Le 16 juillet 2026, l’Agence Française Anti-corruption (AFA) a publié un guide pratique sur le dispositif d’alerte interne[1], outil essentiel du programme de conformité des organismes assujettis au titre de la loi Sapin 2.
En avant-propos du guide, la Directrice de l’Agence constate que malgré un cadre juridique solide et précis, les dispositifs d’alerte interne dans les organisations peinent à vivre et sont en deçà des attentes s’agissant de leur effectivité.
Ce même constat a été dressé par l’AFA à l’occasion de la publication de son rapport d’activité pour l’année 2025, dans lequel elle observait que s’agissant des alertes en lien avec la probité, une disparité s’opérait entre un recul des signalements internes et une forte augmentation des signalements externes, reçus et traités directement par l’AFA[2].
Il convient dès à présent de préciser que si le guide porte sur le dispositif Sapin 2 (dont le champ est très large), il s’intéresse plus particulièrement au dispositif d’alerte dans le domaine des atteintes à la probité, cœur de compétence de l’AFA. Les chiffres publiés montrent en effet que le nombre global d’alertes internes est en croissance, notamment porté par le domaine RH qui concentre la majorité des signalements[3].
C’est toutefois dans ce contexte que l’AFA a fait le choix de publier un guide pratique sur le dispositif d’alerte interne des organisations. L’objectif affiché de ce guide n’est pas d’apporter des précisions sur la loi applicable, celle-ci étant suffisamment précise, mais de rappeler les principes essentiels attachés au dispositif d’alerte et de pérenniser son existence.
Tout au long de ces développements, l’AFA fournit des recommandations pratiques, notamment pour favoriser les alertes internes, sources de maitrise des risques pour les organisations concernées, et bien les gérer. Elle prodigue également des conseils de formation et de sensibilisation des collaborateurs afin de pérenniser l’effectivité du dispositif.
Ainsi d’une part, ce guide pratique de l’AFA rappelle les attendus règlementaires constituant le socle minimal que doit garantir tout dispositif d’alerte interne (I).
D’autre part, ce guide ne doit pas occulter l’application pratique du dispositif d’alerte pour les grandes entreprises eu égard aux attendus d’autres réglementations spécifiques, en adoptant une approche transversale de cet outil de conformité (II).
I. Le guide pratique rappelle les garanties minimales attachées au dispositif d’alerte interne des entreprises
Comme il a été précisé, et compte tenu de la compétence matérielle de l’AFA, le guide privilégie le champ des alertes relevant des atteintes à la probité. Le caractère occulte de ces infractions place ainsi l’alerte au centre des priorités des organisations pour la détection des comportements prohibés. L’AFA rappelle que la loi Waserman du 21 mars 2022[4] a étendu la définition du lanceur d’alerte, notamment en supprimant la condition tenant au désintérêt de l’action de la personne.
Les attendus ci-après exposés constituent un socle minimal que toute organisation est tenue de respecter, peu importe les domaines de risques que son dispositif doit couvrir.
A. Les attendus s’agissant de la mise en place du dispositif d’alerte
La procédure interne constitue le mode d’emploi du dispositif d’alerte interne ; un soin tout particulier doit être apporté à sa rédaction. Au-delà des obligations contenues dans le décret d’application de la loi Waserman[5], l’AFA recommande dans son guide pratique de mettre en exergue les éléments suivants : l’objet de la procédure, le degré d’ouverture du dispositif, le mode de canal de signalement, le traitement de l’alerte, les garanties attachées au dispositif et enfin la potentielle articulation avec d’autres dispositifs.
Cette procédure de recueil des alertes doit désigner les acteurs qui auront la charge de leur traitement. Les personnes ou services désignés doivent être suffisamment compétents et bénéficier de l’autorité et des moyens suffisants pour remplir leur mission. La gestion des alertes peut également être sous-traitée par un tiers, sous réserve de ces mêmes garanties.
Si en principe le dispositif d’alerte est propre à chaque entité juridique, le guide rappelle que les structures de moins de 250 salariés peuvent mutualiser leur dispositif d’alerte avec d’autres entités de taille équivalente.
En ce qui concerne les groupes de sociétés, le guide laisse toute latitude aux entreprises d’opter pour un dispositif d’alerte centralisé, qui a l’avantage de garantir un niveau harmonisé de réponse et de se protéger de potentielles pressions de hiérarchies locales ; ou pour un dispositif décentralisé, qui a également l’avantage d’être plus facilement identifié par les personnes. Une combinaison des deux approches peut également se révéler être opportune en fonction de l’organisation et de la culture d’entreprise. Dans ce cas, la répartition des compétences doit être clairement définie, notamment dans la procédure d’alerte.
Enfin, le guide laisse également toute latitude aux entreprises pour choisir les canaux de réception des signalements, mais rappelle que le canal doit être accessible à tous, clair et sécurisé. Il peut prendre différentes formes comme une plateforme numérique, une adresse mail spécifique, une ligne téléphonique dédiée, voire un entretien individuel avec le référent. Les moyens mis en place pour garantir l’anonymat des lanceurs d’alerte doivent être anticipés au stade du choix du canal de signalement. Il doit permettre des échanges suivis avec un auteur y compris lorsque celui-ci ne s’identifie pas.
B. Les attendus s’agissant du traitement de l’alerte
A réception d’un signalement, son traitement doit s’inscrire dans des délais légaux : 7 jours pour accuser réception du signalement et 3 mois pour rendre compte des mesures éventuellement prises pour remédier à la situation.
Le délai de 3 mois doit permettre à l’entreprise d’évaluer en premier lieu la recevabilité du signalement, puis de vérifier la véracité des allégations. Des investigations peuvent être ainsi conduites, par la consultation de documents ou par l’ouverture d’une enquête interne. Le guide de l’AFA renvoie sur ce point à son guide pratique élaboré avec le PNF sur les enquêtes internes anticorruption[6]. L’enquête interne est un processus formalisé, encadré par la pratique et la jurisprudence en absence de cadre légal dédié à ce jour. Cette enquête peut être externalisée, notamment en ayant recours à un avocat enquêteur.
C. Les attendus s’agissant de la protection des parties prenantes
La protection de l’auteur du signalement est fondamentale, simplement pour respecter le cadre légal, mais surtout pour inciter les personnes à signaler à l’aide d’un dispositif dans lequel ils peuvent avoir confiance. Cette protection doit être effective dès le dépôt du signalement, par l’absence de mesures de représailles pour tout signalement fait de bonne foi et le respect de l’anonymat si la personne l’a demandé. Elle s’étend ensuite durant la phase d’enquête afin d’éviter tout risque de pression sur la personne et d’identification. La protection doit être garantie de la même façon si les faits allégués ne sont pas caractérisés après enquête.
Le dispositif d’alerte doit également veiller à préserver la confidentialité de l’identité de la personne visée par le signalement ; l’enquête doit également respecter la présomption d’innocence. La personne mise en cause doit ainsi être informée à un stade approprié du traitement de l’alerte.
La publication de ce guide intervient toutefois dans un contexte de diversité de domaines d’atteintes pouvant être couverts par un dispositif d’alerte et de multiplication d’autorités spécialisées dans ces domaines, comme la publication de la décision cadre du Défenseur des Droits du 5 février 2025[7] et l’ouverture par Tracfin en juillet 2026 d’une ligne d’alerte publique dans le cadre de la lutte contre le blanchiment et le financement du terrorisme[8].
Si la publication de ce guide pratique par l’AFA est bienvenue, l’articulation des différentes obligations en fonction des domaines d’atteintes couverts par un dispositif d’alerte constitue une question prioritaire pour les entreprises, question qui n’est pas traitée par ces différentes autorités.
II. L’articulation pratique des différents attendus règlementaires constitue la priorité des entreprises
Le manque de visibilité et d’appréhension globale du dispositif d’alerte peut constituer, pour les entreprises, une zone d’insécurité juridique. En effet, en fonction des seuils de chiffre d’affaires et d’effectifs, les entreprises doivent intégrer de nouveaux domaines de risques d’atteintes dans leur dispositif d’alerte interne. En réalité, les fondements du dispositif d’alerte ne sont pas affectés par ces réglementations spécifiques, celles-ci nécessitant simplement l’inclusion de nouveaux domaines de risques.
Dans les entreprises de plus de 50 salariés, la loi Sapin 2 telle que modifiée par la loi Waserman[9] (et avec les précisions du décret d’application de cette dernière), intégrant la directive européenne sur la protection des lanceurs d’alerte[10], pose les fondements du dispositif d’alerte. Son champ d’application est très large (informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, une violation ou une tentative de dissimulation d’une violation d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, du droit de l’Union européenne, de la loi ou du règlement).
Dans les organismes assujettis par l’article 17 de la loi Sapin 2 à la mise en place d’un plan de prévention de la corruption et du trafic d’influence[11], notamment les entreprises comptant plus de 500 salariés et générant plus de 100M € de chiffre d’affaires annuel, un dispositif d’alerte spécifique doit couvrir le domaine des atteintes à la probité. Pris dans l’ensemble du plan de prévention de la corruption, le dispositif d’alerte est ainsi voué à être contrôlé a posteriori, soit par l’AFA à l’occasion d’un contrôle en vertu de ses pouvoirs, soit par une autorité de poursuite, notamment dans le cadre de la négociation d’une CJIP ou d’une peine complémentaire de mise en conformité.
Enfin, dans les entreprises assujetties à la loi sur le Devoir de Vigilance[12], comptant plus de 5 000 salariés et ayant leur siège social en France, le dispositif d’alerte doit couvrir l’existence ou la réalisation des risques d’atteintes aux droits humains et à l’environnement. La démarche de vigilance a ceci de particulier qu’en raison de la diversité des parties prenantes pouvant être exposées aux risques, les entreprises ont dû ouvrir leur dispositif d’alerte en externe, de sorte que quiconque dans le monde peut faire un signalement. Il s’agit d’une évolution majeure, la notion même de dispositif d’alerte étant poussée à son degré d’ouverture maximal. Les précisions apportées par la jurisprudence dans l’application de cette réglementation ont également bousculé les dispositifs déjà en place dans les entreprises. En effet, la loi française impose que le dispositif d’alerte soit établi en concertation avec les organisations syndicales représentatives dans l’entreprise. Or, ce n’est que par un arrêt de la Cour d’appel de Paris du 17 juin 2025 dans le cadre du contentieux La Poste[13], que la notion de concertation et l’attendu de la loi ont été clarifiés par le juge. Etant donné que la majorité des entreprises ont adopté un unique dispositif d’alerte couvrant l’intégralité des domaines de risques d’atteintes, certaines (assujetties au Devoir de Vigilance) ont pu se trouver en défaut avec l’obligation de concertation attendue, portant certes sur le seul volet des atteintes aux droits humains et à l’environnement. Le guide de l’AFA recommande d’ailleurs pour ces entreprises l’adoption d’un dispositif d’alerte unique[14]. La question se pose donc de la concertation, a posteriori, sur leur dispositif d’alerte interne pour se conformer aux attendus de la loi.
Il est clair que si le socle du dispositif reste commun (conditions de mise en place, garanties attachées, traitement des alertes…), la règlementation relative au Devoir de Vigilance a bouleversé ses fonctions.
Dans ce contexte, la recommandation suivante peut être formulée : les entreprises déjà assujetties à l’article 17 de la loi Sapin 2 et s’approchant des seuils de la loi sur le Devoir de Vigilance ont tout intérêt à organiser une concertation, conformément à la définition retenue par la jurisprudence, sur l’entièreté de leur dispositif d’alerte, peu importe son champ de risques couverts, et ceci dans une démarche d’anticipation.
En toute hypothèse, les grandes entreprises doivent adopter une approche transversale de la conformité en prévoyant, en cas de pluralité de dispositifs de signalement, des canaux de recueil uniques (pourvu que, ainsi que le souligne l’AFA, un tel dispositif commun soit “clairement identifié comme permettant également de signaler des atteintes à la probité”). Peu importe l’objet du signalement, ce dispositif constitue en effet un outil de détection des atteintes à l’égard desquelles l’entreprise répondra de la même façon, notamment par une enquête interne ou un audit. L’effectivité et la pérennité du dispositif d’alerte interne sont ainsi essentielles à la culture éthique de l’entreprise, et sans lesquelles l’entité serait quelque peu aveuglée de certains comportements et ne pourrait y remédier.
Le dispositif d’alerte interne fait partie des outils qui doivent continuellement être promus au sein des organisations, la formation et la sensibilisation des collaborateurs garantissant la pérennité du dispositif et un rééquilibrage entre le nombre d’alertes en interne et en externe. La confiance des collaborateurs dans le dispositif d’alerte interne permettra ainsi aux organismes d’avoir une plus grande maitrise interne de leurs risques.
