Loi sur la protection des lanceurs d’alerte: entre contrainte et aubaine

Depuis le mois de mai et l’adoption de la loi portant transposition de la directive européenne sur la protection des personnes qui signalent des violations du droit de l’Union, voilà les institutions du secteur public (entre autres) investies de nouvelles responsabilités vis-à-vis des lanceurs d’alerte. Que vous soyez familier du sujet ou novice, l’heure est venue de s’y conformer. Michael Weis, Partner and Anti-Financial Crime Leader, et Tamara Czetto, Manager in Forensic Services chez PwC Luxembourg, décryptent les obligations qui vous incombent, vous conseillent sur la mise en œuvre d’un canal de signalement adéquat et vous expliquent en quoi se conformer à la loi est autant une nécessité qu’un avantage!

Voilà quatre mois que la loi sur la protection des lanceurs d’alerte est d’application pour les institutions publiques, entre autres. Pouvez-vous revenir sur ses principaux aspects?

TC: Cette loi résulte de la transposition d’une directive européenne, communément connue sous le nom de «Whistleblowing Directive», adoptée en 2019. L’idée de l’Union était d’assurer que les employés disposent des moyens nécessaires pour rapporter toute infraction à la législation européenne et d’une protection adéquate pour les prémunir de possibles représailles. Depuis l’entrée en vigueur de la loi dans la législation luxembourgeoise, tous les acteurs du secteur public (à l’exception des administrations communales représentant moins de 10.000 habitants) ont l’obligation de mettre en place un canal de signalement interne qui permettrait à un lanceur d’alerte de déposer un avertissement dans la plus stricte confidentialité. La loi est non seulement très exigeante en matière de confidentialité et de respect des délais de traitement, mais aussi sans équivoque en termes de représailles puisque les modifications défavorables du contrat de travail, refus de promotion, licenciements ou autres traitements défavorables seront considérés comme nul et non avenus.

MW: Il est intéressant d’ajouter que, toujours dans cet esprit de protection de l’employé, la loi renverse la charge de la preuve au profit du lanceur d’alerte. Alors qu’auparavant celui-ci devait prouver qu’il avait subi une quelconque forme de représailles suite à un signalement, c’est aujourd’hui à l’employeur de démontrer le contraire, ce qui nécessite la mise en place d’un système de documentation solide. Tout ceci soutient le concept très anglo-saxon de «speak-up culture». Étonnamment, d’ailleurs, le terme anglais «whistleblowing» fréquemment utilisé dans les médias n’est peut-être pas le plus approprié au développement de cette culture de «l’expression» en raison de sa connotation négative. Pour que les canaux de signalement prévus par la loi soient effectivement utilisés, les employés doivent comprendre sa raison d’être: il s’agit bien de dénoncer des infractions au droit national ou européen, donc des délits voire des crimes (vols, fraudes, dommages corporels, harcèlement, non-respect d’une réglementation, etc.), et non pas de rapporter des commérages ou de faire part de ses insatisfactions personnelles. On parle ici de préoccupations très sérieuses.

Quels sont les risques encourus en cas de non-conformité? Et, à l’inverse, quels sont les bénéfices apportés par cette loi?

MW: La réponse simpliste est d’affirmer que la non-conformité peut coûter cher dans la mesure où elle peut entraîner des sanctions et des amendes. Néanmoins, il ne faut pas sous-estimer les coûts non financiers puisque, parmi les risques encourus, les dommages réputationnels ne sont pas des moindres. C’est particulièrement vrai dans le secteur public, car les citoyens ont la conviction que leurs administrations agissent dans leur intérêt et le risque serait d’entacher cette confiance. Bien évidemment, les dommages réputationnels représentent également un grand risque pour les entités du secteur industriel et financier qui doivent eux aussi mettre en place un canal de signalement. Bien que se conformer à cette nouvelle loi puisse être contraignant, les organisations profiteront ensuite d’une culture de transparence; et il est forcément dans leur intérêt d’identifier les mauvais comportements ou les infractions réglementaires le plus tôt possible, non seulement pour y mettre un terme rapidement, mais aussi parce que plus longtemps un délit aura court, pires en seront les conséquences.

Quels conseils donneriez-vous aux entités publiques concernées par cette nouvelle loi?

TC: Mon premier conseil est de mettre en œuvre un système qui suscite la confiance des employés et encourage donc la prise de parole. Pour ce faire, je recommanderais de choisir la personne ou le service en charge de traiter le canal de signalement interne avec la plus grande attention (la loi impose, à très juste titre, de confier cette responsabilité à une personne ou un département impartial), mais aussi de veiller à la confidentialité du système – une boîte aux lettres ou une adresse e-mail ne sont peut-être pas les canaux les plus adaptés à cet égard. Ce sont véritablement deux aspects clés: s’ils sont mal abordés, le système ne sera jamais utilisé.

MW: Globalement, je conseillerais d’être bien au fait des exigences légales car celles-ci sont très précises. Pour les institutions «novices» en la matière, la «gap analysis» est plutôt simple, mais les autres doivent avoir conscience que cette nouvelle loi va bien au-delà de ce qui a pu être mis en place jusqu’à présent. D’ailleurs, beaucoup de nos clients nous disent qu’ils ont mis à jour leur procédure avec l’aide de leurs avocats et considèrent que cela suffit. Mais, lors de nos discussions, nous constatons que c’est surtout le côté pratique et organisationnel qui pose des difficultés. Même si une procédure est conforme à la nouvelle loi, nous conseillons de discuter en détail l’organisation du canal de signalement, qui fait quoi, comment respecter les délais prescrits par la loi, comment organiser une investigation et comment documenter les décisions prises tout en sachant que cela pourrait être réclamé par une autorité compétente ou le procureur – pour citer seulement quelques thèmes. Tout cela n’est pas détaillé dans la loi et une simple analyse «légale» ne répondra pas aux questions pratiques des personnes en charge du canal de signalement.

Le sujet étant technique et les cases à cocher nombreuses, je recommanderais à certaines organisations de faire appel à des experts, voire d’externaliser certains processus.

Par ailleurs, il me semble opportun de rappeler les liens qui existent entre cette loi et celle du 29 mars 2023 relative à la protection contre le harcèlement moral à l’occasion des relations de travail. Nous recommandons aux employeurs de les appréhender dans une approche globale et holistique. Ces deux lois poursuivent des objectifs très similaires et tenter de se conformer à l’une et à l’autre indépendamment serait contreproductif.

Justement, comment PwC peut-il aider le secteur public à se conformer à ses nouvelles obligations?

TC: Nous pouvons intervenir à trois niveaux différents; en premier lieu lors de la mise en œuvre d’un nouveau système. À ce stade, nous accompagnons nos clients dans la mise en place de politiques de whistleblowing et de procédures destinées aux personnes en charge du traitement des alertes et, éventuellement, dans les aspects liés à la communication et à la gouvernance. Ensuite, nous pouvons leur apporter notre aide en tant que «managed service» dans la gestion du canal de signalement, que ce soit parce que l’entité manque de ressources, a déjà trop de pain sur la planche ou considère qu’il est plus impartial de confier la gestion des alertes à un partenaire externe. Le canal peut ainsi être externalisé et nos experts, en étroite collaboration avec le client, assurent la conformité avec la loi et l’application de bonnes pratiques. Enfin, nous pouvons aider un client qui aurait reçu un rapport préoccupant à investiguer de manière professionnelle, en recourant aux outils adéquats et en préparant un rapport qui pourrait être utilisé devant la Cour.

MW: Bien que la loi n’impose pas le recours à un quelconque outil – tout peut en principe être géré «manuellement» – nous recommandons fortement d’utiliser une solution de réception et de gestion des alertes informatisée. Chez PwC, nous travaillons avec des éditeurs de logiciel qui développent ce genre de plateformes et pouvons orienter notre client vers l’une ou l’autre en fonction de ses besoins.