Services de conformité
Une conformité HIPAA qui protège les patients — et votre entreprise
Identifiez les écarts par rapport aux exigences HIPAA applicables à votre organisation. Les évaluations d’Auditsuisse documentent le périmètre convenu, les constatations et les priorités de remédiation pour accompagner votre démarche continue de conformité.
Qu’est-ce que la conformité HIPAA ?
HIPAA réglemente les régimes d’assurance maladie, les organismes de compensation des soins de santé et les prestataires de soins qui effectuent des transactions électroniques couvertes. Les partenaires commerciaux (« business associates ») ont des obligations applicables lorsqu’ils exercent des fonctions ou fournissent des services couverts impliquant des informations de santé protégées pour le compte d’une entité couverte ou d’un autre partenaire commercial. Une entreprise technologique n’est pas soumise à HIPAA du seul fait qu’elle traite une forme quelconque de données de santé.
L’Office for Civil Rights du HHS veille à l’application des règles HIPAA relatives à la confidentialité, à la sécurité et à la notification des violations de données. Les montants des sanctions pécuniaires civiles et les politiques d’application peuvent évoluer. Toute appréciation d’une sanction dépend des règles applicables et des faits du dossier.
Règle du HHS sur l’ajustement des sanctions (en anglais)
Auditsuisse allie une expertise de la réglementation américaine de la santé à la précision suisse pour réaliser des évaluations HIPAA qui dépassent la simple conformité de façade. Cabinet CPA agréé aux États-Unis, nous maîtrisons les recoupements entre la HIPAA, SOC 2, HITRUST et les lois des États américains sur la protection de la vie privée — un atout pour les éditeurs français et européens de santé numérique qui abordent le marché américain. Les évaluations standard débutent à 1 750 €, selon l’effectif de l’entreprise — consultez la grille tarifaire HIPAA complète.
Ce qui est inclus
Une évaluation HIPAA de bout en bout
Évaluation des risques de sécurité
Évaluation complète des risques de sécurité (SRA) alignée sur le NIST SP 800-66 et les lignes directrices de l’OCR, couvrant l’ensemble des systèmes ePHI, des menaces et des vulnérabilités.
Revue de la Privacy Rule
Évaluation de vos politiques relatives aux droits des patients, au principe du « minimum nécessaire », aux autorisations et à la Notice of Privacy Practices (notice d’information sur les pratiques de confidentialité).
Analyse des écarts et remédiation
Rapport de constatations détaillé, assorti d’une feuille de route de remédiation priorisée, de cotations des risques et de recommandations pratiques de mise en œuvre.
Revue des politiques et procédures
Évaluation de vos politiques, procédures et documentation HIPAA au regard des exigences réglementaires en vigueur et des bonnes pratiques.
Évaluation de la formation du personnel
Revue de votre programme de sensibilisation à la sécurité et recommandations pour une formation du personnel spécifique à la HIPAA.
Plan de réponse aux incidents
Évaluation de vos procédures de notification des violations et de votre préparation à la réponse aux incidents au regard des exigences de la Breach Notification Rule HIPAA.
Notre démarche
Une approche structurée de la conformité HIPAA
Cadrage
Comprendre votre type d’organisation, vos flux d’ePHI et votre posture de conformité actuelle afin d’ajuster le périmètre de l’évaluation.
Évaluation
Réaliser l’évaluation des risques de sécurité, les revues de confidentialité et les tests techniques sur l’ensemble des systèmes du périmètre.
Remédiation
Remettre des constatations priorisées et accompagner votre équipe pour combler les écarts et renforcer les contrôles.
Constatations de l’évaluation
Documentez les constatations convenues et toute revue de remédiation réalisée dans le périmètre de la mission. Toute lettre d’évaluation et tout travail de suivi doivent préciser leur périmètre, leurs limites et leur date de revue.
Questions fréquentes
Qu’est-ce que la HIPAA ?
HIPAA réglemente les régimes d’assurance maladie, les organismes de compensation des soins de santé et les prestataires de soins qui effectuent des transactions électroniques couvertes. Les partenaires commerciaux (« business associates ») ont des obligations applicables lorsqu’ils exercent des fonctions ou fournissent des services couverts impliquant des informations de santé protégées pour le compte d’une entité couverte ou d’un autre partenaire commercial. Une entreprise technologique n’est pas soumise à HIPAA du seul fait qu’elle traite une forme quelconque de données de santé.
Qui doit se conformer à la HIPAA ?
HIPAA réglemente les régimes d’assurance maladie, les organismes de compensation des soins de santé et les prestataires de soins qui effectuent des transactions électroniques couvertes. Les partenaires commerciaux (« business associates ») ont des obligations applicables lorsqu’ils exercent des fonctions ou fournissent des services couverts impliquant des informations de santé protégées pour le compte d’une entité couverte ou d’un autre partenaire commercial. Une entreprise technologique n’est pas soumise à HIPAA du seul fait qu’elle traite une forme quelconque de données de santé.
Qu’est-ce qu’une évaluation des risques de sécurité HIPAA ?
Une évaluation des risques de sécurité HIPAA (Security Risk Assessment, SRA) est une analyse complète des risques et des vulnérabilités susceptibles d’affecter la confidentialité, l’intégrité et la disponibilité des informations de santé protégées électroniques (ePHI). Exigée par la Security Rule HIPAA, elle consiste à identifier les actifs contenant des ePHI, à évaluer les menaces et les vulnérabilités, à apprécier les mesures de sécurité en place et à déterminer la probabilité et l’impact d’éventuelles violations.
Combien coûte une évaluation HIPAA ?
Auditsuisse publie des honoraires de départ standard pour ses audits et évaluations HIPAA : 1 750 € pour les organisations de 1 à 20 salariés, 2 600 € de 21 à 35, 3 450 € de 36 à 50, 4 350 € de 51 à 100 et 8 650 € de 101 à 250 salariés, sur devis au-delà de 250. Le montant final dépend de l’intervention d’un MSP, de l’utilisation d’une plateforme GRC (aucune plateforme n’est exigée) et de la durée de la période d’observation. La grille complète est publiée sur auditsuisse.com/fr/tarifs-hipaa.
Une évaluation HIPAA constitue-t-elle une certification gouvernementale ?
Non. Le HHS ne reconnaît pas les certifications privées relatives à la Security Rule comme preuve de conformité. Une évaluation externe documente les travaux réalisés dans le périmètre indiqué ; elle ne supprime pas les obligations légales de l’organisation et n’empêche pas le HHS de constater une violation.
Orientations du HHS sur la certification privée de la Security Rule (en anglais)
Commencer
Protégez les données de vos patients en toute confiance
Présentez votre organisation, votre environnement d’informations de santé protégées électroniques (ePHI) et vos besoins d’évaluation à notre équipe afin de définir un périmètre et un livrable adaptés.