Conforme avec les lois européennes sur les lanceurs d’alerte et le RGPD
Un dispositif d’alerte PME n’est plus réservé aux grands groupes : depuis la loi Sapin 2, renforcée par la loi Waserman de 2022, de nombreuses petites et moyennes entreprises ont l’obligation légale de mettre en place un canal de signalement interne. Pourtant, beaucoup de dirigeants pensent encore que ce sujet ne les concerne pas, ou qu’il est trop lourd à gérer pour une petite structure. À partir de quel seuil êtes-vous concerné ? Que vous impose réellement la loi ? Et comment déployer un dispositif conforme sans y consacrer un budget démesuré ? Cet article détaille vos obligations, les étapes de mise en place adaptées à une PME et les idées reçues à écarter. Pour comprendre l’ensemble du cadre applicable à votre organisation, consultez notre dossier dédié aux dispositifs d’alerte par secteur.
Dispositif d’alerte PME : à partir de quand êtes-vous concerné ?
La règle est claire : toute entreprise d’au moins 50 salariés a l’obligation de mettre en place un dispositif d’alerte professionnelle. Ce seuil, fixé par la loi Sapin 2 et confirmé par la directive européenne 2019/1937, s’applique quel que soit le secteur d’activité. Une PME de 52 salariés est donc soumise aux mêmes exigences fondamentales qu’une entreprise de plusieurs milliers de collaborateurs, même si les modalités peuvent être mutualisées ou allégées.
Le calcul de l’effectif suit les règles du Code du travail. On retient la moyenne des effectifs sur les douze mois de l’année civile précédente. Les salariés en CDI à temps plein comptent pour une unité ; les temps partiels et les CDD sont proratisés en fonction de leur durée de présence et de leur temps de travail. Le seuil de 50 est considéré comme franchi lorsqu’il est atteint pendant cinq années civiles consécutives, conformément au dispositif de lissage introduit par la loi PACTE.
Pour savoir précisément si votre organisation entre dans le champ de l’obligation, notre article détaillé sur qui est concerné par la loi Sapin 2 passe en revue les différents cas de figure, y compris ceux des groupes et des filiales.
Ce que la loi impose concrètement à une PME
Une fois le seuil franchi, l’obligation ne se limite pas à « ouvrir une boîte mail ». Le dispositif doit répondre à des exigences précises, définies par le décret du 3 octobre 2022. Concrètement, une PME doit garantir :
- Un canal de réception sécurisé permettant de recueillir les signalements par écrit et par oral, accessible aux salariés comme à certains tiers (anciens salariés, candidats, prestataires, actionnaires).
- La confidentialité stricte de l’identité de l’auteur du signalement, des personnes visées et des informations recueillies.
- Un accusé de réception adressé à l’auteur dans un délai de sept jours ouvrés.
- Un retour d’information sur les suites données au signalement dans un délai raisonnable, n’excédant pas trois mois.
- La traçabilité et la conservation des signalements, dans le respect du RGPD.
- Une information claire des salariés sur l’existence et le fonctionnement du dispositif.
Le non-respect de ces obligations expose l’entreprise à des sanctions. Faire obstacle à un signalement est passible de sanctions pénales, et l’absence de dispositif fragilise juridiquement l’employeur en cas de contentieux. Au-delà de la contrainte, un canal bien conçu protège aussi l’entreprise en lui permettant de détecter en interne les risques de fraude, de corruption ou de harcèlement avant qu’ils ne s’aggravent.
TrustBox : la solution simple et abordable
Dispositif d’alerte conforme loi Sapin 2 et Waserman, hébergé en UE, certifié RGPD et ISO 27001. À partir de 29 €/mois pour les entreprises de moins de 50 salariés.
Effectif et obligations : le tableau de référence
Les exigences varient selon la taille de l’entreprise. Le tableau ci-dessous résume ce que la loi attend d’une PME en fonction de son effectif, afin de situer rapidement votre situation.
| Effectif | Dispositif d’alerte | Ce que cela implique |
|---|---|---|
| Moins de 50 salariés | Non obligatoire, mais fortement recommandé | Aucune obligation légale de procédure interne, mais un dispositif protège l’entreprise et rassure les équipes. Possibilité de mutualiser. |
| 50 à 249 salariés | Obligatoire | Procédure interne complète ; possibilité de mutualiser les moyens de recueil et de traitement entre entités d’un même groupe. |
| 250 salariés et plus | Obligatoire | Procédure interne dédiée, sans mutualisation du traitement ; exigences renforcées de traçabilité et de gouvernance. |
À noter : au-delà de la seule question du dispositif d’alerte, les entreprises de plus de 500 salariés réalisant un chiffre d’affaires supérieur à 100 millions d’euros sont soumises à des obligations anticorruption élargies. La grande majorité des PME reste néanmoins concernée par le socle décrit ci-dessus.
Mettre en place un dispositif d’alerte adapté à une petite structure
Bonne nouvelle : déployer un dispositif d’alerte PME conforme ne nécessite ni service juridique dédié ni budget conséquent. Voici les étapes essentielles, pensées pour une organisation légère.
- Désigner un référent alerte. Il peut s’agir du dirigeant, d’un responsable RH ou conformité, ou d’un tiers externe. L’important est de garantir son impartialité et la confidentialité de son action.
- Choisir un canal de recueil sécurisé. Une plateforme SaaS dédiée est aujourd’hui la solution la plus simple : elle garantit l’anonymat, la traçabilité et la conformité RGPD sans développement interne.
- Rédiger et diffuser la procédure. Un document clair expliquant qui peut signaler, comment, et quelles garanties sont apportées à l’auteur. Cette procédure doit être portée à la connaissance des salariés.
- Informer et former les équipes. Une communication interne suffit souvent : affichage, note de service, mention dans le règlement intérieur.
- Assurer le suivi des signalements. Accusé de réception, instruction, retour à l’auteur dans les délais légaux.
Pour un déroulé complet et des modèles réutilisables, notre guide sur la mise en place d’un dispositif d’alerte détaille chaque étape. Avec une plateforme prête à l’emploi, l’installation prend une dizaine de minutes et ne mobilise pas de ressources techniques.
Les idées reçues à écarter
Trois croyances freinent encore de nombreuses PME :
- « C’est trop compliqué pour nous. » Les solutions modernes sont conçues pour être opérationnelles sans compétence juridique ni informatique particulière.
- « C’est trop cher. » Face aux acteurs historiques facturés 200 € et plus par mois, des offres existent désormais à partir de 29 € mensuels, soit jusqu’à dix fois moins.
- « Personne ne l’utilisera. » L’existence même du dispositif a un effet dissuasif et protecteur, et rassure les collaborateurs sur la culture de l’entreprise.
Le cas des PME sous le seuil de 50 salariés
Si votre entreprise compte moins de 50 salariés, vous n’êtes pas légalement tenu de disposer d’une procédure interne formalisée. Pour autant, mettre en place un dispositif reste vivement recommandé. Un salarié d’une TPE conserve en effet le droit de lancer une alerte : en l’absence de canal interne, il pourra s’adresser directement à une autorité externe compétente ou rendre l’information publique dans certains cas. Offrir un canal interne permet à l’entreprise de traiter le sujet en premier, dans la confidentialité, et d’éviter une escalade.
Anticiper présente aussi un avantage pratique : une PME en croissance franchira tôt ou tard le seuil de 50 salariés. Déployer un dispositif dès aujourd’hui évite de gérer l’urgence de la conformité plus tard. Les acteurs publics et parapublics sont soumis à des règles spécifiques, détaillées dans nos ressources sur le dispositif d’alerte dans la fonction publique et sur la protection du lanceur d’alerte dans la fonction publique. Les PME, elles, trouveront des repères concrets dans notre page dédiée à la solution de signalement pour PME.
Une PME de moins de 50 salariés doit-elle avoir un dispositif d’alerte ?
Non, l’obligation légale ne s’applique qu’à partir de 50 salariés. En dessous de ce seuil, la mise en place d’un dispositif reste toutefois fortement recommandée pour protéger l’entreprise et offrir un canal interne à ses salariés.
Comment calculer l’effectif pour savoir si je suis concerné ?
On retient la moyenne des effectifs sur les douze mois de l’année civile précédente, selon les règles du Code du travail. Les CDI temps plein comptent pour une unité, les temps partiels et CDD sont proratisés. Le seuil est considéré comme franchi après cinq années civiles consécutives à 50 salariés ou plus.
Combien coûte un dispositif d’alerte pour une PME ?
Les plateformes historiques dépassent souvent 200 € par mois. Des solutions SaaS conformes existent désormais à partir de 29 € par mois pour les entreprises de moins de 50 salariés, avec un essai gratuit sans carte bancaire.
Combien de temps faut-il pour mettre en place un dispositif conforme ?
Avec une plateforme prête à l’emploi, l’installation prend une dizaine de minutes et ne nécessite aucune compétence technique. Il reste ensuite à désigner un référent, diffuser la procédure et informer les équipes.
Conclusion
Mettre en place un dispositif d’alerte PME conforme n’a rien d’insurmontable. Dès 50 salariés, l’obligation est claire et les exigences sont précises, mais elles restent parfaitement accessibles à une petite structure grâce aux solutions SaaS actuelles. Même sous le seuil, anticiper protège votre entreprise et vos équipes. Pour approfondir le cadre légal, consultez notre dossier complet sur la loi Sapin 2 ou notre pilier consacré au dispositif d’alerte professionnelle. Prêt à passer à l’action ? Découvrez TrustBox et lancez votre essai gratuit sans carte bancaire.
