Tous les plans de contrôle

Plan de contrôle Lanceurs d'alerte

Plan de contrôle lanceurs d'alerte (loi n° 2016-1691, art. 6 à 16, et décret n° 2022-1284). 35 points de contrôle, chacun relié à l'article et à sa source officielle. Modèle Excel (plan de contrôle) et Word (rapport) gratuits. Vérifié le 2026-10-18.

Droit applicable

Loi n° 2016-1691, art. 6 à 16, rédaction de la loi n° 2022-401 (en vigueur depuis le 1er septembre 2022), et décret n° 2022-1284 (en vigueur depuis le 5 octobre 2022). Son annexe (autorités externes) a été modifiée par le décret n° 2024-1194 (ASNR, 1er janvier 2025) puis par le décret n° 2026-311 du 24 avril 2026 (ajout de Tracfin, champs de l'AMF et de l'ACPR non limités, depuis le 1er juillet 2026). Aucune échéance future identifiée au 18 octobre 2026 ; le décret sur les procédures communes aux sociétés d'un groupe (art. 8, I, C) est signalé non publié par le Sénat.

Qui est soumis

Personnes morales de droit privé et entreprises exploitées en nom propre employant au moins 50 salariés (pour les personnes morales de droit privé, seuil apprécié à la clôture de deux exercices consécutifs), ainsi que toute entité relevant des actes de l'Union visés au B de la partie I et à la partie II de l'annexe de la directive (UE) 2019/1937, quelle que soit sa taille. Les entités publiques, soumises à des modalités propres (décret, art. 2, II et III, et 3, II et III), ne sont pas visées par ce plan.

Textes de référence

Les 35 points de contrôle

Périmètre et gouvernance

  1. ALERTE-01 (Critique) : Les personnes morales de droit privé et les entreprises exploitées en nom propre employant au moins cinquante salariés établissent une procédure interne de recueil et de traitement des signalements. Pour les personnes morales de droit privé, le seuil s'apprécie à la clôture de deux exercices consécutifs et se détermine selon le I de l'article L. 130-1 du code de la sécurité sociale. Loi n° 2016-1691, art. 8, I, B, al. 2 et 3° ; décret n° 2022-1284, art. 1er et 2, I, Légifrance : Loi n° 2016-1691, article 8 (signalements interne et externe, procédure interne), version en vigueur. Applicabilité : Entités de droit privé d'au moins 50 salariés, seuil apprécié à la clôture de deux exercices consécutifs (loi, art. 8, I, B, 3° ; décret, art. 2, I)
  2. ALERTE-02 (Critique) : Toute entité relevant du champ des actes de l'Union mentionnés au B de la partie I et à la partie II de l'annexe de la directive (UE) 2019/1937 (services financiers, prévention du blanchiment, sécurité des transports, environnement…) établit une procédure interne, quel que soit son effectif. Loi n° 2016-1691, art. 8, I, B, 4° ; directive (UE) 2019/1937, art. 8 § 4 et annexe, partie I.B et partie II, Légifrance : Loi n° 2016-1691, article 8 (signalements interne et externe, procédure interne), version en vigueur. Applicabilité : Entités relevant des actes de l'Union visés à l'annexe de la directive (UE) 2019/1937, partie I.B et partie II, quelle que soit leur taille
  3. ALERTE-03 (Critique) : La procédure interne est établie conformément aux règles qui régissent l'instrument juridique adopté par l'entité, après consultation des instances de dialogue social. Loi n° 2016-1691, art. 8, I, B, al. 2 ; décret n° 2022-1284, art. 3, I, Légifrance : Décret n° 2022-1284, article 3 (instrument juridique et consultation)
  4. ALERTE-04 (Élevée) : La procédure indique la ou les personnes ou le ou les services désignés pour recueillir et traiter les signalements ; ceux-ci disposent, par leur positionnement ou leur statut, de la compétence, de l'autorité et des moyens suffisants à l'exercice de leurs missions. Décret n° 2022-1284, art. 5, I, Légifrance : Décret n° 2022-1284, article 5 (personnes ou services chargés des signalements)
  5. ALERTE-05 (Élevée) : La procédure prévoit les garanties permettant l'exercice impartial des missions de recueil et de traitement des signalements. Décret n° 2022-1284, art. 5, I, al. 2 ; loi n° 2016-1691, art. 8, I, B, al. 7, Légifrance : Décret n° 2022-1284, article 5 (personnes ou services chargés des signalements)
  6. ALERTE-06 (Élevée) : Lorsque la procédure confie la gestion du canal de réception à un tiers, celui-ci respecte les règles du canal (décret, art. 4, I) et de confidentialité (art. 6, I) ; le traitement de données qui en résulte est encadré par un contrat conforme au RGPD. Décret n° 2022-1284, art. 7, I ; référentiel CNIL alertes professionnelles (2023), § 46 à 53, Légifrance : Décret n° 2022-1284, article 7 (gestion par un tiers, ressources partagées sous 250 salariés). Applicabilité : Entités ayant confié la gestion du canal de réception des signalements à un tiers (décret, art. 7, I)
  7. ALERTE-07 (Moyenne) : Les entités du 3° du B du I de l'article 8 de la loi employant moins de 250 salariés peuvent prévoir, après décision concordante de leurs organes compétents, que le canal de réception et l'évaluation de l'exactitude des allégations font l'objet de ressources partagées, sans préjudice des autres obligations qui incombent à chacune. Le seuil s'apprécie selon l'article 2, I du décret. Loi n° 2016-1691, art. 8, I, B, avant-dernier al. ; décret n° 2022-1284, art. 7, II ; directive (UE) 2019/1937, art. 8 § 6, Légifrance : Décret n° 2022-1284, article 7 (gestion par un tiers, ressources partagées sous 250 salariés). Applicabilité : Entités de droit privé de 50 à 249 salariés ayant mis en commun leur procédure (loi, art. 8, I, B ; décret, art. 7, II)

Canal de recueil

  1. ALERTE-08 (Critique) : La procédure instaure un canal permettant à toute personne visée à l'article 8, I, A (personnel, anciens salariés, candidats, actionnaires et associés, membres des organes, collaborateurs extérieurs et occasionnels, cocontractants et sous-traitants) d'adresser un signalement par écrit ou par oral, selon ce que prévoit la procédure, et de transmettre tout élément de nature à l'étayer. Décret n° 2022-1284, art. 4, I, al. 1 et 2 ; loi n° 2016-1691, art. 8, I, A, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture)
  2. ALERTE-09 (Élevée) : Si la procédure permet le signalement oral, elle précise qu'il peut être effectué par téléphone ou tout autre système de messagerie vocale et, à la demande de l'auteur et selon son choix, lors d'une visioconférence ou d'une rencontre physique organisée au plus tard vingt jours ouvrés après réception de la demande. Décret n° 2022-1284, art. 4, I, al. 1, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture). Applicabilité : Entités dont la procédure prévoit le signalement oral (décret, art. 4, I)
  3. ALERTE-10 (Élevée) : Tout signalement oral est consigné : enregistrement sur support durable ou transcription intégrale (ligne enregistrée, avec consentement), procès-verbal précis (ligne non enregistrée), enregistrement ou procès-verbal (visioconférence ou rencontre, avec consentement). L'auteur peut vérifier, rectifier et approuver la transcription ou le procès-verbal par sa signature. Décret n° 2022-1284, art. 6, II, 1° à 3° et al. suivant, Légifrance : Décret n° 2022-1284, article 6 (confidentialité, consignation des signalements oraux). Applicabilité : Entités dont la procédure prévoit le signalement oral (décret, art. 4, I et 6, II)
  4. ALERTE-11 (Moyenne) : La procédure prévoit la transmission sans délai aux personnes ou services désignés des signalements reçus par d'autres personnes ou services. Décret n° 2022-1284, art. 6, I, al. 2, Légifrance : Décret n° 2022-1284, article 6 (confidentialité, consignation des signalements oraux)

Traitement et délais

  1. ALERTE-12 (Critique) : La procédure prévoit que l'auteur du signalement est informé par écrit de sa réception dans un délai de sept jours ouvrés à compter de cette réception. Décret n° 2022-1284, art. 4, I, al. 3, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture)
  2. ALERTE-13 (Élevée) : Sauf signalement anonyme, l'entité vérifie que les conditions de l'article 6 et du A du I de l'article 8 de la loi sont respectées et peut demander tout complément d'information ; la procédure prévoit que l'auteur est informé des raisons pour lesquelles l'entité estime, le cas échéant, que son signalement ne les respecte pas. Décret n° 2022-1284, art. 4, II, al. 1 et 2 ; loi n° 2016-1691, art. 6, I et 8, I, A, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture)
  3. ALERTE-14 (Élevée) : La procédure précise les suites données aux signalements qui ne respectent pas les conditions de l'article 6 et du A du I de l'article 8 de la loi, ainsi que les suites données aux signalements anonymes. Décret n° 2022-1284, art. 4, II, al. 3, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture)
  4. ALERTE-15 (Élevée) : Lorsque le signalement porte sur des faits survenus ou très susceptibles de se produire dans une entité du même périmètre de consolidation (C. com., art. L. 233-16), l'entité peut inviter l'auteur à l'adresser également à celle-ci et, si elle estime qu'il y serait traité plus efficacement, à retirer le sien ; les informations ne sont communiquées à des tiers que si c'est nécessaire au traitement et dans le respect de l'article 9, I de la loi. Décret n° 2022-1284, art. 4, II, al. 4 et art. 6, I, al. 3 ; référentiel CNIL (2023), § 57 et 59, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture). Applicabilité : Entités appartenant à un groupe (périmètre de consolidation au sens de l'article L. 233-16 du code de commerce)
  5. ALERTE-16 (Élevée) : Lorsque les conditions sont réunies, l'entité assure le traitement du signalement, peut demander tout complément d'information pour évaluer l'exactitude des allégations et, lorsqu'elles lui paraissent avérées, met en œuvre les moyens à sa disposition pour remédier à l'objet du signalement. Décret n° 2022-1284, art. 4, III, al. 1 à 3, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture)
  6. ALERTE-17 (Critique) : La procédure prévoit que l'entité communique par écrit à l'auteur, dans un délai raisonnable n'excédant pas trois mois à compter de l'accusé de réception (à défaut d'accusé de réception, trois mois à compter de l'expiration d'une période de sept jours ouvrés suivant le signalement), les mesures envisagées ou prises pour évaluer l'exactitude des allégations et, le cas échéant, remédier à l'objet du signalement, ainsi que leurs motifs. Décret n° 2022-1284, art. 4, III, al. 4 ; loi n° 2016-1691, art. 7-1, dernier al. (signalement anonyme), Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture)
  7. ALERTE-18 (Moyenne) : L'entité clôture le signalement lorsque les allégations sont inexactes ou infondées, ou lorsqu'il est devenu sans objet ; la procédure prévoit que l'auteur est informé par écrit de la clôture du dossier. Décret n° 2022-1284, art. 4, III, al. 5, Légifrance : Décret n° 2022-1284, article 4 (canal, accusé de réception, traitement, retour, clôture)

Confidentialité et données

  1. ALERTE-19 (Critique) : La procédure garantit l'intégrité et la confidentialité (stricte, selon la loi) des informations recueillies, notamment l'identité de l'auteur, des personnes visées et de tout tiers mentionné, et interdit l'accès à ces informations aux membres du personnel qui ne sont pas autorisés à en connaître. Loi n° 2016-1691, art. 9, I, al. 1 ; décret n° 2022-1284, art. 6, I, al. 1 et 2, Légifrance : Loi n° 2016-1691, article 9 (confidentialité et conservation des signalements), version en vigueur
  2. ALERTE-20 (Critique) : Les éléments de nature à identifier le lanceur d'alerte ne sont divulgués qu'avec son consentement ; ils peuvent être communiqués à l'autorité judiciaire lorsque les personnes chargées du signalement sont tenues de lui dénoncer les faits, le lanceur en étant alors informé avec des explications écrites, sauf risque pour la procédure judiciaire. Divulguer les éléments confidentiels de l'article 9, I est puni de deux ans d'emprisonnement et de 30 000 € d'amende. Loi n° 2016-1691, art. 9, I, al. 2 et II, Légifrance : Loi n° 2016-1691, article 9 (confidentialité et conservation des signalements), version en vigueur
  3. ALERTE-21 (Élevée) : Les éléments de nature à identifier la personne mise en cause par un signalement ne peuvent être divulgués, sauf à l'autorité judiciaire, qu'une fois établi le caractère fondé de l'alerte. Loi n° 2016-1691, art. 9, I, al. 3, Légifrance : Loi n° 2016-1691, article 9 (confidentialité et conservation des signalements), version en vigueur
  4. ALERTE-22 (Élevée) : Les signalements, ainsi que les enregistrements, transcriptions et procès-verbaux des signalements oraux, ne sont conservés que le temps strictement nécessaire et proportionné à leur traitement et à la protection des personnes concernées, compte tenu d'éventuelles enquêtes complémentaires ; au-delà, seules des données ne permettant pas d'identifier les personnes peuvent être conservées. Loi n° 2016-1691, art. 9, III ; décret n° 2022-1284, art. 6, II, dernier al. ; référentiel CNIL (2023), § 62 à 69, Légifrance : Loi n° 2016-1691, article 9 (confidentialité et conservation des signalements), version en vigueur
  5. ALERTE-23 (Élevée) : Le traitement de données personnelles mis en œuvre pour le dispositif d'alerte est inscrit au registre des activités de traitement. RGPD, art. 30 ; référentiel CNIL alertes professionnelles (2023), § 8, CNIL : RGPD, article 30 (registre des activités de traitement)
  6. ALERTE-24 (Élevée) : Le dispositif de recueil d'alertes professionnelles figure sur la liste CNIL des traitements pour lesquels une analyse d'impact relative à la protection des données est requise : une AIPD est réalisée avant le traitement et réexaminée au moins lorsque le risque évolue. RGPD, art. 35 § 1, 2, 4 et 11 ; liste CNIL des types d'opérations soumises à AIPD (gestion des alertes en matière professionnelle), CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise
  7. ALERTE-25 (Moyenne) : Les personnes concernées sont informées du traitement : l'auteur dès le recueil (au plus tard avec l'accusé de réception pour un signalement hors portail) ; la personne visée dans un délai raisonnable ne dépassant pas un mois, l'information pouvant être différée si elle compromettrait gravement les objectifs du traitement, et sans révéler l'identité de l'auteur. RGPD, art. 13 et 14 (dont art. 14 § 3, a, et § 5, b) ; référentiel CNIL (2023), § 86 à 93, CNIL : RGPD, article 13 (informations à fournir lorsque les données sont collectées auprès de la personne)
  8. ALERTE-26 (Moyenne) : Les habilitations d'accès aux données d'alerte sont documentées et les accès tracés ; l'organisme met en œuvre les mesures de sécurité listées par le référentiel ou justifie de leur équivalence (référentiel non contraignant : tout écart est à justifier et documenter). Référentiel CNIL alertes professionnelles (2023), § 8, 44, 45 et 109 (recommandation) ; RGPD, art. 32, CNIL : Référentiel relatif aux traitements de données destinés à la mise en œuvre d'un dispositif d'alerte (6 juillet 2023)

Protection contre les représailles

  1. ALERTE-27 (Critique) : Nul ne fait l'objet de représailles pour avoir signalé ou divulgué des informations dans les conditions des articles 6 et 8 : pour les salariés, mesures de l'article L. 1121-2 du code du travail (sanction, licenciement, mesure discriminatoire en matière de rémunération, formation, promotion, évaluation, mutation, renouvellement de contrat…) et des 11° et 13° à 15° du II ; pour les autres personnes, mesures du II, menaces et tentatives comprises. Tout acte contraire est nul de plein droit. Loi n° 2016-1691, art. 10-1, II ; C. trav., art. L. 1121-2, Légifrance : Loi n° 2016-1691, article 10-1 (irresponsabilité, représailles, charge de la preuve), version en vigueur
  2. ALERTE-28 (Élevée) : Les protections des articles 10-1, 12 et 12-1 et du II de l'article 13 s'appliquent aussi, le cas échéant, aux facilitateurs (personne physique ou personne morale de droit privé à but non lucratif aidant au signalement ou à la divulgation), aux personnes physiques en lien avec le lanceur d'alerte exposées à des représailles dans leurs activités professionnelles et aux entités juridiques qu'il contrôle (C. com., art. L. 233-3). Loi n° 2016-1691, art. 6-1, 1° à 3°, Légifrance : Loi n° 2016-1691, article 6-1 (facilitateurs et personnes en lien), version en vigueur
  3. ALERTE-29 (Élevée) : En cas de recours contre une mesure de représailles, dès lors que le demandeur présente des éléments de fait qui permettent de supposer qu'il a signalé ou divulgué des informations dans les conditions des articles 6 et 8, il incombe à la partie défenderesse (l'employeur, le cas échéant) de prouver que sa décision est dûment justifiée. Loi n° 2016-1691, art. 10-1, III, A, al. 1, Légifrance : Loi n° 2016-1691, article 10-1 (irresponsabilité, représailles, charge de la preuve), version en vigueur
  4. ALERTE-30 (Élevée) : Les droits prévus au chapitre II de la loi (protection des lanceurs d'alerte) ne peuvent faire l'objet d'aucune renonciation ni limitation de droit ou de fait d'aucune forme ; toute stipulation ou tout acte contraire est nul de plein droit. Loi n° 2016-1691, art. 12-1, Légifrance : Loi n° 2016-1691, article 12-1 (interdiction de renonciation), version en vigueur
  5. ALERTE-31 (Critique) : Faire obstacle, de quelque façon que ce soit, à la transmission d'un signalement aux personnes et organismes de l'article 8, I et II (voie interne, y compris supérieur hiérarchique, employeur ou référent ; autorités externes, Défenseur des droits, autorité judiciaire, institutions de l'Union) est puni d'un an d'emprisonnement et de 15 000 € d'amende, avec peine complémentaire d'affichage ou de diffusion de la décision. Loi n° 2016-1691, art. 13, I et art. 13-1, Légifrance : Loi n° 2016-1691, article 13 (obstacle au signalement, procédures abusives), version en vigueur
  6. ALERTE-32 (Moyenne) : Lors d'une procédure dirigée contre un lanceur d'alerte en raison des informations signalées ou divulguées, l'amende civile encourue en cas d'action abusive ou dilatoire est portée à 60 000 €, sans préjudice de dommages et intérêts ; la règle vaut aussi pour les personnes de l'article 6-1. Une analyse préalable de toute action envisagée est une bonne pratique, non imposée par le texte. Loi n° 2016-1691, art. 13, II et art. 6-1, Légifrance : Loi n° 2016-1691, article 13 (obstacle au signalement, procédures abusives), version en vigueur

Information et diffusion

  1. ALERTE-33 (Critique) : La procédure est diffusée par tout moyen assurant une publicité suffisante (notification, affichage, publication, le cas échéant sur le site internet ou par voie électronique), de façon à être accessible en permanence aux personnes visées à l'article 8, I, A, y compris extérieures à l'entité. Décret n° 2022-1284, art. 8, al. 1, Légifrance : Décret n° 2022-1284, article 8 (diffusion de la procédure, information sur les canaux externes)
  2. ALERTE-34 (Élevée) : L'entité met à disposition des informations claires et facilement accessibles sur les procédures de signalement externe : autorités désignées en annexe du décret (dont Tracfin, et l'AMF et l'ACPR sans limitation de champ, depuis le 1er juillet 2026), Défenseur des droits, autorité judiciaire, institutions, organes et organismes de l'Union. Décret n° 2022-1284, art. 8, al. 3 et annexe (rédaction du décret n° 2026-311) ; loi n° 2016-1691, art. 8, II, Légifrance : Décret n° 2022-1284, article 8 (diffusion de la procédure, information sur les canaux externes)
  3. ALERTE-35 (Moyenne) : Le règlement intérieur, obligatoire dans les entreprises et établissements d'au moins cinquante salariés, rappelle l'existence du dispositif de protection des lanceurs d'alerte prévu au chapitre II de la loi n° 2016-1691. C. trav., art. L. 1321-2, 3° ; C. trav., art. L. 1311-2, al. 1 et 2, Légifrance : Code du travail, article L. 1321-2 (contenu du règlement intérieur). Applicabilité : Entreprises et établissements d'au moins 50 salariés tenus d'établir un règlement intérieur (C. trav., art. L. 1311-2)

Ce que le plan ne couvre pas