Vérification Fournisseur Santé : Guide Sectoriel DD (Dispositifs, Labos, Pharmacies)

Aucun autre secteur ne fait peser sur le donneur d'ordre une responsabilité aussi lourde que la santé. Un fournisseur de matière première contaminée, un dispositif médical sans marquage CE valide, un sous-traitant de stérilisation défaillant, et c'est la sécurité du patient — donc la responsabilité civile et pénale du fabricant — qui est engagée. La vérification fournisseur santé n'est pas un contrôle administratif de plus : c'est un pilier de la sécurité sanitaire et de la conformité réglementaire. Ce guide sectoriel détaille les obligations spécifiques (ANSM, MDR, anti-corruption DMOS), les red flags propres aux labos, dispositifs médicaux et pharmacies, le cas du sourcing/import depuis le Maroc, et une checklist d'onboarding actionnable.

Pourquoi la due diligence santé obéit à des règles à part

La KYC pharmaceutique et la due diligence dispositif médical se distinguent de la vérification fournisseur classique sur quatre dimensions. Avant d'entrer dans le détail réglementaire, il faut comprendre ce qui rend ce secteur singulier — c'est ce qui justifie un niveau d'exigence que les autres filières ne connaissent pas.

• Responsabilité en cascade. Le fabricant final (ou l'exploitant) répond des défauts de qualité de ses fournisseurs et sous-traitants. Une défaillance d'un sous-traitant de conditionnement engage juridiquement le donneur d'ordre, même de bonne foi. Cette logique de chaîne est développée dans notre guide KYC sous-traitant : obligations légales en France.
• Traçabilité réglementaire. L'identifiant unique des dispositifs (UDI) et la traçabilité des lots imposent un suivi de chaque composant, du fournisseur initial jusqu'au patient. Un maillon non documenté rompt toute la chaîne probatoire.
• Intensité du contrôle. ANSM, HAS, ARS en France ; DMP et Bank Al-Maghrib pour les flux au Maroc ; FDA pour les exports US. Les autorités peuvent suspendre une autorisation et déclencher un rappel à tout moment.
• Risque de corruption élevé. Les interactions entre industriels de santé et professionnels de santé sont strictement encadrées (dispositif anti-cadeaux, transparence DMOS). Un fournisseur opaque sur ce volet expose le donneur d'ordre à un risque réputationnel et pénal.

Les obligations réglementaires spécifiques au secteur

ANSM, MDR et marquage CE pour les dispositifs médicaux

L'ANSM (Agence nationale de sécurité du médicament et des produits de santé) est l'autorité compétente française. Pour un fournisseur de dispositif médical, la vérification documentaire doit couvrir :

• Certification ISO 13485 — la norme de système de management de la qualité spécifique aux dispositifs médicaux. C'est le prérequis minimal de tout fournisseur sérieux.
• Marquage CE et classification (Classe I, IIa, IIb, III) conformément au règlement MDR 2017/745, pleinement applicable depuis 2021. Plus la classe est élevée, plus l'évaluation de conformité est exigeante.
• Numéro de certificat CE et organisme notifié qui l'a délivré — un certificat sans organisme notifié identifiable est suspect.
• Enregistrement EUDAMED, la base de données européenne des dispositifs médicaux.
• Dossier technique : conception, évaluation clinique, analyse de risques ISO 14971.

BPF, licence d'exploitation et ICH pour les laboratoires

Pour un laboratoire pharmaceutique ou un fournisseur de matières premières (principes actifs, excipients), la KYC pharmaceutique repose sur :

• La licence d'exploitation délivrée par l'ANSM en France.
• Le certificat BPF (Bonnes Pratiques de Fabrication) ou GMP (Good Manufacturing Practice) — vérifiable dans la base EudraGMDP de l'EMA.
• La conformité aux guidelines ICH (International Council for Harmonisation) et la traçabilité des lots avec conservation des échantillons témoins.
• Le dossier d'enregistrement auprès des autorités compétentes.

Autorisation ARS et inscription ordinale pour les pharmacies

Pharmacies et grossistes-répartiteurs relèvent de l'ARS (autorisation d'ouverture), du Code de la santé publique et de l'inscription à l'Ordre des pharmaciens (CNOP). Pour un grossiste, la qualification du pharmacien responsable et la conformité aux bonnes pratiques de distribution sont déterminantes.

Anti-corruption : le volet DMOS souvent négligé

Le risque le plus sous-estimé de la vérification fournisseur santé est l'anti-corruption. La loi « anti-cadeaux » (articles L.1453-1 et suivants du Code de la santé publique) encadre tout avantage consenti par les industriels aux professionnels de santé. La transparence des liens d'intérêts (base Transparence-Santé, dispositif dit « DMOS ») expose publiquement ces relations.

Concrètement, un fournisseur — laboratoire, fabricant de DM, prestataire de services — qui interagit avec des prescripteurs doit pouvoir démontrer :

• Une politique anti-corruption formalisée (cohérente avec la loi Sapin II si le donneur d'ordre y est soumis).
• La déclaration de ses conventions et avantages sur la base Transparence-Santé.
• L'absence de structures intermédiaires opaques servant à canaliser des paiements vers des professionnels de santé.
• Pour les flux internationaux, la conformité au FCPA américain et au UK Bribery Act le cas échéant.

Un fournisseur incapable de documenter sa gouvernance anti-corruption est un fournisseur à risque, même parfaitement certifié sur le plan qualité. La vérification des dirigeants et de leurs liens d'intérêts rejoint ici le screening PEP et l'identification du bénéficiaire effectif.

Référentiels : tableau de synthèse FR / UE / Maroc

Red flags spécifiques aux fournisseurs santé

Au-delà des red flags financiers et juridiques universels — détaillés dans les 7 red flags financiers d'un fournisseur à risque — le secteur santé impose une grille de lecture propre.

Rappels et signaux de matériovigilance répétés

Un fournisseur cumulant plusieurs rappels sur 24 mois mérite une vigilance renforcée. L'ANSM publie les rappels et décisions de police sanitaire ; la FDA maintient la base MAUDE pour les incidents dispositifs. Un historique de matériovigilance ou de pharmacovigilance chargé est un indicateur de risque qualité structurel, pas un accident isolé.

Suspension ou retrait d'autorisation

Tout retrait, suspension ou injonction de l'ANSM, de l'ARS ou de la DMP est un signal rédhibitoire. Ces décisions figurent dans les communiqués officiels et se détectent par une revue de presse ciblée croisée avec les bases réglementaires.

Changement de sous-traitant critique non déclaré

Changer de sous-traitant pour une étape critique (principe actif, conditionnement, stérilisation) sans revalidation formelle est une infraction grave. Un fournisseur qui le fait sans informer son client viole ses obligations et fragilise toute la traçabilité.

Certificats invérifiables ou organisme notifié absent

Un certificat ISO 13485 ou CE qui ne renvoie à aucun organisme notifié identifiable, ou dont la date de validité est dépassée, doit être considéré comme nul tant qu'il n'est pas confirmé à la source. La logique est la même que pour détecter un faux document commercial : un document n'a de valeur que vérifié à l'émetteur.

Opacité capitalistique et juridiction à risque

Un fournisseur dont le bénéficiaire effectif est masqué par une cascade de holdings, ou implanté dans une juridiction réputée pour la contrefaçon pharmaceutique, appelle une diligence renforcée même avec des certificats formels en règle. Croisez systématiquement avec la liste grise/noire du GAFI.

Sourcing et import depuis le Maroc : le corridor santé

Le Maroc est un partenaire croissant de la filière santé française : sous-traitance industrielle, production de génériques, dispositifs médicaux, façonnage. Pour un donneur d'ordre français qui source au Maroc, la due diligence combine les exigences sanitaires et les contrôles spécifiques au corridor.

• Existence légale et enregistrement : vérifier le RC (registre du commerce) et l'ICE auprès de l'OMPIC. Notre tutoriel vérifier l'ICE d'une entreprise marocaine détaille la procédure.
• Autorisations sanitaires : enregistrement auprès de la Direction du Médicament et de la Pharmacie (DMP), conformité à la loi 17-04 (médicament) et 84-12 (dispositifs).
• Flux financiers et change : les paiements transfrontaliers passent par le contrôle de l'Office des Changes ; les comptes bancaires relèvent de Bank Al-Maghrib. Un schéma de paiement off-shore ou via un tiers non justifié est un red flag.
• Sanctions et gel d'avoirs : côté marocain, la source de référence pour les gels d'avoirs et désignations est la CNASNU (liste ONU déjà screenée + Liste Locale), et non l'ANRF qui ne publie aucune liste opérationnelle. Voir conformité LCB-FT au Maroc.
• Anti-corruption transfrontalière : appliquer la même grille DMOS / Sapin II / FCPA aux intermédiaires locaux.

Pour une vue méthodique du corridor, voir Cross-Border KYC : due diligence France ↔ Afrique et évaluer le risque fournisseur : méthode France & Maroc.

Checklist d'onboarding d'un fournisseur santé

Voici une séquence d'onboarding fournisseur santé en 12 points, du premier contact à la mise sous monitoring. Elle articule les contrôles automatisables et les vérifications métier propres au secteur.

1. Existence légale : SIRET / RC / ICE confirmés dans le registre officiel (INPI/Pappers pour la France, OMPIC pour le Maroc).
2. Bénéficiaire effectif : identification de l'UBO et de la structure capitalistique réelle.
3. Autorisations réglementaires : licence ANSM, autorisation ARS, enregistrement DMP selon le cas.
4. Certification qualité : ISO 13485 (dispositifs) ou BPF/GMP (médicaments), vérifiée à la source (EudraGMDP, organisme notifié).
5. Marquage CE et EUDAMED pour les dispositifs : certificat, classe, organisme notifié.
6. Bases de rappels et vigilance : ANSM, FDA MAUDE, EudraVigilance.
7. Filtrage sanctions et PEP : OFAC, ONU, UE, et CNASNU côté Maroc ; screening des dirigeants.
8. Anti-corruption / DMOS : politique formalisée, déclarations Transparence-Santé, conformité Sapin II / FCPA.
9. Revue de presse économique et scientifique sur 3 ans (litiges, rappels, enquêtes).
10. Santé financière : un fournisseur défaillant = risque de rupture d'approvisionnement.
11. Sous-traitants critiques : cascade de responsabilité, single source identifié et plan de continuité.
12. Documentation et archivage : dossier complet conservé au minimum 10 ans, réévaluation annuelle des fournisseurs critiques.

Cette checklist sectorielle complète notre référentiel généraliste, la checklist KYC fournisseur en 10 points, et s'inscrit dans la démarche globale décrite dans le guide complet KYC fournisseur 2026.

Devoir de vigilance : la dimension chaîne d'approvisionnement

Pour les grands donneurs d'ordre soumis au devoir de vigilance (loi française de 2017, future directive CSDDD au niveau européen), la santé concentre les enjeux : sécurité sanitaire, droits humains chez les sous-traitants de production, environnement. Le plan de vigilance doit cartographier les fournisseurs santé critiques et prévoir des mesures d'audit et d'alerte. La vérification fournisseur santé n'est alors plus seulement une obligation LCB-FT mais un maillon du dispositif de vigilance raisonnable, à documenter en cas de dommage.

Automatisation et limites dans le secteur santé

Les vérifications « horizontales » — existence légale, bénéficiaire effectif, sanctions, PEP, presse, santé financière — se prêtent très bien à l'automatisation. Un check complet prend quelques secondes et se répète aussi souvent que nécessaire, ce qui rend le monitoring continu réaliste même sur cinquante fournisseurs critiques.

En revanche, les vérifications « verticales » propres au métier — authentification d'un certificat ISO 13485 à la source, audit BPF sur site, revue de dossier technique MDR, qualification d'un changement de sous-traitant — exigent une expertise humaine spécialisée. La bonne architecture combine les deux : une base automatisée fiable, enrichie par l'expertise qualité/affaires réglementaires. Pour intégrer ces contrôles dans un flux d'achat, voir intégrer la due diligence dans son ERP/CRM.

FAQ — Vérification fournisseur santé

Quelle est la différence entre la due diligence d'un fournisseur de dispositif médical et d'un laboratoire pharmaceutique ?

Le fournisseur de dispositif relève du MDR 2017/745, de la certification ISO 13485 et du marquage CE (avec organisme notifié et EUDAMED). Le laboratoire pharmaceutique relève des Bonnes Pratiques de Fabrication (BPF/GMP), d'une licence d'exploitation ANSM et des guidelines ICH. Les bases de vigilance diffèrent aussi (matériovigilance vs pharmacovigilance), mais le socle KYC — existence légale, UBO, sanctions, anti-corruption — reste commun.

Le dispositif anti-cadeaux (DMOS) concerne-t-il aussi mes fournisseurs ?

Oui. Tout fournisseur qui interagit avec des professionnels de santé (laboratoire, fabricant de DM, prestataire) entre dans le champ de la loi anti-cadeaux et de la transparence des liens d'intérêts. Lors de l'onboarding, exigez une politique anti-corruption formalisée et vérifiez l'absence de schémas opaques de paiement vers des prescripteurs.

Comment vérifier un fournisseur santé marocain pour de l'import ?

Confirmez l'existence légale via le RC et l'ICE (OMPIC), les autorisations sanitaires auprès de la DMP, et la cohérence des flux financiers avec le contrôle de l'Office des Changes. Pour les sanctions et gels d'avoirs, la source marocaine de référence est la CNASNU, pas l'ANRF. Notre guide de vérification d'un fournisseur marocain détaille la marche à suivre.

Quelle source consulter pour les rappels de produits de santé ?

En France, l'ANSM publie les rappels et décisions de police sanitaire pour médicaments et dispositifs. La FDA maintient la base MAUDE pour les incidents dispositifs aux États-Unis, et EudraVigilance centralise la pharmacovigilance européenne. Un historique de rappels répétés sur 24 mois est un red flag à traiter sérieusement.

Combien de temps conserver le dossier de due diligence d'un fournisseur santé ?

Au minimum 10 ans, en cohérence avec les obligations de traçabilité du secteur et la prescription en matière de responsabilité produit. Le dossier doit être daté, sourcé et traçable : c'est lui qui documente la diligence raisonnable en cas de contentieux ou de contrôle.

Conclusion

La vérification fournisseur santé est l'une des plus exigeantes qui soit : elle empile la sécurité du patient, l'intensité réglementaire (ANSM, MDR, BPF), l'anti-corruption (DMOS), la traçabilité et — pour le corridor France-Maroc — le contrôle du change et des sanctions. La bonne approche n'est ni le tout-manuel (trop lent, non scalable) ni le tout-automatique (aveugle aux certificats métier), mais une combinaison : un socle KYC automatisé et continu, enrichi par l'expertise réglementaire sur les volets verticaux.

RiskSonnar automatise le socle de cette vérification — filtrage sanctions et PEP, bénéficiaire effectif, analyse financière, revue de presse, couverture native France et Maroc — et produit un rapport défendable en 60 secondes. Une recommandation documentée, jamais un verdict. Vérifier un fournisseur ou un dirigeant → ou consulter notre méthodologie et nos 25 sources.