afa & loi sapin 2 11 décembre 2018 - institut du risk et compliance · 2019-01-21 · 1. le...

Lanceurs d’alertes

Conférence Atelier petit-déjeuner

Compliance : AFA & loi Sapin 2

11 décembre 2018

Jean-JacquesQUANG

Director,GovernanceRiskInvestigationDisputesDuff&Phelps

•  Jean-JacquesQUANG,•  DirectorchezDuff&PhelpsEnchargedesactivitésGovernanceRiskInvestigationsDisputes

•  Domainedecompétences:•  Compliance–programmeanti-corruption

•  Third-partyriskmanagement–duediligencetiersKrollComplianceRiskDiligence(divisiondeDuff&Phelps),leadermondialenbusinessintelligence

•  Investigations–corruption,fraude,«whitecollarcrime»

Jean-JacquesQUANG-Conférence-Atelier-LoiSapin-Lanceurd'alerte-11décembre20182

Sommaire

•  Ledispositifdelanceurd’alerte

•  Cadreréglementaire•  Lescaractéristiques•  Ledispositifdelanceurd’alerteetRGPD

•  Laperceptiondudispositifenentreprise

•  Ledispositif–enpratique

•  Retoursd’expérience•  Commenttraiterlesalertesremontées


1. Le dispositif - Cadre réglementaire

•  Loi«Sapin2»relativeàlatransparence,àlaluttecontrelacorruptionetàlamodernisationdelavieéconomiquedu9décembre2016,article8III:

•  Dispositifetprocéduresinternesderecueildessignalements/alertes,obligationdepuisle1erjanvier2018

•  l’alertegénérale:lesentreprisesd’aumoins50salariés,établissementspublics

•  l’alertepropreàlacorruption:lesentreprisesde500salariéset100millionsdechiffred’affaires(article17)


1. Le dispositif - Les caractéristiques

•  Avoirconnaissancepersonnellementetreporterdesfaitssusceptiblesdeporteratteinteoupréjudicesgravesà«l’intérêtgénéral»etcommiseauseindel’entreprisedanslaquellelelanceurd’alertetravaille==>scandalesenvironnementaux,sanitaires,alimentaire,éthique,corruption….(exemptions:secretdéfense,secretmédical,secretrelationclient-avocat)

•  Lanceurd’alerte:•  Unepersonnephysique•  Unsalariéouuncollaborateurextérieuràl’entreprise(intérimaire,détaché)•  Agitdebonnefoietdemanièredésintéressé

•  Protectiondulanceurd’alerte•  Immunitépénale•  Garantiedeconfidentialité•  Protectioncontrelessanctionsdisciplinairesetlelicenciement



•  Procéduregraduelleàrespecter

•  1erniveau:Alerteportéeàlaconnaissancedul’employeur,selondispositifetprocéduresmisenplace

•  2eniveau:Enl’absencedediligencedansundélairaisonnable,alerteàl’autoritéjudiciaire,ordresprofessionnels

•  3eniveau:Adéfautdetraitementdel’alertedeniveau2,dansundélaide3mois,lesignalementpeutêtrerendupublic

(exception:dangergraveetimminent,alerterdirectementàl’autoritéjudiciaireetordresprofessionnels)

PS:Régimesspéciaux(Banque&assurances,Domainedurenseignement,Sécuritéaérienne)



Procédureinterneetdispositifàmettreenœuvre

•  Modalitéderecueildessignalements

•  Modalitéd’accusé-réceptiondessignalements

•  Informationàlapersonnefaisantl’objetdel’alerte

•  Lesgarantiesdeconfidentialitéentourantletraitementdel’alerte

•  L’existenced’untraitementautomatisédesalertesmiseenœuvre,aprèsautorisationdelaCNIL

•  Qualificationdusignalementenalerteetlessuitesàdonner


1. Le dispositif – … et RGPD

• Undispositifdelanceurd’alerteavecuntraitementautomatisédesdonnéesàcaractèrepersonnellesrecueillies:

•  Soit:afaitl’objetd’unedéclarationetd’uneAutorisationUniqueAU-004auprèsdelaCNIL,préalableàl’entréeenvigueurdeRGPD(25mai2018)

•  Soit:doitfairel’objetd’uneanalysed’impactrelativeàlaprotectiondesdonnées(AIPD)


1. Le dispositif – … et RGPD

Analysed’Impact

• Article7RGPD:•  Descriptifdeprocessusetdesopérationsenvisagées

•  Descriptifdesdonnéescollectées:nature,description,…

•  Descriptiondesacteurs("datacontroller"/"dataprocessor")concernés

•  Evaluationdesrisquesimpactantl'intégritédesdonnées:sécurité,breach

• Mesuresderémédiation•  Mesuressupressions,modification,anonymisationdesdonnéescollectées


1. Le dispositif – La perception en entreprise

•  Evolutiondesmentalités,àl’aunedeslanceursd’alerterécents:•  Médiatisationdescas:Wikileaks,NSA-Snowden,Panamapapers,Luxleaks,Renault-Nissan…

•  L’amplificationdulevier«réseauxsociaux»

==>Touslescasontœuvréàplusdetransparence, danslemondedesaffaires

==>Contribueàplusd’éthique

==>Aspirationssociétalesd’aujourd’hui



•  LafonctionCompliance,partieintégrantedesfonctionscorporateenentreprise

•  Communicationetformationsurlesobligationsréglementaires•  Sensibilisationàl’utilisationdeslignesd’alerte,commeoutilsupportàunebonnegouvernance

•  Uneapprochedelagestiondesrisquesélargie

•  Traiterlesalertesremontéeseninterne:

•  ==>moinsd’expositionàdesincidentscommuniquéssurlaplacepublique

•  ==>gestionproactivedurisqueréputationnel

11 Jean-JacquesQUANG-Conférence-Atelier-LoiSapin-Lanceurd'alerte-11décembre2018


•  EtudepubliéedansHarvardBusinessReview(1):

•  Usagededispositifsdelanceursd’alerte==>indicationdebonnesantéd’uneentreprise/bonnegouvernanceeffective

•  Dispositifdelanceursd’alerteinternes==>moinsd’enquêtesexternesparlesrégulateurs/moinsdepoursuites/résolutionsamiables(CJIP)

==>meilleureproactivitéetcommunicationinternepourlarésolutiondescasremontés


(1):HarvardBusinessReview-StephenStubben&KyleWelch–Octobre2018

2. En pratique – retours d’expérience Application ?

• Danslesgrandsgroupes

•  «Portail»dédié,etélargiàtouslespaysdanslesquelslegroupeopère•  Nonrestreintauxsalariés,accessibleaugrandpublic•  Dispositifsous-traitéauprèsdesociétésspécialiséesdanslerecueiletletraitementde1erniveau

• Groupesdetailleintermédiaire

•  Adresseemailgénérique•  Applicationdédiée:internaliséeouexternalisée


2. En pratique – retours d’expérience Bonnes pratiques

•  Nécessitédebieninformerlessalariésdudispositifexistantetdumodeopératoire

•  Formation:

•  guidepratiquesurintranet,filmpédagogique,didactiquesurlesmodalitésd’utilisationdudispositifdelanceurd’alerte

•  AccuséRéception/sign-offdessalariésayantétéinforméouformésurl’existenceetl’utilisationdudispositifdelanceurd’alerte.

•  Communicationclairesurlapolitiquedenon-représaillepourdessalariés

Peud’alertesremontées==>dispositifadapté?Comprisparlessalariés?


2. En pratique – retours d’expérience Comment traiter les remontées ?

•  Dèsl’instaurationd’uneligned’alerte,unvolumedesignalementscroissantestconstatédanstouteslesentreprises

•  TouslessignalementsremontésnecorrespondentpasauspectredéfiniparlaLoiSapin2:

•  Risqued’instrumentalisationdelaligned’alerte

•  Unegrandemajorité=doléancesrelevantdudomainedesressourceshumaines

Nécessitédetouteslestraiter,auregarddesobligationsdelaloiSapin215 Jean-JacquesQUANG-Conférence-Atelier-LoiSapin-Lanceurd'alerte-11décembre2018


1.  Accuserréception/Établirdesuiteunelignedecommunicationaveclelanceurd’alerte

2.  Triagedessignalementscollectées

3.  Effectuerlesvérificationspréliminaires

4.  Effectuerdesinvestigationsavancées



1.  Etablirlecontactaveclelanceurd’alerte

•  Accuséréceptiondusignalementdansles48heures

•  Informerduprocessusetdesétapesdansletraitementdusignalement

•  Etablirunecommunicationaveclelanceurd'alerte•  Récolterunmaximumd'informationsdecontexte

•  Constitueretdocumenter,àl'aidedulanceurd'alerte,lecaspotentielàdesfinsd'évaluationd'impactsultérieure

•  Gestiondel’anonymat



2.  Etapedetriageetcatégorisationdanslessignalements:

•  Signalementscalomnieux•  Signalementsrelevantdesressourceshumaines

•  Unsignalement=qualifiéenalertelorsquelebien-fondéestavéré

•  Atitred’exemplepourungrandgroupemondialiséanglo-saxon:•  4000signalementsparan

•  75%relevantdesressourceshumaines•  25%fontl’objetdevérificationspréliminaires•  Environ250investigationsavancéesdiligentées



3.  Effectuerlesvérificationspréliminaires:

•  Caractériserlessignalementsremontés

•  Matérialiserlesallégationsreportées:•  Qui?•  Quoi?•  Risques?Préjudices?•  Y-a-t-ildespreuvesapportées?Sioui,vérificationsnécessaires

•  Evaluerl’impactpotentiel:business,organisation,humain,entreprise

Crédibleoupascrédible?Potentielleexpositionàdesfaitsdecorruptionoupas?



4.  Initierdesinvestigationsavancées:

«Doit-onenvisagerdesinvestigationsavancées?»

•  Lefaitdes’interrogersurl’opportunitéd’investigationsavancées,induitd’oresetdéjàlanécessitédelesentreprendre

•  L’espritdelaLoiSapin2etattentesdurégulateur,encasdecontrôle:a-t-onentreprislesdiligencesnécessairespour«détecteretprévenir»lesfaitsdecorruption

•  Lesinvestigationsdoiventêtremenéesen«incidentmanagementteam»,•  modeopératoireminutieusementpréparé•  uneteamavecdescompétencespluridisciplinaires;internes/externes


Conclusion Dispositif de lanceurs d’alerte… ce qu’il faut retenir

•  Gestionproactivedurisquedepoursuitejudiciaire,d’imageetréputationnel

•  Traitereninterneetenamontavantquelesallégations/possiblesfaitssoientmissurlaplacepublique

•  Démontrerundispositifanti-corruptionefficace,telquerequisparlerégulateur,etquiparticipeàunebonnegouvernanced’entreprise

•  Dispositifefficace<==>unvolumecroissantd’alerteàtraiter

•  Nécessitéd’unedémarchestructuréepourtraiterlessignalements:filtrer,catégoriser,investiguer,remédier

•  Uneapplicationdédiée,interneouexterne,favorisecettestructuration.

•  Absoluenécessitédetracerlesuividessignalementsetdestraitementsapportés;auditableparl’AFA


afa & loi sapin 2 11 décembre 2018 - institut du risk et compliance · 2019-01-21 · 1. le...

Documents