Cadrage du périmètre HDS : pourquoi 80 % des refus de certification se jouent sur la cartographie des sous-traitants

La certification HDS ne porte jamais sur "une entreprise" : elle porte sur un périmètre précisément délimité, décrit dans le référentiel de l'Agence du Numérique en Santé (ANS). Or c'est exactement là que se jouent la majorité des échecs, bien avant l'audit technique. Un consultant HDS qui sous-dimensionne ou sur-dimensionne ce périmètre engage sa responsabilité dès la première semaine de mission.

Le référentiel distingue six activités d'hébergement : mise à disposition d'infrastructures matérielles, de plateformes (machines virtuelles), d'infrastructures d'hébergement applicatif, infogérance, sauvegarde externalisée et administration/exploitation du SI. Un éditeur de SaaS médical qui croit n'avoir besoin que de l'activité applicative découvre souvent, en audit, qu'il exerce aussi de l'infogérance sur le SI de ses clients hospitaliers. Résultat : le certificat visé ne couvre pas la réalité de l'activité, et l'organisme certificateur refuse.

Votre travail de cadrage consiste à qualifier précisément quelles activités sont réellement exercées, et lesquelles sont déléguées. Une qualification erronée n'est pas un détail : elle conditionne le nombre de certificats, le coût de l'audit, et la date de mise sur le marché du produit santé.

Le référentiel HDS impose une traçabilité complète de la chaîne de sous-traitance. Tout tiers qui accède, héberge, sauvegarde ou administre les données de santé doit être identifié, contractualisé, et lui-même conforme aux exigences applicables. C'est ici que les cadrages dérapent le plus souvent.

Concrètement, un éditeur healthtech mobilise fréquemment :

• un fournisseur cloud (qui doit être HDS certifié sur l'infrastructure) ;
• un prestataire de sauvegarde externalisée ;
• un sous-traitant de tierce maintenance applicative qui a un accès d'administration ;
• un éditeur tiers intégré (brique d'IA, messagerie sécurisée de santé, etc.).

Si l'un de ces maillons accède à des données de santé et n'apparaît pas dans la cartographie, l'audit conclut à une chaîne de sous-traitance non maîtrisée : motif classique de non-conformité majeure. Le consultant qui a piloté l'analyse d'écart est alors en première ligne, car la cartographie relève précisément de son livrable.

Une non-conformité majeure sur la sous-traitance ne se corrige pas en 48 heures : elle impose souvent de recontractualiser, ce qui repousse l'audit de plusieurs semaines.

Prenons un cas réaliste. Une startup de télésurveillance médicale doit obtenir sa certification HDS pour répondre à un appel d'offres hospitalier dont la clôture est fixée à trois mois. Le consultant cadre le périmètre sur l'activité "hébergement applicatif" seule, et omet de qualifier le prestataire d'infogérance qui administre les serveurs à distance.

En audit de certification, l'organisme relève une non-conformité majeure : la chaîne de sous-traitance n'est pas maîtrisée et une activité non déclarée est exercée. Le certificat est refusé. La startup rate l'appel d'offres, perd un marché estimé à plusieurs centaines de milliers d'euros, et doit financer un second cycle d'audit.

Le client se retourne contre le consultant : le préjudice n'est pas matériel, c'est un préjudice immatériel pur (perte de chiffre d'affaires, retard de commercialisation, coût du second audit). C'est précisément ce type de dommage que couvre une assurance RC Pro adaptée au conseil HDS, là où une RC Pro générique exclut souvent les immatériels non consécutifs.

Le réflexe défensif n'est pas seulement assurantiel, il est documentaire. Sur une mission HDS, vous devez formaliser une matrice de responsabilité partagée qui distingue ce qui relève de votre conseil et ce qui relève des décisions et déclarations du client.

Trois bonnes pratiques réduisent fortement votre exposition :

1. Faire valider le périmètre par écrit par le dirigeant et le RSSI du client avant de lancer l'analyse d'écart. C'est lui qui déclare ses activités réelles ; vous les qualifiez.
2. Documenter chaque réserve : si le client refuse de recontractualiser un sous-traitant que vous avez signalé, le tracer dans un compte rendu daté.
3. Livrer un audit blanc écrit avant l'audit officiel, listant les écarts résiduels et les risques de non-conformité.

Cette traçabilité ne supprime pas le risque, mais elle déplace la charge de la preuve : en cas de litige, elle démontre que le refus de certification résulte d'une décision ou d'une omission du client, pas d'une faute de cadrage. Votre RC Pro avec protection juridique prend alors le relais sur la défense.

Pour cartographier le périmètre, vous manipulez des informations parmi les plus sensibles du client : architecture du SI de santé, schémas de flux, identifiants techniques, localisation des données patients. Une mauvaise gestion de ces éléments (envoi par email non chiffré, document de cadrage stocké sur un poste mal sécurisé) peut elle-même provoquer une atteinte à la confidentialité.

Le paradoxe est cruel : le consultant censé sécuriser la conformité devient le point de fuite. Au-delà de la garantie atteinte involontaire à la confidentialité incluse dans une RC Pro de conseil, votre propre poste de travail mérite une protection cohérente avec le niveau d'exigence que vous imposez à vos clients. Un volet assurance cyber couvre le scénario où vos propres outils sont compromis et exposent les données d'architecture confiées par le client.

Avant toute mission, vérifiez aussi votre fiche métier dédiée : assurance consultant HDS détaille les garanties attendues par les organismes certificateurs et les hébergeurs candidats.