Canal de signalement interne ou externe : ce que dit la loi espagnole 2/2023 et lequel choisir dans votre PME

Quand une PME espagnole atteint 50 salariés et doit mettre en place son canal de signalement, le premier doute est souvent une question de vocabulaire : canal de signalement interne ou externe, lequel choisir ? La question cache deux choses différentes. D’une part, la loi 2/2023 distingue le canal interne que l’entreprise doit avoir du canal externe géré par l’Autorité indépendante de protection du lanceur d’alerte, et l’informateur peut utiliser l’un ou l’autre. D’autre part, l’entreprise elle-même peut gérer son canal interne en interne ou le confier à un tiers externe. Cet article clarifie les deux points, résume ce que la loi exige du système interne et explique quelle option convient selon la taille et la structure de l’entreprise.

Deux canaux, deux rôles : l’interne de l’entreprise et l’externe de l’Autorité

La loi 2/2023 du 20 février, qui transpose la directive européenne sur la protection des lanceurs d’alerte, organise le signalement des infractions selon deux voies :

Le canal interne (titre II). Toute entreprise de 50 travailleurs ou plus doit en avoir un, de même que toutes les administrations publiques et certaines entités comme les partis politiques ou les fondations recevant des fonds publics. C’est le système propre à l’organisation : il reçoit les signalements, les instruit et les résout. La loi le considère comme la voie à privilégier, car il permet de corriger le problème là où il se produit.
Le canal externe (titre III). Il est géré par l’Autorité indépendante de protection du lanceur d’alerte, qui exploite le canal externe national depuis le 1er septembre 2025, et par les autorités régionales créées à cet effet. L’informateur peut s’y adresser directement ou après avoir utilisé le canal interne, et bénéficie de la même protection contre les représailles.

L’entreprise ne choisit pas entre ces deux canaux : elle doit avoir l’interne, et l’externe existe indépendamment de ce qu’elle fait. Ce qu’elle décide, c’est comment organiser le sien.

Ce que la loi exige du canal interne

Quel que soit le gestionnaire, le système interne d’information doit respecter les articles 5 à 9 de la loi :

Approbation par l’organe d’administration et désignation d’un Responsable du système, dont l’identité est communiquée à l’Autorité.
Des canaux accessibles par écrit, oralement ou les deux, avec possibilité d’une réunion en présentiel si l’informateur le demande, et admission des signalements anonymes.
Confidentialité de l’identité de l’informateur et de tout tiers mentionné, et protection des données conforme au RGPD, avec un accès restreint au personnel autorisé.
Une procédure de gestion publiée : accusé de réception dans un délai maximal de sept jours calendaires, réponse dans un délai de trois mois prolongeable de trois mois supplémentaires dans les cas particulièrement complexes, communication avec l’informateur et registre des signalements reçus.
Une information visible sur le canal interne et sur le canal externe de l’Autorité, sur le site web et l’intranet de l’entreprise.
Interdiction des représailles et garanties pour l’informateur et la personne concernée.

Les entreprises de 50 à 249 travailleurs peuvent partager le système et les ressources de traitement des signalements, dans le respect de la confidentialité. Et l’article 6.3 ouvre la porte à la deuxième décision de cet article : le système « peut être géré au sein de l’entité elle-même ou en recourant à un tiers externe ».

Gestion interne ou gestion externalisée : la décision qui vous appartient

Le gérer au sein de l’entreprise

L’entreprise désigne le Responsable du système parmi son personnel (conformité, juridique, direction) et traite les signalements avec une plateforme propre ou sous contrat.

Pour : connaissance du métier, rapidité pour enquêter et corriger, coût maîtrisé. Contre : dans une PME, il est difficile de garantir l’indépendance du responsable vis-à-vis de la personne susceptible d’être signalée, et la confidentialité souffre lorsque celui qui reçoit le signalement partage le couloir avec l’informateur et la personne visée. Cela exige aussi une formation spécifique et de la disponibilité pour respecter les délais.

Confier la gestion à un tiers externe

Un cabinet d’avocats, un conseil en conformité ou le fournisseur de la plateforme reçoit les signalements, effectue la première analyse et coordonne l’enquête avec l’entreprise, qui reste responsable de la résolution.

Pour : indépendance perçue et réelle, confidentialité renforcée, connaissance juridique de la procédure et respect des délais sans dépendre d’une personne interne. Contre : coût supplémentaire, nécessité d’un contrat de sous-traitance de données et d’un protocole clair sur ce que décide le tiers et ce que décide l’entreprise. La responsabilité juridique ne s’externalise pas : elle reste celle de l’organisation.

Comment décider

PME de 50 à 100 salariés sans service conformité : la gestion externalisée ou, au moins, la réception externe des signalements est généralement la façon la plus réaliste de garantir indépendance et délais.
Entreprise dotée d’un service conformité ou juridique distinct de la direction opérationnelle : gestion interne avec une plateforme qui assure anonymat, chiffrement et traçabilité.
Groupe de plusieurs PME : système partagé entre celles de moins de 250 travailleurs, avec un responsable par entité.
Dans tous les cas, la plateforme doit permettre les signalements anonymes, chiffrer l’identité, enregistrer chaque étape du dossier avec ses délais et produire le rapport que l’Autorité peut demander.

Comment LapsoWork le résout

Le canal d’alerte de LapsoWork est conçu pour les deux formes de gestion :

Signalements anonymes et chiffrés : l’informateur décide de préserver ou non son identité et le gestionnaire du canal ne voit que ce que l’informateur autorise.
Dossier traçable : chaque signalement ouvre un dossier avec accusé de réception, délais légaux, réponses et résolution finale.
Canal interne à votre marque ou gestion externe : portail personnalisé géré par votre Responsable du système, ou gestion sous-traitée comme canal externe indépendant.
Conforme à la loi 2/2023 : protocole, délais et procédure conçus selon la norme, avec publication du canal sur le site de l’entreprise.
Prêt en 48 heures, à partir de 299,99 € par an hors TVA, en complément de la plateforme RH.

Retrouvez le détail sur la page du canal d’alerte. Et si vous voulez d’abord savoir si votre entreprise est concernée, nous avons le guide sur le canal de signalement obligatoire et l’article sur la procédure du canal de signalement.

Que se passe-t-il si vous n’en avez pas

Ne pas disposer de système interne d’information est une infraction très grave de la loi 2/2023, sanctionnée pour les personnes morales de 600 001 à 1 000 000 d’euros, en plus d’un blâme public et d’une interdiction de subventions jusqu’à quatre ans. Les infractions graves vont de 100 001 à 600 000 euros et les mineures de 1 001 à 100 000. Nous le détaillons dans sanctions pour absence de canal de signalement.

Questions fréquentes

Quelle est la différence entre le canal de signalement interne et le canal externe ?

Le canal interne est le système d’information que doit avoir l’entreprise de 50 travailleurs ou plus pour recevoir, instruire et résoudre les signalements d’infractions. Le canal externe est géré par l’Autorité indépendante de protection du lanceur d’alerte ou par l’autorité régionale compétente, et l’informateur peut s’y adresser directement. L’entreprise est tenue d’avoir l’interne et d’informer de l’existence de l’externe.

Une PME peut-elle confier son canal de signalement à une entreprise externe ?

Oui. L’article 6.3 de la loi 2/2023 permet de gérer le système interne au sein de l’entité ou en recourant à un tiers externe. La responsabilité reste celle de l’entreprise, qui doit désigner un Responsable du système et signer avec le tiers le contrat de sous-traitance de données correspondant.

L’informateur doit-il d’abord utiliser le canal interne ?

Non. La loi considère le canal interne comme la voie à privilégier, mais l’informateur peut s’adresser directement au canal externe de l’Autorité, ou le faire après avoir utilisé l’interne, sans perdre la protection contre les représailles.

Quels sont les délais du canal de signalement ?

Accusé de réception dans un délai maximal de sept jours calendaires après réception, et réponse à l’informateur dans un délai maximal de trois mois, prolongeable de trois mois supplémentaires dans les cas particulièrement complexes. Le système doit enregistrer les signalements et ne conserver les données que le temps nécessaire à l’enquête.

Quelles entreprises doivent avoir un canal de signalement ?

Celles de 50 travailleurs ou plus, toutes les administrations publiques et certaines entités comme les partis politiques, les syndicats, les organisations patronales et les fondations recevant des fonds publics, ainsi que celles du secteur financier quelle que soit leur taille. Celles de 50 à 249 travailleurs peuvent partager le système.

Conclusion

La loi 2/2023 ne vous laisse pas choisir entre canal interne et externe : l’externe est géré par l’Autorité et vous devez avoir l’interne si vous dépassez 50 salariés. Ce que vous choisissez, c’est de gérer le vôtre au sein de l’entreprise ou avec un tiers indépendant, et la réponse dépend de votre capacité à garantir indépendance, confidentialité et délais avec votre propre personnel. Quelle que soit l’option, il faut une plateforme anonyme, chiffrée et traçable. Vous pouvez l’avoir en 48 heures avec le canal d’alerte de LapsoWork.