ISO 22301 pour santé : prouver que votre activité continue en cas de panne

Dans la santé, une interruption touche des personnes, pas seulement un chiffre d'affaires. Un dossier patient inaccessible retarde une opération. Un frigo de laboratoire en panne détruit des échantillons. Les services d'achat des hôpitaux, des groupes de cliniques et des assureurs le savent, et ils vérifient la solidité de leurs fournisseurs avant de signer.

Une rubrique sur la continuité d'activité figure dans de nombreux questionnaires fournisseurs et dans les cahiers des charges d'appels d'offres. On y lit des questions précises : avez-vous analysé vos activités critiques, existe-t-il un plan écrit, a-t-il été testé cette année. Un certificat ISO 22301 permet de répondre en une ligne et de joindre une preuve que l'acheteur peut vérifier lui-même.

Les prestataires informatiques qui hébergent des dossiers patients, les entreprises de logistique pharmaceutique, les fabricants de consommables médicaux et les services de soins à domicile reçoivent ces demandes le plus souvent.

• La norme ISO 22301 en détail

ISO 22301:2019 décrit un système de management de la continuité d'activité. Elle ne prescrit pas de solution technique. Elle exige que vous sachiez ce qui ne doit jamais s'arrêter et que vous ayez préparé la suite. Quelques termes reviennent dans toutes les discussions avec les acheteurs.

Activité critique

Une prestation dont l'arrêt cause rapidement un dommage. Dans une clinique : admission, distribution des médicaments, bloc opératoire. Dans un laboratoire : réception des échantillons et rendu des résultats urgents.

RTO (délai de reprise)

Le temps maximal avant que l'activité redémarre. Un laboratoire peut fixer 2 heures pour les analyses urgentes et une journée pour les analyses de routine.

RPO (perte de données admissible)

La quantité de données que vous acceptez de perdre. Pour un dossier patient, elle est proche de zéro : la sauvegarde doit être très fréquente.

Plan de continuité

Le document qui dit qui fait quoi, dans quel ordre, avec quels moyens de secours. Par exemple, le passage au dossier papier de secours dans un cabinet de groupe.

Organisation de crise

Les personnes désignées pour décider quand une panne devient une crise, avec leurs suppléants et leurs numéros d'appel.

Les six points suivants forment le cœur du système. Les exemples viennent du quotidien d'un établissement ou d'un fournisseur de santé.

1. 01

   Bilan d'impact sur l'activité

   Vous listez vos prestations et classez-les par urgence. Un service de soins à domicile place les tournées de patients dépendants avant la facturation.

2. 02

   Délais de reprise et pertes de données admissibles

   Vous fixez un RTO et un RPO par activité prioritaire, puis vous contrôlez que l'informatique les tient réellement.

3. 03

   Appréciation des risques de perturbation

   Vous recensez les scénarios : panne de courant, cyberattaque, rupture chez un fournisseur de consommables, absence massive de personnel.

4. 04

   Stratégies de continuité

   Un groupe électrogène, un second fournisseur pour les produits sensibles à la température, un site de repli pour la planification des rendez-vous.

5. 05

   Plans et organisation de crise documentés

   Des plans courts, lisibles à trois heures du matin, avec les contacts à jour des responsables et des prestataires.

6. 06

   Exercices et amélioration

   Un exercice par an au minimum : coupure simulée du système de dossier patient, appel de la cellule de crise, bilan écrit et corrections.

• ISO pour les PME

Le tableau relie des scénarios fréquents à la mesure que l'auditeur ou l'acheteur s'attend à trouver dans votre plan.

L'auto-évaluation compte 34 questions à réponse oui ou non. Treize sont éliminatoires : elles portent sur les points centraux de l'évaluation, pas sur chaque exigence de la norme, et toutes doivent recevoir un oui. Sur les 21 autres, au moins 14 réponses positives sont nécessaires. Vous répondez en ligne, sans créer de compte.

Zertify émet le certificat sous licence de SICE (Swiss Institute of Certification and Education). SICE examine chaque évaluation avant l'émission. Le certificat arrive 4 heures après la réussite du test et le paiement, avec un numéro et un QR code sur le PDF. Votre client ouvre la page de vérification publique et contrôle l'authenticité sans vous demander de document.

Le prix est de 749 CHF la première année, puis de 499 CHF par an, re-audit en ligne annuel inclus. Le certificat est valable 3 ans. L'abonnement annuel se résilie à tout moment dans votre compte client, pour la fin de l'année en cours ; le certificat prend alors fin avec l'année payée. Un rabais de 20 % s'applique pour deux normes, 30 % dès trois, y compris sur la cotisation annuelle. La TVA suisse de 8,1 % est comprise pour la Suisse et le Liechtenstein.

• Page de la norme ISO 22301
• Tarifs
• Démarrer l'auto-évaluation gratuite

La voie classique passe par un audit sur place réalisé par un organisme de certification. Elle convient si un appel d'offres l'exige expressément ou si vous voulez un regard externe sur vos locaux. Elle demande plus de préparation et d'agenda.

Le certificat Zertify repose sur une auto-évaluation en ligne, sans audit sur place, et il est confirmé chaque année par un court re-audit en ligne. Lisez d'abord les conditions de votre client ou de l'appel d'offres, puis décidez. Les guides ci-dessous détaillent les deux voies et leurs coûts.

• Comparer les voies de certification
• Certification sans audit sur place
• Coût d'une certification