Dispositif d'alerte interne : dans quels cas l'employeur est-il tenu d'en mettre un en place ?

Corruption, harcèlement, atteinte à l'environnement, fraude comptable… Beaucoup d'entreprises pensent, à tort, qu'un "dispositif d'alerte" ou une "ligne éthique" est une simple bonne pratique RSE, facultative. En réalité, la loi française impose à un grand nombre d'employeurs — pas seulement aux multinationales du CAC 40 — de mettre en place une véritable procédure de recueil des signalements.

Le problème, c'est que cette obligation ne repose pas sur un texte unique, mais sur trois régimes juridiques distincts, qui peuvent se cumuler selon la taille, l'activité et le chiffre d'affaires de l'entreprise. Voici comment s'y retrouver.

1. Trois textes, trois obligations qui peuvent se cumuler

Avant d'entrer dans le détail, il faut comprendre l'architecture générale. Une même entreprise peut être soumise à plusieurs obligations simultanément :

1. Le dispositif général "lanceur d'alerte", issu de l'article 8 de la loi Sapin 2 (loi n° 2016-1691 du 9 décembre 2016) ;
2. Le dispositif anticorruption, prévu par l'article 17 de la même loi Sapin 2 ;
3. Le mécanisme d'alerte du devoir de vigilance, propre aux sociétés mères de très grande taille (loi n° 2017-399 du 27 mars 2017).

Ces trois régimes ne couvrent pas exactement les mêmes faits et ne s'adressent pas aux mêmes entreprises. En pratique, beaucoup de groupes choisissent néanmoins de fusionner ces obligations dans une seule ligne d'alerte, plus simple à gérer et à communiquer en interne.

2. Le dispositif général de l'article 8 de la loi Sapin 2

C'est l'obligation la plus répandue, celle qui concerne le plus grand nombre d'employeurs.

2.1. Qui est concerné ? Le seuil de 50 salariés

Doivent mettre en place une procédure interne de recueil des signalements :

• les personnes morales de droit privé d'au moins 50 salariés ;
• les personnes morales de droit public employant au moins 50 agents ;
• les administrations de l'État ;
• les communes de plus de 10 000 habitants ainsi que les EPCI à fiscalité propre dont elles sont membres ;
• les départements et régions.

Le point important, c'est la manière dont ce seuil se calcule. Depuis le décret n° 2022-1284 du 3 octobre 2022 (qui a remplacé le décret précédent de 2017), le seuil de 50 salariés pour les personnes morales de droit privé s'apprécie à la clôture de deux exercices consécutifs, selon les modalités de l'article L. 130-1 du Code de la sécurité sociale — et non plus sur la base d'un cumul de 12 mois au cours des 3 dernières années comme le prévoyait l'ancien texte de 2017. Une entreprise qui franchit le seuil de façon ponctuelle sur un seul exercice n'est donc pas automatiquement soumise à l'obligation.

2.2. Quels faits doivent pouvoir être signalés ?

Le dispositif doit permettre de recueillir les alertes de toute personne répondant à la définition du lanceur d'alerte (article 6 de la loi Sapin 2, dans sa version issue de la loi Waserman de 2022). Est lanceur d'alerte toute personne physique qui signale ou divulgue, de manière désintéressée, sans contrepartie financière directe et de bonne foi, des informations portant sur :

• un crime ou un délit ;
• une menace ou un préjudice grave pour l'intérêt général ;
• une violation, ou une tentative de dissimulation d'une violation, du droit de l'Union européenne, d'un engagement international, de la loi ou du règlement.

2.3. Qui peut utiliser ce canal ?

Le dispositif ne doit pas être réservé aux seuls salariés. Il doit être ouvert à un cercle large :

• salariés actuels et anciens salariés ;
• candidats à un recrutement ;
• actionnaires, associés, membres des organes de direction ou de surveillance ;
• collaborateurs extérieurs et occasionnels : cocontractants, sous-traitants, prestataires, etc.

2.4. Ce que doit contenir la procédure

L'employeur reste libre du support (charte, guide interne, note de service, accord collectif...), mais la procédure doit obligatoirement prévoir :

• un canal de réception des signalements, écrit et/ou oral, permettant de transmettre les éléments utiles pour étayer l'alerte ;
• des règles de traitement : accusé de réception, examen de la recevabilité du signalement, information du lanceur d'alerte sur les suites données, délais de réponse, modalités de clôture du dossier ;
• des garanties de confidentialité de l'identité de l'auteur du signalement, des personnes visées et des informations recueillies.

Depuis la loi Waserman de 2022, l'existence de ce dispositif doit également être rappelée dans le règlement intérieur de l'entreprise (article L. 1321-2 du Code du travail), même si le détail opérationnel de la procédure figure généralement dans un document séparé.

3. Le dispositif anticorruption spécifique de l'article 17 de la loi Sapin 2

Ce deuxième régime est indépendant du seuil de 50 salariés : il vise des entreprises plus grandes, sur un périmètre de faits plus restreint.

3.1. Les entreprises concernées

L'obligation pèse sur les présidents, directeurs généraux et gérants d'une société :

• employant au moins 500 salariés, ou appartenant à un groupe dont la société mère a son siège en France et dont l'effectif atteint ce seuil,
• et dont le chiffre d'affaires (ou le chiffre d'affaires consolidé du groupe) est supérieur à 100 millions d'euros.

3.2. Un champ plus restreint : le code de conduite anticorruption

Contrairement au dispositif général de l'article 8, celui de l'article 17 ne vise pas tout crime ou délit : il est centré sur les conduites ou situations contraires au code de conduite anticorruption de l'entreprise — corruption, trafic d'influence, manquements à la probité, etc.

Une entreprise soumise à l'article 17 l'est presque toujours aussi à l'article 8 (dès lors qu'elle dépasse 50 salariés), ce qui explique pourquoi de nombreux groupes optent, en pratique, pour une ligne d'alerte unique couvrant les deux champs — même si, juridiquement, leurs périmètres restent distincts.

4. Le mécanisme d'alerte du devoir de vigilance des sociétés mères

Le troisième niveau d'obligation ne concerne que les très grands groupes.

4.1. Les seuils d'assujettissement

Sont soumises à la loi du 27 mars 2017 sur le devoir de vigilance les sociétés qui, à la clôture de deux exercices consécutifs :

• emploient au moins 5 000 salariés en leur sein et dans leurs filiales directes ou indirectes dont le siège social est situé en France, ou
• emploient au moins 10 000 salariés en leur sein et dans leurs filiales, où que soit situé le siège de ces dernières (France ou étranger).

4.2. Un objet centré sur les droits humains et l'environnement

Ces sociétés doivent établir un plan de vigilance comportant un mécanisme d'alerte et de recueil des signalements relatifs à l'existence ou à la réalisation de risques d'atteintes graves :

• aux droits humains et libertés fondamentales ;
• à la santé et à la sécurité des personnes ;
• à l'environnement.

À noter : ce cadre français, pionnier en Europe, est appelé à évoluer avec la transposition de la directive européenne CS3D sur le devoir de vigilance des entreprises. Le paquet "Omnibus" adopté en 2025-2026 a toutefois revu les seuils européens nettement à la hausse (5 000 salariés et 1,5 milliard d'euros de chiffre d'affaires net), ce qui laisse penser que le régime français pourrait, à terme, être ajusté lors de sa transposition, attendue d'ici 2028. Les entreprises concernées ont donc intérêt à suivre l'actualité législative sur ce point.

5. Ce que les employeurs ont trop souvent tendance à oublier

Quelques points de vigilance pratiques, au-delà des seuils eux-mêmes :

• L'ouverture aux tiers. Le dispositif de l'article 8 ne peut pas se limiter aux salariés : il doit aussi être accessible aux anciens salariés, candidats, actionnaires et collaborateurs extérieurs.
• L'obligation d'information. Il ne suffit pas de créer la procédure : encore faut-il informer effectivement le personnel et les collaborateurs extérieurs de son existence et de ses modalités.
• La mention dans le règlement intérieur. Depuis 2022, l'existence du dispositif de protection des lanceurs d'alerte doit figurer dans le règlement intérieur, même si la procédure détaillée reste dans un document distinct.
• Le risque juridique en cas d'absence de dispositif conforme. Ne pas se conformer à ces obligations expose l'entreprise à un risque de non-conformité (vis-à-vis de la loi Sapin 2 ou du devoir de vigilance) et fragilise sa position en cas de contentieux avec un salarié qui se présenterait comme lanceur d'alerte.

En résumé

Un employeur doit mettre en place un dispositif d'alerte interne dès lors qu'il se trouve dans l'une des situations suivantes :

• il emploie au moins 50 salariés (dispositif général "lanceur d'alerte", art. 8 de la loi Sapin 2) ;
• il emploie au moins 500 salariés et réalise un chiffre d'affaires supérieur à 100 millions d'euros (dispositif anticorruption, art. 17) ;
• il est une société mère atteignant les seuils du devoir de vigilance (5 000 ou 10 000 salariés selon la localisation des filiales).

Ces trois obligations peuvent parfaitement se cumuler pour un même groupe. La bonne pratique consiste souvent à articuler ces exigences dans une procédure unique et lisible, plutôt que de multiplier les canaux — à condition de veiller à ce que chaque périmètre de faits couvert par la loi reste bien pris en compte.