Le 31 août 2022, le Conseil fédéral a adopté la nouvelle ordonnance sur la protection des données ("OPD") et a décidé que la nouvelle LPD et la nouvelle OPD entreraient en vigueur le 1er septembre²⁰²³². En ce qui concerne la protection des données dans les processus de dénonciation, il est important d'examiner des sujets tels que le traitement des données personnelles du dénonciateur et de la personne accusée, les obligations d'information, les droits d'accès, la tenue de registres et les pratiques et politiques de stockage et de conservation des données.

Conformément à l'art. 321 a Para. 1 du Code des obligations ("CO"), l'employé doit défendre de bonne foi les intérêts justifiés de l'employeur. L'art. 321 a Para. 4 du Code des obligations énonce l'obligation de confidentialité.
Sur cette base, les employés doivent d'abord signaler les fautes professionnelles à l'employeur en interne. Ce n'est que lorsque tous les moyens de signalement interne ont été épuisés et qu'il existe un problème d'intérêt public que l'employé peut divulguer le problème aux autorités. Si les autorités ne prennent aucune mesure et en dernier recours, l'employé peut signaler la faute au public. Il est donc dans l'intérêt d'une organisation de fournir des moyens adéquats de signalement en interne et d'enquêter de manière impartiale et approfondie sur les signalements. Si un employé choisit de faire un rapport à l'extérieur de l'organisation, le problème peut rapidement échapper à tout contrôle et déboucher sur une crise majeure.

Le droit suisse et les meilleures pratiques attendent du conseil d'administration qu'il assume la responsabilité du système de contrôle interne, de la gestion des risques et de la conformité^.3 Le Code suisse de bonne pratique pour le gouvernement d'entreprise stipule que "le conseil d'administration doit mettre en place des systèmes de contrôle interne et de gestion des risques adaptés à l'entreprise. La gestion des risques concerne les risques financiers, opérationnels et de réputation. Le conseil d'administration est donc également responsable des questions de protection des données et de la mise en œuvre correcte du RGPD révisé. La protection des données étant un élément clé de tout système de dénonciation, cette responsabilité signifie également que le conseil d'administration peut faire l'objet de sanctions pénales découlant de la législation sur la protection des données. Il convient de noter que les sanctions prévues par la loi révisée sur la protection des données sont des sanctions de droit pénal (administratif), qui sont imposées dans le cadre d'une procédure pénale, affectent personnellement les personnes responsables et ne peuvent pas être payées ou assurées par l'entreprise.

Il ne suffit pas de disposer d'un service d'assistance téléphonique pour les dénonciations. Les entreprises doivent également disposer d'un programme et d'une culture d'éthique complets afin que les employés se sentent suffisamment responsabilisés et en sécurité pour s'exprimer. Ceci est particulièrement important en Suisse où la peur des représailles reste très réelle. Selon l'enquête internationale Ethics at Work : 2021 menée auprès des employés, seuls 41 % des employés (parmi les plus faibles des 13 pays étudiés) en Suisse qui ont eu connaissance d'une mauvaise conduite au travail en ont parlé à la direction, à une autre personne appropriée ou par le biais d'un autre mécanisme. En d'autres termes, plus de la moitié de la main-d'œuvre reste silencieuse lorsqu'une fraude ou une mauvaise conduite est observée au travail, ce qui est un chiffre élevé et choquant. La principale raison pour laquelle les salariés suisses ne font pas part de leurs préoccupations est qu'ils pensent que cela pourrait compromettre leur emploi.

En montrant que les dénonciations sont prises au sérieux et traitées rapidement, vous renforcerez la confiance de vos employés et les encouragerez en fin de compte à se manifester s'ils sont témoins d'une mauvaise conduite. En conséquence, le conseil d'administration a tout intérêt à prendre le risque de fraude au sérieux et à revoir l'approche de l'organisation en matière de prévention, de détection et de réponse à la fraude et à l'inconduite. Cela devrait inclure un examen du système de dénonciation de l'organisation (par exemple, par rapport aux principes de la norme ISO 37002) et une vérification pour s'assurer que les employés savent quand et comment l'utiliser. En outre, l'organisation doit s'assurer que le personnel chargé de traiter les cas de dénonciation est bien conscient de tous les risques potentiellement pertinents et de la manière de traiter un cas de manière appropriée. Par exemple, un employé signale par l'intermédiaire de la ligne téléphonique d'alerte que derrière l'usine de l'organisation, il y a un trou dans la prairie où rien ne pousse plus. S'agit-il simplement d'un cas de gaspillage ou d'un risque potentiel pour l'environnement ?

L'incertitude économique croissante crée une pression à différents niveaux d'une organisation. Nous avons observé que les périodes d'instabilité économique peuvent inciter les individus à commettre des actes frauduleux, qu'il s'agisse de vol, de fraude aux états financiers, de conflits d'intérêts ou même d'actes de corruption. Les organisations pourraient vouloir revoir leur cadre de gestion de la fraude, adapter les contrôles et fermer les portes dérobées aux risques de fraude accrus, en particulier à la lumière de l'évolution récente des modes de travail vers des modèles de travail hybrides.

Dans un monde en constante évolution, il est important d'envisager l'intégration de sujets tels que la gouvernance environnementale et sociale (ESG), l'esclavage moderne, les sanctions et la protection des données/le transfert de données dans la politique de dénonciation.
Il n'y a pas que la fraude financière et l'inconduite qui peuvent avoir un impact négatif sur une organisation, par exemple en détruisant sa réputation, en la soumettant à un examen minutieux de la part des médias, en sapant les relations avec les fournisseurs, les clients, les institutions financières et les marchés financiers, et/ou en portant atteinte au moral des employés et en entraînant une augmentation de l'attrition.