Depuis que la loi 2/2023, du 20 février, réglementant la protection des personnes qui signalent des infractions aux réglementations et luttant contre la corruption est entrée en vigueur en mars 2023, des milliers d'entreprises espagnoles se posent la même question : Suis-je tenu de mettre en place un canal de signalement ou non ? La réponse dépend de plusieurs facteurs — taille de l'effectif, secteur d'activité et forme juridique — et a des conséquences économiques réelles. En septembre 2025, l'Autorité Indépendante de Protection des Lanceurs d'Alerte (AIPI) a officiellement démarré ses activités, l'organisme d'État qui supervise la conformité et peut imposer des amendes allant jusqu'à un million d'euros. Il ne s'agit plus d'une obligation théorique.
Qu'est-ce qu'un canal de signalement et qu'impose la loi 2/2023 ?
Un canal de signalement — désigné dans la loi sous le nom de Système Interne d'Information (SII) — est le mécanisme formel par lequel les salariés, fournisseurs, prestataires, stagiaires et toute personne liée à l'organisation peut signaler de manière confidentielle, et même anonyme, des comportements irréguliers : corruption, fraude, violations du droit européen, infractions graves au droit du travail ou à l'environnement, entre autres.
La loi 2/2023 transpose la directive (UE) 2019/1937 du Parlement européen et du Conseil relative à la protection des personnes qui signalent des violations du droit de l'Union. L'objectif déclaré est double : protéger le lanceur d'alerte contre les représailles et mettre en place un système permettant de détecter les irrégularités avant qu'elles ne s'aggravent.
Consultez le texte officiel sur le BOE-A-2023-4513.
Quelles entreprises sont concernées ? Le seuil de 50 salariés
La règle générale est claire : toutes les entreprises du secteur privé comptant 50 salariés ou plus doivent disposer d'un Système Interne d'Information. Le calcul de l'effectif est réalisé sur la moyenne annuelle, en incluant les salariés à temps partiel au prorata.
Les délais de mise en œuvre sont déjà expirés :
- Entreprises de plus de 250 salariés : délai fixé au 13 juin 2023 (trois mois après l'entrée en vigueur).
- Entreprises de 50 à 249 salariés : délai fixé au 1er décembre 2023.
Autrement dit : si en 2026 vous avez 50 salariés ou plus et que vous ne disposez toujours pas d'un canal opérationnel et conforme à la loi, vous êtes en infraction depuis plus de deux ans.
Secteurs réglementés : l'exception qui étend l'obligation en dessous de 50 salariés
La loi 2/2023 prévoit une exception essentielle que de nombreuses PME ignorent : les entités du secteur privé comptant moins de 50 salariés qui opèrent dans l'un des secteurs suivants sont également soumises à l'obligation, quelle que soit leur taille :
- Services financiers (banque, assurance, gestionnaires de fonds, conseillers en investissement).
- Prévention du blanchiment de capitaux et du financement du terrorisme.
- Sécurité des transports (aérien, ferroviaire, maritime, routier).
- Protection de l'environnement (installations soumises à autorisation environnementale intégrée, déchets, rejets).
- Santé publique et sécurité alimentaire lorsqu'une réglementation européenne applicable existe.
Si votre entreprise fournit des services de conseil financier, gère des fonds, opère en tant que courtier d'assurance ou est soumise à la réglementation sur la prévention du blanchiment de capitaux (loi 10/2010), l'obligation existe même si vous avez 12 salariés.
Tableau récapitulatif : qui doit disposer d'un canal de signalement ?
| Type d'entité | Seuil d'effectif | Obligation | Délai initial expiré |
|---|---|---|---|
| Entreprise privée (secteur général) | 250 salariés ou plus | Oui, obligatoire | 13 juin 2023 |
| Entreprise privée (secteur général) | 50 à 249 salariés | Oui, obligatoire | 1er décembre 2023 |
| Entreprise privée (secteur général) | Moins de 50 salariés | Non obligatoire (sauf secteur réglementé) | — |
| Secteur financier, LCB/FT, transport, environnement | Toute taille | Oui, obligatoire | 13 juin 2023 |
| Partis politiques, syndicats, fondations avec financement public ≥ 100 000 € | Toute taille | Oui, obligatoire | 13 juin 2023 |
| Administrations publiques et organismes publics | Tous | Oui, obligatoire | 13 juin 2023 |
Quelles exigences le canal doit-il respecter ?
Disposer d'une boîte mail générique ne suffit pas. La loi 2/2023 fixe des conditions techniques et organisationnelles précises auxquelles le SII doit satisfaire :
Confidentialité et anonymat
Le système doit garantir la confidentialité de l'identité du lanceur d'alerte tout au long du processus. Il doit également permettre des communications anonymes — c'est-à-dire que le canal ne peut pas rejeter un signalement au seul motif que l'expéditeur ne s'est pas identifié. Le responsable du système a l'interdiction de révéler l'identité sans le consentement exprès du lanceur d'alerte, sauf obligation légale contraire.
Responsable du système
L'entreprise doit désigner formellement une personne responsable du Système Interne d'Information. Il peut s'agir d'un salarié interne disposant d'une autonomie suffisante, d'un organe collégial (comité de conformité) ou d'un tiers externe — option courante dans les organisations sans structure interne de conformité. Depuis novembre 2025, l'AIPI exige que cette désignation soit formellement communiquée.
Délais de réponse
- Accusé de réception au lanceur d'alerte : 7 jours calendaires maximum à compter de la réception du signalement.
- Résolution ou communication de suivi : 3 mois maximum (prorogeables à 6 mois dans les cas complexes).
Accessibilité élargie
Le canal n'est pas réservé aux seuls salariés actuels. Les anciens salariés, les candidats en cours de sélection, les fournisseurs, les sous-traitants, les travailleurs indépendants liés à l'organisation et toute personne ayant entretenu une relation professionnelle ou commerciale avec elle et ayant eu connaissance de l'infraction dans ce contexte doivent également pouvoir l'utiliser.
Interdiction des représailles
La loi interdit expressément toute mesure de représaille à l'encontre du lanceur d'alerte : licenciement, rétrogradation, modification des conditions de travail, refus de promotion, pression psychologique, mise sur liste noire ou toute autre mesure préjudiciable. La charge de la preuve est inversée : si le lanceur d'alerte subit un préjudice dans les deux ans suivant le signalement, l'entreprise doit démontrer que la mesure n'est pas liée au signalement.
L'AIPI : l'organisme qui peut désormais sanctionner
Pendant les deux premières années d'application de la loi 2/2023, l'absence d'autorité de supervision dotée d'un pouvoir de sanction a créé une perception de faible pression réglementaire. Cela a changé le 1er septembre 2025, lorsque l'Autorité Indépendante de Protection des Lanceurs d'Alerte (AIPI) a officiellement démarré ses activités. À partir de cette date, les entreprises soumises à l'obligation qui ne respectent pas la loi s'exposent à des sanctions réelles.
Le régime de sanctions de la loi 2/2023 distingue trois niveaux :
| Type d'infraction | Exemples | Amende pour les personnes morales |
|---|---|---|
| Très grave | Absence de canal ; représailles contre le lanceur d'alerte ; divulgation de son identité | Jusqu'à 1 000 000 € |
| Grave | Canal présentant des déficiences techniques substantielles ; absence de désignation d'un responsable ; non-respect des délais | Jusqu'à 600 000 € |
| Mineure | Manquements formels ou procéduraux mineurs | Jusqu'à 100 000 € |
Outre les sanctions financières, les infractions très graves peuvent entraîner une interdiction de contracter avec le secteur public et l'exclusion des subventions et aides pendant une période déterminée — des sanctions accessoires qui, pour beaucoup de PME, sont plus lourdes que l'amende elle-même.
Comment mettre en place un canal de signalement étape par étape
Si votre entreprise est soumise à l'obligation et ne dispose pas encore d'un SII conforme, voici les étapes à suivre :
- Audit de la situation : vérifier si l'entreprise est effectivement soumise à l'obligation, ce qui existe déjà (boîtes mail, procédures informelles) et les lacunes par rapport aux exigences légales.
- Choix du modèle : canal interne propriétaire, plateforme technologique externe ou externalisation complète à un tiers spécialisé. Chaque option présente des avantages selon la taille et le secteur.
- Désignation du responsable : nomination formelle et notification à l'AIPI.
- Politique et procédure : élaboration de la politique de signalement (périmètre, faits susceptibles d'être signalés, processus d'investigation, protection du lanceur d'alerte) et intégration dans le système de conformité.
- Communication interne : informer l'ensemble du personnel — et la chaîne de valeur concernée — de l'existence du canal et des modalités d'accès.
- Formation : du responsable du système et des cadres intermédiaires sur le traitement correct des signalements et l'interdiction des représailles.
- Révision périodique : le canal doit être audité au moins une fois par an pour vérifier son fonctionnement et mettre à jour la procédure en cas de modification de la réglementation ou de la structure de l'entreprise.
Chez Summum Consultoria, nous accompagnons l'intégralité de ce processus depuis le diagnostic initial jusqu'à la mise en service du canal et la formation du responsable. Consultez notre service de mise en place du canal de signalement pour connaître la portée complète de notre accompagnement.
Un canal de signalement peut-il aussi être un avantage concurrentiel ?
Au-delà de la conformité réglementaire, les organisations qui mettent en place un SII robuste obtiennent des bénéfices tangibles dans leur gestion interne. Détecter les irrégularités de manière précoce évite qu'elles n'évoluent en crises de réputation, en litiges ou en enquêtes réglementaires. Les salariés qui savent qu'ils disposent d'un canal sécurisé accordent une plus grande confiance à la direction, ce qui a un impact positif sur le climat de travail et la fidélisation des talents.
Par ailleurs, de nombreux processus de passation de marchés publics et de due diligence dans les opérations d'entreprise intègrent déjà le canal de signalement comme critère de vérification du niveau de conformité de l'entreprise. En disposer de manière conforme et documentée constitue un atout dans les appels d'offres et dans les négociations de fusions et acquisitions.
Pour les entreprises qui opèrent dans les chaînes d'approvisionnement de grandes corporations, la pression est directe : les acheteurs d'entreprise exigent de plus en plus que leurs fournisseurs disposent de mécanismes de signalement fonctionnels, conformément aux exigences des politiques ESG et de la réglementation sur le devoir de vigilance en matière de droits humains et d'environnement.
Lien avec d'autres obligations de conformité
Le canal de signalement n'est pas une île. Sa mise en place s'intègre naturellement avec d'autres obligations et normes de conformité que l'entreprise peut déjà avoir ou envisager :
- Programme de conformité pénale (art. 31 bis du Code pénal) : l'existence d'un canal de signalement fonctionnel est l'un des éléments que les tribunaux prennent en compte pour exonérer ou atténuer la responsabilité pénale de la personne morale. Un canal mal conçu — sans indépendance, sans confidentialité — peut ne pas produire cet effet atténuant.
- RGPD : le traitement des données personnelles du lanceur d'alerte et des personnes visées par l'enquête doit respecter le règlement (UE) 2016/679. L'AEPD a publié des orientations spécifiques sur le canal de signalement et la protection des données qui doivent être prises en compte lors de la conception du système.
- ISO 37301 (Systèmes de management de la conformité) : cette norme internationale considère les systèmes de signalement comme un élément essentiel d'un programme de conformité mature. Un canal de signalement conforme à la loi 2/2023 est parfaitement alignable avec les exigences de la norme.
- NIS2 et ENS : pour les entreprises soumises à la directive NIS2 ou au Schéma National de Sécurité espagnol, la traçabilité des incidents et le canal de communication interne sont également des éléments évalués.
Questions fréquentes
J'ai 45 salariés et je ne suis pas une entreprise financière. Suis-je tenu de disposer d'un canal de signalement ?
En règle générale, non. La loi 2/2023 fixe le seuil obligatoire à 50 salariés pour le secteur privé non réglementé. Toutefois, si vous avez 45 salariés et prévoyez de croître, ou si certaines de vos activités relèvent des secteurs réglementés (services financiers, prévention du blanchiment, transport ou environnement), une vérification spécifique s'impose. De plus, le mettre en place de manière volontaire peut apporter une valeur ajoutée en matière de conformité et vous protéger contre d'éventuelles responsabilités pénales de la personne morale.
Suffit-il de publier une adresse e-mail générique sur l'intranet ?
Non. Une boîte mail générique ne garantit pas techniquement la confidentialité exigée par la loi — l'administrateur du serveur de messagerie peut accéder aux messages — et ne permet pas non plus des communications anonymes de manière effective. La loi exige un système qui garantisse techniquement la confidentialité et permette une communication bidirectionnelle avec le lanceur d'alerte (pour demander des précisions ou envoyer l'accusé de réception) sans révéler son identité. Il existe des plateformes spécifiques, certaines très accessibles financièrement, qui répondent à ces exigences techniques.
Que se passe-t-il si un signalement s'avère faux ?
La loi protège le lanceur d'alerte qui agit de bonne foi, même si les faits signalés s'avèrent finalement non prouvés ou inexacts. La protection ne couvre pas, en revanche, la personne qui effectue sciemment des signalements faux ou malveillants. Dans ce cas, le dénonciateur peut engager sa responsabilité civile ou pénale pour dénonciation calomnieuse, et l'entreprise peut exercer des recours judiciaires. La procédure interne doit être conçue pour détecter ces situations et les documenter correctement.
Puis-je externaliser le canal de signalement à un tiers ?
Oui. La loi 2/2023 permet expressément aux entreprises de confier la gestion du canal à un tiers externe — un cabinet d'avocats, un cabinet de conseil en conformité ou une plateforme technologique spécialisée — à condition de garantir les mêmes conditions de confidentialité, d'indépendance et de délais de réponse. La responsabilité reste celle de l'entreprise, qui doit superviser que le tiers opère conformément à la loi. Cette option est particulièrement adaptée aux entreprises de 50 à 100 salariés qui ne disposent pas d'un département de conformité établi.