Registre des signalements : ISO 37301 et Ley 2/2023 espagnole

Ce que demande la norme

---

Ce qu’exige ISO 37301 et ce qui est laissé à votre appréciation

L’ISO 37301 demande un processus qui encourage et permette de signaler des tentatives, des soupçons ou des manquements avérés à la politique ou aux obligations, avec confidentialité, possibilité d’anonymat et protection contre les représailles. La norme n’exige pas à elle seule de registre, mais bien des enregistrements exacts et à jour des activités de compliance (9.1.5).

En Espagne, la Ley 2/2023 en fait une obligation pour les entreprises privées de cinquante salariés ou plus et pour l’ensemble du secteur public : il faut tenir un registre des informations reçues et des enquêtes, qui n’est pas public et dont les données ne peuvent être conservées plus de dix ans.

Les délais légaux déterminent les champs : accusé de réception sous sept jours calendaires et réponse dans un délai maximal de trois mois, prolongeable de trois mois dans les cas complexes. Si aucune enquête n’a été ouverte dans les trois mois, les données personnelles sont supprimées, sauf pour garder la preuve du fonctionnement du système.

Structure

---

Les champs que doit comporter le modèle

• Code du signalement et date de réception
• Canal d’entrée et caractère anonyme ou non
• Objet et domaine : pénal, administratif, social, code de déontologie
• Date de l’accusé de réception (limite : 7 jours calendaires)
• Recevabilité ou irrecevabilité, avec son motif
• Enquête ouverte, enquêteur et référence du dossier
• Date de réponse à l’auteur du signalement (limite : 3 mois, prolongeable)
• Conclusion et mesures adoptées
• Date de clôture et de suppression des données

À l’audit

---

Les erreurs que relèvent souvent les auditeurs

• Des accusés de réception hors délai ou sans date qui le prouve.
• Des signalements anonymes écartés du seul fait de leur anonymat.
• Un registre accessible sans restriction aux ressources humaines ou à la direction.
• Des données conservées sans limite ou, à l’inverse, effacées sans garder de preuve du fonctionnement du canal.

Dans Kimobox

---

Comment tenir cet enregistrement dans Kimobox

1. 1Seuls le Responsable du système et les personnes qu’il autorise accèdent aux signalements et à leur contenu.
2. 2Le système alerte avant l’échéance des sept jours de l’accusé de réception et des trois mois de la réponse.
3. 3Les informations reçues et les enquêtes qu’elles déclenchent sont enregistrées pour le registre, chaque dossier étant tracé jusqu’à sa clôture.

Questions fréquentes

---

Ce que l’on nous demande avant de commencer