De nombreuses organisations ont déjà mis en place leur canal interne d’information conformément à la loi 2/2023. Elles ont approuvé la procédure, déployé l’outil et communiqué en interne son existence.

Cependant, une obligation formelle reste, dans de nombreux cas, en attente : la déclaration du Responsable interne du Système d’information auprès de l’autorité compétente.

Le fait d’avoir un canal actif n’implique pas d’avoir pleinement respecté la réglementation.

Qu’exige exactement la loi ?

La loi 2/2023 établit trois obligations structurelles :

1. Mettre en place un Système interne d’information.

2. Désigner formellement un Responsable du Système.

3. Déclarer cette désignation à l’autorité compétente.

Au niveau national, la supervision relève de l’
Autorité indépendante de protection du lanceur d’alerte, organisme chargé de garantir la bonne application du cadre de protection du lanceur d’alerte.

La déclaration doit être effectuée via son portail électronique :
https://sede.proteccioninformante.gob.es/procedimientos/index/categoria/1

Le délai actuellement fixé pour effectuer cette déclaration est le 20 avril.

Qui est tenu de le faire ?

Parmi d’autres entités :

• Entreprises privées comptant 50 salariés ou plus.

• Entités du secteur public.

• Groupes d’entreprises ayant opté pour un système commun.

• Organisations soumises à une réglementation sectorielle spécifique, même si elles n’atteignent pas le seuil d’effectif.

L’erreur fréquente : conformité technique sans conformité formelle

Dans la pratique, nous constatons une situation récurrente :

Des organisations disposent d’un canal opérationnel, mais n’ont pas formalisé la déclaration du Responsable auprès de l’autorité.

D’un point de vue conformité, cela implique une conformité partielle.

La déclaration fait partie du modèle de gouvernance du système, garantit la traçabilité du responsable désigné et peut faire l’objet d’une vérification ou d’une demande de la part de l’autorité de supervision.

Quels risques implique l’absence de déclaration ?

Le non-respect peut entraîner :

• Des demandes formelles.

• L’ouverture de procédures de sanction.

• Un affaiblissement du dispositif de conformité lors d’inspections.

• Une exposition réputationnelle en cas de contrôle réglementaire.

Dans des environnements réglementaires de plus en plus exigeants, ces « détails formels » sont précisément ceux qui déterminent la solidité réelle du système.

Recommandation pratique

Il convient de vérifier en interne :

• Que le Responsable du Système a été formellement désigné (par décision de l’organe compétent).

• Que la déclaration à l’autorité a été effectuée correctement.

• Que les données sont à jour en cas de changement de désignation.

Si votre organisation a déjà mis en place un canal, c’est le bon moment pour vérifier que la conformité est complète et non partielle.