Un SIH indisponible pendant quatre heures un lundi matin ne produit pas seulement un retard administratif. Il paralyse les prescriptions, bloque les résultats de laboratoire, empêche les sorties de patients et expose l’établissement à un risque clinique direct. Le Plan de Reprise d’Activité n’est pas un document d’archive : c’est la preuve que l’hôpital sait fonctionner quand le système tombe.
Pourquoi le PRA hospitalier est différent
Dans l’industrie, un PRA protège avant tout la continuité économique. À l’hôpital, il protège la continuité de soins — une obligation légale. La perte du SIH signifie que les prescriptions reviennent au papier, que les interactions médicamenteuses ne sont plus vérifiées automatiquement, que les résultats de biologie restent bloqués dans l’analyseur et que les infirmiers administrent sur mémoire ou transcription hâtive.
L’ANSSI, dans son guide d’hygiène informatique, rappelle que la continuité d’activité repose sur trois piliers : prévention (résilience de l’infrastructure), détection (supervision active) et réaction (procédures dégradées testées). Pour un établissement de santé, le troisième pilier est vital : il faut pouvoir soigner sans informatique pendant la durée de la reprise.
RTO et RPO : définir l’acceptable
Le Recovery Time Objective (RTO) est le temps maximal d’indisponibilité tolérable. Le Recovery Point Objective (RPO) est la perte de données maximale admissible. Pour un SIH, un RTO de 4 heures peut être acceptable pour la facturation ; il ne l’est pas pour la prescription en réanimation. Chaque module du SIH doit être classé par criticité, et les engagements RTO/RPO ajustés en conséquence.
La certification HAS évalue la gestion des risques liés au système d’information. Un établissement qui ne peut pas démontrer un PRA testé récemment s’expose à une réserve sur ce critère.
Test annuel minimum : un PRA non testé est un document de fiction. L’ANSSI recommande au minimum un exercice annuel en conditions réalistes — coupure simulée, bascule sur l’environnement de secours, vérification de l’intégrité des données après restauration.
Architecture de résilience SIH
La résilience technique repose sur la redondance et l’isolation. Les composants critiques du SIH — serveur applicatif, base de données, bus d’interopérabilité — doivent disposer de réplicas synchrones ou quasi-synchrones. L’hébergement en datacenter certifié HDS (Hébergeur de Données de Santé) ajoute une couche de garantie sur la disponibilité physique.
- Réplication base de données — synchrone pour RPO zéro sur les données cliniques, asynchrone acceptable pour l’archivage.
- Bascule applicative — failover automatique avec détection de panne en moins de 60 secondes.
- Sauvegarde externalisée — copie quotidienne hors site, chiffrée, testée par restauration trimestrielle.
- Mode dégradé applicatif — accès en lecture seule au dossier patient même si l’écriture est temporairement suspendue.
Le module Dossier Patient Informatisé doit garantir un accès en consultation aux données vitales du patient pendant la phase de reprise, même si les nouvelles saisies sont temporairement mises en file d’attente.
Procédures dégradées : le papier organisé
Le mode dégradé n’est pas l’absence de processus. C’est un processus alternatif, formalisé, connu du personnel et testé. Chaque service doit disposer de kits dégradés pré-imprimés : feuilles de prescription, fiches de traçabilité d’administration, bons de demande d’examens. Ces kits doivent être versionnés et mis à jour à chaque modification du circuit normal.
La phase critique n’est pas la panne elle-même mais la reprise : ressaisir dans le SIH les actes réalisés pendant le mode dégradé sans perte ni doublon. Un module de planification bien conçu propose une interface de rattrapage pour réintégrer les données papier avec horodatage réel, pas avec l’heure de saisie informatique.
Gouvernance et amélioration continue
Le PRA est un document vivant. Chaque incident réel — même mineur — doit alimenter un retour d’expérience (REX) et, si nécessaire, une mise à jour du plan. La direction des systèmes d’information (DSI) pilote la partie technique, mais la direction qualité valide que les procédures dégradées cliniques restent cohérentes avec les pratiques de soins actuelles.
- Comité PRA — DSI, direction qualité, représentant médical, pharmacien, cadre de santé.
- Cartographie des dépendances — quels modules du SIH alimentent quels processus de soins.
- Indicateur de disponibilité — taux de disponibilité réel mesuré mensuellement, comparé à l’engagement.
- Durée de dernier incident — temps entre détection et retour à la normale, avec analyse des écarts.
Un SIH qui intègre nativement la supervision de ses propres composants — temps de réponse, espace disque, état des réplicas — réduit le temps de détection et donc le RTO effectif.
Vérifiez les engagements RTO/RPO et le mode dégradé clinique de votre futur SIH.
