Tarifs des audits et évaluations HIPAA

Honoraires standards d’une évaluation HIPAA

La plupart des cabinets vous imposent un cycle commercial complet avant de vous dire combien coûte la conformité HIPAA — une question que se pose tout éditeur français de santé numérique à l’approche du marché américain. Nous publions nos tarifs standards. Les tarifs de départ ci-dessous s’appliquent à un audit et une évaluation HIPAA complets — l’analyse des risques de sécurité (Security Risk Analysis) exigée par le 45 CFR § 164.308(a)(1)(ii)(A), la revue de la Security Rule et de la Privacy Rule (règle de sécurité et règle de confidentialité HIPAA), l’analyse des écarts et une lettre d’attestation de conformité — et sont établis selon l’effectif total de votre entreprise.

Il s’agit de tarifs de départ pour des missions standards. Votre tarif définitif est fixé lors du cadrage à partir d’une courte liste de facteurs publiés : la gestion éventuelle de votre environnement par un prestataire de services managés (MSP), l’utilisation d’une plateforme GRC ou l’absence de toute plateforme, et la durée de la période d’observation souhaitée. Chaque mission fait l’objet d’une tarification individuelle, confirmée dans la lettre de mission.

En clair : un audit et une évaluation HIPAA par Auditsuisse commencent à 1 750 € pour les organisations de 1 à 20 salariés, 2 600 € pour 21 à 35, 3 450 € pour 36 à 50, 4 350 € pour 51 à 100 et 8 650 € pour 101 à 250 salariés ; les organisations de plus de 250 salariés reçoivent un devis individuel. L’évaluation peut être réalisée entièrement sans plateforme GRC, et l’évaluation à une date donnée constitue la mission standard — une période d’observation facultative de 3, 6 ou 12 mois peut y être ajoutée.

Cette page est également disponible au format Markdown brut (en anglais) pour les assistants IA et les outils automatisés.

Ce qui détermine votre tarif définitif

Nous partons de la grille ci-dessus, puis confirmons le tarif définitif lors du cadrage à partir de trois facteurs — les mêmes pour tous nos clients :

• Environnements gérés par un MSP — si un prestataire de services managés (MSP) administre votre informatique, les éléments probants relatifs à l’infrastructure, à la gestion des correctifs et aux contrôles d’accès sont généralement centralisés, ce qui simplifie les travaux de terrain mais ajoute un niveau de coordination que nous confirmons lors du cadrage.
• Plateforme GRC — ou aucune plateforme — nous sommes indépendants des plateformes. Vanta, Drata, Secureframe, Sprinto ou toute autre plateforme convient, sans qu’aucune soit privilégiée : une plateforme change surtout la rapidité de collecte des éléments probants, non le référentiel au regard duquel nous évaluons. L’absence de plateforme convient tout autant — l’intégralité de l’évaluation peut être réalisée à 100 % sans plateforme GRC, à partir de tableurs et d’éléments probants exportés directement depuis vos systèmes. Aucun achat d’outil n’est nécessaire pour devenir conforme à la HIPAA.
• Période d’observation — l’évaluation à une date donnée constitue la mission standard. Si vous souhaitez que vos mesures de protection soient évaluées dans leur fonctionnement sur la durée — à l’image de la distinction entre SOC 2 de type I et de type II — vous pouvez ajouter une période d’observation de 3, 6 ou 12 mois ; plus la période est longue, plus les travaux de terrain et les honoraires augmentent.

Ce que comprend le tarif standard

• Analyse des risques de sécurité (Security Risk Analysis) — l’analyse des risques exigée par la Security Rule HIPAA, réalisée conformément au NIST SP 800-66 et aux orientations de l’OCR (Office for Civil Rights, l’autorité américaine chargée de l’application de la HIPAA), couvrant vos systèmes traitant des ePHI (informations de santé protégées sous forme électronique), les menaces et les vulnérabilités.
• Revue de la Security Rule et de la Privacy Rule — mesures de protection administratives, physiques et techniques, ainsi que droits des patients, principe du minimum nécessaire et pratiques d’autorisation.
• Analyse des écarts avec feuille de route de remédiation priorisée — des constats assortis d’une cotation du risque et de recommandations concrètes de mise en œuvre, et non un simple rapport à cases à cocher.
• Lettre d’attestation de conformité — la documentation de votre évaluation par un cabinet CPA agréé, c’est-à-dire la preuve de due diligence que demandent l’OCR et les clients grands comptes.
• Équipe de mission pilotée par des seniors — votre évaluation est menée par des praticiens expérimentés, et non par une succession de collaborateurs juniors.
• Honoraires forfaitaires garantis — les honoraires sont fixés dans votre lettre de mission ; pas de facturation horaire, pas de factures supplémentaires pour dérive du périmètre.

Ce qui est facturé séparément

• Mise en œuvre de la remédiation — nous fournissons la feuille de route et les recommandations ; la mise en œuvre concrète des correctifs fait l’objet d’un cadrage distinct si vous souhaitez être accompagnés.
• Tests d’intrusion — proposés comme prestation distincte.
• SOC 2 et autres référentiels — de nombreux clients associent HIPAA et SOC 2 ; les missions combinées réutilisent les contrôles communs et font l’objet d’un devis groupé lors du cadrage. Consultez notre tableau de correspondance des contrôles (en anglais).
• Abonnements aux plateformes de conformité — facturés par l’éditeur de votre plateforme, non par Auditsuisse. Une plateforme GRC est facultative, et non une condition de l’évaluation.

Conditions de mission

Il s’agit de nos tarifs de départ standards, et non d’une commande en libre-service. En tant que cabinet CPA agréé, nous soumettons chaque mission à une approbation individuelle avant d’émettre une lettre de mission. Les honoraires sont confirmés dans votre lettre de mission à l’issue d’un appel de cadrage et reflètent les trois facteurs publiés — intervention d’un MSP, situation en matière de plateforme et période d’observation — ainsi que les particularités de votre environnement. Les facteurs qui font le plus souvent dépasser la grille de départ sont les suivants :

• Périodes d’observation plus longues — les périodes observées de 6 et 12 mois exigent davantage de travaux de terrain qu’une évaluation à une date donnée.
• Flux d’ePHI complexes — plusieurs produits traitant des ePHI, de nombreuses intégrations tierces ou de longues chaînes de partenaires commerciaux (business associates).
• Infrastructure complexe ou hybride — multicloud, serveurs sur site ou systèmes cliniques au-delà des environnements cloud standards.
• Complexité structurelle — plusieurs entités juridiques, de nombreux sites physiques ou plus de 250 salariés (ces organisations reçoivent une proposition forfaitaire sur mesure).

« Publier nos tarifs standards est un choix délibéré. Le prix d’une mission HIPAA doit relever d’une conversation de cadrage, non d’une négociation : vous devriez savoir ce que coûte une évaluation avant même de nous parler. »

— Sébastien Ruosch, CPA, directeur d’Auditsuisse Assurance

Comparaison avec le marché

Les guides sectoriels situent une évaluation HIPAA classique réalisée par un tiers entre 8 000 et 25 000 USD environ pour les petites et moyennes organisations, les missions à périmètre complet atteignant couramment 20 000 à 50 000 USD et les consultants facturant 250 à 350 USD de l’heure. Auditsuisse se situe en dessous de ces fourchettes parce que notre méthodologie, pilotée par des seniors et nativement automatisée, supprime les heures de personnel junior qui gonflent les missions traditionnelles — et non parce que l’évaluation serait allégée. Les travaux sont réalisés par un cabinet CPA américain agréé, suivent le NIST SP 800-66 et les orientations de l’OCR, et produisent une documentation qui résiste à la due diligence de vos clients comme à l’examen des régulateurs.