La Loi 2/2023 oblige les entreprises de plus de 50 salariés à disposer d'un Système Interne d'Information opérationnel, avec un responsable formellement désigné et des délais de réponse légaux. Summum Consultoria vous accompagne dans la mise en œuvre complète : analyse, technologie, procédures et formation.
La Loi 2/2023, du 20 février, a transposé la Directive européenne Whistleblowing (2019/1937) et impose à toute entreprise privée de 50 salariés ou plus l'obligation de mettre en place un canal de signalement — dénommé légalement Système Interne d'Information. Le délai était fixé au 13 juin 2023 pour les entreprises de 250 salariés ou plus, et au 1er décembre 2023 pour celles de 50 à 249 salariés. Les entités du secteur financier et les assujettis en matière de prévention du blanchiment de capitaux doivent se conformer quelle que soit leur taille. L'Autorité Indépendante de Protection du Lanceur d'Alerte (AIPI), opérationnelle depuis septembre 2025, exerce désormais un plein pouvoir de sanction : l'absence de canal ou le défaut de garantie de l'anonymat et de la confidentialité constitue une infraction très grave, passible d'une amende pouvant atteindre 1 000 000 € pour les personnes morales.
Le canal n'est pas simplement une boîte mail ou un formulaire en ligne. La loi exige que le système garantisse l'identité du lanceur d'alerte (ou l'anonymat s'il le demande), qu'un accusé de réception soit envoyé dans un délai maximum de sept jours calendaires, que l'enquête aboutisse dans un délai maximum de trois mois (prorogeable) et qu'un responsable du système soit formellement désigné. L'organisation doit également disposer d'une politique de non-représailles documentée et communiquée à l'ensemble du personnel. Un canal mal configuré — sans ces éléments — est tout aussi non conforme, même si la technologie est en place.
Chez Summum Consultoria, nous accompagnons les PME et les entreprises de taille intermédiaire dans leurs projets de conformité réglementaire depuis 2007. Nous savons que la plupart des organisations ont besoin d'une solution fonctionnelle sans créer de bureaucratie supplémentaire : un système mis en œuvre correctement dès le premier jour, intégré aux processus internes existants, et assorti de la documentation nécessaire pour démontrer la conformité devant l'AIPI ou lors d'un audit.
Nous analysons la structure organisationnelle, le nombre de salariés, les secteurs réglementés applicables et les systèmes de conformité déjà en place. Nous déterminons si le canal doit être individuel ou mutualisé (groupes d'entreprises), quels groupes ont le droit de signaler et quelles matières doivent être couvertes au-delà du minimum légal.
Nous définissons le flux de gestion des signalements : canaux d'entrée (web, téléphone, présentiel), responsable du système, procédure d'enquête et délais. Nous conseillons sur la solution technologique la plus adaptée à la taille et au budget, en veillant à ce qu'elle réponde aux exigences de chiffrement, de pseudonymisation et d'accès restreint imposées par l'AIPI.
Nous rédigeons la Politique du Système Interne d'Information, la procédure de gestion des signalements, la désignation formelle du responsable et les modèles d'accusé de réception. Nous révisons la clause de protection des données liée au canal afin de garantir sa conformité au RGPD et à la Loi 2/2023.
Nous activons le canal, formons le responsable désigné et communiquons le système à l'ensemble du personnel. Nous remettons le dossier de mise en œuvre attestant la conformité devant l'AIPI. Par la suite, nous proposons une révision annuelle pour maintenir le système à jour face aux évolutions réglementaires ou organisationnelles.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Analyse de l'obligation légale
Détermination du seuil légal applicable (nombre de salariés, secteur réglementé, groupe d'entreprises) et du périmètre exact du système interne à mettre en place.
Sélection et configuration technologique
Recommandation de plateforme de canal de signalement répondant aux exigences de chiffrement, de contrôle des accès et de traçabilité des enquêtes. Configuration initiale incluse.
Politique interne et procédures
Rédaction de la Politique du Système Interne d'Information, du protocole d'enquête, des modèles d'accusé de réception et de clôture, et désignation formelle du responsable du système.
Intégration avec la protection des données
Révision de la mention d'information et du registre des activités de traitement (RAT) lié au canal, en coordination avec le DPO ou le responsable de la confidentialité de l'organisation.
Formation du responsable et du personnel
Session de formation pour le responsable du système sur la gestion des enquêtes, les délais et les obligations de non-représailles. Communication interne adaptée à l'ensemble des salariés tenus de connaître le canal.
Accréditation et révision annuelle
Remise du dossier de mise en œuvre avec toute la documentation nécessaire pour attester la conformité devant l'AIPI. Révision annuelle pour s'adapter aux mises à jour réglementaires ou aux évolutions organisationnelles.
Le canal de signalement s'inscrit dans un écosystème de conformité plus large : il s'articule avec la conformité pénale, la protection des données et les politiques de gouvernance d'entreprise que nous traitons de manière intégrée chez Summum Consultoria et Summum Calidad.
Le canal de signalement est l'un des éléments clés d'un programme de conformité pénale solide : documenter son existence et son utilisation efficace contribue à démontrer la diligence raisonnable de l'entreprise devant les tribunaux.
Voir le service → consultoríaLe traitement des données personnelles dans le canal de signalement requiert une base légale spécifique, une mention d'information adaptée et la mise à jour du RAT : nous le coordonnons avec le projet de mise en conformité au RGPD.
Voir le service → calidadL'ISO 37301 (Système de Management de la Conformité) intègre le canal de signalement comme contrôle essentiel ; si votre entreprise progresse vers cette norme, le système déjà mis en place accélérera la certification.
Voir le service →Toutes les entreprises privées de 50 salariés ou plus sont soumises à cette obligation : celles de 250 salariés ou plus depuis le 13 juin 2023, et celles de 50 à 249 salariés depuis le 1er décembre 2023. Les entités du secteur financier et les assujettis en matière de prévention du blanchiment de capitaux sont également concernés, quelle que soit leur taille. Les entreprises de 50 à 249 salariés peuvent mutualiser leur canal avec d'autres entités du même groupe ; les communes de moins de 10 000 habitants peuvent le partager avec d'autres administrations publiques de leur communauté autonome.
L'Autorité Indépendante de Protection du Lanceur d'Alerte (AIPI), opérationnelle depuis septembre 2025, peut sanctionner l'absence de canal comme une infraction très grave, avec des amendes pouvant atteindre 1 000 000 € pour les personnes morales. En outre, l'entreprise peut être exclue des marchés publics et de l'accès aux subventions. Les premières sanctions effectives ont été prononcées en 2025.
Non. La loi exige que le canal garantisse la confidentialité ou l'anonymat du lanceur d'alerte, qu'un accusé de réception soit émis dans un délai maximum de sept jours, que l'enquête se conclue dans un délai maximum de trois mois et qu'un responsable soit formellement désigné. Une simple boîte mail ou un formulaire générique ne satisfait pas ces exigences et expose l'entreprise à des sanctions.
Non. La Loi 2/2023 couvre un large éventail de matières : infractions au droit de l'Union européenne, au droit interne, comportements contraires aux principes éthiques de l'organisation, irrégularités comptables et financières, et toute violation des droits fondamentaux dans le cadre du travail. Les organisations peuvent étendre volontairement le périmètre du canal au-delà du minimum légal.
Avec l'accompagnement de Summum Consultoria, une entreprise de taille intermédiaire peut disposer d'un système opérationnel et documenté en trois à six semaines, selon la complexité organisationnelle et selon qu'elle possède déjà certains éléments de conformité. Le processus comprend le diagnostic, la conception, la technologie, la documentation et la formation.