13 Procédures d’alerte interne

Les établissements devraient mettre en place et maintenir des politiques et procédures appropriées en matière d’alerte interne pour que le personnel puisse signaler des violations potentielles ou avérées des exigences réglementaires ou internes, incluant sans s’y limiter celles prévues par le règlement (UE) nº 575/2013 et les dispositions transposant la directive 2013/36/UE en droit national, ou des dispositifs de gouvernance internes, par une voie spécifique, indépendante et autonome. Il ne devrait pas être nécessaire que le membre du personnel signalant une violation en possède la preuve, mais il devrait cependant avoir un niveau de certitude suffisant constituant une raison suffisante pour ouvrir une enquête. Les établissements devraient également mettre en œuvre des processus et procédures appropriés leur permettant de respecter les obligations qui leur incombent en vertu de la transposition, dans le droit national, de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.

Afin d’éviter les conflits d’intérêts, il devrait être possible pour le personnel de signaler les violations en dehors des voies hiérarchiques traditionnelles (par exemple par l’intermédiaire de la fonction de vérification de la conformité, la fonction d’audit interne ou par une procédure indépendante interne de dénonciation des dysfonctionnements). Les procédures d’alerte devraient garantir la protection des données à caractère personnel tant de la personne qui signale la violation que de la personne physique présumée responsable de la violation, conformément au règlement (UE) 2016/679 (RGPD)³⁶ .

³⁶ Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données)

Les procédures d’alerte devraient être mises à la disposition de l’ensemble du personnel de l’établissement.

Les informations fournies par un membre du personnel dans le cadre des procédures d’alerte devraient, le cas échéant, être mises à la disposition de l’organe de direction et des autres fonctions responsables définies dans le cadre de la politique en matière d’alerte interne. Si le membre du personnel signalant une violation le demande, les informations devraient être fournies à l’organe de direction et aux autres fonctions responsables sous une forme anonymisée. Les établissements peuvent également prévoir une procédure de dénonciation des dysfonctionnements permettant la présentation des informations sous une forme anonymisée.

Les établissements devraient garantir que la personne signalant la violation est dûment protégée contre toute incidence défavorable, par exemple des représailles, de la discrimination ou d’autres types de traitement injuste. L’établissement devrait garantir qu’aucune personne sous son contrôle ne se rende coupable de victimisation envers une personne ayant signalé une violation et devrait prendre des mesures appropriées contre les responsables d’une telle victimisation.

Les établissements devraient également protéger les personnes dénoncées contre toute conséquence défavorable, si l’enquête ne fait apparaître aucune preuve justifiant de prendre des mesures contre ces personnes. Si des mesures sont prises, l’établissement devrait le faire de manière à protéger la personne concernée contre les effets défavorables involontaires allant au-delà de l’objectif de la mesure prise.

Plus précisément, les procédures d’alerte interne devraient :

• a. être documentées (par exemple des manuels pour le personnel) ;
• b. prévoir des règles claires garantissant que les informations sur la déclaration et les personnes dénoncées, ainsi que sur la violation, sont traitées de manière confidentielle, conformément au règlement (UE) 2016/679, sauf si la divulgation est requise par le droit national dans le cadre d’autres enquêtes ou d’une procédure judiciaire ultérieure ;
• c. protéger le personnel exprimant ses préoccupations contre la victimisation après avoir divulgué des violations à signaler ;
• d. garantir que les violations potentielles ou avérées signalées sont évaluées et communiquées aux niveaux hiérarchiques supérieurs, y compris, le cas échéant, à l’autorité compétente ou aux services répressifs pertinents ;
• e. garantir, autant que possible, que le membre du personnel qui signale des violations potentielles ou avérées reçoit une confirmation de la réception des informations ;
• f. garantir le suivi du résultat de toute enquête concernant une violation signalée ; et
• g. garantir la conservation appropriée des dossiers.