Certification HAS V2027 · Référentiel qualité des soins
Mes repères qualité au quotidien, reliés aux critères du référentiel HAS V2027.
Repères pratiques Hospi-Academy, actualisés le 26 septembre 2026 à partir du référentiel HAS V2027, applicable aux visites à compter du 1er janvier 2027. La V2025 reste applicable jusqu’au 31 décembre 2026. Les exemples et questions sont des propositions pédagogiques, à adapter au métier, aux activités et aux procédures de l’établissement ; ce document n’est ni une publication ni une validation de la HAS.
Intégrer le numérique au plan de gestion des tensions et des situations sanitaires exceptionnelles
Intégrer les risques numériques au plan de gestion des tensions hospitalières et des situations sanitaires exceptionnelles. Garantir les outils dont la cellule de crise a besoin pour être opérationnelle dans les 45 minutes suivant l’alerte : communication, accès aux données, postes de secours. Prévoir la continuité des activités critiques en cas de cyberattaque, participer aux exercices et mettre en œuvre les actions issues du retour d’expérience.
Piloter un programme structuré de maîtrise des risques de sécurité numérique
Disposer d’un plan de continuité et de reprise d’activité formalisé. Mettre en œuvre le plan d’actions correctives issu des audits Active Directory et d’exposition sur internet. Déclarer sans délai les incidents significatifs ou graves sur le portail de signalement des événements sanitaires indésirables (transmission à l’ARS et à l’ANS / CERT Santé) et appliquer les mesures d’urgence de l’ANSSI ; à défaut d’incident, disposer d’une procédure pour les qualifier et les déclarer. Faire connaître aux équipes la conduite à tenir en cas d’incident ou d’attaque et les modes dégradés, et les former aux logiciels métier avec un interlocuteur identifié.
Sécuriser l’identification des utilisateurs et proscrire les comptes génériques
Définir les règles d’habilitation au système d’information (accès, droits d’usage). Dès son arrivée, chaque professionnel, intérimaire, étudiant ou stagiaire compris, dispose d’un compte nominatif avec identifiant et mot de passe personnels : les comptes génériques sont proscrits. Mettre à jour les habilitations dès qu’un professionnel change de statut (départ, fin de contrat, changement de service). Fournir un poste professionnel ou une session à distance sécurisée au personnel en astreinte ou en télétravail, avec authentification à deux facteurs pour accéder à distance aux données de santé.
Protéger les données de santé et sécuriser leurs échanges
Contrôler les accès au dossier patient pour faire cesser les connexions illégitimes, qui violent le secret, et faire connaître aux équipes les risques et sanctions encourus. Disposer, avec le DPO, d’une procédure d’information des patients en cas de fuite de leurs données. Déployer une messagerie sécurisée de santé (MSSanté) pour les échanges avec les professionnels du territoire : cartographier les échanges de données de santé non sécurisés et suivre un plan de transfert vers la MSSanté.
Soutenir techniquement le déploiement de la télésanté
Mettre à disposition des professionnels des outils de télésanté conformes aux exigences applicables, choisis avec les utilisateurs, et prévoir une solution de repli en cas de difficulté technique. Former les équipes aux outils et aux procédures. Contribuer à l’évaluation de l’activité de télésanté ; pour la télésurveillance médicale, l’activité est déclarée au préalable à l’ARS.
Encadrer les dispositifs médicaux numériques utilisant l’IA
Cartographier les dispositifs médicaux numériques à usage professionnel, en particulier ceux qui font appel à l’intelligence artificielle. Organiser leur acquisition avec les équipes informatiques, biomédicales et juridiques. Former les utilisateurs aux performances, aux conditions d’usage et aux limites, organiser une supervision humaine en situation réelle et déclarer les dysfonctionnements (EIAS, matériovigilance), suivis d’actions d’amélioration. Lorsqu’une IA d’aide à la décision médicale est utilisée, le patient en est informé.
Encadrer les systèmes d’IA sans finalité médicale
Cartographier les systèmes d’intelligence artificielle sans finalité médicale utilisés ou repérés dans l’établissement (rédaction, planification, traduction…), analyser leurs risques (données transmises, réutilisation par l’éditeur) et faire cesser les usages non sécurisés. Organiser leur acquisition avec les services compétents, notamment informatiques et juridiques. Assurer une supervision humaine, former les utilisateurs aux performances et aux limites, et évaluer l’effet sur l’organisation des soins. Ce critère est avancé.
Repères impératifs de cette fiche
3.1-05 · 3.2-12
Préparer un exemple concret
Une situation récente, les informations disponibles, la décision prise et son suivi. Les documents cités sont des exemples de supports, pas une liste officielle de preuves exigées.
Croiser les points de vue
Comparer le vécu du patient, les pratiques des équipes, l’organisation et les résultats ; expliquer les écarts et les actions engagées.
Faire vivre les repères au quotidien
Votre contribution DSI : sécuriser les outils et les accès, organiser la continuité technique et coopérer avec les utilisateurs, le RSSI et le DPO.
Prévenir les violences sexistes et sexuelles entre professionnels
Connaître les comportements concernés, les interlocuteurs et le circuit de signalement des violences sexistes et sexuelles entre professionnels, étudiants compris. Accueillir la parole sans minimiser les faits, protéger la personne et l’orienter vers les relais compétents. L’établissement organise prévention, formation, traitement des signalements et accompagnement des victimes. Distinguer ce circuit de la gestion ordinaire des conflits.