispositions prises par la société afin de faciliter la mise en place de cette procédure d’alerte en détaillant :
 le processus prévu et qui permet d’informer sans délai l’auteur du signalement de la réception de son alerte, ainsi que du délai de traitement de celle-ci et des formalités selon lesquelles il sera informé des suites données à son signalement.
 le processus mis en place afin de garantir la confidentialité de l’auteur du signalement, mais aussi des personnes visées, des faits et objets soumis à l’appui de l’alerte, y compris en cas de communication à des tiers pour les besoins du traitement du signalement.
 le processus mis en place afin de détruire les éléments du dossier de signalement de nature à permettre l’identification de l’auteur du signalement et celle des personnes visées, et cela lorsqu’aucune suite n’a été donnée à l’alerte. Il est également précisé le délai de clôture du dossier, délai qui ne peut dépasser deux mois et être communiqué à l’auteur et aux personnes visées.
 si un traitement automatisé des alertes est mis en place après accord de la CNIL, alors la procédure doit mentionner l’existence de ce dispositif.

Chaque société doit procéder à la diffusion de la procédure interne de recueil des signalements, et cela par tout moyen.