Au-delà des erreurs classiques de gestion, les administrateurs sont de plus en plus exposés à des domaines spécifiques de conformité et de risque. Cet article aborde quatre thèmes pertinents pour presque toutes les entreprises : la lutte contre le blanchiment, le RGPD et la cybersécurité, le dispositif de lanceurs d’alerte et l’ESG.
Responsabilité des administrateurs en 2026Cet article fait partie d’un ensemble complet consacré à la responsabilité des administrateurs. Cet ensemble a été généré en partie via GenIA-L, l’outil d’IA de Larcier-Intersentia, puis adapté et enrichi par Marc Vandecasteele. Découvrez tout
Quels sont les principaux risques de responsabilité des administrateurs, tous secteurs confondus ?
1. La loi sur la lutte contre le blanchiment d'argent
Tout d'abord, en ce qui concerne la loi anti-blanchiment : celle-ci impose un large éventail d'obligations, et pas uniquement à l'entité elle-même. Cela souligne également la responsabilité personnelle des administrateurs dans la garantie du respect de la législation.
En l'absence de supervision et de respect de ces obligations par les administrateurs, leur responsabilité personnelle est également engagée. Outre les sanctions administratives et pénales, l'entreprise et ses administrateurs courent le risque d'être poursuivis en tant qu'auteurs ou complices d'une infraction de blanchiment de capitaux en vertu de l'article 505 du Code pénal en cas de non-respect de la législation. À cet égard, la société ou ses dirigeants peuvent également être poursuivis au pénal pour omission. Les dirigeants risquent également d’être tenus pénalement responsables s’ils acceptent, par exemple, des espèces dont ils savent qu’elles proviennent d’une source illégale.
En outre, les dirigeants de la société peuvent également être tenus responsables, en vertu de l'article 1382 (ancienne version) du Code civil/de l'article 6.5 (nouvelle version) du Code civil, des fautes commises dans l'exercice de leurs fonctions de direction. Ceci est encore renforcé par le fait que le nouveau livre 6 du Code civil, entré en vigueur le 1er janvier 2025, supprime en principe la quasi-immunité des auxiliaires, y compris donc les administrateurs (voir qui précise que les administrateurs, en tant qu’auxiliaires, peuvent invoquer les moyens de défense contractuels de la société).
Et pour gérer la responsabilité des administrateurs concernés, il est également conseillé de définir clairement les responsabilités de chaque administrateur.
2. Le RGPD et la cybersécurité
En ce qui concerne le RGPD : le conseil d'administration assume la responsabilité ultime de l'élaboration, de la mise en œuvre et du maintien d'une politique et d'une procédure de protection des données au sein de la société. À cet égard, le conseil d'administration doit promouvoir une culture de la protection des données et gérer la société de manière à ce qu'elle se conforme à toutes les exigences légales prévues par le RGPD. Le non-respect de ces exigences peut, dans la pratique, entraîner une responsabilité pénale, administrative et civile pour la société et ses administrateurs.
Par exemple, une personne concernée peut intenter une action civile contre l'entreprise et ses administrateurs pour le préjudice matériel ou moral qu'elle a subi. Il est toutefois important de noter que la personne concernée doit prouver qu'elle a effectivement subi un préjudice ; une simple violation du RGPD est donc insuffisante pour engager la responsabilité de l'entreprise.
Toutefois, l'entreprise et ses dirigeants peuvent se dégager de cette responsabilité en démontrant qu'ils ne sont en aucun cas responsables de l'événement à l'origine du préjudice. Là encore, la responsabilité et une politique efficace de protection des données jouent un rôle clé.
Les polices de cyber assurance offrent certes une couverture étendue (dommages propres, dommages causés à des tiers, perte de données, frais de notification, perturbation du réseau, « amélioration »), mais de nombreux produits limitent explicitement la couverture des amendes aux amendes « légalement assurables », ce qui signifie que les amendes au titre du RGPD sont souvent exclues de la couverture.
Les dirigeants restent donc exposés à des sanctions réglementaires non assurables et à d’éventuelles poursuites personnelles, ce qui fait de la gestion systématique des risques (cyber assurance appropriée, couverture RC et alignement précis entre sécurité technique et conformité juridique) un outil d’atténuation essentiel.
3. Le dispositif de lanceurs d’alerte
En ce qui concerne le dispositif de dénonciation : le conseil d’administration est le premier responsable de la mise en place et de l’application de procédures internes de signalement efficaces, qui doivent répondre à certaines conditions pour permettre aux lanceurs d’alerte de signaler des malversations au sein de l’entreprise de manière sûre et accessible. À cet égard, l’organe de direction doit veiller à ce que des lignes directrices claires et des canaux efficaces soient mis en place au sein de l’entreprise. L’organe de direction doit également s’assurer que les signalements sont traités en temps opportun et de manière appropriée, conformément à la loi sur les lanceurs d’alerte.
Il incombe donc à l'organe de direction et aux administrateurs de veiller à ce que l'entreprise se conforme pleinement à toutes les obligations (minimales) imposées par la loi sur les lanceurs d'alerte. Cela implique également de revoir et de mettre à jour régulièrement les procédures et canaux internes afin de garantir leur conformité avec la loi (et toute modification ou tout ajout futur à celle-ci).
L'organe de direction a également le devoir de veiller à ce que ses employés soient informés de leurs droits et obligations en vertu de la loi sur les lanceurs d'alerte.
Le non-respect de la réglementation relative aux lanceurs d'alerte comporte divers risques tant pour l'entreprise et ses administrateurs eux-mêmes que pour les personnes signalant des irrégularités.
Premièrement, si une entreprise ne respecte pas les obligations découlant de la loi sur les lanceurs d'alerte, elle peut être tenue de verser une indemnisation au lanceur d'alerte. Par exemple, le lanceur d'alerte peut réclamer des dommages-intérêts si l'entreprise, en violation de l'article 23 de la loi sur les lanceurs d'alerte, prend des mesures de représailles à son encontre. Cela peut se fonder tant sur le droit de la responsabilité contractuelle que sur celui de la responsabilité extracontractuelle. À cet égard, les dirigeants de l’entreprise en question courent donc également un risque, d’autant plus que la quasi-immunité des auxiliaires a été supprimée au 1er janvier 2025.
Le Code pénal social contient des dispositions en vertu desquelles le non-respect des obligations prévues par la loi sur les lanceurs d'alerte est passible de sanctions pénales. Ce non-respect peut, par exemple, consister à ne pas mettre en place des canaux de signalement internes, à ne pas élaborer de procédures de signalement interne et à ne pas enregistrer les signalements. Cela signifie que tant l'entreprise que ses dirigeants peuvent se voir infliger une amende si les obligations légales ne sont pas respectées.
4. ESG
Pour les entreprises soumises à une législation imposant des obligations de reporting ESG (notamment le SFDR, le CSRD et le futur CSDDD), l’absence de reporting ou un reporting non conforme aux exigences légales en matière de forme ou de contenu peut constituer une faute de la part de l’entreprise et, lorsque ces obligations sont inscrites dans le Code des sociétés, peut engager la responsabilité des dirigeants.
La doctrine stipule explicitement que certaines dispositions de la loi sur les sociétés relatives au reporting ESG peuvent engager la responsabilité des dirigeants, car le non-respect des obligations prévues par la loi sur les sociétés constitue un manquement au devoir dans l'exercice du mandat.
Les règles générales de la responsabilité civile des administrateurs (contractuelle envers la société, extracontractuelle envers les tiers) continuent de constituer le cadre juridique à cet égard. Les clauses ESG prennent de plus en plus d'importance dans les contrats tels que les prêts verts et les baux verts. Une déclaration ESG erronée peut constituer une violation du contrat, pouvant entraîner une responsabilité personnelle des dirigeants s'il est établi qu'ils ont commis une faute dans la gestion de la politique de l'entreprise.
La doctrine met également en évidence plusieurs sources de responsabilité ESG au-delà du cadre purement juridique : l’objet social ou la raison d’être statutaire intégrant des objectifs de durabilité, les engagements ESG volontaires pris envers des tiers qui créent une attente légitime, et les déclarations publiques trompeuses en matière de durabilité (greenwashing). En ce qui concerne ce dernier point, la littérature fait état de risques tant civils que pénaux : les déclarations environnementales trompeuses peuvent faire l’objet de poursuites pour faux (art. 196 C. pén.) ou pour états financiers falsifiés lorsque les données environnementales sont présentées de manière erronée dans les états financiers (art. 3:44 CSA). Les articles 6.22 et 6.23 du Code civil permettent de présumer une causalité proportionnelle ou alternative en cas de dommages environnementaux collectifs ou de risques ESG parallèles, de sorte que divers acteurs peuvent être tenus responsables proportionnellement à la probabilité de leur contribution, à moins qu’ils ne prouvent que leur faute n’était pas une cause. Les normes non contraignantes en matière d'ESG (Principes directeurs des Nations unies, Lignes directrices de l'OCDE) ne sont pas formellement contraignantes, mais sont examinées dans la doctrine juridique comme une interprétation possible du devoir de diligence, y compris pour les institutions financières.
Combiné au devoir de diligence ouvert et aux nouvelles règles de causalité, cela accroît le risque que les entreprises et, potentiellement, leurs dirigeants soient tenus responsables de dommages liés à l'ESG, malgré toute assurance ou limitation de responsabilité prévue par le droit des sociétés.
Voir aussi
- La conformité comme protection contre la responsabilité des administrateurs
- Livre 6 du Code civil et responsabilité des administrateurs
- Conseils pratiques pour limiter la responsabilité des administrateurs
Authors:
- Marc Vandecasteele, Recht op zaterdag
