12 Procédures d’alerte interne

Les entreprises d’investissement devraient mettre en place et maintenir des politiques et des procédures d’alerte internes appropriées permettant au personnel de signaler des violations potentielles ou réelles du règlement (UE) nº 2019/2033 et des dispositions nationales transposant la directive (UE) 2019/2034, par l’intermédiaire d’un canal spécifique, indépendant et autonome. Il ne devrait pas être nécessaire que le membre du personnel signalant une violation en possède la preuve, mais il devrait cependant avoir un niveau de certitude suffisant constituant une raison suffisante pour ouvrir une enquête. Les entreprises d’investissement devraient également mettre en œuvre des processus et procédures appropriés leur permettant de respecter les obligations qui leur incombent en vertu de la transposition, dans le droit national, de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des violations du droit de l’Union.

Afin d’éviter les conflits d’intérêts, il devrait être possible pour le personnel de signaler les violations en dehors des voies hiérarchiques traditionnelles (par exemple, par l’intermédiaire de la fonction de vérification de la conformité, la fonction d’audit interne ou par une procédure indépendante interne de dénonciation des dysfonctionnements). Les procédures d’alerte devraient garantir la protection des données à caractère personnel tant de la personne qui signale la violation que de la personne physique présumée responsable de la violation, conformément au règlement (UE) 2016/679²⁶ (RGPD).

²⁶ Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, RGPD)

Les procédures d’alerte devraient être mises à la disposition de l’ensemble du personnel de l’entreprise d’investissement.

Les informations fournies par un membre du personnel dans le cadre des procédures d’alerte devraient, le cas échéant, être mises à la disposition de l’organe de direction et des autres fonctions responsables définies dans le cadre de la politique en matière d’alerte interne. Si le membre du personnel signalant une violation le demande, les informations devraient être fournies à l’organe de direction et aux autres fonctions responsables sous une forme anonymisée. Les entreprises d’investissement peuvent également prévoir une procédure de dénonciation des dysfonctionnements permettant la présentation des informations sous une forme anonymisée.

Les entreprises d’investissement devraient garantir que la personne signalant la violation est dûment protégée contre toute incidence défavorable, par exemple des représailles, des discriminations ou d’autres types de traitements injustes. L’entreprise d’investissement devrait garantir qu’aucune personne sous son contrôle ne se rende coupable de victimisation envers une personne ayant signalé une violation et devrait prendre des mesures appropriées contre les responsables d’une telle victimisation.

Les entreprises d’investissement devraient également protéger les personnes dénoncées contre toute conséquence défavorable, si l’enquête ne fait apparaître aucune preuve justifiant de prendre des mesures contre ces personnes. Si elle adopte des mesures, l’entreprise d’investissement devrait le faire de manière à protéger la personne concernée contre les effets défavorables involontaires allant au-delà de l’objectif de la mesure adoptée.

Plus précisément, les procédures d’alerte interne devraient:

• a. être documentées (par exemple des manuels pour le personnel);
• b. prévoir des règles claires garantissant que les informations sur la déclaration et les personnes dénoncées, ainsi que sur la violation, sont traitées de manière confidentielle, conformément au règlement (UE) 2016/679, sauf si la divulgation est requise par le droit national dans le cadre d’autres enquêtes ou d’une procédure judiciaire ultérieure;
• c. protéger le personnel exprimant ses préoccupations contre la victimisation après avoir divulgué des violations à signaler;
• d. garantir que les violations potentielles ou avérées signalées sont évaluées et communiquées aux niveaux hiérarchiques supérieurs, y compris, le cas échéant, à l’autorité compétente ou aux services répressifs pertinents;
• e. garantir, autant que possible, que le membre du personnel qui signale des violations potentielles ou avérées reçoit une confirmation de la réception des informations;
• f. garantir le suivi du résultat d’une enquête concernant une violation signalée; et
• g. garantir la conservation appropriée des dossiers.