Vérification des références et qualifications d'un prestataire de services

Avant les références : définir le rôle et les responsabilités du prestataire

Dans le secteur des dispositifs médicaux, la vérification des références commence par la définition du rôle. Les Bonnes pratiques suisses en matière de maintenance des dispositifs médicaux de Swissmedic (31 janvier 2025) stipulent qu'un fournisseur externe d'une institution sanitaire qui apporte ce type de modifications devient le fabricant des dispositifs. Par conséquent : si le mandat inclut des modifications, la qualification à contrôler est celle de fabricant, et non celle de mainteneur. Si l'activité reste limitée à la maintenance, la vérification porte sur les procédures, les pièces de rechange et la traçabilité des interventions.

Afin d'éviter de collecter des certificats étrangers au service rendu, il convient de fixer par écrit l'objet du mandat. Préciser les prestations, indiquer qui décide des modifications techniques, qui signe la documentation du dispositif, qui répond à l'autorité compétente, quels documents le prestataire remet au mandant et avec quelle périodicité. C'est de cette délimitation que découlent les qualifications pertinentes. Celui qui confie uniquement la maintenance n'a pas besoin d'évaluer la capacité d'évaluation de la conformité ; celui qui confie également des modifications doit le faire, car le prestataire assume alors la position de fabricant.

La vérification des qualifications suit le régime réglementaire du service. Pour les dispositifs médicaux, l'autorité de référence est Swissmedic ; pour le bâtiment et la santé, il s'agit de SQS avec les normes ISO 9001, ISO 14001 et ISO 45001 ; pour les assurances, les autorités compétentes sont l'OFAP et le DFI ; pour la métrologie légale, c'est le Canton du Tessin.

Une référence n'est vérifiable que s'il existe une source officielle qui la confirme. Pour chaque qualification déclarée, il faut demander le document qui la prouve ainsi que la source de vérification : un certificat indiquant la norme, le champ d'application, l'organisme et la validité ; une décision d'approbation des caisses-maladie ; un document officiel de mandat public ; ou une inscription dans une liste ou un registre officiel.

Certificats de système : quelles normes comptent dans le secteur du prestataire

SQS contrôle et certifie les standards de qualité dans le bâtiment. Au premier plan figurent l'ISO 9001 (management de la qualité), l'ISO 14001 (systèmes de management environnemental) et l'ISO 45001 (sécurité au travail et protection de la santé). Pour les entreprises disposant d'une compétence technique en soudage, il existe la certification ISO 3834:2, que SQS présente comme une interprétation de l'ISO 9001 pour le soudage.

Il existe également la certification combinée ISO 9001 et Ordonnance sur les ascenseurs (RS 930.112). Elle permet au client d'effectuer lui-même les essais finaux et d'établir sa propre déclaration de conformité : un certificat valable uniquement parce qu'il est rattaché à une branche spécifiquement réglementée.

Lors du contrôle du certificat, il convient de lire quatre éléments : la norme et sa version ; le champ d'application (qui doit couvrir l'activité du mandat, et non seulement le siège ou le groupe) ; l'organisme qui l'a délivré ; et la validité.

Un certificat peut se baser sur un mandat et un cadre normatif précis. Le contrôle SQS des normes des produits de construction s'effectue sur mandat de l'Association suisse de surveillance des matériaux de construction pierreux (ASMP). Il suit la Loi sur les produits de construction (LPCo) et l'Ordonnance sur les produits de construction (OPCo), avec l'inspectorat de l'ASIC.

Demander sur quelle norme ou ordonnance se base la certification et dans quel cadre de surveillance elle s'inscrit permet d'éviter de lui attribuer une valeur qu'elle n'a pas pour le service confié.

Santé et domaine social : standards spécifiques et systèmes de signalement

Dans les secteurs de la santé et du social, SQS évalue et certifie les systèmes de management selon l'ISO 9001 pour les systèmes intégrés de qualité et de gestion. Comme pour d'autres standards multisectoriels (ISO 14001, ISO 45001), elle s'appuie également sur des standards spécialisés : management de la qualité pour les cabinets médicaux (Good Medical Practice®), indicateurs de qualité du CDOS EST+ et dispositions pour les institutions de prise en charge des addictions (QuaTheDA).

Lors de la vérification, il faut demander quel outil possède le prestataire et si le champ d'application couvre la prestation commandée. Un certificat de système valable pour une structure ne certifie pas automatiquement un service différent de la même organisation.

Sur le front du reporting, un blog sectoriel sur la qualité des soins en Suisse traite des systèmes de signalement tels que le CIRS, de l'approche « Just Culture » et de l'approbation par les caisses-maladie (LAMal). Il convient de demander au prestataire s'il dispose d'un canal de signalement des événements et comment il gère les signalements. Si la prestation relève d'une approbation des caisses-maladie, il faut exiger la présentation de la décision, l'affirmation d'être « reconnu » ne suffisant pas.

Autorisations et surveillance : quand le prestataire doit être reconnu

Dans les secteurs réglementés, la qualification n'est pas un attribut du prestataire, mais un statut vérifiable auprès d'une autorité. La description du mandat de l'Office fédéral des assurances privées (OFAP), publiée dans les archives de la FINMA, indique que l'OFAP contrôle l'activité des entreprises d'assurances privées — assureurs-vie, accidents et dommages, réassureurs. Il délivre les autorisations d'exercice, contrôle et approuve les produits dans le domaine des assurances-vie et maladies, vérifie les comptes annuels, inspecte les entreprises et intervient contre d'éventuels abus.

En complément de la surveillance de l'Office fédéral de la santé publique (OFSP), l'OFAP contrôle les caisses-maladie reconnues pour l'assurance complémentaire maladie. Depuis 2006, les intermédiaires d'assurances sont également soumis à sa surveillance.

La compétence n'est pas unique et doit être identifiée avec précision. Pour l'assurance obligatoire des soins selon la LAMal, l'autorisation relève du Département fédéral de l'intérieur (DFI). Pour l'exercice dans le domaine des assurances privées maladie, c'est-à-dire des assurances complémentaires au sens de la loi fédérale sur le contrat d'assurance (LCA), l'OFAP est compétent.

Celui qui évalue un prestataire dans ce domaine doit déterminer quel régime s'applique à la prestation et s'adresser à l'autorité correspondante, au lieu de lui demander une « autorisation » générique.

Il existe ensuite des entités disposant d'un mandat public documenté dans des publications officielles, comme l'Assurance suisse contre les risques à l'exportation SERV, décrite dans la brochure « SERV Compact ». Si un prestataire opère en vertu d'un mandat public, la vérification la plus solide consiste à obtenir le document officiel décrivant le mandat et à le comparer avec l'activité effectivement commandée.

Autorités compétentes pour la qualification des prestataires en Suisse

Références vérifiables : listes officielles, registres et services de contrôle

Au lieu de s'en tenir à des références auto-déclarées, il est possible d'utiliser des sources de recoupement objectif des autorités. Le Canton du Tessin en offre un exemple articulé pour la métrologie légale. CheckTI est un service en ligne permettant de vérifier les données de la métrologie légale structurées selon le modèle cantonal de données, destiné principalement aux professionnels. Les données sont disponibles et utilisables gratuitement et librement, sous forme de fichiers et de services.

Le portail publie également la liste actuelle et historique des communes et des sections communales avec les limites juridictionnelles indicatives. Sont publiées la liste des ingénieurs-géomètres réviseurs par périmètre de mensuration et le dépôt public des actes de la métrologie légale. Ces documents sont consultables en ligne via une carte dédiée sur le Géoportail Tessin.

La procédure de vérification est reproductible dans d'autres domaines réglementés. Identifier le service cantonal ou fédéral compétent et rechercher le professionnel ou l'entreprise dans la liste ou le registre officiel. Vérifier que la compétence territoriale ou matérielle correspond au mandat (au Tessin, le périmètre de mensuration). Consulter le cas échéant les documents déposés publiquement pour confirmer les données déclarées.

Un nom absent de la liste compétente, ou présent pour un périmètre différent de celui du mandat, constitue une information plus fiable que n'importe quelle référence commerciale.

Sources officielles pour la vérification des références en Suisse

Données personnelles confiées au prestataire et composition du cadre

Si le prestataire traite des données personnelles pour le compte du mandant, la vérification comprend les modalités de traitement. Les informations sur la protection des données d'Allianz Suisse et CAP publiées sur elvia.ch indiquent que les sociétés collaborent avec des prestataires de services en Suisse et à l'étranger qui traitent les données reçues d'eux ou collectées pour leur compte.

Lors de l'évaluation, il convient donc de lire la déclaration sur la protection des données. Vérifier si elle nomme les prestataires de services et les pays dans lesquels ils opèrent. La comparer avec le lieu où les données seront effectivement traitées et avec les garanties prévues.

Documents minimaux à se faire remettre : certificat avec norme, champ d'application, organisme et validité ; décision d'approbation des caisses-maladie si la prestation relève de la LAMal ; document officiel du mandat public si le prestataire opère en vertu d'un mandat ; déclaration sur la protection des données si des données personnelles sont traitées.

Documents à demander pour la vérification des qualifications du prestataire