Presque cinq mois après l’entrée en vigueur de la loi Waserman sur la protection des lanceurs d’alerte, quelles difficultés révèlent sa mise en œuvre ? Comment comprendre son décret d’application et quelles recommandations peut-on donner ?
Transposition de la directive européenne (2019/1937) du 23 octobre 2019 sur la protection des lanceurs d’alerte, la loi Waserman (n° 2022-401) du 21 mars 2022 est entrée en vigueur le 1er septembre dernier. Son décret d’application (n° 2022-1284) du 3 octobre 2022 a suivi de peu l’entrée en vigueur de la loi. Ce dispositif légal renforce la protection des lanceurs d’alerte dans le processus de signalement de leurs alertes (extension des personnes protégées, possibilité d’une alerte externe sans le préalable d’une enquête interne, renforcement des sanctions contre les mesures de représailles et les procédures-bâillons, etc.).
A ce titre, la loi Waserman s’inscrit dans la continuité de la loi Sapin II (n° 2016-1691) du 9 décembre 2016 qui avait posé le socle des obligations des entreprises en matière d’anticorruption et unifié les règles de protection des lanceurs d’alerte. C’est la loi Sapin II qui avait imposé la mise en place d’un dispositif d’alerte dans les entreprises de plus de 50 salariés et prévu des obligations renforcées pour les sociétés ou groupes de plus de 500 salariés dont le chiffre d’affaires dépassait 100 millions d’euros.
Les visées de la loi Waserman sont claires et explicites. Toutefois, comme à l’accoutumée, la mise en œuvre concrète du texte est plus ardue et le décret d’application réserve certaines difficultés aux sociétés concernées. En voici deux exemples : sur la mutualisation des dispositifs d’alerte dans les groupes de sociétés et sur les délais de traitement à prévoir.
La mutualisation du dispositif d’alerte dans les groupes de sociétés
Depuis la loi Sapin II, toutes les sociétés dont l’effectif dépasse cinquante salariés sont assujetties à la mise en place d’un dispositif d’alerte et nombre d’entre elles s’insèrent dans un groupe aux contours plus larges. Dans cette hypothèse, les canaux de réception des alertes sont le plus souvent mutualisés par un dispositif unifié d’alerte commun au groupe incluant toutes les sociétés y appartenant. Cette plateforme d’alerte unique est généralement confiée à un prestataire externe.
Or, pour les modalités de mutualisation des dispositifs d’alerte dans les groupes de sociétés, la loi Waserman renvoie, sans autre précision, à son décret. Celui-ci, dans son article 7, précise que « le canal de réception des signalements » et « l’évaluation de l’exactitude des allégations formulées dans le signalement » peuvent faire « l’objet de ressources partagées » dans les sociétés de moins de 250 salariés.
Ce seuil de 250 salariés par sociétés et l’absence de mention de groupe de sociétés interrogent. Est-ce à dire, de façon stricte, que la mutualisation des dispositifs d’alerte ne peut intervenir qu’entre des sociétés de moins de 250 salariés ? En d’autres termes que la mutualisation au-delà de ce seuil serait impossible alors même que les sociétés appartiendraient à un groupe de sociétés ? Cela reviendrait à interdire aux sociétés de plus de 250 salariés les dispositifs d’alerte mutualisés qui sont déjà en place dans les groupes depuis la loi Sapin II. La loi Waserman rendrait complexe ce que la loi Sapin II avait rendu simple.
Toutefois, une lecture attentive de l’article 5 du décret Waserman semble apporter, sur ce dernier point, un assouplissement bienvenu. Il permet aux groupes de société visés par la loi Sapin II (effectif de plus de 500 salariés et chiffres d’affaires de plus de 100 millions d’euros) qui ont déjà mutualisé leur dispositif d’alerte de conserver celui-ci pour l’application de la loi Waserman. A condition, bien sûr, de l’actualiser pour le rendre conforme aux dernières avancées de la loi Waserman (mention des nouvelles personnes protégées, des alertes externes possibles, etc.). Ce n’est pas toujours chose aisée comme on pourra le constater sur les délais de traitement.
Fixer des délais de traitement adéquats
Sur ce point, l’article 4 du décret prévoit que « [l]orsque les allégations lui paraissent avérées », l’employeur dispose d’un délai maximal de trois mois à compter de l’accusé de réception du signalement pour communiquer à l’auteur de l’alerte « des informations sur les mesures envisagées ou prises pour évaluer l’exactitude des allégations » et « le cas échéant y remédier ». En sorte qu’aucune obligation de réalisation d’une enquête n’est fixée dans ce délai de trois mois. Il suffit de communiquer à l’auteur du signalement qu’une enquête est envisagée. Les entreprises visées par le décret Waserman peuvent être tentées d’appliquer littéralement ce texte et ce délai. Est-ce vraiment le bon choix ?
En premier lieu, s’en tenir au délai de trois mois prévu par le décret n’est pas sans risque pour la société si des sanctions disciplinaires s’imposent à la suite de l’alerte. En effet, le délai de prescription en matière disciplinaire est de deux mois (article L. 1334-2 du Code du travail). L’employeur dispose de ce délai à compter de sa connaissance de la réalité et de l’ampleur des faits litigieux pour engager une procédure disciplinaire s’il l’estime nécessaire. Passé ces deux mois, toute sanction disciplinaire sera juridiquement mal fondée (c’est-à-dire que l’éventuel licenciement pour faute sera considéré comme dénué de cause réelle et sérieuse et conduira à la condamnation de l’employeur).
Attendre le délai de trois mois pour réagir, c’est ainsi prendre le risque que le salarié visé par une éventuelle procédure disciplinaire à la suite de l’alerte ne soulève ce délai de prescription. Peu importe que le décret Waserman prévoit des délais plus longs si le salarié a pu démontrer que l’employeur a laissé passer les deux mois de prescription sans réagir. L’alerte interne déclenchée n’aura alors aucune suite et les manquements litigieux ne pourront être sanctionnés. Le résultat inverse de celui voulu par la loi.
En second lieu, l’une des dispositions phares de la loi Waserman est de permettre au lanceur d’alerte de procéder à une alerte externe indépendamment de toute alerte interne préalable ; sans passer donc par ce filtre, auparavant obligatoire. L’idée sous-jacente est d’inciter les sociétés à disposer d'un dispositif d’alerte suffisamment simple et rapide pour que cette voie soit encore privilégiée par les lanceurs d’alerte. Sinon, les entreprises s’exposeront à ce que les alertes soient d’abord tournées vers l’extérieur avec les risques de publicité négatives qui en découlent.
On peut craindre qu’un délai de trois mois ne soit pas suffisamment incitatif et décourage les lanceurs d’alerte qui s’orienteront directement vers un traitement externe. Les sociétés auront certes suivi les délais prévus par la loi mais elles verront les alertes leur échapper au profit des autorités externes. Ces différentes raisons expliquent que certaines sociétés raccourcissent leurs délais de réaction et de décision à un mois après la réception de l’alerte. Elles prennent ainsi les devants afin que les alertes soient d’abord dirigées en interne et puissent ensuite aboutir à des sanctions si nécessaires.
