Identités et cycle de vie

IAM HospiConnect : fiabiliser les identités et les accès à l'hôpital

HospiConnect engage les établissements de santé sur toute la chaîne d'identification électronique des professionnels : savoir qui intervient dans le système d'information hospitalier, rapprocher son identité locale de son identité nationale lorsque cela s'applique, maîtriser ses habilitations et lui permettre d'accéder aux applications avec le bon niveau d'authentification. Un programme IAM bien construit relie ces dimensions, sans imposer de remplacement systématique des outils existants ni compliquer les parcours de soins.

Parlons de votre trajectoire IAM HospiConnect Comprendre les chantiers IAM

Les capacités Ariovis à mobiliser

HospiConnect ne se limite pas au déploiement de l'authentification forte

Le programme HospiConnect vise à simplifier et sécuriser les accès des professionnels aux services numériques sensibles de l'établissement et aux services nationaux du numérique en santé. L'Agence du Numérique en Santé associe explicitement une identité sectorielle nationale fiable, des moyens d'identification électronique à deux facteurs adaptés aux usages, des solutions IAM pour la gestion des habilitations et des mécanismes SSO pour fluidifier la connexion aux applications. La question n'est donc pas seulement de choisir un badge, une carte ou un second facteur : il faut organiser la chaîne d'identification électronique de bout en bout.

L'ANS structure cette démarche autour de cinq axes complémentaires : le cycle de vie des identités, l'inventaire des services numériques, les droits et accès, les moyens d'identification électronique, ainsi que la gouvernance et la sensibilisation. Leur articulation importe davantage que le déploiement isolé d'une technologie. Une authentification robuste ne corrige ni une identité en double, ni une habilitation devenue excessive, ni un compte resté actif après le départ de son titulaire.

Pour l'établissement, l'enjeu opérationnel consiste à garantir qu'un professionnel dispose des accès nécessaires au moment où il en a besoin, tout en évitant que ses droits dépassent son activité réelle. Cet équilibre se construit à partir des situations hospitalières, des sources d'identité et du parc applicatif, puis se traduit en processus, connecteurs, règles de gestion et mécanismes de contrôle.

Les situations hospitalières qui doivent guider la conception

Faites défiler le tableau horizontalement pour voir toutes les colonnes.

Situations hospitalières, difficultés concrètes et réponses attendues du dispositif IAM et d'accès
Situation	Difficulté concrète	Réponse attendue du dispositif IAM et d'accès
Un interne prend son poste	Identité et droits à préparer avant la première connexion	Rapprochement fiable, création coordonnée des comptes et droits adaptés au service
Une garde imprévue est organisée	L'accès ne peut pas dépendre d'un processus d'enrôlement trop lent	Parcours d'urgence maîtrisé, habilitation limitée et moyen d'identification utilisable rapidement
Une infirmière intervient sur plusieurs unités	Postes partagés et changements fréquents de contexte	Connexion fluide, sessions maîtrisées et droits cohérents avec les affectations
Un professionnel change de service	Les anciens droits ne doivent pas s'accumuler	Recalcul des habilitations, retrait des droits obsolètes, gestion des exceptions
Un intérimaire ou prestataire intervient quelques jours	La date de fin et le responsable de l'accès sont essentiels	Identité rattachée à un responsable, accès à durée bornée, révocation vérifiable
Un professionnel perd son MIE	L'incident ne doit pas provoquer un contournement incontrôlé	Procédure de secours documentée, révocation ou suspension et réémission adaptées
Un administrateur accède à un système critique	Le niveau de risque excède celui d'un accès utilisateur standard	MFA robuste, privilèges limités, revue et traçabilité appropriées

Ces situations sont des exemples de conception, issus des catégories de cas d'usage présentées par l'ANS. Elles ne constituent pas des références clients ou des résultats de missions revendiqués.

Fiabiliser les identités professionnelles et leur rapprochement avec le RPPS

Un système d'information hospitalier peut connaître une même personne à travers les données RH, un annuaire, un ou plusieurs comptes applicatifs et une identité sectorielle nationale. Ces objets ne sont pas interchangeables. L'identité locale décrit la relation du professionnel avec l'établissement ; les attributs et identifiants nationaux permettent notamment de le reconnaître dans l'écosystème de santé ; les comptes ouvrent des sessions dans des systèmes déterminés. L'IAM doit savoir rapprocher ces informations sans attribuer automatiquement à une source externe la responsabilité de toutes les décisions d'habilitation locales.

Le référentiel de maturité de l'ANS commence par la maîtrise d'un répertoire d'identités professionnelles et la définition de sa source de vérité (PROC-01A, PROC-01B). Il examine ensuite la qualité du processus de création des identités internes et externes (PROC-02A, PROC-02B), le rapprochement entre identité locale et identité nationale de santé dans le RPPS (PROC-03A, PROC-03B), la couverture de ce rapprochement (COUV-03C) et la manière dont les anomalies ou identités non rapprochées sont pilotées (PILOT-03D, PILOT-03E). Ces indicateurs permettent de dépasser une simple affirmation selon laquelle « les identités sont synchronisées ».

Pro Santé Identité (PSI) constitue un point d'entrée pour les démarches d'enregistrement et de gestion de l'identité sectorielle des professionnels, tandis que le RPPS porte les données nationales de référence correspondantes. Pro Santé Connect (PSC), lui, fournit un service de fédération pour l'authentification et l'accès aux services qui y sont raccordés. Une architecture cohérente peut faire travailler ensemble la source locale, le rapprochement RPPS, l'IAM et PSC, à condition de clarifier le responsable de chaque donnée et les conditions de synchronisation.

Les questions de conception à résoudre

Le projet doit identifier la source responsable de l'arrivée et du départ d'un salarié, celle de l'affectation dans un service, celle des missions des intervenants externes et celle des informations nationales à rapprocher. Il doit également préciser comment traiter deux comptes locaux liés au même professionnel, une identité sans identifiant national disponible, une erreur de rapprochement ou une activité nationale devenue incohérente avec la situation locale. Ces exceptions doivent entrer dans un circuit de résolution et de traçabilité, plutôt que rester dans des fichiers maintenus à la main.

Traiter correctement les professionnels non immatriculés au RPPS

Le rapprochement RPPS doit être mesuré sur la population à laquelle il s'applique, et non sur tous les comptes de l'établissement. Le guide ANS (PROC-03A et COUV-03C, pages 31 et 33) rappelle que les professionnels non immatriculés sont exclus du calcul. Pour les autres populations, l'établissement doit conserver une identité locale nominative, une source de rattachement vérifiable et des règles d'accès explicites. Une absence de RPPS ne justifie ni un compte générique ni un accès sans responsable.

Le webinaire ANS du 24 mars 2026 présente Pro Santé Identité comme un sas d'enregistrement destiné à faciliter les démarches côté professionnel et, selon les interfaces mises à disposition, l'automatisation via des API raccordées à l'IAM local. Il évoque également la synchronisation entre activités locales et données nationales. La disponibilité effective des fonctionnalités et des API doit être vérifiée à la date du projet : le schéma de mars 2026 décrit une trajectoire technique, pas la preuve que chaque fonction est déjà ouverte à tous les établissements. Le rapprochement est un processus à exploiter et à corriger, pas un simple champ RPPS ajouté dans un annuaire.

Maîtriser les arrivées, les mobilités et les départs sans ralentir les soins

Dans un établissement, le cycle de vie ne se résume pas aux salariés en CDI. Il concerne les internes, titulaires, remplaçants, praticiens intervenant sur plusieurs sites, vacataires, intérimaires, prestataires et autres utilisateurs autorisés. Les événements qui déclenchent leur création ou leur désactivation peuvent venir des ressources humaines, des directions métiers, des responsables de service ou d'un tiers. Une plateforme IAM ne compense pas un événement de départ qui ne lui parvient jamais : la qualité des processus et des sources conditionne l'efficacité de l'automatisation.

Pour une arrivée planifiée, l'objectif est de préparer les comptes, les droits, le rapprochement d'identité et le parcours d'authentification avant la prise de poste. Pour une arrivée urgente, il faut prévoir une chaîne d'autorisation et d'activation courte mais contrôlée. Lors d'une mobilité, le dispositif doit distinguer les droits à conserver, à ajouter et à retirer. Pour une fin d'activité, il doit déclencher la désactivation des accès concernés et détecter les comptes ou droits restés actifs au-delà de l'échéance prévue.

Les indicateurs PROC-04A à PILOT-04G évaluent précisément la procédure de fin d'activité, les déclencheurs, la couverture et les délais de désactivation. Le référentiel traite également les comptes génériques utilisés par des personnes physiques (PROC-05A à PILOT-05D), les comptes techniques ou de service (PROC-05E) et les revues de comptes, notamment sensibles ou privilégiés (PROC-06A à PILOT-06G). Le but n'est pas de nier les particularités des usages hospitaliers, mais de rendre les exceptions identifiables, justifiées, limitées et réexaminées.

Gouverner les habilitations des professionnels, pas seulement leurs comptes

Identifier correctement un professionnel ne suffit pas à déterminer quelles informations et quelles fonctions il peut utiliser. Un médecin, une infirmière, un cadre de santé, un agent administratif et un prestataire peuvent tous disposer d'une identité vérifiée et d'un moyen d'authentification robuste ; leurs droits applicatifs restent différents. Le SIH doit relier ces droits aux missions, aux affectations, aux besoins d'accès et aux règles propres aux applications, tout en sachant gérer les exceptions.

Le référentiel ANS distingue un modèle d'habilitation structuré par rôles ou profils (PROC-12A), sa mise à jour pendant le cycle de vie (PROC-12B), son pilotage (PILOT-12C), les exceptions (PROC-12D), la prise en compte des intervenants externes (PROC-12E) et la couverture applicative du modèle (COUV-12F). Il prévoit aussi le traitement des droits excessifs et des écarts d'habilitation (PROC-13A, COUV-13B, PILOT-13C). Une gouvernance utile n'est donc pas une matrice écrite une fois pour toutes : c'est un mécanisme vivant de décision, d'application et de vérification.

Un IAM/IGA qui agit effectivement sur les applications

L'ANS consacre six indicateurs à l'outillage IAM : présence d'un IAM pour le cycle de vie (PROC-07A), automatisation du provisioning et du déprovisioning (PROC-07B), automatisation de la fin d'activité (PROC-07C), couverture des applications (COUV-07D), couverture des identités traitées par ces automatisations (COUV-07E) et pilotage de la solution dans la durée (PILOT-07F). Ils permettent de poser des questions vérifiables : quelles applications sont raccordées, quelles populations sont réellement gérées, quelles actions sont encore manuelles et comment les erreurs de synchronisation sont-elles traitées ?

Une trajectoire réaliste peut commencer avec la source de référence, l'annuaire et quelques applications critiques, puis étendre progressivement la couverture. Les règles de droits peuvent combiner des profils métiers et des attributs comme le service ou l'affectation, sans transformer chaque exception en un nouveau rôle permanent. L'outil IGA gouverne les droits et trace leur attribution ; le fournisseur d'identité authentifie l'utilisateur ; l'application, notamment le DPI, demeure responsable de faire appliquer ses propres règles d'accès aux données et fonctions qu'elle expose.

Ce que l'établissement doit pouvoir démontrer

Pour chaque processus prioritaire, il doit être possible d'expliquer d'où provient la demande, qui l'a validée, quelle règle a été appliquée, quel compte ou droit a été créé, modifié ou retiré, et si l'application cible a bien exécuté l'action. Les écarts — droits théoriques non appliqués, comptes non rapprochés, suppressions en échec, privilèges excessifs — doivent conduire à une remédiation identifiable. C'est cette continuité entre décision, exécution et contrôle qui rend l'IAM utile pour HospiConnect.

Simplifier les connexions sans affaiblir l'authentification

Les professionnels de santé passent d'une application à une autre, parfois sur plusieurs postes ou dans plusieurs unités. Une architecture d'accès doit concilier cette mobilité et la sécurité des sessions. Le SSO permet de réutiliser une authentification lorsque les applications et le niveau d'assurance le permettent ; le MFA combine plusieurs facteurs ; les moyens d'identification électronique (MIE) portent les mécanismes utilisés par le professionnel. Aucun de ces dispositifs ne remplace la vérification de l'identité ni la gouvernance des habilitations.

Le point de départ est l'inventaire des services numériques et de leurs modes de connexion : quelles applications acceptent une délégation vers un fournisseur d'identité local, lesquelles sont raccordables à Pro Santé Connect, lesquelles s'appuient encore sur un eSSO ou un mécanisme historique et quelles contraintes viennent des postes de travail ? L'ANS couvre cet inventaire et ces capacités avec les indicateurs PROC-08A à COUV-11D. Les indicateurs PROC-16A à PILOT-16E traitent l'eSSO comme une solution transitoire à piloter, tandis que PROC-17A à COUV-17E et PROC-18A à COUV-18D portent sur les délégations vers un FI local et vers PSC.

Pro Santé Connect et l'identité locale : deux fonctions à articuler

Pro Santé Connect est le service national de fédération d'identité pour les services numériques de santé raccordés. Un établissement peut également disposer d'un fournisseur d'identité local qui sert les applications de son SIH. La délégation d'authentification entre PSC et un FI local reconnu dans l'espace de confiance PSC est un mécanisme spécifique : elle suppose notamment un appairage fiable des identités et le respect des exigences techniques, organisationnelles et de sécurité de l'ANS. Au moment de la rédaction, cette fonctionnalité est introduite progressivement et l'accès immédiat est soumis aux critères d'éligibilité et de référencement publiés par l'ANS ; elle ne doit jamais être présentée comme disponible automatiquement avec n'importe quel IAM ou IdP.

Choisir les MIE à partir des usages, et non l'inverse

Une garde imprévue, un poste partagé, un accès distant et un compte administrateur n'imposent pas les mêmes choix opérationnels. Les critères pertinents comprennent la robustesse de l'authentification, la rapidité d'enrôlement, les conditions d'utilisation, la révocation, le renouvellement, les parcours de secours et la logistique de distribution. La carte CPS, la e-CPS et d'autres moyens compatibles ou locaux peuvent répondre à des situations différentes, sous réserve des exigences applicables. Un badge ou une clé FIDO2 ne devient pas conforme par sa seule technologie : il faut aussi qualifier le schéma d'identification et les processus associés.

Le support ANS du 24 mars 2026 distingue également les cartes CPS adossées à une identité nationale RPPS vérifiée des cartes CPE historiquement fondées sur un identifiant dérivé de la structure. La présence d'une carte professionnelle ne suffit donc pas à conclure que l'identité portée satisfait au niveau de garantie visé. Ce point doit être qualifié en fonction des usages, du statut du professionnel et du cadre en vigueur.

L'ANS mesure à la fois le déploiement technique et l'usage réel du MFA (PROC-14A à PILOT-14K), sa couverture sur les comptes privilégiés (PROC-15A à COUV-15C), le choix et la distribution des MIE (PROC-22A à COUV-22F), leur compatibilité PSC (PROC-23A, COUV-23B) et les moyens utilisés sur les services critiques locaux hors santé (PROC-24A à COUV-24D). Disposer d'un bouton MFA ou de matériels distribués ne suffit donc pas à caractériser l'usage effectif du dispositif.

Quatre trajectoires MIE/SSO étudiées par l'ANS

Le webinaire ANS du 24 mars 2026 compare des trajectoires dont les dépendances IAM sont différentes. Ce sont des scénarios pédagogiques documentés, pas une liste de produits automatiquement habilités. Leur intérêt est de distinguer la conformité d'un schéma d'identification local, la compatibilité d'un MIE avec PSC et l'habilitation supplémentaire nécessaire pour qu'un FI tiers serve d'intermédiaire.

Faites défiler le tableau horizontalement pour voir toutes les colonnes.

Quatre trajectoires MIE/SSO étudiées par l'ANS (webinaire du 24 mars 2026)
Architecture étudiée	Accès local et accès aux services nationaux	Condition structurante pour le SIH
Badge local MIFARE DESFire sans FI tiers PSC	Badge local pour les usages de l'établissement ; e-CPS/PSC distinct pour les services nationaux	Décrire et qualifier le schéma local selon le RIE, organiser deux parcours d'accès cohérents
Clé FIDO2 reconnue compatible PSC, sans FI tiers	Clé utilisable localement selon les mécanismes pris en charge et pour PSC lorsqu'elle est effectivement reconnue	Vérifier la compatibilité officielle du MIE et la conformité du schéma local d'enrôlement et d'authentification
Badge DESFire avec FI tiers PSC	Un dispositif local peut être mis en relation avec PSC au travers d'un FI tiers habilité	Qualifier l'identité locale, son rapprochement national, la solution et la structure, et respecter les exigences FI tiers ANS
Clé FIDO2 avec FI tiers PSC	Parcours local et national potentiellement unifié au travers du FI tiers	Même exigence d'habilitation FI tiers et de gouvernance de la délivrance, de la révocation et des assertions d'identité

Le webinaire distingue aussi un premier niveau atteignable sans refonte totale du SI d'une architecture d'urbanisation plus ambitieuse, plus appropriée lorsque la population, les services et les capacités d'exploitation le justifient. Le choix doit donc suivre les cas d'usage, la dette d'identité, la capacité d'intégration, l'expérience des équipes et l'effort de maintien en conditions opérationnelles. Aucune de ces trajectoires n'est à présenter comme universellement conforme ou disponible sans contrôle des règles et listes ANS actuelles.

Quelle architecture IAM pour HospiConnect ?

L'architecture cible dépend des services à raccorder et des contraintes de l'établissement. Une trajectoire cohérente commence par les sources RH et métiers qui documentent les événements de vie, se poursuit avec un référentiel local d'identités et le rapprochement RPPS lorsqu'il est applicable, puis alimente la gouvernance des comptes et des droits. Le fournisseur d'identité local, le SSO, les MIE et Pro Santé Connect prennent ensuite en charge les parcours d'authentification, tandis que les applications et les services nationaux appliquent leurs règles d'accès aux ressources.

Sources RH / métiers / responsables d'intervenants
Répertoire d'identités professionnelles local
↳ Rapprochement fiable avec l'identité nationale / RPPS
IAM / IGA : cycle de vie, comptes, habilitations, contrôles
- Applications / annuaires
- FI local / SSO / MIE / MFA
  ↳ PSC et services fédérés si éligibles, compatibles et effectivement raccordés
DPI et autres services : application de leurs règles d'accès

La flèche du rapprochement RPPS ne signifie pas que le RPPS pilote les rôles locaux. Le schéma distingue ce qui gouverne une identité, ce qui authentifie un professionnel et ce qui autorise une action dans une application. Les référentiels et les protocoles sont utilisés lorsque le contexte le permet ; l'établissement n'a pas besoin de reconstruire toute son infrastructure pour démarrer avec quelques flux prioritaires fiables.

Comment l'IAM contribue-t-il à l'accès intégré au DMP ?

L'accès au Dossier Médical Partagé depuis le dossier patient informatisé illustre la différence entre authentification et autorisation. Le professionnel doit être identifié, s'authentifier de manière appropriée et disposer d'une habilitation lui permettant d'accéder à la ressource concernée. Le webinaire Ségur du 22 avril 2026 présente cinq conditions cumulatives sous l'acronyme DICAH : D pour le DPI homologué AIR, I pour la qualification de l'Identité Nationale de Santé du patient (INS), C pour l'organisation du recueil du consentement, A pour l'authentification forte des professionnels et la préparation de l'AIR simplifié, H pour la sécurisation des accès aux fiches patients via une matrice d'habilitation.

L'IAM est particulièrement pertinent sur l'identification professionnelle, le rapprochement des comptes, le cycle de vie et la gouvernance des habilitations. L'Access Management intervient sur le parcours d'authentification. Ces travaux ne remplacent ni l'homologation du DPI, ni la qualification de l'INS, ni le recueil du consentement. De même, l'autoévaluation de maturité HospiConnect et la démarche d'auto-homologation prévue par le référentiel de sécurité et d'interopérabilité du DMP sont deux exercices distincts, avec des finalités et des attendus différents.

Ce que la chaîne DMP doit transmettre et tracer

Dans le mode AIR simplifié décrit par l'ANS le 22 avril 2026, l'authentification forte du professionnel intervient en amont dans le DPI ou son fournisseur d'identité. Le flux de consultation doit transmettre notamment l'identifiant RPPS de l'auteur de la transaction et le FINESS géographique de l'établissement. Le support explique également le principe du jeton VIHF signé par un certificat de personne morale, alors que l'identité de la personne physique doit rester connue et traçable. L'IAM et l'Access Management contribuent à fournir cette identité fiable, sans se substituer aux contrôles et aux journaux du DPI ni aux règles DMP.

Les documents ANS distinguent la qualification du logiciel DPI pour le mode AIR, l'auto-homologation du périmètre de l'établissement au référentiel DMP (29 exigences regroupées en sept dimensions, selon le support du 22 avril 2026) et la contractualisation avec la CNAM. L'auto-homologation implique une évaluation, des éléments documentaires, une commission et un procès-verbal conservé par l'établissement ; elle ne découle pas de la simple saisie des 118 indicateurs HospiConnect. Il est possible de définir un premier périmètre d'utilisateurs et de services en production plutôt que de généraliser d'emblée le dispositif à tout l'hôpital, sous réserve des exigences applicables à ce périmètre. Un DPI homologué AIR n'est pas nécessairement référencé Ségur vague 2, et la candidature HospiConnect n'exige pas à elle seule d'être déjà équipé d'un DPI Ségur vague 2.

Mesurer sa maturité IAM avec les indicateurs HospiConnect de l'ANS

Le guide ANS v1.0 validé en mai 2026 comprend 118 indicateurs, répartis en cinq axes : 41 sur le cycle de vie des identités, 15 sur les services numériques, 39 sur les droits et accès, 16 sur les MIE et 7 sur la gouvernance et la sensibilisation. Les fiches proposent des paliers de maturité de 0 à 4 et des éléments de positionnement. L'ANS précise que cette saisie est un outil d'autoévaluation et de pilotage : aucune preuve documentaire n'est attendue à l'issue de la saisie des indicateurs elle-même.

Pour un responsable IAM, le plus utile n'est pas d'afficher les 118 indicateurs sur une page commerciale, mais de relier un ensemble limité de questions aux processus et aux applications réellement en place. Le tableau ci-dessous constitue une sélection de travail ; il ne remplace ni le questionnaire complet ni le référentiel officiel.

Faites défiler le tableau horizontalement pour voir toutes les colonnes.

Sélection de travail d'indicateurs HospiConnect de l'ANS et questions opérationnelles associées
Référence ANS	Point évalué	Question opérationnelle à poser
PROC-01B	Source de vérité des identités	Qui fait autorité pour l'existence et les attributs des professionnels ?
PROC-03A / COUV-03C	Rapprochement identité locale / RPPS	Quels professionnels sont rapprochés et quels dossiers restent en anomalie ?
PROC-04A / COUV-04E	Gestion et risque de fin d'activité	Quels accès persistent après la date de fin attendue ?
PROC-05A	Comptes génériques de personnes physiques	Quels usages partagés existent encore et comment sont-ils encadrés ?
PROC-06A / PILOT-06G	Revue des comptes et traitement des écarts	Les revues débouchent-elles sur des retraits réellement exécutés ?
PROC-07A / PROC-07B	IAM en place et automatisation	Quels événements déclenchent aujourd'hui une action IAM ?
COUV-07D / COUV-07E	Couverture du provisioning	Quelles applications et identités sont réellement traitées ?
PILOT-07F	Exploitation de l'IAM	Qui traite les incidents, écarts, reprises et synchronisations ?
PROC-08A / PROC-09A	Inventaire et modes d'authentification	Quelles applications sont connues, critiques ou encore isolées ?
PROC-12A / PROC-12D	Profils et exceptions d'habilitation	Les droits sont-ils explicables, et les exceptions revues ?
PROC-13A / PILOT-13C	Droits excessifs et écarts	Comment identifie-t-on et corrige-t-on les droits résiduels ?
COUV-14E / COUV-14I	Usage MFA et intervenants externes	Le MFA est-il effectivement utilisé par les populations concernées ?
PROC-16A / PILOT-16E	eSSO et trajectoire de modernisation	Quels usages peuvent passer à une délégation d'authentification ?
PROC-17A / PROC-18A	FI local et PSC	Quels services sont techniquement raccordés à chaque dispositif ?
PROC-19A / PILOT-19B	FI local reconnu dans PSC	Le dispositif et son suivi répondent-ils aux exigences de l'ANS ?
PROC-22A / PROC-23A	Choix des MIE et compatibilité PSC	Les moyens choisis sont-ils adaptés aux parcours et au cadre applicable ?
GOUV-28B / GOUV-28C	Responsabilités et pilotage	Qui arbitre les exceptions et suit les actions correctives ?

Le bon usage du référentiel est de comparer le niveau constaté avec un objectif atteignable, de prioriser les dépendances puis de mesurer la progression. Une couverture applicative du provisioning, un taux d'accès désactivés après départ ou un usage effectif du MFA n'ont de sens que si le périmètre, les dénominateurs et les règles de calcul sont clairement documentés.

Quatre distinctions indispensables dans la mesure de maturité

Le guide des indicateurs ANS fournit des définitions et des paliers chiffrés qui évitent des KPI trompeurs. COUV-03C porte uniquement sur les professionnels immatriculés au RPPS et effectivement rapprochés ; un identifiant national renseigné mais non vérifié ne suffit pas. COUV-07D mesure la proportion de services numériques pertinents couverts par le provisioning IAM, tandis que COUV-07E mesure la population d'identités dont le cycle de vie complet est réellement automatisé : acheter une licence IAM ou raccorder une seule application ne prouve ni l'un ni l'autre. COUV-14C mesure les services permettant le MFA, mais COUV-14E porte sur les authentifications effectuées avec MFA ; les journaux d'accès peuvent révéler un écart majeur entre disponibilité et utilisation. Enfin, COUV-01E est un indicateur de risque inversé : moins les accès sont non nominatifs, meilleur est le niveau de maîtrise.

Dans le guide ANS de mai 2026, les indicateurs de couverture ordinaires utilisent notamment les bandes 0–9 %, 10–39 %, 40–69 %, 70–89 % et 90–100 % pour les paliers 0 à 4 ; certains indicateurs de risque, comme COUV-01E, ont des seuils et un sens de lecture spécifiques. Les processus, la gouvernance et le pilotage se notent selon des descriptions qualitatives et non un pourcentage arbitraire. La mesure doit donc garder le bon dénominateur, les exclusions prévues, la qualité des preuves disponibles localement et l'exécution réelle de la correction.

Par où commencer un projet IAM HospiConnect ?

Une trajectoire pragmatique consiste d'abord à comprendre les populations et les usages, puis à produire des décisions techniques qui peuvent être mises en œuvre. Le premier livrable est une cartographie croisant identités, sources, applications, habilitations, mécanismes de connexion et propriétaires de processus. Il permet d'identifier les applications sensibles, les populations difficiles à gérer et les dépendances au RPPS, à PSI, à PSC ou à la prise en charge du MFA.

L'établissement peut ensuite qualifier les écarts de maturité à partir des indicateurs ANS, définir les sources de référence, traiter les anomalies d'identité et choisir quelques flux de bout en bout pour le premier palier : une arrivée, une mobilité, un départ et deux ou trois applications représentatives. L'industrialisation vient après la validation de ces flux, avec des contrôles de cohérence, des processus de reprise, des tests et une documentation d'exploitation.

Le cadrage doit déboucher sur une trajectoire priorisée, et non sur l'hypothèse qu'un nouvel outil doit nécessairement être acheté. Selon l'existant, les travaux peuvent consister à fiabiliser un annuaire, compléter un IAM, intégrer des applications supplémentaires, structurer le SSO, corriger les modèles d'habilitation ou renforcer l'exploitation. Les équipes hospitalières doivent pouvoir reprendre les processus, comprendre les règles et conserver la maîtrise de leurs exceptions.

Les livrables concrets d'un accompagnement

La démarche peut produire un diagnostic des identités et des accès, une cartographie des sources et des applications, une matrice de correspondance identité locale / RPPS, un modèle d'habilitations et de responsabilités, une architecture cible intégrant IAM, SSO, MIE et PSC selon les conditions applicables, ainsi qu'un backlog priorisé avec critères de recette. L'étape de réalisation comprend, lorsque cela est pertinent, le paramétrage, les connecteurs, la reprise des données, les tests, la mise en production, le transfert de compétences et les dispositifs de maintien en conditions opérationnelles.

Échanger sur votre architecture IAM hospitalière

Organiser le cadrage à la bonne maille : établissement, entité juridique ou GHT

Le webinaire Convergence du 6 mai 2026 rappelle que la trajectoire peut être construite à différentes mailles : établissement géographique, entité juridique et groupement hospitalier de territoire (GHT). Dans les modalités de dépôt présentées pour 2026, l'autoévaluation de maturité est portée à la maille de l'entité juridique, tandis qu'un GHT peut disposer d'une note de cadrage commune explicitant les spécificités de ses membres. Les consignes de dépôt, dates et moyennes de maturité sont propres aux règles du guichet concerné et doivent être recontrôlées ; elles ne sont pas des invariants de l'architecture IAM.

Pour cadrer la réalisation, l'ANS propose six éléments structurants dans sa note de cadrage HOP'EN 2 : périmètre du projet, contexte et trajectoire, calendrier et jalons, gouvernance, indicateurs, communication et accompagnement des professionnels. Cette trame peut utilement alimenter la feuille de route IAM, même lorsque l'établissement ne mobilise pas le dispositif financier : elle force à relier les décisions techniques, les responsables et l'adoption sur le terrain.

Questions fréquentes sur l'IAM et HospiConnect

HospiConnect impose-t-il l'achat d'un logiciel IAM particulier ?

Non. L'ANS présente une démarche de sécurisation de la chaîne identité–accès et n'impose pas une plateforme IAM unique. Les choix dépendent des sources, des applications, des populations et des capacités déjà disponibles. L'établissement doit néanmoins être en mesure de gérer les comptes et les habilitations, d'identifier les écarts et de faire évoluer ses processus d'accès de manière maîtrisée.

Quelle différence entre IAM, RPPS, Pro Santé Identité et Pro Santé Connect ?

L'IAM structure le cycle de vie local et la gouvernance des comptes et des droits. Le RPPS fournit l'identité sectorielle nationale des professionnels enregistrés. Pro Santé Identité intervient dans les démarches d'enregistrement et de gestion de cette identité sectorielle. Pro Santé Connect est un service de fédération d'authentification pour les services raccordés. Ces briques sont complémentaires, mais ne portent pas les mêmes responsabilités.

Le rapprochement RPPS suffit-il à donner accès au DPI ?

Non. Le rapprochement permet d'associer une identité locale à une identité nationale fiable. L'accès au DPI dépend aussi de l'existence d'un compte utilisable, de l'authentification et des habilitations définies et appliquées dans le contexte de l'établissement. La mise à jour du RPPS ne doit donc pas être confondue avec l'attribution automatique de tous les droits applicatifs.

Le SSO suffit-il à rendre un établissement conforme ?

Non. Le SSO peut simplifier les connexions, et l'authentification forte répond à des exigences distinctes selon les services et les usages. Mais ni l'un ni l'autre ne maîtrise à lui seul les entrées, les mobilités, les sorties, les comptes génériques ou les droits excessifs. La conformité d'un schéma d'identification dépend également des exigences réglementaires et techniques qui lui sont applicables.

Peut-on fédérer un fournisseur d'identité hospitalier avec Pro Santé Connect ?

Un mécanisme de délégation à un fournisseur d'identité local existe dans le cadre de l'espace de confiance PSC. Son usage dépend du référencement de la solution, des critères d'éligibilité de l'établissement, d'un appairage fiable des identités et du respect des exigences de l'ANS. Une architecture SSO locale ou un produit IAM courant ne bénéficie pas automatiquement de cette reconnaissance.

Comment gérer les internes, vacataires, intérimaires et prestataires ?

Il faut distinguer le statut de la personne, la source qui atteste sa mission, ses affectations, la durée de ses accès et le responsable de leur validation. Les arrivées urgentes exigent un parcours d'activation rapide mais traçable ; les missions temporaires exigent une échéance et une révocation fiables. L'automatisation n'est utile que si ces informations sont suffisamment fiables pour déclencher les bonnes actions.

Les 118 indicateurs ANS constituent-ils une certification HospiConnect ?

Non. Le guide ANS de mai 2026 les présente comme un outil d'autoévaluation et de pilotage de la maturité de l'identification électronique. Ils peuvent servir à identifier les écarts et à construire une trajectoire, mais leur saisie ne vaut ni homologation d'un logiciel ni démonstration de conformité à l'ensemble des référentiels applicables. Les démarches de financement et d'auto-homologation DMP ont leurs propres règles.

Quel lien entre HospiConnect, le DMP et l'AIR simplifié ?

L'accès intégré au DMP exige une chaîne de confiance qui comprend notamment l'identité et l'authentification du professionnel, les habilitations du DPI, l'identité du patient, le consentement et les conditions techniques relatives au DPI et à l'AIR simplifié. L'IAM contribue à plusieurs de ces éléments, mais il ne remplace pas le travail de l'éditeur du DPI, des responsables métier et des instances d'homologation concernées.

Sources officielles

Agence du Numérique en Santé — HospiConnect, programme CaREPage du programme (axe 4, sécurité opérationnelle)
ANS — HospiConnect, webinaire n° 1 « Périmètre opérationnel »ANS, mars 2026 (PDF)
ANS — HospiConnect, webinaire n° 2 « Services socles IE »ANS, mars 2026 (PDF)
ANS — Pro Santé Connect : délégation à un fournisseur d'identité localÉligibilité, référencement des solutions et appairage des identités
ANS — Pro Santé ConnectDocumentation générale du service
Ministère chargé de la santé — Programme HOP'EN 2Page institutionnelle du programme
ANS — Plateforme ConvergenceOutil de pilotage et d'autoévaluation
ANS — Temps fortsAgenda des évolutions du programme

Construire votre trajectoire IAM HospiConnect à partir du SI existant

Une première discussion utile consiste à identifier les populations réellement couvertes, les applications prioritaires, les points de rupture entre identité locale et RPPS, les droits qui restent gérés manuellement et les mécanismes d'authentification déjà en place. Elle permet de choisir le premier périmètre d'intégration et les critères de réussite avant de décider s'il faut conserver, compléter ou faire évoluer les outils de l'établissement.

Parlons de votre projet IAM HospiConnect Découvrir la gouvernance des identités Voir tous les cas d'usage