{"id":15645,"date":"2014-01-01T00:00:00","date_gmt":"2013-12-31T23:00:00","guid":{"rendered":"http:\/\/ricom-web.com\/gestions-hospitalieres\/lauditabilite-des-systemes-dinformation-hospitaliers\/"},"modified":"2018-03-07T17:08:35","modified_gmt":"2018-03-07T16:08:35","slug":"lauditabilite-des-systemes-dinformation-hospitaliers","status":"publish","type":"post","link":"https:\/\/www.ricom-web8.com\/gestions\/lauditabilite-des-systemes-dinformation-hospitaliers\/","title":{"rendered":"L\u2019auditabilit\u00e9 des syst\u00e8mes d\u2019information hospitaliers"},"content":{"rendered":"Temps de lecture\u00a0: <\/span> 7<\/span> minutes<\/span><\/span>

Si vous demandez aujourd\u2019hui aux directeurs de syst\u00e8mes d\u2019information (DSI) de centres hospitaliers ce qui les stresse le plus dans leur m\u00e9tier, ils vous feront des r\u00e9ponses diverses mais qui ram\u00e8nent pour la plupart \u00e0 trois d\u00e9nominateurs communs : le manque de moyens, le manque de moyens et\u2026 le manque de moyens. Quelques exemples d\u00e9terminants :<\/p>\n

    \n
  • en quelques ann\u00e9es, les parcs informatiques ont explos\u00e9 \u00e0 la fois du c\u00f4t\u00e9 des infrastructures (PC, serveurs, r\u00e9seaux) que des logiciels maintenus. Malgr\u00e9 quelques avanc\u00e9es, les ressources pour les g\u00e9rer n\u2019ont pas suivi le m\u00eame rythme, loin s\u2019en faut ;<\/li>\n
  • les directions fonctionnelles et les services de soins ont pris conscience de l\u2019int\u00e9r\u00eat des syst\u00e8mes d\u2019informations hospitaliers (SIH) : les nouveaux projets s\u2019empilent \u00e0 un rythme effr\u00e9n\u00e9, donnant parfois l\u2019impression de jouer \u00e0 T\u00e9tris pour optimiser le temps disponible\u2026 ou non ;<\/li>\n
  • les exigences de continuit\u00e9 de service se sont fortement accrues alors que les projets de s\u00e9curisation sont rarement prioris\u00e9s. La moindre panne informatique se transforme rapidement en situation de crise et les arr\u00eats pour maintenance doivent \u00eatre programm\u00e9s la nuit ou le week-end ;<\/li>\n
  • bien qu\u2019am\u00e9liorant l\u2019efficacit\u00e9 ou la qualit\u00e9 des prestations rendues, nombre de projets ont un retour sur investissement (ROI) pas toujours perceptible. Ils g\u00e9n\u00e8rent cependant de nouvelles charges sur la DSI. Difficile dans ce contexte d\u2019aller motiver une augmentation des ressources aupr\u00e8s de nos directeurs d\u2019h\u00f4pital\u2026<\/li>\n<\/ul>\n

    La certification des comptes, de par ses caract\u00e9ristiques SI, cumule \u00e0 premi\u00e8re vue ces quatre travers, d\u2019o\u00f9 les vives r\u00e9actions qu\u2019elle a suscit\u00e9es lors des premiers d\u00e9bats entre confr\u00e8res. Alors pourquoi accepter d\u2019en faire la promotion ? Parce que, au-del\u00e0 des difficult\u00e9s apparentes de ce dossier et de l\u2019\u00e9norme chantier qu\u2019il repr\u00e9sente, je vois dans l\u2019ensemble des d\u00e9marches entam\u00e9es sur les SIH nombre d\u2019\u00e9l\u00e9ments positifs qui, plut\u00f4t que de nous d\u00e9courager, devraient nous permettre d\u2019\u00eatre un peu plus optimistes pour l\u2019avenir.<\/p>\n

    C\u2019est cette vision que j\u2019avais envie de partager avec mes confr\u00e8res. C\u2019est cette m\u00eame vision que je souhaitais transmettre lors de la conf\u00e9rence FHF et dont j\u2019esp\u00e8re pouvoir impr\u00e9gner cet article avec l\u2019espoir de vous la transmettre un peu si, entra\u00een\u00e9s par une certaine curiosit\u00e9, vous avez le courage de le lire jusqu\u2019au bout.<\/p>\n

    Guide d\u2019accompagnement \u00e0 l\u2019auditabilit\u00e9 des SI<\/h1>\n

    La Direction g\u00e9n\u00e9rale de l\u2019offre de soins (DGOS), au travers de la Mission syst\u00e8me d\u2019information des acteurs de l\u2019offre de soins (MSIOS), a pilot\u00e9 un groupe de travail avec, pour objectif, la r\u00e9alisation d\u2019un guide m\u00e9thodologique d\u2019accompagnement.<\/p>\n

    L\u2019ampleur de la t\u00e2che n\u2019en est pas r\u00e9duite pour autant, mais nous disposons \u00e0 pr\u00e9sent et gr\u00e2ce \u00e0 ce guide d\u2019un plan d\u2019actions concret. Deux mots reviennent en permanence, \u00ab\u00a0contr\u00f4le\u00a0\u00bb et \u00ab\u00a0documentation\u00a0\u00bb, avec un axiome principal : \u00ab Tout objet non document\u00e9 sera consid\u00e9r\u00e9 comme n\u2019ayant pas d\u2019existence<\/em>. \u00bb Dure r\u00e9solution dans ce monde encore trop informel ! L\u2019ouvrage est compos\u00e9 de trois parties.<\/p>\n

    Partie 1 : impact du SIH sur la d\u00e9marche de certification<\/h2>\n

    Il s\u2019agit du premier tour d\u2019horizon du certificateur, celui qui va lui permettre de \u00ab\u00a0prendre la temp\u00e9rature \u00bb et de faire un premier \u00e9tat des lieux des risques possibles.<\/p>\n

    Les risques<\/h3>\n

    Le certificateur jugera tout d\u2019abord de la complexit\u00e9 d\u2019ensemble du SIH :<\/p>\n

      \n
    • Est-il tr\u00e8s int\u00e9gr\u00e9 autour d\u2019un noyau commun ou fait d\u2019un patchwork de logiciels ultra sp\u00e9cialis\u00e9s avec de multiples interfaces ou recopies ? Est-il performant, r\u00e9cent, obsol\u00e8te ?<\/li>\n
    • L\u2019\u00e9quipe de la DSI est-elle p\u00e9renne et comp\u00e9tente ? nouvelle et sans exp\u00e9rience ? correctement dimensionn\u00e9e ou en sous-effectif ?<\/li>\n
    • Y a-t-il s\u00e9paration des t\u00e2ches ? La personne qui fait est-elle celle qui contr\u00f4le ?<\/li>\n<\/ul>\n

      P\u00e9rim\u00e8tre de l\u2019audit<\/h3>\n

      Il s\u2019agit des applications intervenant dans la production des \u00e9tats financiers : les recettes, la gestion des ressources humaines (GRH), les immobilisations, les achats, l\u2019endettement, la tr\u00e9sorerie, les interfaces attenantes. Sans oublier les d\u00e9veloppements sp\u00e9cifiques et les outils bureautiques !<\/p>\n

      Impact de ce premier audit sur la d\u00e9marche<\/h3>\n

      Le constat initial ainsi fait du certificateur sur ce p\u00e9rim\u00e8tre aura un impact\u00a0sur l\u2019orientation et la planification de la mission, sur l\u2019\u00e9valuation du risque et sur les tests \u00e0 r\u00e9aliser. En fonction de ces r\u00e9sultats, des comp\u00e9tences informatiques particuli\u00e8res pourront \u00eatre sollicit\u00e9es pour aider \u00e0 l\u2019audit. En clair : soyez rassurant d\u00e8s le d\u00e9part !<\/p>\n

      Partie 2 : pr\u00e9paration de l\u2019\u00e9tablissement \u00e0 l\u2019audit<\/h2>\n

      Cette partie du guide reprend la d\u00e9marche du certificateur \u00e0 l\u2019identique pour proposer des actions pr\u00e9paratoires. Il n\u2019est pas question ici de faire une liste exhaustive des points de vigilance, des exemples de bonne pratique et des actions propos\u00e9es, ni m\u00eame un inventaire de la documentation \u00e0 pr\u00e9parer, car avec plus de 300 items recens\u00e9s\u2026, ce serait la meilleure fa\u00e7on de vous perdre. Il s\u2019agit plut\u00f4t de mettre l\u2019accent, d\u2019une fa\u00e7on tout \u00e0 fait arbitraire et assum\u00e9e, sur les exigences qui me semblent les plus critiques au regard de la situation actuelle de nos syst\u00e8mes d\u2019information. Pour le reste je vous renvoie au guide.<\/p>\n

      Organisation de la DSI<\/h3>\n
        \n
      • Les processus d\u00e9cisionnels, avec notamment la s\u00e9paration des t\u00e2ches sensibles, sont clairement identifi\u00e9s et respect\u00e9s.<\/li>\n
      • La s\u00e9curit\u00e9 est abord\u00e9e non pas d\u2019un point de vue technique mais selon la m\u00e9thodologie d\u2019\u00e9valuation des risques avec la mise en \u0153uvre de proc\u00e9dures correctives.<\/li>\n
      • Les indicateurs de pilotage sur le suivi budg\u00e9taire, la r\u00e9activit\u00e9 de la DSI, la satisfaction des utilisateurs et la disponibilit\u00e9 du SI existent, sont mis \u00e0 jour et communiqu\u00e9s.<\/li>\n
      • La politique de s\u00e9curit\u00e9 du SI (PSSI) est non seulement r\u00e9dig\u00e9e mais op\u00e9rante\u00a0: gestion des acc\u00e8s (notamment la r\u00e9vocation des droits au d\u00e9part d\u2019un agent), surveillance du trafic r\u00e9seau, contr\u00f4le des acc\u00e8s \u00e0 distance par les fournisseurs\u2026 Il existe un plan de secours op\u00e9rationnel (PRA – PCA) exhaustif, maintenu et valid\u00e9 par des tests. Le responsable de la s\u00e9curit\u00e9 du SI est ind\u00e9pendant de la DSI.<\/li>\n
      • Un contr\u00f4le r\u00e9gulier des contrats d\u2019externalisation et des niveaux de service attendus est r\u00e9alis\u00e9.<\/li>\n<\/ul>\n

        Gestion et suivi des projets<\/h3>\n

        Lors de la mise en \u0153uvre des projets, les \u00e9l\u00e9ments de s\u00e9curit\u00e9 sont souvent n\u00e9glig\u00e9s, notamment en ce qui concerne la confidentialit\u00e9 et les tests. Il en va de m\u00eame pour l\u2019accompagnement du changement, et ce pour deux raisons :<\/p>\n

          \n
        • les utilisateurs sont d\u00e9j\u00e0 satur\u00e9s d\u2019information. Il est difficile de les faire sortir des services de soins pour les (in)former ;<\/li>\n
        • leur nombre est souvent tr\u00e8s cons\u00e9quent au regard des ressources projets disponibles.<\/li>\n<\/ul>\n

          Le certificateur pr\u00eatera donc une attention particuli\u00e8re \u00e0 la bonne prise en charge de ces deux points.<\/p>\n

          Les contr\u00f4les d\u2019acc\u00e8s au SIH<\/h3>\n

          Les mots de passe par d\u00e9faut, initialis\u00e9s par les constructeurs, doivent avoir \u00e9t\u00e9 chang\u00e9s\u00a0; leur non-changement est en effet une des principales causes de piratage. Tout utilisateur, y compris \u00e0 la DSI, souvent mauvaise \u00e9l\u00e8ve sur le sujet, doit avoir un compte personnel et non un compte administrateur ou g\u00e9n\u00e9rique (non nominatif).<\/p>\n

          \u00c9volutions du SI<\/h3>\n

          La mise en place des nouvelles versions logicielles doit \u00eatre planifi\u00e9e avec les utilisateurs. Les ressources utilisateurs requises pour r\u00e9aliser les tests de conformit\u00e9 doivent \u00eatre \u00e9valu\u00e9es et r\u00e9serv\u00e9es. Les recettes doivent reprendre l\u2019exhaustivit\u00e9 des fonctionnalit\u00e9s demand\u00e9es dans les cahiers des charges.<\/p>\n

          La reprise des donn\u00e9es des anciens syst\u00e8mes doit \u00eatre clairement d\u00e9finie avec les utilisateurs : tout n\u2019est pas forc\u00e9ment indispensable.<\/p>\n

          Les fichiers bureautiques (Word, Excel, Access…)<\/h3>\n

          C\u2019est un des cas les plus critiques du SI, si tant est qu\u2019il en fasse partie, car ces fichiers, pourtant sensibles de par leur fonction ou les informations qu\u2019ils contiennent, sont souvent n\u00e9glig\u00e9s, voire ignor\u00e9s : mini-dossiers patients non s\u00e9curis\u00e9s, tableaux financiers complexes\u2026 Ces fichiers disposent de plus de contr\u00f4les d\u2019acc\u00e8s tr\u00e8s sommaires et rarement audit\u00e9s.<\/p>\n

          Il s\u2019agira donc de faire l\u2019inventaire des fichiers jug\u00e9s critiques, de le faire valider par la direction et de limiter la liste des utilisateurs ayant acc\u00e8s au r\u00e9pertoire r\u00e9seau les h\u00e9bergeant.<\/p>\n

          Partie 3 : les fiches pratiques<\/h2>\n

          Cette partie du guide regroupe des fiches pratiques ayant pour but d\u2019aider les DSI \u00e0 mettre en \u0153uvre une partie des documents de tra\u00e7abilit\u00e9 exig\u00e9s. Je n\u2019en ferai pas l\u2019inventaire ici mais, pour exemple, on y trouve des documents de pr\u00e9sentation du SI, de gestion des comptes d\u2019acc\u00e8s, des revues p\u00e9riodiques d\u2019acc\u00e8s aux applications, de gestion des changements de version, de mise en production, de strat\u00e9gie de sauvegarde, de gestion des incidents\u2026<\/p>\n

          Quelques r\u00e9serves<\/h1>\n

          Il ne serait pas cr\u00e9dible de ne faire preuve, devant les nombreuses exigences de la certification, que d\u2019un optimisme aveugle. Voici donc quelques r\u00e9serves ou remarques sur les difficult\u00e9s attendues dans la mise en \u0153uvre de ce programme de figures impos\u00e9es.<\/p>\n

            \n
          • Des moyens humains importants vont devoir \u00eatre r\u00e9serv\u00e9s \u00e0 ce chantier. Cela n\u00e9cessite une sensibilisation au plus haut niveau dans un contexte de r\u00e9duction drastique des co\u00fbts.<\/li>\n
          • Il est \u00e9tonnant d\u2019avoir attendu d\u2019aborder la qualit\u00e9 de notre gestion financi\u00e8re pour avoir ce niveau d\u2019exigence quand on sait que nos donn\u00e9es sensibles sont avant tout celles de nos patients.<\/li>\n
          • Certains crit\u00e8res ne d\u00e9pendent pas de nous mais de nos \u00e9diteurs parfois peu enclins \u00e0 faire ce type d\u2019effort difficilement monnayable et donc peu rentable pour eux.<\/li>\n
          • L\u2019externalisation rend certaines proc\u00e9dures peu visibles et les audits difficiles.<\/li>\n
          • Les d\u00e9lais sont courts pour ne pas dire irr\u00e9alistes puisque les premiers \u00e9lus doivent entrer dans la d\u00e9marche d\u00e8s cette ann\u00e9e.<\/li>\n<\/ul>\n

            Un brin d\u2019optimisme<\/h1>\n

            De nombreux \u00e9l\u00e9ments peuvent aussi nous permettre de voir dans ce dossier une opportunit\u00e9.<\/p>\n

            Convergence et coh\u00e9rence<\/h2>\n

            Force est de constater qu\u2019il y a aujourd\u2019hui une coh\u00e9rence g\u00e9n\u00e9rale dans la direction \u00e0 suivre : Haute Autorit\u00e9 de sant\u00e9, H\u00f4pital num\u00e9rique, d\u00e9cret h\u00e9bergeur, normes ISO, Itil ou Cobit, ce projet\u2026 Tout converge vers des exigences similaires.<\/p>\n

            Accompagnement<\/h2>\n

            Les DSI sont de moins en moins isol\u00e9s. Nombre d\u2019organisations se sont mises en place ces derni\u00e8res ann\u00e9es :<\/p>\n

              \n
            • les coll\u00e8ges de DSI o\u00f9 ils peuvent partager leurs exp\u00e9riences ;<\/li>\n
            • des programmes nationaux et r\u00e9gionaux, pilot\u00e9s entre autres par l\u2019Agence nationale d\u2019appui \u00e0 la performance (Anap), l\u2019Asip ou les groupements de coop\u00e9ration sanitaire (GCS), dans lesquels ils sont largement associ\u00e9s ;<\/li>\n
            • des accompagnements projets (cf. l\u2019Asip sur H\u00f4pital 2012), qui permettent d\u2019alerter et de r\u00e9agir efficacement lorsque certains projets rencontrent des difficult\u00e9s ;<\/li>\n
            • des guides m\u00e9thodologiques et pragmatiques sur les sujets d\u2019actualit\u00e9.<\/li>\n<\/ul>\n

              Am\u00e9lioration des solutions<\/h2>\n

              Les exigences de cette certification vont pouvoir \u00eatre g\u00e9n\u00e9ralis\u00e9es et inscrites dans les cahiers des charges. Cela permettra d\u2019\u00e9liminer progressivement les solutions les moins s\u00e9rieuses, de regrouper l\u2019offre et de donner les moyens aux \u00e9diteurs les plus solides, de proposer des solutions de plus en plus fiables et, de ce fait, moins consommatrices de temps pour les DSI et leurs utilisateurs.<\/p>\n

              Mutualisation<\/h2>\n

              Les aides de l\u2019\u00c9tat sont beaucoup mieux cibl\u00e9es et contr\u00f4l\u00e9es dans leur efficacit\u00e9 depuis H\u00f4pital 2012.<\/p>\n

              Les programmes nationaux, r\u00e9gionaux,\u00a0 de territoire, ou encore regroupant des \u00e9tablissements sur des solutions communes, doivent nous permettre d\u2019\u00eatre plus efficients, notamment sur ces probl\u00e9matiques de s\u00e9curit\u00e9.<\/p>\n

              Les groupements d\u2019achats (UniHa, Resah\u2026)\u00a0 nous permettent de r\u00e9pondre \u00e0 des objectifs tarifaires et fonctionnels toujours plus exigeants.<\/p>\n

              Nous\u00a0 devons cependant rester vigilants : ces structures coop\u00e9ratives doivent rester l\u00e9g\u00e8res pour garantir leur efficacit\u00e9, leur r\u00e9activit\u00e9 et leur adaptation rapide \u00e0 un contexte en forte \u00e9volution. Nous pouvons sur ce point s\u00e9rieusement esp\u00e9rer avoir appris des erreurs pass\u00e9es.<\/p>\n

              Simplification de l\u2019exploitation<\/h2>\n

              La gestion des infrastructures informatiques gagne constamment en efficacit\u00e9. L\u2019utilisation des terminaux en lieu et place des PC, la virtualisation, les outils de d\u00e9ploiement et de supervision permettent de g\u00e9rer toujours plus de donn\u00e9es dans un m\u00eame temps.<\/p>\n

              Conclusion<\/h1>\n

              Lors d\u2019une conf\u00e9rence donn\u00e9e au ComDex en 1998, Bill Gates, pour conclure, osa une comparaison entre les industries informatique et automobile : \u00ab Si General Motors avait eu la m\u00eame progression technologique que l\u2019industrie informatique, nous conduirions aujourd\u2019hui des autos co\u00fbtant 25 dollars et qui parcourraient 1 000 miles avec un seul litre d\u2019essence<\/em>. \u00bb La r\u00e9plique du patron de General Motors ne s\u2019\u00e9tait pas fait attendre, avec une s\u00e9rie d\u2019arguments qui, pour la plupart, attaquaient la s\u00e9curit\u00e9 informatique : \u00ab\u00a0Si nous d\u00e9veloppions comme Microsoft, votre voiture aurait un accident sans raison compr\u00e9hensible deux fois par jour<\/em>\u2026 \u00bb<\/p>\n

              Ne pas confondre vitesse et pr\u00e9cipitation. La v\u00e9rit\u00e9 est certainement entre les deux points de vue de ces g\u00e9ants. La certification devrait enfin nous permettre de poser les bases saines d\u2019un d\u00e9veloppement s\u00e9curis\u00e9 de nos SIH, de diminuer ainsi ces \u00ab accidents\u00a0\u00bb exag\u00e9r\u00e9s par General Motors tout en restant presque aussi efficaces que le rappelait Bill Gates. C\u2019est tout le mal que je souhaite \u00e0 ce projet.<\/p>\n