Dispositif d’alerte interne en entreprise : pourquoi la conformité sur le papier ne suffit plus
Retour aux articles 
Dispositif d’alerte interne en entreprise : pourquoi la conformité sur le papier ne suffit plus
Guide AFA 2026, rapport annuel 2025 et CJIP SHAD : trois publications récentes montrent que les autorités examinent désormais moins l’apparence des dispositifs de conformité que leur fonctionnement réel. Pour les dirigeants, directeurs juridiques et avocats en droit pénal des affaires, l’enjeu est clair : tester les procédures, détecter les signaux faibles et documenter la réalité de la gouvernance avant qu’une alerte ne devienne une enquête.
Pendant longtemps, les entreprises ont pu considérer la conformité comme une forme d’assurance.
L’idée était assez simple.
On rédigeait un code de conduite.
On ouvrait une adresse électronique dédiée aux signalements.
On formait quelques salariés.
Puis l’ensemble rejoignait un dossier soigneusement classé, dans l’attente du prochain audit ou d’une improbable consultation spontanée du code de conduite un vendredi soir.
Cette conception appartient progressivement au passé.
Trois publications très récentes permettent de comprendre l’évolution en cours :
- le guide pratique de l’Agence française anticorruption de juillet 2026, consacré au dispositif d’alerte interne et à la culture de l’alerte éthique ;
- le rapport annuel d’activité 2025 de l’AFA ;
- la convention judiciaire d’intérêt public conclue entre le Parquet national financier et la société SHAD SA.
Ces documents ne portent pas exactement sur le même objet. La CJIP SHAD concerne une fraude fiscale et non une atteinte à la probité. Leur lecture croisée fait néanmoins apparaître une même méthode : les autorités ne s’arrêtent plus aux procédures déclarées, aux organigrammes ou aux sièges statutaires. Elles recherchent la réalité des pratiques, des décisions et des moyens effectivement mobilisés.
Le sujet n’est donc plus seulement de disposer d’un programme de conformité.
Il faut pouvoir démontrer qu’il fonctionne.
Du dispositif d’alerte interne à la culture de l’alerte
La principale évolution apparaît dès le titre du nouveau guide de l’AFA.
L’Agence ne se contente pas d’expliquer comment mettre en place un dispositif d’alerte interne. Elle invite les organisations à construire une véritable « culture de l’alerte éthique au service de la probité ».
La nuance est importante.
Une entreprise peut disposer d’une procédure juridiquement conforme, d’une plateforme sécurisée et d’un référent officiellement désigné, sans qu’aucun salarié n’envisage sérieusement de les utiliser.
Le dispositif existe alors dans les documents.
Beaucoup moins dans l’entreprise.
L’AFA et la Défenseure des droits relèvent plusieurs obstacles récurrents : les salariés ne savent pas toujours quels faits peuvent être signalés, ignorent à qui s’adresser, redoutent les représailles ou ne font tout simplement pas confiance au canal proposé. Le guide demande donc aux employeurs de créer les conditions d’un traitement sécurisé, impartial et confidentiel, tout en protégeant les droits de l’auteur du signalement comme ceux des personnes mises en cause.
La conformité n’est plus seulement une affaire de procédure.
Elle devient une question de confiance.
Une alerte interne protège plus souvent l’entreprise qu’elle ne la menace
Le guide retient une formule simple :
« Signaler, c’est protéger. »
Pendant longtemps, certaines organisations ont perçu le signalement interne comme le début d’un problème.
Le raisonnement peut se comprendre : une alerte oblige à regarder une pratique que l’on aurait parfois préféré considérer comme un incident isolé, un malentendu ou une particularité historique de l’organisation.
Mais l’alerte ne crée généralement pas le risque.
Elle le révèle.
Lorsqu’un salarié signale suffisamment tôt une anomalie, l’entreprise conserve la possibilité :
- de vérifier les faits ;
- de préserver les preuves ;
- de faire cesser une pratique ;
- d’identifier les personnes concernées ;
- d’évaluer son exposition pénale ;
- et de mettre en œuvre des mesures correctrices.
Lorsque personne ne parle, ou que le canal interne n’inspire aucune confiance, la première information peut parvenir directement à une autorité externe. Depuis la réforme de 2022, les lanceurs d’alerte disposent en effet d’une liberté accrue pour choisir entre le signalement interne et la saisine directe d’une autorité compétente.
Pour le dirigeant, la question devient alors très concrète :
souhaite-t-il que les premiers faits soient examinés par son organisation, dans un cadre juridiquement sécurisé, ou découverts directement par une autorité administrative ou judiciaire ?
Pourquoi un dispositif d’alerte peut être conforme mais inefficace
Le guide de l’AFA part d’un constat assez sévère : dix ans après la loi Sapin II, de nombreux dispositifs existent mais ne « vivent » pas réellement. L’Agence veut donc aider les dirigeants et les personnes chargées du traitement des alertes à faire du signalement un réflexe collectif plutôt qu’une procédure subie.
Plusieurs symptômes doivent attirer l’attention :
- aucun signalement n’a jamais été reçu dans une organisation importante ;
- les salariés ignorent l’identité du référent ;
- le canal est techniquement accessible, mais n’a jamais été testé ;
- les délais de traitement ne sont pas suivis ;
- aucune procédure ne règle les conflits d’intérêts du référent ;
- les mesures prises après une alerte ne sont pas tracées ;
- la confidentialité repose davantage sur les bonnes intentions que sur une organisation réelle.
L’absence d’alerte n’est pas nécessairement un signe de parfaite santé éthique.
Elle peut aussi signifier que personne ne croit au thermomètre.
L’AFA contrôle l’existence, la qualité et l’efficacité des mesures
Le rapport annuel 2025 confirme cette évolution.
L’AFA rappelle que sa mission consiste à contrôler non seulement l’existence des mesures de prévention et de détection, mais aussi leur qualité et leur efficacité. Elle intervient auprès des acteurs publics et des entreprises assujetties, accompagne les organisations et assure également le suivi des programmes de mise en conformité imposés dans le cadre de conventions judiciaires d’intérêt public.
La nouvelle organisation de l’Agence rapproche en outre les fonctions de contrôle et de conseil. Les constats anonymisés issus des contrôles alimentent désormais les recommandations adressées aux acteurs économiques et publics.
L’entreprise ne sera donc pas uniquement interrogée sur ce qu’elle a prévu.
Elle devra montrer ce qu’elle a effectivement accompli :
- quelles personnes ont été formées ;
- comment les alertes sont enregistrées ;
- dans quels délais elles sont examinées ;
- comment l’indépendance de l’enquête est garantie ;
- quelles mesures de remédiation ont été décidées ;
- et comment leur exécution a été vérifiée.
La procédure écrite reste nécessaire.
La preuve de son fonctionnement devient décisive.
Télécharger le guide AFA 2026 sur le dispositif d’alerte interne.
Les chiffres de l’AFA confirment l’intensification des contrôles
Le rapport d’activité fait état de 175 contrôles menés auprès d’acteurs économiques depuis 2017, dont dix ouverts en 2025. Il recense également 27 CJIP conclues pour des faits d’atteinte à la probité depuis 2017 et 190 actions de sensibilisation ou de formation conduites auprès d’universités, d’entreprises et d’acteurs publics.
Ces chiffres ne signifient pas que toutes les entreprises courent un risque identique.
Ils montrent toutefois que la prévention des atteintes à la probité est devenue une politique structurée, articulant :
- accompagnement ;
- contrôle ;
- analyse des risques ;
- traitement des signalements ;
- et suivi des programmes de conformité.
L’AFA indique d’ailleurs vouloir renforcer son approche sectorielle et son travail sur la détection des signaux faibles, notamment dans les secteurs portuaire, de la santé ou pénitentiaire.
Consulter le rapport annuel 2025 de l’AFA.
La CJIP SHAD : lorsque la réalité l’emporte sur la structure affichée
La CJIP conclue avec SHAD SA ne concerne pas la corruption. Elle apporte néanmoins une leçon utile pour tous les responsables juridiques et conformité.
SHAD était une société de droit luxembourgeois, tête d’un groupe intervenant dans le secteur pharmaceutique. L’administration fiscale a estimé que sa direction effective était en réalité exercée depuis la France, par son dirigeant et avec l’appui de salariés de sa filiale française.
Les investigations ont notamment porté sur :
- les moyens humains et matériels réellement disponibles au Luxembourg ;
- les courriels et documents de gestion ;
- les personnes qui validaient les décisions ;
- le lieu depuis lequel les fonctions financières, administratives et logistiques étaient effectivement exercées ;
- et l’écart entre le siège statutaire et le centre réel de décision.
La CJIP est répertoriée parmi les conventions publiées en 2026 par le Parquet national financier.
Le message dépasse la seule matière fiscale.
Un organigramme ne suffit pas à établir une gouvernance.
Une convention de prestations ne suffit pas à démontrer la réalité d’un service.
Une adresse sociale ne suffit pas à déplacer le centre de décision.
Les autorités regardent qui décide, qui exécute, avec quels moyens et depuis quel lieu.
En conformité comme en fiscalité, la substance résiste généralement mieux à l’enquête que la présentation PowerPoint.
Ce que les dirigeants doivent tester dès maintenant
1. Le dispositif d’alerte est-il réellement connu ?
Il faut vérifier que les salariés et agents savent :
- quels faits peuvent être signalés ;
- par quel canal ;
- à quelle personne ;
- avec quelles garanties de confidentialité ;
- et dans quels délais une réponse leur sera apportée.
Une mention dans le règlement intérieur ne suffit pas toujours à créer un réflexe.
2. Le canal inspire-t-il confiance ?
L’entreprise doit s’interroger sur la perception du dispositif.
Le référent est-il suffisamment indépendant ?
Peut-il traiter une alerte concernant un membre de la direction ?
Existe-t-il une solution en cas de conflit d’intérêts ?
Le salarié peut-il signaler des faits sans que son identité circule immédiatement dans toute la ligne hiérarchique ?
3. Les alertes sont-elles traitées selon une méthode formalisée ?
Le processus doit prévoir :
- l’accusé de réception ;
- l’analyse de recevabilité ;
- la conservation sécurisée des données ;
- la constitution de l’équipe d’enquête ;
- les entretiens ;
- le respect du contradictoire ;
- la rédaction du rapport ;
- la décision de remédiation ;
- et le suivi de son exécution.
Le guide de l’AFA propose précisément un logigramme de traitement, un modèle d’accusé de réception et un mémorandum de conformité minimale.
4. Les signaux faibles sont-ils remontés ?
Toutes les situations ne prennent pas immédiatement la forme d’une alerte complète.
Le risque apparaît parfois à travers une accumulation :
- cadeaux inhabituels ;
- prestataire imposé sans justification ;
- factures peu détaillées ;
- urgence récurrente permettant d’éviter une procédure ;
- tiers refusant de communiquer son bénéficiaire effectif ;
- salarié écarté après avoir posé une question ;
- concentration anormale des décisions entre quelques personnes.
Pris isolément, chaque élément peut sembler explicable.
Mis bout à bout, ils racontent parfois une histoire moins rassurante.
5. La gouvernance réelle correspond-elle à la gouvernance déclarée ?
Il faut confronter :
- les délégations de pouvoirs aux décisions effectivement prises ;
- les organigrammes aux circuits réels de validation ;
- les conventions intragroupes aux prestations réellement accomplies ;
- les procédures aux moyens humains disponibles ;
- les sièges déclarés aux lieux véritables de décision.
C’est l’une des principales leçons de la CJIP SHAD : une structure juridique cohérente ne dispense jamais de démontrer sa réalité opérationnelle.
Quand faut-il réaliser un audit interne indépendant ?
L’audit ne doit pas être réservé à la découverte d’une infraction déjà caractérisée.
Il peut être utile lorsqu’apparaissent :
- plusieurs alertes portant sur un même service ;
- des signalements diffus mais convergents ;
- un contrôle administratif ;
- une anomalie identifiée par le commissaire aux comptes ;
- une difficulté dans les relations avec un intermédiaire ;
- une acquisition ou une restructuration ;
- un changement de direction ;
- un écart entre les procédures et les pratiques ;
- ou un risque pénal susceptible d’affecter l’entreprise et ses dirigeants.
Un audit indépendant permet de répondre à plusieurs questions :
- que s’est-il réellement passé ?
- qui savait quoi ?
- quelles règles s’appliquaient ?
- les faits relèvent-ils d’un dysfonctionnement, d’une faute disciplinaire ou d’une infraction ?
- quelles preuves doivent être conservées ?
- faut-il étendre les investigations ?
- quelles mesures immédiates doivent être prises ?
- une autorité doit-elle être informée ?
L’objectif n’est pas de fabriquer un rapport rassurant.
Il est de permettre une décision éclairée.
Le rôle de l’avocat pénaliste dans les audits sensibles ou d’importance
Cette évolution transforme également le rôle de l’avocat en droit pénal des affaires.
Il n’intervient plus uniquement après une perquisition, une garde à vue ou une convocation.
Il peut intervenir en amont, en complément des conseils habituels de l’entreprise, pour apporter une lecture pénale de la situation.
Le cabinet intervient ainsi dans des audits sensibles ou d’importance, notamment lorsqu’une organisation doit :
- traiter un signalement interne complexe ;
- conduire une série d’entretiens ;
- cartographier ses risques pénaux ;
- examiner la responsabilité de dirigeants ou de cadres ;
- analyser ses procédures et délégations ;
- préserver les droits des personnes mises en cause ;
- ou définir des mesures de remédiation après un contrôle.
Ces missions exigent de conserver plusieurs équilibres.
Il faut protéger l’auteur du signalement sans présumer la culpabilité de la personne mise en cause.
Rechercher les faits sans transformer l’enquête interne en instruction clandestine.
Préserver les preuves sans désorganiser l’activité.
Qualifier juridiquement les pratiques sans confondre toute anomalie avec une infraction.
Et surtout, permettre au dirigeant de décider en connaissant réellement le risque.
Conclusion : la conformité devient la première ligne de défense pénale
Ces trois publications racontent finalement la même évolution.
Pendant longtemps, les entreprises devaient surtout démontrer qu’elles disposaient d’un programme de conformité :
une cartographie ;
un code de conduite ;
un dispositif d’alerte ;
quelques formations ;
et des procédures soigneusement conservées.
Désormais, elles devront prouver que ce programme est vivant.
Qu’une alerte peut remonter.
Qu’elle sera traitée avec indépendance.
Que les signaux faibles sont identifiés.
Que les décisions sont tracées.
Et que les mesures correctrices ne restent pas au stade des intentions.
La conformité cesse ainsi d’être une obligation documentaire.
Elle devient un outil de gouvernance, de détection et de maîtrise du risque pénal.
Car la première ligne de défense pénale d’une entreprise ne se construit pas toujours devant un tribunal.
Elle commence souvent plus tôt, au moment où quelqu’un décide de prendre au sérieux une alerte que l’organisation aurait pu préférer ne pas entendre.
