# Une conformité HIPAA qui protège les patients — et votre entreprise > Identifiez les écarts par rapport aux exigences HIPAA applicables à votre organisation. Les évaluations d’Auditsuisse documentent le périmètre convenu, les constatations et les priorités de remédiation pour accompagner votre démarche continue de conformité. - Canonical: https://auditsuisse.com/fr/hipaa - Language: fr - Published: 2026-09-15 - Updated: 2026-10-18 - Alternates: en → https://auditsuisse.com/hipaa, es → https://auditsuisse.com/es/hipaa Services de conformité Identifiez les écarts par rapport aux exigences HIPAA applicables à votre organisation. Les évaluations d’Auditsuisse documentent le périmètre convenu, les constatations et les priorités de remédiation pour accompagner votre démarche continue de conformité. ## Qu’est-ce que la conformité HIPAA ? HIPAA réglemente les régimes d’assurance maladie, les organismes de compensation des soins de santé et les prestataires de soins qui effectuent des transactions électroniques couvertes. Les partenaires commerciaux (« business associates ») ont des obligations applicables lorsqu’ils exercent des fonctions ou fournissent des services couverts impliquant des informations de santé protégées pour le compte d’une entité couverte ou d’un autre partenaire commercial. Une entreprise technologique n’est pas soumise à HIPAA du seul fait qu’elle traite une forme quelconque de données de santé. L’Office for Civil Rights du HHS veille à l’application des règles HIPAA relatives à la confidentialité, à la sécurité et à la notification des violations de données. Les montants des sanctions pécuniaires civiles et les politiques d’application peuvent évoluer. Toute appréciation d’une sanction dépend des règles applicables et des faits du dossier. [Règle du HHS sur l’ajustement des sanctions (en anglais)](https://www.govinfo.gov/content/pkg/FR-2026-01-28/html/2026-01688.htm) Auditsuisse allie une expertise de la réglementation américaine de la santé à la précision suisse pour réaliser des évaluations HIPAA qui dépassent la simple conformité de façade. Cabinet CPA agréé aux États-Unis, nous maîtrisons les recoupements entre la HIPAA, SOC 2, HITRUST et les lois des États américains sur la protection de la vie privée — un atout pour les éditeurs français et européens de santé numérique qui abordent le marché américain. Les évaluations standard débutent à 1 750 €, selon l’effectif de l’entreprise — consultez la [grille tarifaire HIPAA](https://auditsuisse.com/fr/tarifs-hipaa) complète. ### L’essentiel Réglementation Security Rule et Privacy Rule HIPAA Autorité de contrôle Office for Civil Rights (OCR) du HHS Périmètre Entités couvertes et partenaires commerciaux Idéal pour Santé, santé numérique, assureurs, partenaires commerciaux Ce qui est inclus ## Une évaluation HIPAA de bout en bout ### Évaluation des risques de sécurité Évaluation complète des risques de sécurité (SRA) alignée sur le NIST SP 800-66 et les lignes directrices de l’OCR, couvrant l’ensemble des systèmes ePHI, des menaces et des vulnérabilités. ### Revue de la Privacy Rule Évaluation de vos politiques relatives aux droits des patients, au principe du « minimum nécessaire », aux autorisations et à la Notice of Privacy Practices (notice d’information sur les pratiques de confidentialité). ### Analyse des écarts et remédiation Rapport de constatations détaillé, assorti d’une feuille de route de remédiation priorisée, de cotations des risques et de recommandations pratiques de mise en œuvre. ### Revue des politiques et procédures Évaluation de vos politiques, procédures et documentation HIPAA au regard des exigences réglementaires en vigueur et des bonnes pratiques. ### Évaluation de la formation du personnel Revue de votre programme de sensibilisation à la sécurité et recommandations pour une formation du personnel spécifique à la HIPAA. ### Plan de réponse aux incidents Évaluation de vos procédures de notification des violations et de votre préparation à la réponse aux incidents au regard des exigences de la Breach Notification Rule HIPAA. Notre démarche ## Une approche structurée de la conformité HIPAA 1 ### Cadrage Comprendre votre type d’organisation, vos flux d’ePHI et votre posture de conformité actuelle afin d’ajuster le périmètre de l’évaluation. 2 ### Évaluation Réaliser l’évaluation des risques de sécurité, les revues de confidentialité et les tests techniques sur l’ensemble des systèmes du périmètre. 3 ### Remédiation Remettre des constatations priorisées et accompagner votre équipe pour combler les écarts et renforcer les contrôles. 4 ### Constatations de l’évaluation Documentez les constatations convenues et toute revue de remédiation réalisée dans le périmètre de la mission. Toute lettre d’évaluation et tout travail de suivi doivent préciser leur périmètre, leurs limites et leur date de revue. Vos questions ## Questions fréquentes ### Qu’est-ce que la HIPAA ? HIPAA réglemente les régimes d’assurance maladie, les organismes de compensation des soins de santé et les prestataires de soins qui effectuent des transactions électroniques couvertes. Les partenaires commerciaux (« business associates ») ont des obligations applicables lorsqu’ils exercent des fonctions ou fournissent des services couverts impliquant des informations de santé protégées pour le compte d’une entité couverte ou d’un autre partenaire commercial. Une entreprise technologique n’est pas soumise à HIPAA du seul fait qu’elle traite une forme quelconque de données de santé. ### Qui doit se conformer à la HIPAA ? HIPAA réglemente les régimes d’assurance maladie, les organismes de compensation des soins de santé et les prestataires de soins qui effectuent des transactions électroniques couvertes. Les partenaires commerciaux (« business associates ») ont des obligations applicables lorsqu’ils exercent des fonctions ou fournissent des services couverts impliquant des informations de santé protégées pour le compte d’une entité couverte ou d’un autre partenaire commercial. Une entreprise technologique n’est pas soumise à HIPAA du seul fait qu’elle traite une forme quelconque de données de santé. ### Qu’est-ce qu’une évaluation des risques de sécurité HIPAA ? Une évaluation des risques de sécurité HIPAA (Security Risk Assessment, SRA) est une analyse complète des risques et des vulnérabilités susceptibles d’affecter la confidentialité, l’intégrité et la disponibilité des informations de santé protégées électroniques (ePHI). Exigée par la Security Rule HIPAA, elle consiste à identifier les actifs contenant des ePHI, à évaluer les menaces et les vulnérabilités, à apprécier les mesures de sécurité en place et à déterminer la probabilité et l’impact d’éventuelles violations. ### Combien coûte une évaluation HIPAA ? Auditsuisse publie des honoraires de départ standard pour ses audits et évaluations HIPAA : 1 750 € pour les organisations de 1 à 20 salariés, 2 600 € de 21 à 35, 3 450 € de 36 à 50, 4 350 € de 51 à 100 et 8 650 € de 101 à 250 salariés, sur devis au-delà de 250. Le montant final dépend de l’intervention d’un MSP, de l’utilisation d’une plateforme GRC (aucune plateforme n’est exigée) et de la durée de la période d’observation. La grille complète est publiée sur [auditsuisse.com/fr/tarifs-hipaa](https://auditsuisse.com/fr/tarifs-hipaa). ### Une évaluation HIPAA constitue-t-elle une certification gouvernementale ? Non. Le HHS ne reconnaît pas les certifications privées relatives à la Security Rule comme preuve de conformité. Une évaluation externe documente les travaux réalisés dans le périmètre indiqué ; elle ne supprime pas les obligations légales de l’organisation et n’empêche pas le HHS de constater une violation. [Orientations du HHS sur la certification privée de la Security Rule (en anglais)](https://www.hhs.gov/hipaa/for-professionals/faq/are-we-required-to-certify-our-organizations-compliance-with-the-standards/index.html) Ressources HIPAA ## Approfondissez vos connaissances HIPAA [### Guide 2026 de l’analyse des risques HIPAA (en anglais) La méthode de bout en bout et les éléments probants de l’analyse des risques obligatoire.](https://auditsuisse.com/hipaa-risk-assessment-guide-2026) [### Liste de contrôle des mesures de protection techniques HIPAA (en anglais) Des contrôles cartographiés sur le 45 CFR § 164.312 qui passent l’audit.](https://auditsuisse.com/hipaa-technical-safeguards-checklist) [### Le BAA expliqué (en anglais) Les clauses obligatoires du Business Associate Agreement (BAA, le contrat de partenaire commercial au sens de la HIPAA), qui doit en signer un et la chaîne de sous-traitance.](https://auditsuisse.com/hipaa-business-associate-agreements-explained) [### HIPAA pour les SaaS et applications de santé hébergées dans le cloud (en anglais) Architecture cloud et stratégie BAA pour le traitement des ePHI.](https://auditsuisse.com/hipaa-for-saas-and-cloud-hosted-health-apps) [### Exigences HIPAA en matière de réponse aux incidents (en anglais) Obligations, délais et seuils de la Breach Notification Rule.](https://auditsuisse.com/hipaa-incident-response-requirements) [### Cartographie des contrôles multi-référentiels (en anglais) Réutilisez vos contrôles SOC 2 pour accélérer votre conformité HIPAA et RGPD.](https://auditsuisse.com/multi-framework-control-mapping-soc2-hipaa-gdpr) [### Tarifs des audits et évaluations HIPAA Honoraires de départ publiés selon l’effectif de l’entreprise, à partir de 1 750 €.](https://auditsuisse.com/fr/tarifs-hipaa) --- Source: https://auditsuisse.com/fr/hipaa · This Markdown edition is generated from the same content as the HTML page.