Externalisation de la gestion des alertes éthiques Sapin II

Phase 1 — Conception et gouvernance

• Analyse de l’existant et adaptation procédurale pour externalisation.
• Livrables : processus formalisé de traitement des alertes (architecture et procédure), procédure commune de recueil et d’analyse, matrice d’escalade définissant les acteurs à prévenir selon la nature de l’alerte.

Phase 2 — Solution technique de signalement

• Plateforme web de signalement accessible en langue française et conforme aux exigences d’accessibilité (RGAA).
• Fonctionnalités : interface de dialogue anonyme et sécurisée, coffre‑fort numérique pour dépôt de preuves, module de reporting et tableaux de bord anonymisés, gestion des habilitations et journalisation des actions.
• Exigences de sécurité et opérations : chiffrement des données (AES‑256 ou équivalent), authentification forte (MFA), journalisation conservée au minimum 12 mois, sauvegardes quotidiennes et conservation minimale des sauvegardes, hébergement certifié ISO 27001, dispositif IDS/IPS et supervision 24/7, plan de continuité et de reprise d’activité documenté et testé.
• Performances : disponibilité ≥ 99,5 % hors maintenance planifiée ; maintenance préventive et corrective ; politiques de sécurité « privacy by design » et protection des données par défaut.
• Livrables : plateforme paramétrée pour la population ciblée (capacité prévue pour 11 000 utilisateurs + 5 utilisateurs référents), guides utilisateurs, campagnes de tests et recettes, protocoles de gouvernance et procédures opérationnelles.

Phase 3 — Exploitation opérationnelle et traitement des alertes

• Réception, qualification juridique et déontologique des signalements (recevabilité, qualification juridique, orientation).
• Instruction et traitement des alertes avec production de rapports de qualification, recommandations, suivi des décisions et bilans annuels/rapports stratégiques.
• Garanties d’indépendance, de confidentialité, de gestion de l’anonymat et du secret professionnel ; gestion des escalades selon la matrice définie.
• Mise à disposition d’expertises juridiques et déontologiques ponctuelles en cas d’alerte grave.

Aspects contractuels et opérationnels

• Modalités de sous‑traitance, transferts de données et obligations de confidentialité et de conformité RGPD (flux, rôle de responsable/ sous‑traitant, modalités de paiement direct prévu le cas échéant).
• Cession des droits de propriété intellectuelle sur les livrables et droits d’exploitation de la solution technique selon conditions contractuelles.