Je ne vais pas revenir sur la cyberattaque qui vient de toucher un opérateur de tiers payant. Ce qui m'intéresse, c'est ce qu'elle révèle une fois de plus sur l'architecture profonde du tiers payant complémentaire.
Un héritage des années 50 qu'on n'a jamais vraiment remis en question
Pour comprendre où on en est, il faut remonter un peu.
La carte de tiers payant complémentaire, dans sa forme et sa logique, est un enfant des années 1950. Une époque où l'assuré se présentait chez son pharmacien avec un document papier attestant de ses droits auprès de sa mutuelle. Le professionnel de santé faisait confiance. La mutuelle remboursait. Le système fonctionnait dans un monde où les contrats étaient simples, les assurés stables et la fraude marginale.
Soixante-dix ans plus tard, le fond a changé. Le contenant, beaucoup moins.
Certes, la carte plastifiée a remplacé le carnet papier. Le PDF a remplacé la carte plastifiée. Et dans les meilleurs cas, un QR code renvoie aujourd'hui vers... un PDF. Ce n'est pas une transformation, c'est une numérisation de façade.
Le modèle des années 1990 a bien tenté une modernisation avec l'avènement des flux EDI, de NOEMIE et des premières plateformes de tiers payant. Une avancée réelle, qui a permis d'industrialiser les échanges entre professionnels de santé et organismes complémentaires.
Les OC ont externalisé la gestion de leurs droits à des opérateurs centralisés. Ce choix avait une logique imparable : mutualiser les coûts, simplifier les flux avec les professionnels de santé, gagner en efficacité opérationnelle.
Mais cette architecture a été conçue pour un monde stable des droits statiques, des contrats homogènes, des assurés sédentaires et surtout un monde sans cyberattaque. Ce n'est la faute de personne en particulier. C'est le résultat d'un secteur qui a optimisé à la marge un modèle qu'il aurait fallu repenser à la racine avec l'arrivée d'internet.
Ce modèle a produit mécaniquement une concentration massive de données d'identification et de prestations sur quelques plateformes privées. Et cette position centrale explique pourquoi une attaque contre un opérateur peut avoir des conséquences pour de nombreux organismes sans que leurs propres systèmes aient été compromis.
Par ailleurs, sans cadre de gouvernance unifié et sans exigences de résilience véritablement contraignantes, ceci crée structurellement un risque systémique pour l'ensemble du secteur.
DORA l'impose depuis janvier 2025 : la responsabilité d'un OC s'étend désormais à ses prestataires critiques : tests de résilience, exigences contractuelles, gestion des accès. Ce n'est plus une recommandation. C'est une obligation dont les incidents récents rappellent l'urgence.
Alors faut-il réagir aux cyberattaques ou revoir le modèle et l’architecture ?
Mais au-delà de la technologie qui a évolué, un nouveau modèle est à construire. Nous ne pouvons pas continuer sur l’architecture et le modèle actuel.
Les AMC sont-ils prêts, collectivement, à repenser et à repartir de la page blanche et des besoins et aux contraintes de ce nouveau monde ?
Et vous, qu’en pensez-vous ?
#assurance #mutuelle #santé #tierspayant #cyberattaque