Les établissements de santé ont été victimes de 422 cyberattaques en 2023, confirmant ainsi leur vulnérabilité croissante face aux menaces numériques. Cette réalité alarmante souligne la nécessité de renforcer la sécurité des systèmes d’information des établissements de santé. Bien que des investissements soient réalisés (à l’instar des 350 millions d’euros alloués dans le cadre du Ségur du numérique), pour moderniser les infrastructures et renforcer la cybersécurité, des mesures opérationnelles demeurent essentielles pour prévenir les attaques informatiques.
Le Plan de Continuité d’Activité (PCA) émerge comme une réponse stratégique et concrète face à cette menace croissante de défaillance informatique. Il s’agit d’un dispositif structuré permettant de maintenir les opérations vitales de l’établissement, même en période de crise. Le PCA définit l’organisation nécessaire pour garantir la continuité des services essentiels, anticipant divers scénarios de crise. Il permet de hiérarchiser les activités en fonction de leur importance, de maintenir les missions principales en mode dégradé et d’en orchestrer la reprise progressive.
En mars 2023, la direction générale du CHRU de Nancy a initié une réflexion autour de la définition d’un plan de continuité d’activité (PCA) adapté à l’ensemble de ses services. Ce PCA a vocation, à terme, à être déployé sur l’ensemble des établissements du GHT Sud Lorraine.
Soucieux de réaliser un déploiement rapide, le CHRU de Nancy a choisi d’être accompagné par Adopale, un cabinet de conseil spécialisé dans le secteur de la santé.
Un an après le lancement, les équipes du CHRU de Nancy et d’Adopale ont souhaité partager les différentes étapes méthodologiques mises en place, apporter leur prise de recul sur les écueils à éviter et identifier des bonnes pratiques afin d’enclencher sereinement un projet de cette envergure.
La responsabilité de mener ce projet a été confiée au Département de la Transformation Informatique et du Biomédicale (DTNIB) du CHRU de Nancy avec une volonté de mettre en place une gouvernance de projet resserrée.
Le pilotage stratégique a été assuré par le Chef de département du DTNIB, Jean Christophe CALVO accompagné de deux chefs de projets :
Du côté du cabinet Adopale, une équipe de quatre personnes a été mobilisée pour assurer le déroulement de cette mission : Rémi SAURAT (associé), Maeva BERTHELIN (manager), Gwenaelle BOUHIER (manager) et Hortense de NICOLAY (consultante sénior).
Cette gouvernance resserrée côté CHRU a permis d’avoir une gestion de projet plus agile, d’être réactif et de s’adapter plus facilement aux modifications de périmètre et de méthodologie tout au long de la démarche.
Le portage de ce projet tend aujourd’hui à être rattaché à la Direction de la Qualité, en raison de la nature même du projet, axée sur l’identification et le traitement des risques affectant les organisations et les processus de soins. Cette recommandation est également soutenue par le programme CaRE (Cybersécurité Accélération et Résilience des Etablissements) initié par le ministère de la Santé et de la Prévention et adoptée au CHU de Lille dans le cadre d’une démarche similaire.
Le travail réalisé s’est concentré, dans un premier temps, sur une série de services identifiés comme prioritaires par les équipes du CHRU de Nancy soit en raison :
Travailler sur un nombre restreint de services a notamment permis d’ajuster progressivement la méthodologie et les solutions retenues avant de procéder à un déploiement plus large.
C’est ainsi que le périmètre des services étudiés a été sensiblement agrandi : initialement, 16 services étaient inclus dans le périmètre (schéma n°1) et au fil des échanges, le périmètre a connu plusieurs évolutions pour atteindre au total 24 services prioritaires (schéma n°2).
Plusieurs raisons expliquent cette évolution du périmètre :
clarifier les alternatives possibles en termes de télécommunication dans l’hypothèse où le réseau ne pourrait plus permettre une communication par téléphone ou par mail. Pour répondre à cet enjeu, la DTINB a dû identifier plusieurs solutions opérationnellesIl est crucial d’établir une stratégie de priorisation des services pour éviter les va-et-vient excessifs (par exemple, entre l’imagerie et le biomédical). Il peut être bénéfique de commencer par travailler avec les services support afin d’organiser leur activité avant de les aligner avec les besoins des services de soins.
Suite à la présentation du projet en CME et en Comité de Direction, un appel à candidature a été lancé dans chaque service pour identifier un référent médical et paramédical. Se sont portés volontaires les médecins / cadres ayant un attrait particulier pour les sujets organisationnels, la cybersécurité et se projetant dans les années à venir au CHRU, ainsi que ceux qui n’avaient pas de pair sur leur poste. (Ex : le cadre du SAMU qui est le seul représentant paramédical de ce service).
Leur mission : être les interlocuteurs privilégiés dans la conduite du projet et le relai d’information auprès du reste de l’équipe.
Si le rôle des référents a été essentiel dans la conduite de la démarche (participation au recueil des informations, identification et mobilisation des participants au groupe de travail) – il aurait été intéressant de cadrer précisément leurs tâches en formalisant par exemple dans une lettre de mission leur fonction, les attentes de la part de l’équipe projet, le temps nécessaire et la temporalité de la démarche etc.
2. Méthodologie de construction : les étapes clés dans l’élaboration du PCA
Soucieux d’intégrer les acteurs opérationnels à la démarche et conscients que le temps médical et paramédical est précieux, le CHRU de Nancy et le cabinet Adopale ont mis en œuvre une méthodologie basée sur un nombre de réunions restreint avec 3 temps d’échange au total. En contrepartie, un temps de préparation important est à prévoir en amont ainsi qu’un temps de formalisation en aval pour réaliser et homogénéiser les différents supports.
Après une réunion de lancement du projet et l’envoi d’un questionnaire aux référents de chaque service, des entretiens ont été réalisés et ont concrètement permis d’identifier :
Puis, deux itérations de groupes de travail ont réuni un nombre important d’acteurs de chaque service (médecins, cadres, IDE, AS, manipulateurs, secrétaires, agents logistiques, référent SI …) et ont permis de coconstruire les parades opérationnelles à mettre en place face à chaque risque encouru.
A titre d’exemple, les processus suivants ont pu être identifiés : « L’appel d’urgence au gynécologue, pédiatre ou anesthésiste de garde » pour le service d’Obstétrique – Salle de Naissance ; « L’envoi d’une demande d’imagerie » ou « La récupération d’un résultat de biologie » pour les services de soins ou encore « La commande des gaz médicaux » pour la PUI.
Enfin les synthèses suivantes ont été réalisées pour chaque service, avec un recensement :
Concrètement, une cartographie des processus prioritaires a été complétée pour chaque service comprenant au maximum une cinquantaine de lignes
A l’issue des groupes de travail, plusieurs livrables ont été produits (schéma n°4). A l’issue des groupes de travail, 
plusieurs livrables ont été produits (schéma n°3 et 4)
Cela a permis de proposer à chaque niveau (stratégique et opérationnel) un livrable doté d’informations le concernant avec le juste niveau de détail.
3. Déployer la démarche : s’appuyer sur les contrats de pôle pour généraliser la mise en place d’un PCA
Initiée sur l’année 2023 grâce à l’accompagnement cadencé du cabinet Adopale, la généralisation des Plans de Continuité d’Activité à l’échelle de tous les services du CHRU et des établissements du GHT ne pourra se faire sans une prise de relai en interne. C’est pourquoi la direction a fait le choix de s’appuyer sur les pôles pour déployer cette démarche à grande échelle : début 2024, la définition de PCA a ainsi été intégrée dans les contrats de pôle. Cela a le double avantage de responsabiliser des acteurs terrains sur la problématique, mais aussi de valoriser le temps non négligeable passé sur ce projet. 
Les trios de Pôle auront la charge de coordonner la mise en place et le maintien du Plan de Continuité pour l’ensemble des services inclus dans leur périmètre.
Pour ce faire, ils pourront nommer un binôme « médecin – cadre de santé » qui aura la responsabilité de piloter la démarche pour les services du Pôle en sensibilisant les équipes, en veillant à l’actualisation des cartographies et à la mise en œuvre des solutions opérationnelles identifiées (modèle de documents papiers, impression de certaines procédures…) précédemment.
Les pôles en collaboration avec la gouvernance projet auront également la responsabilité de vérifier l’efficacité du PCA en réalisant des exercices de test de manière régulière.
Au vu du périmètre, l’appui des pôles apparait comme essentiel dans le cadre du déploiement et du maintien de la démarche PCA.
« Le développement d’un plan de continuité d’activité en milieu hospitalier, intégré à la démarche Plan Blanc, revêt une importance capitale pour assurer la résilience et la capacité d’adaptation face aux situations d’urgence. Le Centre Hospitalier Régional Universitaire (CHRU) reconnaît l’importance de cette démarche et s’engage à partager son retour d’expérience afin de contribuer à l’amélioration continue des pratiques dans le domaine.
En effet, cette initiative s’inscrit dans une dynamique de progrès national, où de nombreuses propositions méthodologiques émergent pour renforcer la préparation et la réactivité des établissements hospitaliers. En partageant nos connaissances, nos réussites et nos défis rencontrés lors de l’élaboration et de la mise en œuvre de notre plan de continuité d’activité, nous aspirons à catalyser le développement de bonnes pratiques et à favoriser une culture de collaboration et de partage au sein de la communauté hospitalière.
Nous sommes convaincus que cette démarche collaborative et ce partage d’expérience permettront d’œuvrer ensemble vers un objectif commun : renforcer la résilience des établissements hospitaliers face aux crises et assurer la continuité des soins pour garantir la sécurité et le bien-être des patients.
Le CHRU est fier de s’engager dans cette voie et reste ouvert à toute collaboration et échange avec les autres établissements hospitaliers, car ensemble, nous sommes plus forts pour faire face aux défis à venir et assurer la meilleure prise en charge possible des patients, même dans les circonstances les plus difficiles. »
L’Equipe du CHRU de NANCY
L’équipe ADOPALE
Les médicaments et dispositifs médicaux représentent à eux seuls plus de la moitié des émissions du secteur de la santé. Quels sont les leviers d’action disponibles pour réduire ces émissions ?
Les défis d’actualité de la fonction de biologie médicale des établissements de santé sont nombreux. Retrouvez tous nos articles sur le sujet
Les défis d’actualité de la fonction de biologie médicale des établissements de santé sont nombreux. Retrouvez tous nos articles sur le sujet
15 rue de Sambre et Meuse
75010 PARIS
01 40 06 98 60
info@adopale.com
44 rue Henri Germain
69002 LYON
info@adopale.com
© Développé par Divine Comédie – Copyright 2019 Adopale
