En France, quelque 45 000 établissements et services sociaux et médico-sociaux accompagnent des publics vulnérables. Depuis la réforme portée par la loi du 24 juillet 2019, une évaluation externe est obligatoire tous les cinq ans. Le référentiel national de la HAS structure cette évaluation autour de critères impératifs et standards, mais la capacité réelle des structures à s’y conformer varie selon leurs ressources internes.
Critères impératifs du référentiel HAS et risques de non-conformité
Le référentiel HAS distingue des critères impératifs (droits et libertés, prévention de la maltraitance, gestion des événements indésirables, continuité d’activité) et des critères standards portant sur la personnalisation de l’accompagnement ou la participation des personnes accueillies.
La difficulté tient à la transversalité de ces exigences. Le recueil et le traitement des plaintes, par exemple, mobilise à la fois la direction, les équipes de terrain et le système documentaire. Une structure qui ne dispose pas de méthodologie formalisée risque de présenter des pratiques fragmentées lors de la visite d’évaluation.
Un organisme extérieur apporte une grille de lecture calibrée sur les attendus du référentiel. Son rôle ne se limite pas à la préparation documentaire : il identifie les écarts entre les pratiques déclarées et les pratiques observables, ce que la HAS appelle la méthode de l’accompagné traceur. Solliciter un accompagnement d’ESSMS permet de tester cette méthode en conditions réelles avant le passage de l’évaluateur habilité.
Évaluation ESSMS avec ou sans appui externe : comparaison des dynamiques
Les structures qui se préparent seules et celles qui font appel à un organisme extérieur présentent des dynamiques distinctes. Le tableau ci-dessous synthétise les différences observées sur quatre dimensions clés.
| Dimension | Préparation autonome | Avec appui d’un organisme extérieur |
|---|---|---|
| Auto-évaluation | Souvent réalisée par la direction seule, sans remontée terrain structurée | Implique les professionnels de chaque service via des ateliers collectifs |
| Documentation qualité | Mise à jour ponctuelle, risque de décalage avec les pratiques réelles | Audit documentaire croisé avec les observations de terrain |
| Critères impératifs | Connaissance variable selon les équipes | Formation ciblée et simulation d’accompagné traceur |
| Appropriation par les équipes | Perçue comme une contrainte administrative | Démarche participative qui ancre la culture qualité |
Lorsqu’un appui extérieur est mobilisé, la préparation permet de transformer l’auto-évaluation en outil de management plutôt qu’en simple formalité.
Conformité RGPD et cybersécurité des ESSMS : le maillon que l’évaluation HAS ne couvre pas seule
Les concurrents documentent abondamment le volet qualité du référentiel HAS. Ils abordent moins un angle qui prend pourtant de l’ampleur : la convergence entre évaluation qualité, RGPD et cybersécurité.
Les ESSMS traitent à grande échelle des données sensibles (santé, handicap, protection de l’enfance). Cette réalité rend obligatoire la désignation d’un délégué à la protection des données et la mise en place d’une gouvernance RGPD robuste : registre des traitements, analyses d’impact, sécurisation des accès, information des personnes accompagnées.
La directive NIS2 ajoute une couche supplémentaire. À partir de 2026, certains ESSMS classés entités « essentielles » ou « importantes » devront notifier tout incident de cybersécurité significatif à l’ANSSI sous 24 heures, avec un rapport complet sous 72 heures. Des outils comme le référentiel MaturiN-SMS permettent de diagnostiquer la maturité numérique, mais la mise en conformité suppose une expertise technique rarement disponible en interne.
Où l’organisme extérieur intervient sur le volet numérique
Plusieurs critères du référentiel HAS recoupent directement ces obligations : droits fondamentaux des personnes accompagnées, gestion des risques, traçabilité. Un organisme extérieur qui maîtrise à la fois le référentiel HAS et le cadre réglementaire numérique peut :
- Croiser le registre RGPD avec les exigences documentaires de l’évaluation pour éviter les doublons et les angles morts
- Intégrer la notification des incidents cyber dans le protocole de gestion de crise exigé par les critères impératifs
- Former les équipes à la sécurisation des dossiers usagers dans le cadre du déploiement du DUI compatible Mon Espace Santé, prévu dans le programme ESMS numérique 2026
Sans cette articulation, les structures risquent de traiter la conformité RGPD et la préparation HAS comme deux chantiers séparés, avec des ressources dupliquées et des incohérences documentaires.
Fréquence d’évaluation et calendrier : anticiper le cycle de cinq ans
Le passage de sept à cinq ans entre deux évaluations externes compresse le temps disponible pour corriger les écarts identifiés lors du précédent cycle. Une structure qui attend la dernière année pour lancer sa préparation se retrouve à mobiliser ses équipes dans l’urgence, souvent au détriment de l’accompagnement quotidien des personnes accueillies.
Un organisme extérieur permet de lisser l’effort sur plusieurs mois. La phase d’auto-évaluation participative, la mise à jour du projet d’établissement et l’actualisation du règlement de fonctionnement gagnent à être étalées plutôt que concentrées.
Depuis septembre 2025, la plateforme Qualiscope rend publics les résultats et rapports d’évaluation des ESSMS. Cette transparence accrue change la donne : un rapport défavorable est désormais consultable par les familles, les financeurs et les autorités de tarification. L’enjeu n’est plus seulement réglementaire, il engage la réputation de la structure.
Le recours à un appui extérieur ne garantit pas une cotation favorable. Il structure la démarche, fait émerger les écarts invisibles en interne et articule des obligations réglementaires que le référentiel HAS ne couvre qu’en partie. Pour les ESSMS confrontés simultanément à l’évaluation qualité, au RGPD et à la montée en puissance de NIS2, cette articulation devient un facteur déterminant de conformité globale.
