Foire aux questions : le dispositif de certification des services de santé au travail en agriculture

En application des procédures et des modalités de fonctionnement du COFRAC, reprises par les arrêtés du 27 juillet 2023 et du 28 novembre 2023 (article 2 II.) fixant respectivement le cahier des charges de la certification des SPSTI et le cahier des charges de certification des services de santé au travail en agriculture (SSTA), les organismes certificateurs candidats à l’accréditation peuvent commencer à conventionner avec les SSTA, effectuer des audits et prononcer des certifications dès réception de la notification par le COFRAC de la recevabilité opérationnelle de leur demande. Ils ont un an pour obtenir leur accréditation à compter de la date de notification de la recevabilité opérationnelle de leur demande.
Si un organisme n’obtenait finalement pas l’accréditation, les certifications délivrées resteraient valides et les dossiers des SSTA concernés seraient transférés à un autre organisme de certification dûment accrédité, pour vérification.

En application des articles L.717-2 et L.717-3 et D.717-36 du code rural et de la pêche maritime (CRPM), dans leurs rédactions issues de la loi n° 2021-1018 du 2 août 2021 pour renforcer la prévention en santé au travail, et du décret n°2022-1752 du 28 décembre 2022, une caisse de mutualité sociale agricole peut, par convention, donner mandat à une autre caisse de mutualité sociale agricole, pour exercer une partie des missions du SSTA. Ces conventions sont conclues par une période au plus égale à trois ans renouvelable et sont approuvées par les préfets de région compétents. Elles doivent respecter les dispositions de l’article R.717-51-2 du CRPM.
A cet égard, l’AFNOR SPEC 2218 précise au point 1 relatif au domaine d’application de la certification que « les activités déléguées à d’autres SSTA par convention suivant l’article D.717-36 du CRPM rentrent également dans le périmètre. ».
Chaque service reste responsable individuellement de son activité auprès de l’organisme certificateur instruisant sa candidature.
Les SSTA doivent clairement faire apparaître leurs activités mutualisées (en précisant avec quels autres services) lors de leur demande de certification auprès d’un organisme certificateur. Lors d’un audit, si l’organisme certificateur constate des écarts concernant ces activités mutualisées, il informe le ou les autres organismes certificateurs concernés des écarts constatés sur ces seules activités. Les organismes certificateurs peuvent échanger, le cas échéant, sur ces écarts. En cas d’appréciation différente persistante, le ou les SSTA pourront déposer une réclamation auprès de leurs organismes certificateurs respectifs dans le cadre des dispositions prévues au point 5.5 du plan de contrôle.
Par ailleurs, le plan de contrôle prévoit, en amont de l’audit (point 3.2.1) puis après l’audit et avant la délivrance de la certification (point 3.2.3), que des échanges aient lieu entre le service et l’organisme certificateur sur d’éventuels écarts. A ces occasions, l’appréciation des écarts constatés par les différents organismes certificateurs concernés sur les activités mutualisées pourraient être évoqués. Il est également prévu, au point 5.1, qu’avant de se prononcer sur la certification, l’organisme certificateur vérifie l’homogénéisation du rapport d’audit avec les rapports d’audit d’autres SSTA.
Dans les cas où ces services candidateraient à un niveau de certification différent, l’appréciation de l’organisme certificateur concernant les activités mutualisées doit être faite à l’aune du niveau le plus élevé demandé afin de prévenir d’éventuels futurs écarts.

La durée d’audit des SSTA pourra effectivement varier. En effet, le point 3.2.2 du plan de contrôle prévoit que « la durée des audits est fonction de l’effectif du SSTA, du nombre de sites du SSTA et du niveau de certification précisé notamment dans le dossier de candidature (…) dans le respect des règles et principes préétablis et reconnus par le document d’exigences IAF MD5 ». Ce dernier document a pour objectif de fixer le cadre général devant être appliqué dans les processus des organismes certificateurs pour déterminer le temps approprié d’audit des systèmes de management, en tenant compte des spécificités du client qui doit être audité.
La durée de chacun des audits de chaque service sera déterminée par l’organisme certificateur en application de l’annexe A relative aux systèmes de management de la qualité du document d’exigences IAF MD5. Ce document prévoit, sur la base d’un nombre de jours d’audit proportionnel au nombre de salariés, plusieurs facteurs d’ajustements en augmentation (sans plafond) ou en réduction (30 % maximum) du temps d’audit dûment justifié.
Au regard de l’activité de prestations de services exercée par les SSTA, le niveau de risques constatés est généralement qualifié de « faible », parfois « moyen », selon la définition proposée par la même annexe A de l’IAF MD5.
Cette durée pourra également différer pour chaque service en fonction de sa maturité en matière de certification. Le plan de contrôle indique, à cet égard, qu’il peut être tenu compte, pour la durée des audits, de certifications déjà obtenues, reconnues et toujours en cours, en prenant en compte les champs et périmètres du ou des certifications en question. Les ajustements sont opérés en application du 8.v).e) du document d’exigences IAF MD5.
L’organisme certificateur doit communiquer au client les éléments déterminant le temps d’audit, qui peut varier en fonction de sa nature (ex : audit initial, de suivi, de surveillance...), et les justificatifs. Ceux-ci font partie intégrante du contrat et doivent être tenus à disposition du COFRAC.

En fonction de son organisation, un SSTA peut comporter :

• un site principal et des centres fixes périphériques, dans lesquels des professionnels sont affectés ;
• des centres annexes (notamment en entreprises), utilisés en général à temps partiel et dans lesquels aucun personnel n’est généralement affecté à temps plein ;
• des centres mobiles (camions), dans lesquels aucun personnel n’est affecté à temps plein.

Le point 3.2.2 du plan de contrôle indique que « la durée des audits est fonction de l’effectif du SSTA, du nombre de sites du SSTA et du niveau de certification demandé. Ces audits se déroulent toujours sur le site principal du SSTA mais également, le cas échéant, le ou les sites excentrés et les véhicules médicaux dédiés aux visites. L’organisme certificateur détermine le nombre de sites excentrés à évaluer par échantillonnage, selon des règles et principes préétablis et reconnus par le document d’exigences IAF MD1 ».

Ainsi, le calcul de l’échantillon pour les audits est à baser sur le site principal et les sites excentrés (centres fixes périphériques). Les lieux mis à disposition par des tiers (centres annexes : entreprises, services publics autres que la MSA, mairies...) n'ont pas à être audités.

Selon le plan de contrôle, les véhicules médicaux dédiés aux visites n’entrent dans le périmètre de l’échantillon que s’ils sont au minimum au nombre de cinq, ce qui n’est le cas d’aucun SSTA à ce jour.

Conformément au chapitre 3.2.2 du plan de contrôle, les audits se déroulent toujours sur le site principal du SSTA et portent également, le cas échéant, sur les véhicules médicaux dédiés aux visites, dès lors que ces derniers sont compris dans le périmètre de certification et sont au nombre minimum de cinq.

Les véhicules médicaux doivent ainsi être mentionnés dans le dossier de candidature. L’organisme certificateur détermine le nombre de véhicules médicaux à évaluer par échantillonnage, selon des règles et principes préétablis et reconnus par le document d’exigences IAF MD1.

Il en résulte qu’en dessous de cinq véhicules médicaux, ces véhicules ne sont pas audités et n’entrent pas dans le calcul d’échantillonnage. En revanche, à partir de cinq véhicules, l’échantillonnage se fait avec l’ensemble des autres sites excentrés ; chaque véhicule étant comptabilisé comme un site excentré.

Sur ce sujet, il est indiqué en point 5.5.2 de l’AFNOR SPEC 2218 que « l’évaluation par l’organisme certificateur des critères est réalisée sur la base des dernières données disponibles. S’agissant des données chiffrées, le SSTA communique au certificateur les données des années N-1 ou N-2 »

Si l’audit porte sur un service nouvellement crée, l’organisme de certification prend en compte la période comprise entre la date de la création du service et celle de demande de certification. Ceci ne pose pas de difficultés dans la mesure où les critères fixés aux niveaux 1 et 2 correspondent respectivement à la mise en place de procédures et à la détermination d’indicateurs de suivi, l’appréciation des résultats d’activités obtenus n’intervenant qu’au stade du niveau 3.

De fait, l’activité peut démarrer la première année, en parallèle de la démarche de certification.

Il convient également de rappeler que les hypothèses de création de nouveaux SSTA sont très hypothétiques et ne pourront se produire, pour l’essentiel, qu’en cas de fusion de caisses.

Ce délai de 6 mois est prévu au point 5.1 avant dernier alinéa du plan de contrôle. Le plan de contrôle prévoit expressément que « Le SSTA candidat ne peut présenter une nouvelle demande de certification qu’à l’issue d’une période de 6 mois échue, à partir de la date d’émission du courrier de notification de refus d’attribution de la certification ».

Il en ressort également qu’en cas d’attribution de la certification, une demande à un niveau supérieur ne doit pas être faite dans un délai inférieur à 6 mois suivant la notification de la certification afin de ne pas surcharger inutilement les organismes certificateurs au regard de l’intérêt limité pour les services d’obtenir le niveau supérieur « en urgence ». De la même manière, il n’est pas possible de candidater pour deux niveaux distincts simultanément auprès d’un ou deux organismes certificateurs.

Afin de mener à bien leurs missions et investigations de manière satisfaisante, les auditeurs des organismes certificateurs doivent pouvoir avoir accès à l’ensemble des documents et informations concernant le fonctionnement du SSTA, en lien direct avec l’activité de certification, notamment le plan d’activité en milieu de travail du service, les conventions d’objectifs et de gestion (COG) , les fiches d’entreprises, les DUERP, les espaces personnalisés des entreprises adhérentes, les comptes rendus des réunions des CSE ainsi que ceux liés aux actions en milieu de travail et aux activités de suivi individuel de l’état de santé des travailleurs…

Sur ces aspects, le plan de contrôle précise au point 3.2.2 que « le rapport d’audit ne comporte aucune donnée personnelle et respecte les exigences du règlement général sur la protection des données (RGPD) » et au point 4 que « ces auditeurs opèrent, conformément aux règles d’impartialité et de confidentialité fixées par l’organisme certificateur » et doivent disposer « d’une connaissance générale de la réglementation sur la protection des données personnelles et médicales. ». Dans le cadre de leur obligation de discrétion professionnelle et de leur devoir de réserve, les auditeurs doivent veiller au strict respect du secret industriel et du secret défense.

L’accès des auditeurs aux dossiers médicaux en santé au travail (DMST) et aux données personnelles couvertes par le secret médical doit être strictement limité et encadré, notamment pour ceux qui ne sont pas des professionnels de santé.

En effet, conformément au I de l’article L. 1110-4 du code de santé publique, « toute personne prise en charge par un professionnel de santé, un établissement ou service, un professionnel ou organisme concourant à la prévention ou aux soins […] a droit au respect de sa vie privée et du secret des informations la concernant » et « excepté dans les cas de dérogation expressément prévus par la loi, ce secret couvre l'ensemble des informations concernant la personne venues à la connaissance du professionnel, de tout membre du personnel de ces établissements, services ou organismes […] ». Les informations identifiantes des dossiers des salariés suivis par les SSTA sont donc des données couvertes par le secret médical prévu à l’article L. 1110-4 du Code de la santé publique.

Dans ces conditions, il apparaît nécessaire, tant au regard du secret médical que du principe de minimisation des données, de réserver strictement l’accès aux dossiers médicaux en santé au travail (DMST) aux professionnels de santé chargés d’assurer le suivi de l’état de santé des travailleurs, ce qui exclut de fait l’accès des auditeurs.

Pour rappel, en application du règlement général sur la protection des données (RGPD), pour respecter le principe de minimisation, les données à caractère personnel collectées doivent être adéquates, pertinentes et limitées au regard des finalités poursuivies par le responsable de traitement.

Il s’agit des catégories professionnelles des salariés MSA constituant le SSTA (médecins, infirmiers, assistants, conseillers en prévention…).

Par « nombre de cotisants » mentionné au point 5.5.1 « exigences particulières aux trois missions des SSTA -Caractéristiques du SSTA » de l’AFNOR SPEC 2218, il faut entendre le « nombre d’employeurs cotisants ».

Pour tous les recrutements de médecin du travail, une procédure doit être prévue quel que soit la forme d'emploi, le type de contrat de travail, le motif de la vacance et sa durée.

Pour cet indicateur PDP comme pour l’ensemble des indicateurs du référentiel, il ne faut prendre en compte que ce qui relève de l’activité du SSTA (y compris les personnes externes qui y contribuent), organisée sous l’autorité du médecin du travail chef (ou à défaut, son représentant), dans le cadre strict de l’offre socle de services des SSTA.

Il est nécessaire d’assurer une traçabilité précise et vérifiable des actions relevant réglementairement des missions des SSTA et mises en œuvre dans leur cadre d’organisation et de fonctionnement. Il s’agit là d’un enjeu essentiel pour obtenir la certification et l’agrément.

Les agents chargés du contrôle de la prévention (ACCP) sont des agents dont l'activité s'exerce exclusivement pour le compte des DREETS, en appui de l'inspection du travail. L'exercice de leurs missions est donc sans aucun rapport avec celles des SSTA telles que définies dans l'offre socle, y compris en ce qui concerne l'action sur le milieu de travail. Seul l'activité des conseillers en prévention internes aux caisses de MSA et seulement pour la partie de celle-ci ressortissant aux missions des SSTA est à prendre en compte pour la certification.