Ce que demande le critère
La tenue du dossier de l'usager permet une gestion fiable des informations. Le référentiel précise :
- le prestataire tient le dossier des usagers selon des modalités définies, en recourant à des outils, notamment informatiques, qui permettent la gestion de la base de données des usagers ;
- des accès gradués, tenant compte du rôle de chacun des personnels, contribuent à la fiabilité de l'information.
Ce que l'auditeur vérifie
L'auditeur s'entretient avec la direction et avec le personnel, se fait présenter le système d'information, étudie les plaintes et réclamations, teste l'accès aux données et visite l'entreprise.
Les preuves à préparer
- Un accès aux données effectif sur les dossiers étudiés.
À qui il s'applique
À tous les prestataires.
Points de vigilance
Les deux sections qui suivent sont des conseils de la rédaction, déduits du critère. Elles ne reprennent pas des exigences du référentiel.
- Les accès gradués. Un compte partagé par toute l'équipe, ou des droits identiques pour tous, ne répond pas au critère. Chaque rôle a les accès dont il a besoin, pas plus.
- Le test. L'auditeur demande à voir un dossier et à vérifier qui peut y accéder : préparez un compte de démonstration ou faites-le avec un salarié présent.
- Des modalités écrites. Que contient le dossier, qui le met à jour, à quel moment, comment il est archivé : une procédure courte suffit.
- Le papier aussi. Si une partie du dossier reste papier, sa tenue et son rangement relèvent du même critère.
Par où commencer
- Décrivez en une page le contenu du dossier de l'usager et qui le met à jour.
- Établissez le tableau des rôles et des droits d'accès dans votre logiciel, et appliquez-le : un compte par personne.
- Supprimez les comptes génériques et les comptes des personnes parties.
- Faites le test de l'auditeur : avec un compte de technicien, que voit-on ?