Politique des dénonciateurs et protection du personnel

1) Introduction et objectifs

La politique des dénonciateurs (whistleblowing) est le fondement de l'éthique organisationnelle et de la gestion des risques. Il crée un moyen sûr pour les employés, les entrepreneurs, les partenaires et les affiliés de signaler les violations : corruption, fraude, AML/sanctions, violations du jeu responsable, sécurité des données, harcèlement, conflit d'intérêts, manipulation des rapports, etc. Objectifs de la politique : (1) détection précoce des violations, (2) protection des personnes ayant signalé, (3) enquête transparente et équitable, (4) prévention des représailles.

2) Principes clés

Tolérance zéro à la répression. Toute forme de pression, de rétrogradation, de licenciement, de « gel » des bonus, de menaces - est interdite.
Confidentialité et, si possible, anonymat. L'identité de l'informateur n'est révélée que par nécessité légale et avec un protocole d'accès.
Indépendance de l'enquête. Les parties en conflit et leurs gestionnaires sont exclus.
Rapidité et proportionnalité. Les délais sont fixés par le SLA, les mesures sont proportionnées au risque.
Protection de l'intégrité. La communication de bonne foi est protégée même si le fait n'est pas confirmé.
Aucun effet immunisant sur les abus. Les fausses dénonciations sont une responsabilité disciplinaire.

3) Domaine d'action

Personnel interne (personnel/contrat).
Entrepreneurs, consultants, affiliés, agents de soutien, fournisseurs de jeux/paiements.
Candidats à l'emploi (signalements d'irrégularités de recrutement).
Anciens fonctionnaires (durée limitée après le licenciement, recommandé ≥ 12 mois).

4) Quoi et où signaler (catégories)

Finances/fraude : faux comptes, pots-de-vin, métriques de « dessin », bonus-abyse du personnel.
Conformité : violations AML/KYC, sanctions, falsification de documents, gembling illégal en géo interdit.
Infobèse/données : fuites, backdoors, contournement de KMS, manipulation de logs.
Éthique/RH : harcèlement, discrimination, bulling, conflit d'intérêts.
Honnêteté de jeu : manipulation RTP/RNG, promos sans scrupules.
Santé et sécurité au travail : menaces pour la santé, infractions H et S.

5) Canaux de messagerie (ensemble minimum)

1. Ligne de feu externe (24/7, opérateur indépendant) : formulaire Web, téléphone, e-mail ; soutien à l'anonymat et multilinguisme.
2. Portail/bot interne (SSO, mais option fenêtre anonyme).
3. DPO/SRO/Officier de conformité - boîte aux lettres personnelle.
4. Boîte de confiance physique (pour les emplacements hors ligne).
5. Droit de communication externe aux régulateurs/ombudsmans si les canaux internes n'ont pas fonctionné ou s'il y a un risque de représailles.

Exigences en matière de canaux : chiffrement, journal d'audit, suivi des statuts, minuteries SLA, protection contre la deanonymisation.

6) Calendrier et SLA (norme recommandée)

T + 7 jours : confirmation de la réception du message à l'informateur (sinon anonymement).
T + 30 jours : détention provisoire (scope, plan d'enquête).
T + 90 jours : réponse finale/rapport intermédiaire dans les affaires complexes (avec justification de renouvellement).
Incidents P0 (menace pour la vie/sécurité, fuite critique) : intervention immédiate, escalade dans les 2 heures.

7) Processus (flux de bout en bout)

1. Le dépôt d'un message → l'attribution d'un ID unique, un NIP sécurisé pour les anonymes.
2. Triage et classification (RH/Juridique/GRC) : risque, conflit d'intérêts, nécessité de conserver les preuves.
3. Affectation d'une équipe indépendante (voir RACI).
4. Collecte/conservation des preuves : logs, correspondance, artefacts IDS/EDR, documents financiers (avec chaîne de stockage).
5. Entrevues et analyses (minimisation de la divulgation de l'identité de l'informateur).
6. Conclusions et recommandations : mesures disciplinaires, améliorations des contrôles, avis aux organismes de réglementation (si nécessaire).
7. Fidbek à l'informateur : statut et résultats généraux sans préjudice de l'enquête/secret.
8. Surveillance de la répression : post-contrôle 6-12 mois.

8) RACI (rôles et responsabilités)

9) Protection des dénonciateurs

Interdiction de représailles : consignée dans les documents de travail/code.
Confidentialité : les données personnelles et le contexte sont divulgués selon le principe « strictement nécessaire à savoir ».
Traduction/changement d'horaire à la demande de l'informateur pour réduire la pression.
Congés payés/soutien (en cas de toxicité élevée).
Assistance judiciaire (dans les affaires graves - compensation des coûts de base).
Surveillance des symptômes KPI : détérioration soudaine des notes, bloc de bonus, transfert en quarts « punitifs ».

10) Anonymat : limites et attentes

Les messages anonymes sont acceptés, mais il faut expliquer honnêtement les limites : la communication est plus difficile, le risque de malentendus. Prendre en charge le canal bidirectionnel (ID + PIN) pour les améliorations. N'essayez pas de déshonimiser - cela sape la confiance et peut enfreindre la loi.

11) Liens avec d'autres politiques

Code d'éthique et de conduite

Politique en matière de lutte contre la corruption et de cadeaux

AML/KYC/Sanctions

Sécurité de l'information et vie privée (RGPD/PDPA/LGPD)

Sécurité au travail et H&S

Politique de harcèlement et de lutte contre la discrimination

12) Données et vie privée

Gardez seulement le minimum nécessaire, séparez l'identité de l'informateur du matériel de cas.
Motifs juridiques du traitement : intérêt légitime/obligation légale.
Durée de conservation : selon les exigences locales (habituellement 3-6 ans) ou jusqu'à la fin des litiges.
Sécurité : coffre-fort/clés séparés, accès restreint, audit des demandes.

13) Communications externes et régulateurs

La politique doit reconnaître le droit de l'informateur de s'adresser directement aux autorités compétentes (régulateurs, ombudsmans, forces de l'ordre), en particulier si les canaux internes ne sont pas fiables ou sont en conflit d'intérêts. La société s'engage à ne pas entraver ou poursuivre pour cela.

14) Matrice des catégories et priorités

15) Métriques d'efficacité (dashboard)

Entonnoir : Reçu → dans le travail → confirmé → fermé.
Temps moyen de triage/fermeture par priorité.
Proportion de cas ayant donné lieu à des mesures correctives.
NPS/chaîne de confiance (sondage anonyme).
Indice de sécurité : il n'y a pas de plaintes pour représailles, il n'y a pas de décisions de personnel « étranges » après les rapports.
Couverture par les formations et leur fréquence.

16) Formation et communication

Formation obligatoire annuelle (cas, simulations).
Affiches/affiches avec les codes QR des canaux.
Exemples « justes » de bout en bout : lettres, correspondance, rapports.
Rapport aux employés : statistiques agrégées et cas sans personnalité.

17) Interaction avec les fournisseurs/affiliés

Dans les traités : obligation d'avoir/maintenir un canal d'informateurs, de reconnaître le droit de nous contacter directement, interdiction de représailles.
« Droit à l'audit » et obligation de notifier les incidents importants dans les X heures.
Un référentiel commun de normes éthiques et de points de contact.

18) Dispositions modèles (esquisse du libellé)

• "La société n'autorise aucune forme de représailles contre les personnes qui ont signalé de bonne foi des violations présumées. Toute action ayant un caractère de pression entraînera des mesures disciplinaires allant jusqu'au licenciement".

• « Les informations sur l'identité de l'informateur et les détails de la communication sont traitées de manière confidentielle et ne sont divulguées que si nécessaire ou à la demande de la loi ».

• "L'enquête est menée par une équipe indépendante mandatée ; les personnes ayant un risque de conflit d'intérêts ne sont pas admises".

• "La confirmation est de 7 jours ; la réponse préliminaire est de 30 jours ; le total est de 90 jours (ou un rapport intermédiaire justifiant le renouvellement) ".

(Avant de l'appliquer, adaptez-vous à la loi locale/coldogoros.)

19) Intégration avec iGaming-Risk

Lien avec Responsible Gaming (abus de programmes VIP, contournement de l'auto-exclusion).
Contrôle des fournisseurs de jeux (intervention dans RTP, fixations rapides en dehors de la réglementation).
Marketing/affiliations : fausses promesses, pratiques de lidogénération « noires ».
Paiements : contournement des sanctions/AML, PSP « gris », risque on/off-ramp.

20) Chèque de mise en œuvre

1. Attribuer le Whistleblowing Officer et la ligne de réserve de subordination au bord.
2. Sélectionner et démarrer les canaux protégés (opérateur externe recommandé).
3. Approuver la politique, RACI, SLA, formulaire de message.
4. Mettre en place des procédures légales et de conservation des preuves.
5. Effectuer un kick-off-training + modules rafraîchissants annuels.
6. Inclure l'interdiction de représailles dans les contrats de travail et le code.
7. Lancez les métriques de dashboard et les critiques trimestrielles de bord.
8. Évaluer les risques des principaux fournisseurs et inclure les obligations dans les contrats.
9. Organiser un sondage sur la crédibilité des canaux tous les 6 à 12 mois.
10. Effectuer un test incident (table-top) avec des fonctions de bord et clés.

Sortie

La politique de travail des dénonciateurs n'est pas seulement un moyen de « laisser une plainte ». C'est un écosystème de confiance : des canaux sécurisés, des rôles clairs, une enquête indépendante, une tolérance zéro à la répression et des rapports réguliers à bord. Les SLA formalisées, la formation et l'intégration à la gestion des risques en font un outil efficace de prévention des perturbations et renforcent la culture éthique de l'entreprise.