Un dossier patient informatisé sans piste d’audit exploitable est un engagement de conformité sur parole. Lors d’une visite de certification HAS, les experts visiteurs demandent des preuves tangibles : qui a consulté un dossier, quand une prescription a été modifiée, pourquoi un résultat a été corrigé. C’est la qualité de cette traçabilité qui distingue un DPI mature d’un simple entrepôt numérique.
Ce que la certification HAS attend du DPI
Le référentiel de certification des établissements de santé place la gestion du dossier patient parmi les critères impératifs. L’établissement doit démontrer que les informations médicales sont tracées, accessibles aux professionnels habilités et protégées contre les modifications non autorisées. Les experts visiteurs ne se contentent pas de lire une politique documentaire ; ils suivent le parcours d’un patient réel dans le système d’information pour vérifier la cohérence entre ce qui est décrit et ce qui est pratiqué.
L’article L. 1111-7 du Code de la santé publique garantit au patient le droit d’accès à l’ensemble des informations de santé le concernant. Un DPI doit donc conserver l’historique complet des consultations, prescriptions, comptes rendus et modifications, de manière à pouvoir répondre à une demande d’accès dans le délai légal de huit jours.
Anatomie d’une piste d’audit fiable
Une piste d’audit hospitalière enregistre chaque événement significatif du cycle de vie du dossier : création du séjour, saisie d’observation, prescription médicamenteuse, validation pharmaceutique, administration, correction de donnée, consultation par un tiers. Chaque entrée doit comporter au minimum l’identifiant de l’utilisateur, l’horodatage serveur, la nature de l’action et, pour les modifications, la valeur antérieure et la valeur postérieure.
La CNIL rappelle dans son guide RGPD que la journalisation des accès aux données de santé constitue une mesure de sécurité attendue. Un établissement incapable de démontrer qui a accédé à un dossier sensible s’expose à un constat de non-conformité lors d’un contrôle, indépendamment de toute plainte patient.
Le piège classique est la journalisation partielle : le DPI trace les connexions, mais pas les consultations de dossier ; il enregistre les prescriptions, mais pas les corrections de posologie. Une piste d’audit incomplète est pire qu’une absence avouée, car elle crée une fausse assurance.
Test pratique : choisissez un dossier patient archivé depuis six mois. Reconstituez, depuis le DPI seul, la chronologie complète des accès et modifications en moins de dix minutes. Si vous devez croiser avec un fichier de logs serveur ou une extraction manuelle, votre piste d’audit n’est pas autonome.
Intégrité des traces et protection anti-falsification
Une piste d’audit n’a de valeur probante que si elle ne peut être altérée a posteriori. Le DPI doit garantir l’immuabilité des journaux : stockage sur un support distinct du système applicatif, horodatage par une source de temps fiable, accès en lecture seule pour les administrateurs fonctionnels. L’ANS, dans son cadre d’interopérabilité des systèmes d’information de santé, recommande des mécanismes d’horodatage et de signature qui renforcent la fiabilité des échanges entre composants du SIH.
En pratique, cela signifie que le DBA ou l’administrateur système ne peut pas supprimer un enregistrement d’audit sans que la suppression elle-même soit tracée. Les établissements les plus avancés chaînent cryptographiquement les entrées de journal pour détecter toute insertion ou suppression.
Circuit du médicament et traçabilité prescriptive
Le circuit du médicament illustre l’importance d’une traçabilité de bout en bout. La prescription est créée par le médecin, analysée par le module pharmacie, validée avec contrôle des interactions, préparée et administrée au patient. Chaque étape doit être horodatée et attribuée. En cas d’événement indésirable médicamenteux, la reconstitution de la chaîne complète depuis le DPI est la première étape de l’analyse des causes.
Les erreurs de prescription détectées par la pharmacie sont elles-mêmes des données d’audit précieuses. Leur volumétrie, leur typologie et leur taux de récurrence alimentent les indicateurs qualité présentés en revue de direction et lors de la certification.
Exploiter l’audit trail au-delà de la conformité
Un audit trail bien structuré dépasse la simple obligation réglementaire. Il permet de mesurer les délais de prise en charge aux urgences, d’identifier les goulots d’étranglement dans le parcours patient, de détecter les accès anormaux (consultation de dossier VIP hors périmètre de soins) et de produire des indicateurs de charge de travail par service.
- Délai prescription-administration — temps écoulé entre la saisie médicale et l’enregistrement de l’administration par l’infirmier.
- Taux de correction — proportion de prescriptions modifiées après validation initiale, indicateur de qualité rédactionnelle.
- Accès hors périmètre — consultations de dossiers par des professionnels non rattachés à l’unité de soins du patient.
- Complétude documentaire — pourcentage de séjours disposant d’un compte rendu de sortie signé dans les 48 heures.
Un DPI conçu pour l’hôpital intègre ces capacités d’analyse nativement, sans extraction vers un outil tiers.
Vérifiez comment votre SIH trace les accès, les prescriptions et les corrections dans le DPI.
