如何在企業內接收及處理吹哨者的舉報？

更新日期：2026年11月9日

負責人：Pascal-André Gérinier（律師 - 創辦人）、William Mak 麥紹榮（律師 - 創辦人）

僱員人數至少五十人的企業，須在諮詢員工代表委員會（CSE）後建立接收及處理舉報的內部程序（薩賓第二法（Sapin II）第8條）。舉報人在七個工作日內收到收件確認，並在三個月內收到回覆（2022年10月3日第2022-1284號法令第4條）。其身份保密，違者可處兩年監禁及30,000歐元罰款（第9條），任何報復均當然無效（第10-1條）。舉報不等於調查：它要求核實其可受理性，然後評估指控的準確性，在事實嚴重時實務上透過內部調查進行。

要點

• 五十名僱員：超過此門檻內部程序屬強制；低於此門檻，僱員可向其上級或僱主發出警示，並仍受保護。
• 七個工作日內確認收件，三個月內告知舉報人後續處理。
• 舉報人、被針對者及第三方的身份嚴格保密；被指控者的身份只有在警示獲確立後方可披露。
• 任何報復措施均當然無效，而阻礙舉報屬刑事罪行。
• 舉報不等於調查：視乎事實的嚴重性及可信度，它可導致調查，屆時正是調查的嚴謹性使事實得以確立。

自五十名僱員起，接收舉報的內部程序屬強制（薩賓第二法第8條）。此渠道亦有助及早發現需要介入的事實。一個便於使用的機制有利於在企業內部處理有關事實，但不排除外部途徑。存在有效的內部舉報途徑，是評估公開披露的準則之一（法國最高法院刑事庭2026年1月13日判決，第24-86.344號）。該渠道組織警示的接收並便利其審查。

誰是吹哨者？

吹哨者是指在無直接金錢對價且出於善意的情況下，舉報或披露涉及犯罪、輕罪、對公共利益的威脅或損害，或違反國際承諾、歐盟法律、法律或法規的資料的自然人（薩賓第二法第6條）。受國防機密、醫療保密、司法評議保密、偵查或預審保密以及律師專業保密義務保護的事實除外。可透過內部途徑舉報的人包括員工、前僱員及應徵者、股東及合夥人、管理機關成員、外部及臨時合作者、合約相對方及其分包商（第8條）。善意陳述或見證騷擾的僱員，除報復措施的禁止及其無效外，還享有薩賓第二法第10-1條第I款及第III款以及第12條至第13-1條規定的免責、舉證安排及費用預付（法國勞動法典第L. 1152-2條）。

內部渠道：誰須設立，如何設立

自五十名僱員起，您須在諮詢CSE或其他社會對話機構後，建立接收警示的內部程序（薩賓第二法第8條第I款B項）。內部專責人員或第三方可接收警示。程序規定書面或口頭舉報，或兩者兼備；如接受口頭舉報，可透過電話或語音信箱進行，並應舉報人要求，在提出要求後最遲二十個工作日內以視像會議或面談方式進行（2022年10月3日法令第4條）。向僱員告知該機制及其方式。僱員不足二百五十人的實體可共用其程序。集團內可設立共同程序（第8條第I款C項）。對於相關的大型公司，將此渠道與反貪腐機制銜接（第17條）。

接收舉報：七個工作日

程序在七個工作日內以書面告知舉報人已收到其舉報（法令第4條）。企業隨後核實舉報是否屬於法律範圍：事實的性質、舉報人的身份、資料是否在職業範圍內取得。企業可向舉報人索取任何補充資料，如認為舉報不符合條件，則向其說明理由。對於匿名舉報，舉報人身份的核實不適用，但程序須訂明其後續處理；其後身份被揭露的匿名舉報人享有相同的保護，而回覆義務對其不適用（第7-1條）。當事實涉及集團另一公司時，企業可邀請舉報人亦向該公司提出舉報。

處理：從核實到調查

收到後，您核實指控是否看來屬實，並可向舉報人索取補充資料。如事實看來可信，企業評估其準確性，必要時透過內部調查。當指控看來屬實時，您須採取措施糾正所舉報的事實。舉報人在合理期限內（自收件確認起不超過三個月）收到關於擬採取或已採取措施及其理由的書面回覆。如指控不準確、無依據或已無意義，您結束舉報並以書面告知舉報人（2022年10月3日法令第4條第III款）。指南《如何就騷擾或歧視進行內部調查？》描述調查本身的方法。

兩項預防措施可避免最常見的爭議。首先，接收警示的專責人員不得與事實有關，亦不得處於被指控者的管轄之下：程序須為此情況指定一名替補人員或第三方。其次，被指控者獲告知對其的指控事實及其數據的用途，但不向其披露舉報人的身份，除非舉報人同意；此項告知原則上須在一個月內作出，但只要會嚴重損害調查（例如有銷毀證據的風險）即可推遲，並須在風險消除後立即作出（CNIL關於職業警示機制的參考框架，2023年7月6日第2023-064號決議）。從定性到結案的每項決定，均在限制存取的案卷中註明日期及理由：正是此案卷將在法官或機關面前證明警示已獲認真處理。

保密與數據

程序保證舉報人、被針對者、任何被提及的第三方的身份以及所收集資料的嚴格保密（第9條）。可識別吹哨者的資料只有在其同意下方可披露，但負責處理的人員有義務告發事實時向司法機關披露除外。可識別被指控者的資料，除向司法機關外，只有在警示的依據確立後方可披露。披露這些資料可處兩年監禁及30,000歐元罰款。舉報只在處理及保護當事人嚴格所需的期間內保存，並遵守GDPR。實務上，這要求收件人範圍封閉、資訊存取受限，以及由只向專責人員及授權機關匯報的人員進行調查。

保護舉報人：報復無效

保護的前提是善意及無直接金錢對價（薩賓第二法第6條）。吹哨者如有合理理由相信其舉報對維護有關利益屬必要，則無須對其舉報造成的損害承擔民事責任，並享有法國刑法典第122-9條規定的刑事免責（第10-1條）。報復受到禁止：解僱、停職、處分、降級、拒絕晉升、調職、減薪、負面評核、騷擾、歧視或列入黑名單。這些措施當然無效。發生爭議時，舉證安排有利於吹哨者，並可獲判給訴訟費用預付（第10-1條第III款）。如因警示而導致合約終止，僱員可以緊急程序（référé）向勞資審裁處（conseil de prud'hommes）提出，並可獲補充其個人培訓帳戶（第12條）。阻礙舉報可處一年監禁及15,000歐元罰款；針對吹哨者的濫訴可導致最高60,000歐元的民事罰款（第13條）。

外部舉報與公開披露

吹哨者亦可在內部舉報後或直接向有管轄權的外部機關、權利保護專員（Défenseur des droits）、司法機關或歐盟機構提出（第8條第II款）。在以下情況下，其可公開披露資料：在外部舉報（無論之前有否內部舉報）後，未在期限內採取任何適當措施；存在嚴重且迫在眉睫的危險；或向機關提出會使其面臨報復或無法有效糾正事實，例如證據有被銷毀的風險（第8條第III款）。刑事庭於2026年1月裁定，法國刑法典規定的吹哨者正當理由不適用於誹謗訴訟，但違反適用規則披露在其職業活動中取得的保密資料者的善意，須按歐洲人權法院的準則評估：是否存在公開披露以外的其他途徑、有合理理由相信資料真實、無個人得益，以及公共利益與所造成損害的權衡。在該案中，法官指出當事人在內部沒有任何有效的舉報途徑；誹謗的定罪仍獲維持，因為其未經核實便發布嚴重指控，且目的在於針對其前合夥人本人（法國最高法院刑事庭2026年1月13日判決，第24-86.344號）。對企業而言，教訓始終相同：一個運作良好、在期限內回覆並保護舉報人的內部渠道，使公開披露失去其主要依據之一。

將舉報接收外判：本所可建立的機制

法律允許將舉報的接收委託予外部第三方，許多企業因此受益：舉報人對外部對話者更能暢所欲言，保密更易維持，管理層只接觸其獲授權知悉的內容。MOSAIK可為企業組織此渠道：所有僱員均可使用的安全外部地址、24個工作小時內的收件確認及初步回覆、對緊急性、保密性及利益衝突的審查，然後啟動與企業約定的規程，只向獲授權的人員發出警示並觸發即時措施。每月的匯總摘要讓管理層掌握趨勢及須開展的預防行動，而無須向其傳遞每一宗舉報。

渠道只有在為人所知且可信時才會被使用。推出時配合向僱員的宣傳活動，包括會議、海報、內部訊息、二維碼，介紹風險、權利、保密規則及舉報流程，並為專責人員及管理人員提供接收警示的培訓：接納、不自行調查、保護、引導及記錄。其後衡量成效：參與率、對渠道的理解、匿名化的反饋，以及每年更新資料。該機制為擁有海外團隊的集團而設計，以相關僱員的語言提供。

在國際集團中

在國際集團中，您可規定共同的警示接收程序（薩賓第二法第8條第I款C項）。收到涉及合併範圍內另一公司的舉報的企業，可邀請舉報人亦向該公司提出（2022年10月3日法令第4條第II款）；向第三方傳遞的任何資料仍限於處理所需（第6條第I款）。向歐盟以外轉移個人數據仍受GDPR規管。預留以相關僱員的語言提供的渠道。亦須核實其與外國吹哨者法例的銜接。指南《如何在國際集團中進行內部調查？》詳述這些規則。

視乎事實而異之處

僱員不足五十人時，單憑人數不強制任何程序，行業法規除外，但僱員可向其直屬上級、僱主或專責人員舉報事實，並享有相同的保護（第8條第I款B項）。在僱員人數至少五百人且營業額（視情況為合併營業額）超過一億歐元的公司，內部警示機制屬薩賓第二法第17條規定的八項反貪腐措施之一，受法國反貪腐署監督。當某一行業存在特定的舉報制度時，該制度優先適用，而薩賓第二法中對舉報人更有利的措施，特別是免受報復的保護及向勞資審裁處的救濟（第10-1條、第12條及第12-1條），仍然適用（第6條第III款）。而當舉報涉及騷擾時，指南《如何就騷擾或歧視進行內部調查？》所述的調查規則疊加於警示機制的規則之上；指南《受害或被指控的僱員享有哪些權利？》描述對舉報人的保護，而《內部調查》頁面介紹本所的整體流程。