Plateformes de signalement pour entreprises suisses

Commençons par le fait qui façonne ici toute décision suisse : la Suisse n’a pas de loi générale de protection des lanceurs d’alerte. La révision du Code des obligations qui en aurait créé une a définitivement échoué en mars 2020, après une quinzaine d’années de travaux — et elle a échoué des deux côtés, l’Union syndicale suisse figurant parmi ceux qui ont salué cet échec. Ce qui existe à la place, c’est une jurisprudence tirée du devoir de fidélité de l’art. 321a CO, qui pose une cascade : signaler d’abord en interne, puis à l’autorité compétente, et seulement ensuite, à des conditions étroites, publiquement.

Les entreprises suisses achètent donc des systèmes de signalement pour trois raisons, dont aucune n’est une obligation légale suisse : une entité européenne les fait entrer dans le champ de la directive (UE) 2019/1937, une maison mère ou un client en exige un, ou la direction a conclu qu’apprendre les problèmes en interne coûte moins cher que de les lire ailleurs. Cette page compare les trois façons de construire ce canal — une plateforme dédiée de gestion de cas, un bureau de signalement externe et un formulaire de collecte chiffrée — et dit explicitement quelles parties du travail nous ne faisons pas.

Ce que le canal doit réellement faire

Si la directive (UE) 2019/1937 vous concerne — via une entité européenne d’au moins 50 travailleurs, ou dans le secteur financier quel que soit l’effectif —, le canal a des exigences dures, et ce sont elles qui séparent un formulaire d’un système :

1. Accuser réception dans les sept jours. Ce qui suppose un moyen d’atteindre une personne qui ne vous a peut-être laissé aucune coordonnée.
2. Donner un retour dans les trois mois. Même problème, sur un intervalle plus long, et c’est l’exigence qui impose le plus souvent un outil dédié.
3. Préserver la confidentialité de l’identité, y compris vis-à-vis des personnes mises en cause — une question de contrôle d’accès dans votre propre organisation.
4. Accepter des signalements dans les langues que votre personnel parle réellement. Pour un employeur suisse, cela signifie généralement au minimum FR, DE, IT et EN.
5. Tenir un registre des signalements et de leur suivi, avec une conservation définie plutôt qu’indéfinie.

Deux détails structurels méritent d’être présents à l’esprit. Les entités de 50 à 249 travailleurs peuvent partager des ressources d’enquête, mais chaque entité locale garde son propre canal de collecte. Et les délais ci-dessus expliquent pourquoi le dialogue anonyme bidirectionnel est la capacité la plus importante de cette catégorie : un signalement qu’on ne peut pas clarifier est souvent impossible à instruire, et une personne injoignable ne peut pas recevoir de retour. Les obligations complètes sont dans la directive européenne sur les lanceurs d’alerte ; la situation juridique suisse dans les lanceurs d’alerte en Suisse.

Les trois façons de construire le canal

1. Une plateforme dédiée de gestion de cas

EQS Integrity Line est le produit de référence de ce marché et se présente comme le logiciel de signalement le plus utilisé en Europe et en Suisse. Il prend en charge les signalements dans plus de 60 langues, propose le signalement anonyme avec suivi, des flux d’enquête à plusieurs étapes avec routage automatisé et un hébergement en Europe ; EQS cite ISO 27001 et SOC 2 parmi ses certifications. Des annuaires d’avis tiers situent l’entrée de gamme de ses formules autour de 100 EUR par mois, ce qui, pour une entreprise de taille moyenne, est tout à fait raisonnable au vu des prestations. D’autres fournisseurs — dont Whistleblower Software et d’autres acteurs européens — occupent la même forme à différents niveaux de prix.

Ce que vous achetez, c’est la moitié « gestion de cas » : suivi des délais contre les horloges de sept jours et trois mois, une boîte anonyme à laquelle la personne peut revenir, un accès d’enquêteur séparé par rôle, des décisions documentées et un reporting vers votre comité d’audit. Si la conformité à la directive est le moteur, c’est cette catégorie qu’il faut présélectionner, et nous le disons sans réserve.

2. Un bureau de signalement externe — cabinet d’avocats, service d’ombuds ou société d’audit

La directive autorise expressément un tiers à exploiter le canal, et en Suisse cette voie est courante et souvent sous-estimée. Un avocat externe ou un service d’ombuds reçoit les signalements, les trie et remet à l’organisation un dossier plutôt qu’une accusation brute. L’avantage est l’indépendance : pour une entreprise suisse de 200 personnes où tout le monde se connaît, un point d’entrée externe est souvent le seul dispositif auquel les collaborateurs croient. L’inconvénient est le coût par cas et le fait que vous gérez désormais aussi une relation couverte par le secret professionnel.

3. Un formulaire de collecte chiffrée

La troisième voie est une plateforme de formulaires chiffrée générale utilisée comme couche de collecte, le traitement des cas étant assuré par les personnes responsables avec leurs outils existants. C’est de loin la voie la moins chère et la plus forte sur une propriété précise : personne en dehors des destinataires désignés — exploitant de la plateforme compris — ne peut lire un signalement. C’est aussi la voie à laquelle il manque le plus visiblement la gestion de cas, et nous le précisons ci-dessous plutôt que de l’escamoter.

Face à face

Lisez les trois premières lignes ensemble. Elles sont la raison honnête de l’existence d’une plateforme dédiée, et aucune quantité de chiffrement ne les remplace.

Là où nous ne sommes pas la réponse — dit clairement

Schweizerform est une couche de collecte chiffrée, pas un système de gestion de cas de signalement. Concrètement : nous ne fournissons pas de boîte anonyme à laquelle la personne peut revenir, nous ne suivons ni l’accusé de réception à sept jours ni le retour à trois mois, et nous n’avons ni flux d’enquête, ni états de dossier, ni pack de reporting pour votre comité d’audit. Si la directive (UE) 2019/1937 s’applique à votre entité et que vous n’avez pas d’autre moyen de satisfaire ces obligations, une plateforme dédiée ou un bureau externe est le bon achat, et il faut le faire.

Il existe un contournement honnête, qui n’est pas un substitut complet : un signalement envoyé via nous peut inclure une voie de contact choisie par la personne — une adresse jetable, un compte pseudonyme —, ce qui vous permet d’accuser réception et de faire un retour sans jamais détenir son identité. C’est un usage, pas une fonction, et cela dépend de la prudence opérationnelle de la personne. Dites-le dans le formulaire plutôt que de laisser croire à une capacité de dialogue que nous n’avons pas.

Là où un formulaire chiffré est réellement plus fort

Une propriété, et c’est celle qui compte vraiment pour les employés suisses. Sur une plateforme classique — suites de signalement dédiées comprises — les gestionnaires ouvrent des signalements lisibles, donc le système détient des signalements lisibles, donc l’exploitant peut techniquement les atteindre et peut être contraint de les produire. Ce n’est pas une critique : une suite de gestion de cas doit pouvoir montrer le dossier au gestionnaire, elle ne peut donc pas être à connaissance nulle comme peut l’être un formulaire de collecte. La question à poser à tout fournisseur de cette catégorie est précise : « Votre personnel, ou quiconque détient votre infrastructure, peut-il techniquement lire un signalement déposé — et si oui, sous quels contrôles ? »

Avec une collecte chiffrée de bout en bout, la réponse est architecturale et non procédurale : les signalements sont chiffrés dans le navigateur de la personne, le serveur détient du chiffré, et seuls les détenteurs de la clé du coffre peuvent déchiffrer — un responsable conformité nommé, un comité du conseil, un avocat externe, qui que votre politique désigne. Personne chez la plateforme ne le peut, pas même sous une injonction judiciaire qui nous serait adressée, parce qu’il n’y a rien de lisible à produire. Le mécanisme est dans l’architecture à connaissance nulle expliquée, et la question de la contrainte dans injonctions, mandats et vos données de formulaire.

Deux propriétés d’appui comptent ici plus que dans tout autre cas d’usage. Aucun traceur sur la page de signalement : une personne arrivant depuis un appareil professionnel ne devrait rencontrer ni bandeau de consentement ni script tiers, et nos pages publiques n’en chargent aucun. Et aucune adresse IP stockée avec l’envoi — ce qui, avec les métadonnées que nous ne conservons délibérément pas, est exposé dans les adresses IP et les métadonnées de formulaire. Un horodatage plus une adresse IP de bureau a mis fin à plus de promesses d’anonymat que n’importe quelle défaillance cryptographique.

La couche protection des données que tout le monde oublie

En Suisse, le droit de la protection des données est la partie du whistleblowing qui est réellement exécutoire, et elle s’applique aux trois voies. Les signalements portent sur des poursuites et des sanctions, ce qui en fait des données personnelles sensibles au sens de l’art. 5 let. c nLPD. Un système de signalement est le cas d’école d’une analyse d’impact au sens de l’art. 22. Et le point délicat : la personne mise en cause dispose d’un droit d’accès au sens de l’art. 25 — restreignable au titre de l’art. 26 pour protéger la personne signalante, position retenue par des autorités cantonales, mais uniquement comme décision documentée au cas par cas, jamais comme clause générale de votre politique.

Conséquences pratiques pour l’achat : votre registre des traitements doit nommer la plateforme et ses sous-traitants, votre règle de conservation doit couvrir les cas clos autant que les cas ouverts, et votre analyse d’impact devrait être rédigée avant le lancement du canal plutôt qu’après le premier signalement. Notre explication sur les contrats de sous-traitance est dans faut-il un contrat de sous-traitance pour votre outil de formulaires, et le cadre de conservation dans la conservation des données de formulaire.

Le contre-exemple du secteur public

Les employés fédéraux sont le seul groupe suisse doté d’un cadre légal, et il vaut la peine de le connaître car il fixe l’attente à laquelle les autres se comparent. L’art. 22a de la loi sur le personnel de la Confédération oblige les employés fédéraux à dénoncer les crimes et délits poursuivis d’office, leur donne le droit de signaler d’autres irrégularités au Contrôle fédéral des finances — anonymement, via sa plateforme — et les protège à l’al. 5 contre tout désavantage professionnel pour un signalement de bonne foi. Cela relève du seul droit du personnel fédéral : le droit cantonal du personnel varie, et il n’existe pas de réponse nationale pour les employés cantonaux ou communaux. Un organe cantonal qui construit un canal conçoit sous le droit cantonal de la protection des données, ce qui explique que la question de l’hébergement s’y tranche souvent autrement.

Quelle voie pour quelle entreprise

Achetez une plateforme dédiée quand

• la directive (UE) 2019/1937 s’applique via une entité européenne, ou une maison mère impose un système commun
• il vous faut le suivi des délais, les états de dossier et le reporting au comité d’audit comme produit et non comme tableur
• les signalements arrivent en plusieurs langues et de plusieurs pays
• la conformité a le budget et le mandat, et le programme doit ressembler à un programme

Utilisez un bureau externe quand

• l’entreprise est assez petite pour que l’indépendance interne ne soit pas crédible aux yeux du personnel
• vous voulez que le tri et l’enquête soient faits par des gens dont c’est le métier
• le sujet probable est juridiquement sensible dès la première phrase

Utilisez un formulaire chiffré quand

• aucune obligation directive ne s’applique et vous construisez le canal parce que c’est la bonne chose à faire
• l’exigence décisive est qu’aucun exploitant de plateforme ne puisse lire un signalement
• il vous faut le même canal en FR, DE, IT et EN sans projet d’achat
• l’organisation est petite, les destinataires peu nombreux et nommés, et le traitement peut être fait directement par ces personnes
• vous complétez un programme existant par une voie maximalement confidentielle pour les signalements les plus difficiles

La combinaison que la plupart des entreprises suisses devraient envisager

Pour une entreprise suisse dans le champ de la directive : une plateforme dédiée pour le programme, et une collecte chiffrée comme voie alternative désignée pour les signalements où la crainte porte précisément sur les systèmes. Pour une entreprise suisse hors du champ — c’est-à-dire la plupart — commencez par le formulaire chiffré et un conseil externe joignable, car un canal qui existe et auquel on fait confiance vaut mieux qu’un projet d’achat encore en cadrage. Quel que soit votre choix, publiez qui lit les signalements, dans quel délai et ce qui suit ; la technologie compte moins que la véracité de cette phrase.