Une politique d'alerte n'est pas un document marketing. C'est le texte de référence qui décrit, pour l'organisation, comment un signalement est recueilli, traité, protégé et archivé. Elle constitue la première pièce sur laquelle une autorité, un auditeur ou un juge s'appuiera pour apprécier si un dispositif d'alerte respecte le cadre posé par la loi Sapin II modifiée par la loi Waserman et son décret d'application n° 2022-1284.
À quoi sert précisément une politique d'alerte
La politique documente les choix opérationnels de l'organisation : qui reçoit un signalement, comment il est instruit, sous quels délais, avec quelles garanties de confidentialité, quelles sanctions en cas de représailles, et comment les données sont conservées ou supprimées. Elle sert autant à protéger le lanceur d'alerte qu'à protéger l'organisation contre des accusations infondées et à garantir un traitement homogène des dossiers dans le temps.
Les huit éléments à documenter
1. Champ d'application
Précisez qui peut utiliser le dispositif : salariés, anciens salariés, candidats, collaborateurs occasionnels, sous-traitants, actionnaires, membres de gouvernance. Précisez également le champ matériel : faits couverts par la loi Sapin II modifiée, autres faits éventuellement admis par l'organisation, faits exclus le cas échéant (avec justification).
2. Modes de signalement acceptés
Décrivez les canaux internes disponibles (formulaire en ligne, adresse dédiée, ligne téléphonique le cas échéant, rendez-vous physique sur demande), en précisant qu'un signalement anonyme est possible et sera traité comme les autres, dans la mesure où les éléments transmis permettent une instruction. Renvoyez explicitement à la possibilité de signalement externe auprès des autorités compétentes ou du Défenseur des droits.
3. Personnes et fonctions désignées
Nommez la fonction ou l'entité chargée de recevoir et d'instruire les signalements, ainsi que la ligne d'escalade. La règle centrale posée par la loi et rappelée sur le Portail RSE — Dispositif d'alerte est celle de l'impartialité de la personne ou du service désigné, avec des garanties contre les conflits d'intérêts.
4. Délais applicables
Le décret n° 2022-1284 impose un accusé de réception dans un délai de sept jours ouvrés et un retour d'information sur les mesures envisagées ou prises dans un délai raisonnable, en principe sous trois mois. La politique doit reprendre ces délais et décrire ce qu'ils recouvrent en pratique dans votre organisation.
5. Confidentialité et protection
Documentez les mesures de confidentialité applicables à l'identité du lanceur d'alerte, à celle des personnes visées et aux informations recueillies. Rappelez l'interdiction des représailles et les recours disponibles. Précisez la procédure en cas de fuite ou de tentative de représailles.
6. Traitement des données personnelles
Décrivez les données traitées, la base légale, les destinataires internes et externes autorisés, la durée de conservation par étape du dossier, les droits des personnes concernées et la procédure d'exercice de ces droits. Cette section est essentielle en cas de contrôle CNIL.
7. Conservation et suppression
Fixez une durée maximale de conservation adaptée à la nature du signalement, distinguez les dossiers clôturés, classés sans suite, et ceux transférés à une autorité. Décrivez la manière dont l'organisation applique cette durée en pratique et documente la suppression.
8. Gouvernance et mises à jour
Précisez qui est responsable de la politique, à quelle fréquence elle est revue, quelles sont les modalités de consultation des représentants du personnel et comment la politique est communiquée aux publics concernés.
Tableau récapitulatif à annexer à la politique
| Élément | Contenu attendu | Preuve documentaire |
|---|---|---|
| Champ | Personnes et faits couverts | Politique publiée |
| Canal | Modes de signalement acceptés | Écrans/supports d'accès |
| Responsable | Fonction ou service désigné | Fiche de fonction |
| Délais | Accusé de réception (7 jours ouvrés), retour d'information (≤ 3 mois) | Piste d'audit |
| Confidentialité | Mesures et interdiction des représailles | Politique publiée |
| Données personnelles | Bases légales, durée, droits | Registre RGPD |
| Conservation | Durées par étape, suppression | Politique et journaux |
| Gouvernance | Responsable, revue, consultation | PV et versions |
Ce que la politique n'est pas
La politique d'alerte n'est pas un mode d'emploi du logiciel. Elle ne cite pas de fournisseur, ne dépend pas d'un outil particulier et doit rester lisible même si l'organisation change de dispositif. Un logiciel de lancement d'alerte comme Disclosurely peut faciliter le respect des délais, la journalisation des échanges et la conservation ordonnée des dossiers ; il ne remplace pas la rédaction de la politique.
Comment Disclosurely s'articule avec la politique
Disclosurely fournit un canal de signalement, une communication anonyme bidirectionnelle, une gestion des cas et une piste d'audit exportable, avec un tarif clair (Professional : £39.99/mois ou £399.90/an). L'organisation reste responsable de la politique. Pour aller plus loin, notre article de synthèse sur la loi Sapin II et la loi Waserman précise le cadre applicable, et notre grille d'évaluation des fournisseurs aide à choisir le logiciel qui portera votre procédure interne.