Si votre entreprise compte 50 salariés ou plus, ou exerce dans les services financiers ou la lutte contre le blanchiment quel que soit son effectif, la loi 2/2023 vous oblige à mettre en place un système interne d’information. Nous le concevons, nous le documentons et nous vous aidons à le gérer sans compromettre la confidentialité.
Votre entreprise est-elle concernée ? Diagnostic gratuit
Indiquez-nous votre effectif et votre secteur : nous vous disons si vous avez besoin d’un dispositif d’alerte et ce qui vous manque.
Un dispositif d’alerte n’est pas qu’une boîte de réception : la loi exige un Responsable, une politique, une procédure, un registre et des garanties contre les représailles. Nous prenons en charge l’ensemble du système.
Nous examinons votre effectif, votre secteur et votre groupe pour confirmer l’obligation de l’article 10 de la loi 2/2023 et déterminer si vous pouvez partager le système ou ses ressources avec d’autres sociétés.
Nous rédigeons la politique qui énonce les principes du système et la procédure approuvée par l’organe d’administration : accusé de réception, enquête, délais et droits des parties.
Nous vous aidons à choisir et à désigner le Responsable du Système, à garantir son indépendance et à notifier sa nomination à l’autorité compétente dans le délai imparti.
Nous définissons les moyens de signalement (par écrit, oralement ou lors d’une réunion en présentiel si le lanceur d’alerte le demande) et veillons à ce qu’ils acceptent les signalements anonymes et protègent l’identité.
Si vous décidez de confier la réception des signalements à un tiers, nous préparons la mission avec les garanties d’indépendance, de confidentialité et de protection des données qu’exige l’article 6.
Nous accompagnons le Responsable dans le traitement des dossiers, les enquêtes internes et le registre des informations, ainsi que dans la transmission au ministère public en cas d’indices d’infraction pénale.
L’obligation dépend de votre effectif et, dans certains secteurs, de votre activité ; pas de votre chiffre d’affaires.
Toute personne physique ou morale du secteur privé comptant cinquante salariés ou plus doit disposer d’un système interne d’information.
Si votre activité relève des services financiers ou de la lutte contre le blanchiment, l’obligation existe quel que soit le nombre de salariés.
La société mère approuve une politique générale, et le groupe peut avoir un système unique et un seul Responsable.
Les entreprises de 50 à 249 salariés peuvent partager entre elles le système interne d’information et les ressources nécessaires pour le gérer.
Données de la loi 2/2023 relative à la protection des personnes qui signalent des infractions à la réglementation et à la lutte contre la corruption.
Délai pour adresser au lanceur d’alerte l’accusé de réception de son signalement.
Délai maximal pour répondre aux actions d’enquête, prorogeable de trois mois supplémentaires dans les cas d’une complexité particulière.
Délai pour notifier à l’autorité la nomination ou la révocation du Responsable, avec les motifs en cas de révocation.
Si aucune action d’enquête n’a été engagée, les données doivent être supprimées, sauf pour conserver une trace du fonctionnement du système.
Durée maximale de conservation des données du registre des informations, qui n’est pas public.
Amende maximale pour les personnes morales en cas d’infractions très graves, comme l’absence de système ou l’adoption de représailles.
Nous vérifions si vous êtes concerné, ce qui vous manque et comment combler les lacunes avant le premier signalement ou une inspection.
Celles du secteur privé comptant 50 salariés ou plus et, quel que soit leur effectif, celles qui opèrent dans les services, produits et marchés financiers, la lutte contre le blanchiment de capitaux, la sécurité des transports ou la protection de l’environnement (article 10 de la loi 2/2023). Également les partis politiques, syndicats et organisations patronales qui reçoivent ou gèrent des fonds publics.
Pas exactement. Le canal est la voie par laquelle arrivent les signalements ; le système interne d’information comprend en plus le Responsable du Système, la politique, la procédure de gestion, le registre des informations et les garanties de protection du lanceur d’alerte. La loi exige le système complet.
Oui. Le canal doit permettre le dépôt et le traitement ultérieur de signalements anonymes (article 7.3). De plus, lorsque le lanceur d’alerte s’identifie, son identité doit rester confidentielle.
Oui, la réception des signalements peut être confiée à un tiers externe offrant des garanties d’indépendance, de confidentialité, de protection des données et de secret des communications (article 6). Mais la responsabilité reste celle du Responsable du Système, et le tiers agit en qualité de sous-traitant du traitement des données.
Il est désigné par l’organe d’administration. Dans le secteur privé, il doit être un cadre dirigeant exerçant sa fonction en toute indépendance ; si l’organe est collégial, il doit déléguer la gestion du système à l’un de ses membres. Sa nomination et sa révocation sont notifiées à l’autorité dans un délai de dix jours ouvrables.
Accusé de réception sous sept jours calendaires et réponse dans un délai maximal de trois mois, prorogeable de trois mois supplémentaires dans les cas d’une complexité particulière. Si les faits pouvaient constituer une infraction pénale, l’information est transmise immédiatement au ministère public.
L’absence de système interne d’information constitue une infraction très grave. Pour les personnes morales, l’amende va de 600 001 à 1 000 000 d’euros, et des sanctions accessoires peuvent être imposées, comme le blâme public ou l’interdiction de contracter avec le secteur public.
La loi 10/2010 exige déjà des entités assujetties une procédure interne de signalement des manquements possibles, y compris de manière anonyme (article 26 bis), qui peut être intégrée au système général. La loi 2/2023 s’applique dans la mesure où cette réglementation spécifique ne prévoit rien ; le plus efficace est donc un système unique, bien conçu.
Un système qui fonctionne se reconnaît au premier signalement : le lanceur d’alerte sait où s’adresser, le Responsable sait quoi faire et l’entreprise peut démontrer qu’elle a bien agi.
L’effectif, le secteur et le groupe déterminent si vous êtes concerné et si vous pouvez partager le système avec d’autres sociétés.
Un cadre dirigeant disposant d’autorité, sans conflit d’intérêts et avec les moyens de traiter et d’enquêter sur les signalements.
Le registre des informations, les accusés de réception, les délais et les décisions documentées démontrent à l’autorité que le système fonctionne.
Source : loi 2/2023 du 20 février (articles 5 à 12, 26, 32, 36 à 38 et 63 à 65).
Ces termes figurent dans la loi 2/2023 et dans toute revue de votre système. Les comprendre vous aide à le mettre en place correctement du premier coup.
Ensemble formé par le canal, le Responsable, la politique, la procédure et les garanties de protection.
Cadre dirigeant désigné par l’organe d’administration pour gérer le système en toute indépendance.
Personne qui signale une infraction connue dans un contexte professionnel et qui est protégée contre les représailles.
Personne à laquelle les faits sont imputés : elle a le droit d’en être informée et d’être entendue.
Autorité d’État créée par la loi 2/2023, dont le statut a été approuvé par le décret royal 1101/2024. Elle gère le canal externe.
Voie permettant de signaler directement à l’autorité, ou après avoir utilisé le canal interne. Son existence ne dispense pas d’avoir le canal interne.
Tout préjudice subi pour avoir signalé : licenciement, rétrogradation, listes noires ou refus de formation, entre autres.
Registre des signalements reçus et des enquêtes internes. Il n’est pas public.
Prestataire qui reçoit les signalements pour le compte de l’entreprise et agit en qualité de sous-traitant du traitement des données.
Gestion interne : désigné par l’organe d’administration.
Réception externalisée : reste interne : la responsabilité ne se transfère pas.
Gestion interne : assurée par l’entreprise elle-même avec ses propres moyens.
Réception externalisée : assurée par un tiers offrant des garanties d’indépendance et de confidentialité.
Gestion interne : l’entreprise est responsable du traitement.
Réception externalisée : le tiers agit en qualité de sous-traitant du traitement.
Gestion interne : dirigée par le Responsable du Système.
Réception externalisée : continue d’être dirigée par le Responsable du Système.
Gestion interne : indépendance réelle vis-à-vis de la direction.
Réception externalisée : contrôle du prestataire et traçabilité des délais.
Ce sont des défaillances qu’une revue détecte aussitôt et qui laissent l’entreprise sans défense.
Indiquez-nous votre effectif, votre secteur et si vous avez déjà un canal : nous vous disons ce qu’il vous faut pour respecter la loi 2/2023.
La loi 2/2023 du 20 février, relative à la protection des personnes qui signalent des infractions à la réglementation et à la lutte contre la corruption, transpose la directive (UE) 2019/1937 et oblige de nombreuses entreprises à disposer d’un système interne d’information, communément appelé dispositif d’alerte. Son objectif est que toute personne connaissant une infraction puisse la signaler avec des garanties et sans crainte de représailles.
L’article 10 s’impose aux personnes physiques ou morales du secteur privé comptant cinquante salariés ou plus et, quel que soit leur effectif, à celles qui opèrent dans le domaine des services, produits et marchés financiers, de la lutte contre le blanchiment de capitaux ou le financement du terrorisme, de la sécurité des transports et de la protection de l’environnement. Les groupes peuvent avoir un système unique, et les entreprises de 50 à 249 salariés peuvent partager le système et les ressources.
L’organe d’administration met en place le système, après consultation des représentants légaux des salariés, et est responsable du traitement des données. Le système doit permettre des signalements écrits ou oraux, y compris anonymes, et disposer d’un Responsable du Système, d’une politique, d’une procédure de gestion et d’un registre des informations. Les délais sont exigeants : accusé de réception sous sept jours calendaires et réponse sous trois mois, prorogeables de trois mois supplémentaires.
La loi interdit toute représaille, y compris les menaces et les tentatives. Lorsque le lanceur d’alerte subit un préjudice, il incombe à l’auteur de la mesure de prouver qu’elle reposait sur des motifs justifiés étrangers au signalement. L’absence de système, la violation de la confidentialité ou l’adoption de représailles sont des infractions très graves, passibles d’amendes pouvant atteindre un million d’euros pour les personnes morales.
L’Autorité indépendante de protection des lanceurs d’alerte, A.A.I., dont le statut a été approuvé par le décret royal 1101/2024, fonctionne depuis le 1er septembre 2025. Elle gère le canal externe et est l’autorité à laquelle est notifiée la nomination du Responsable du Système au niveau de l’État ; certaines communautés autonomes disposent de leur propre autorité.
Le dispositif d’alerte est aussi un élément du modèle de compliance et du plan de prévention des infractions pénales, et le point d’entrée des enquêtes internes. Si vous êtes une entité assujettie à la lutte contre le blanchiment, il convient de l’intégrer à la procédure de l’article 26 bis de la loi 10/2010.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .