Intelligence de conformité en santé pour l'ISO et les contrôles internes.

La préparation aux audits échoue souvent parce que les preuves sont dispersées entre équipes, dossiers, outils et e-mails.

La couche de conformité peut aider les équipes à

• Rattacher les exigences aux responsables et aux preuves.
• Rechercher dans les politiques, SOP, contrôles et documents d'audit antérieurs.
• Rédiger des synthèses de preuves avec références aux sources.
• Identifier la documentation manquante ou obsolète.
• Préparer des dossiers d'audit interne pour révision.

Cela vise à réduire la pression d'audit de dernière minute et à améliorer la cohérence.

Pour un système qui suit les contrôles et les preuves toute l'année, voir nos systèmes de gestion de la conformité.

Le personnel doit pouvoir poser des questions contrôlées sur les documents internes approuvés.

Exemples de questions

• Quelle SOP s'applique à ce type d'incident ?
• Quelles preuves sont requises pour ce contrôle ?
• Quel responsable de politique doit examiner cette exception ?
• Qu'est-ce qui a changé entre la politique actuelle et la version précédente ?
• Quelles tâches de remédiation ouvertes concernent ce service ?

Les réponses peuvent être limitées par rôle et étayées par des liens vers les sources.

La conformité en santé ne se limite pas à la recherche. C'est le suivi jusqu'au bout.

Lenouar peut relier l'assistance IA aux notes d'incident, aux brouillons CAPA, aux demandes de preuves, aux responsables de remédiation et aux étapes d'approbation. Le système peut préparer le travail, mais les humains restent responsables des décisions et de la validation.

Sorties de workflow utiles

• Brouillon CAPA avec contexte source.
• Liste de contrôle de remédiation.
• Liste de tâches pour le responsable du contrôle.
• Synthèse des demandes de preuves.
• Note de reporting à la direction.

Les déploiements en santé peuvent s'exécuter sur un nœud privé, un cloud privé, un serveur en baie ou un modèle hybride.

La couche locale peut gérer la recherche, les embeddings, l'indexation, la rédaction, la journalisation d'audit et les tâches d'IA courantes. Si l'acheminement vers des modèles externes ou hébergés aux Émirats est autorisé, Lenouar peut appliquer des règles d'acheminement pour que les données sensibles soient traitées selon la politique convenue.

La plupart des logiciels qu'achète un établissement agréé par le DoH n'ont pas été écrits en pensant à ADHICS, et l'écart apparaît lors de l'évaluation plutôt qu'à l'achat.

Nous construisons des systèmes sur mesure pour les établissements de santé d'Abou Dabi, avec les contrôles intégrés dès la conception et non ajoutés après un constat.

Ce que cela signifie dans la construction

• Un contrôle d'accès qui suit les habilitations du système source, pour qu'aucun utilisateur n'atteigne un dossier auquel il n'avait pas droit.
• Une journalisation par requête liée à une identité authentifiée, conservée assez longtemps pour reconstituer un incident.
• Le chiffrement au repos et en transit sur l'ensemble du parc, y compris caches, index et stockage des journaux, pas seulement la base principale.
• Une gestion des changements sur chaque version, pour que toute sortie soit traçable jusqu'à la version qui l'a produite.
• Une piste de preuves conçue autour de ce que demande un évaluateur, validée avant la remise.

Nous rattachons chaque contrôle au catalogue actuel du Department of Health, et non à un résumé tiers. Les résumés publiés d'ADHICS v2 divergent sur le nombre et le nom des domaines de contrôle, et un évaluateur vérifie les références réelles.

ADHICS v2 impose aux établissements de santé des formations périodiques de sensibilisation à la sécurité de l'information. C'est l'un des contrôles les plus faciles à manquer, car il exige la preuve de la réalisation et pas seulement l'intention.

Nous assurons cette formation, en anglais et en arabe, et vous remettons les registres de présence et d'achèvement qu'un évaluateur demandera à voir.

Les sessions partent du travail réel de vos équipes

• Le traitement des données patients dans les systèmes utilisés au quotidien.
• L'hameçonnage et l'ingénierie sociale visant les personnels cliniques et administratifs.
• La reconnaissance des incidents et l'obligation de notification sous 24 heures.
• L'usage sûr des outils d'IA, et pourquoi coller un dossier patient dans un agent conversationnel public constitue un événement à déclarer.
• Des sessions par rôle pour cliniciens, administratifs, informatique et direction.

Le Department of Health anime également son propre Health Sector Cyber Learning Program. Notre formation est conçue pour l'accompagner et couvrir ce qui est propre à vos systèmes et à vos déploiements, non pour le remplacer.

La formation en ligne, en anglais et en arabe avec un certificat pour chaque participant, est décrite dans notre offre de formation en entreprise.

Planifier un effectif clinique est une activité de conformité, pas seulement d'exploitation. ADHICS traite le personnel comme une famille de contrôles, et la licence au mur n'est valable que tant que l'habilitation derrière elle l'est.

Ce que nous construisons

• Une planification clinique qui respecte le mix de compétences, pour qu'une garde ne soit jamais couverte par une personne non habilitée.
• Le suivi d'expiration des licences et habilitations pour chaque clinicien, avec escalade avant la date et non après.
• Un flux arrivée, mobilité, départ, pour que les accès soient ouverts le premier jour et retirés le jour du départ.
• Le suivi d'achèvement des formations et sensibilisations par personne, ce que demande un évaluateur.
• Congés, couverture et heures supplémentaires visibles face au planning, et non reconstitués à partir de messages.

Le cas du départ est celui qui fait échouer les évaluations. Un compte resté actif après le départ d'une personne est un constat de contrôle d'accès, et c'est presque toujours une lacune de processus plutôt que technique.

ADHICS place la sécurité des tiers dans le périmètre, et un fournisseur qui traite des données patients pour votre compte constitue votre exposition, pas la sienne.

Ce que le système conserve

• Un registre de chaque fournisseur et service touchant aux données patients, y compris ceux achetés hors de la DSI.
• Ce à quoi chacun accède, au titre de quel accord, et pour combien de temps.
• Le statut d'évaluation de sécurité par fournisseur, avec une date de revue et non un questionnaire unique.
• Les clauses contractuelles et de traitement des données attachées à la fiche fournisseur, pour que l'obligation soit trouvable le moment venu.
• Des accès fournisseurs qui expirent, accordés par mission plutôt que de façon permanente.

Le constat courant est un fournisseur disposant d'un accès permanent à la production, issu d'un projet clos depuis deux ans. Nous le rendons visible, puis nous le faisons expirer.

Le risque fournisseur fait partie d'une évaluation plus large des risques cyber et d'un registre des risques.

La gestion des actifs est le contrôle dont tout le reste dépend. Un contrôle ne peut pas s'attacher à un actif que personne n'a inventorié.

Ce que nous suivons

• Un registre d'actifs couvrant l'informatique, les systèmes cliniques et les dispositifs médicaux connectés, chacun avec un propriétaire nommé et une classification.
• Les dispositifs médicaux connectés et l'IoMT, domaine que la version 2 de la norme aborde plus largement que la version 1.
• Où se trouve chaque actif, ce qu'il contient, et qui peut l'atteindre.
• Le cycle de vie : achat, déploiement, maintenance, et décommissionnement avec preuve de suppression des données.
• Les actifs généralement non inventoriés : bases vectorielles, journaux de prompts, files de revue et extractions de reporting.

Cette dernière ligne est ce qui fait échouer les déploiements d'IA à une évaluation ADHICS. La logique clinique est examinée ; l'infrastructure autour a été montée pendant un pilote et n'est jamais repassée par le processus de gouvernance.

Un premier déploiement pratique doit se concentrer sur un seul domaine de conformité.

Points de départ recommandés

1. Carte des preuves de préparation réglementaire.
2. Assistant de politiques internes et de SOP.
3. Workflow de rédaction d'incidents et de CAPA.
4. Suivi des preuves de contrôles ISO.
5. Préparation d'un dossier d'audit pour un service.

Le pilote doit mesurer la qualité des réponses, la qualité des preuves, le temps gagné et l'adoption par le personnel.