L'enforcement en pratique : audits, False Claims Act et corporate integrity

En 2014, Community Health Systems, l'un des plus grands opérateurs hospitaliers des États-Unis, a accepté de payer 98,15 millions de dollars pour clore des poursuites l'accusant d'avoir facturé aux payeurs publics des admissions en hospitalisation complète qui auraient dû être des séjours ambulatoires, moins coûteux. Aucun fraudeur isolé n'avait orchestré cela. Le problème était systémique : des décisions d'admission qui maximisaient le remboursement dans des centaines d'établissements. Ce dossier montre la machinerie de l'enforcement en action, et pourquoi la « compliance » est un sujet de bilan, pas de paperasse.

Cette leçon détaille le fonctionnement réel de cette machinerie : qui audite, comment les whistleblowers déclenchent les affaires, à quoi ressemblent les sanctions, et pourquoi les hôpitaux finissent sous Corporate Integrity Agreement.

La couche d'audit : RAC, MAC et UPIC

La plupart des actions d'enforcement commencent par des récupérations de sommes en routine, pas par des descentes spectaculaires pour fraude.

Le payeur central ici est CMS (Centers for Medicare & Medicaid Services), l'agence fédérale qui gère Medicare et co-gère Medicaid. CMS ne contrôle pas elle-même chaque demande de remboursement. Elle recourt à des contractants.

• MAC (Medicare Administrative Contractors) : sociétés privées qui traitent et paient les claims Medicare dans une région donnée. Elles sont en première ligne.
• RAC (Recovery Audit Contractors) : contractants rémunérés au succès (un pourcentage de ce qu'ils récupèrent) pour détecter et annuler les paiements indus, trop-perçus comme sous-paiements. Comme ils sont payés sur ce qu'ils récupèrent, ils sont agressifs par construction.
• UPIC (Unified Program Integrity Contractors) : contractants centrés sur les soupçons de fraude, pas seulement sur les erreurs de facturation. Un signalement UPIC, c'est le moment où les choses deviennent sérieuses.

À quoi ressemble concrètement un audit

Un RAC demande les dossiers médicaux d'un lot de claims. Supposons qu'un hôpital ait facturé à Medicare 200 courts séjours en hospitalisation complète. Le RAC examine la documentation et décide que 60 d'entre eux ne remplissaient pas les critères d'hospitalisation complète (le patient aurait dû être en « observation », un statut ambulatoire moins bien payé).

Exemple chiffré. Supposons que chaque claim en hospitalisation complète ait été payé 9 000 dollars et que le tarif ambulatoire correct soit de 3 000 dollars (chiffres illustratifs). Le trop-perçu réclamé :

60 claims x ($9,000 - $3,000) = $360,000 clawback

L'hôpital peut faire appel, et beaucoup le font, mais la procédure d'appel (devant les Administrative Law Judges) a historiquement accumulé d'importants retards. Entre-temps, l'argent est souvent récupéré d'abord et restitué ensuite si l'hôpital gagne.

La notion clé que sondent les auditeurs est la medical necessity : l'acte était-il justifié et documenté ? Ce sont les défauts de documentation, pas les défauts de médecine, qui provoquent l'essentiel des clawbacks.

Le False Claims Act : l'artillerie lourde

Le False Claims Act (FCA) est l'outil d'enforcement le plus important contre la fraude en santé aux États-Unis. Adopté en 1863 (fraude militaire pendant la guerre de Sécession) et renforcé à plusieurs reprises, il permet à l'État de récupérer les sommes liées à des claims frauduleux adressés aux programmes fédéraux comme Medicare.

Pourquoi il est redouté :

• Treble damages : l'État peut récupérer trois fois le montant de sa perte.
• Pénalités par claim : chaque claim frauduleux entraîne une pénalité distincte. En 2024, celles-ci allaient d'environ 13 900 à 27 900 dollars par claim (les montants sont réévalués chaque année sur l'inflation, vérifiez donc le chiffre en vigueur). Avec des milliers de claims, les pénalités écrasent les dommages réels.

Exemple chiffré. Un hôpital a soumis 4 000 claims frauduleux ayant causé 2 millions de dollars de perte réelle :

Treble damages:   3 x $2,000,000        = $6,000,000
Per-claim (low):  4,000 x ~$13,900       = $55,600,000
Potential exposure                        ~$61,600,000

D'où les settlements. Le maximum théorique est souvent financièrement fatal.

Qui tamtamTotal Addressable Market : le chiffre d'affaires total si vous captiez 100 % des clients potentiels de votre marché cible.Voir la définition complète → : le moteur des whistleblowers

Voici le mécanisme qui surprend les non-juristes. En vertu de la disposition qui tam du FCA, un particulier (le « relator », le plus souvent un salarié) peut engager une action au nom de l'État. Si l'affaire permet de récupérer des sommes, le relator en touche une part, en général de 15 à 30 pour cent.

Faites le calcul des incitations. Si l'action d'un relator aboutit à une récupération de 61 millions de dollars, sa rémunération peut dépasser 9 millions. C'est pourquoi un responsable du codage, une infirmière ou un ancien compliance officer a de fortes raisons de signaler, et pourquoi les hôpitaux ne peuvent pas compter sur le silence.

Le Department of Justice (DOJ) récupère chaque année des milliards au titre du FCA, et la santé est constamment la première catégorie. Voir les statistiques annuelles du DOJ sur la fraude pour les chiffres à jour : statistiques False Claims Act du DOJ.

Les deux lois qui alimentent les affaires FCA

La plupart des affaires FCA en santé reposent sur la violation de deux textes sous-jacents :

• Anti-Kickback Statute (AKS) : incrimine le fait de verser ou de recevoir quelque chose de valeur pour inciter à orienter des patients vers des prestations remboursées par l'État fédéral. Exemple : un hôpital verse à un cardiologue des « honoraires de conseil » au-dessus du marché qui rémunèrent en réalité l'admission de patients.
• Stark Law (Physician Self-Referral Law) : interdit à un médecin d'orienter des patients vers certaines prestations fournies par une entité avec laquelle lui (ou sa famille) entretient une relation financière, sauf exception applicable. Stark relève de la responsabilité sans faute : l'intention est indifférente, le montage est conforme ou il ne l'est pas.

Une orientation viciée au regard de l'AKS ou de Stark rend « faux » chacun des claims qui en découlent : c'est ainsi qu'un problème de rémunération devient une affaire False Claims Act.

L'OIG et les corporate integrity agreements

L'OIG (Office of Inspector General) du Department of Health and Human Services est le gendarme. Son arme ultime est l'exclusion : interdire purement et simplement à un établissement de facturer Medicare et Medicaid. Pour la plupart des hôpitaux, l'exclusion est une sentence de mort, les payeurs publics représentant une part énorme du chiffre d'affaires.

Parce que l'exclusion est si extrême, l'OIG propose généralement une alternative lors d'un settlement : le Corporate Integrity Agreement (CIA).

Ce qu'exige un CIA

Un CIA est un contrat négocié, en général sur cinq ans, qui permet à l'hôpital de continuer à facturer en échange d'une surveillance intensive. Obligations courantes :

• Nommer un Compliance Officer et un comité de conformité rendant compte au conseil.
• Formation obligatoire du personnel sur les règles de facturation et d'orientation des patients.
• Une Independent Review Organization (IRO) : un auditeur externe qui échantillonne les claims chaque année et rend compte à l'OIG.
• Rapports annuels à l'OIG et déclaration de tout nouveau problème détecté.
• Responsabilité au niveau du conseil, avec parfois une certification personnelle de conformité par les administrateurs.

Un délai de CIA manqué entraîne des stipulated penalties (amendes convenues d'avance par jour de non-conformité). Un manquement grave peut malgré tout déclencher l'exclusion.

Vous pouvez lire de vrais CIA, qui sont publics, sur la page Corporate Integrity Agreements de l'OIG. En lire un rend la charge opérationnelle très concrète.

Pourquoi les programmes de compliance sont une nécessité financière

Assemblez les pièces et la logique apparaît clairement.

1. Un programme de compliance volontaire réduit les sanctions. Les federal sentencing guidelines et la pratique de settlement de l'OIG traitent tous deux un programme de compliance efficace comme une circonstance atténuante. L'OIG publie des orientations sur les sept éléments d'un programme efficace (standards écrits, un compliance officer, formation, audit, canaux de signalement, mise en œuvre des sanctions et traitement des problèmes). La General Compliance Program Guidance actualisée se trouve sur la page de guidance compliance de l'OIG.

2. L'auto-déclaration vaut mieux que de se faire prendre. L'OIG gère un Self-Disclosure Protocol. Un hôpital qui détecte lui-même un trop-perçu et le déclare paie généralement un multiplicateur plus faible (souvent autour de 1,5x les dommages) que les treble damages auxquels il s'exposerait au contentieux. Trouver son problème le premier coûte moins cher que de le voir trouvé par un relator.

3. La règle des 60 jours crée l'urgence. Sous l'Affordable Care Act, dès qu'un hôpital identifie un trop-perçu, il doit le déclarer et le restituer dans les 60 jours. Rester assis sur un trop-perçu connu peut en soi devenir une violation du False Claims Act. La compliance passe ainsi de l'optionnel à un compte à rebours juridique.

La séquence réaliste

Voici comment se déroule une affaire hospitalière typique :

1. Un RAC ou un audit interne repère un schémamaUtiliser un logiciel pour automatiser les tâches et campagnes marketing répétitives, afin de personnaliser à grande échelle sur des canaux comme l'email, le web et le social.Voir la définition complète → de facturation (par exemple un upcoding systématique).
2. Un salarié inquiet, ignoré en interne, engage une action qui tam.
3. Le DOJ enquête, souvent discrètement, pendant des mois voire des années.
4. Face aux treble damages et aux pénalités par claim, l'hôpital transige.
5. L'OIG impose un CIA de cinq ans comme condition pour ne pas être exclu.
6. L'hôpital paie désormais une IRO, une équipe compliance et un reporting annuel pendant des années.

Chaque étape coûte moins cher à prévenir qu'à réparer. Un programme de compliance est la prime d'assurance contre les étapes 3 à 6.

Une note sur l'Europe

L'Europe n'a pas d'équivalent direct du FCA, mais la trajectoire est semblable. Les systèmes de santé nationaux et les assureurs poursuivent la fraude à la facturation par la voie pénale et administrative, et l'office antifraude de l'UE, l'OLAF, enquête sur le détournement de fonds européens. Certains pays (Allemagne, France, Royaume-Uni) ont leurs propres unités de lutte contre la fraude en santé. La leçon de fond (intégrité de la documentation et des orientations de patients) franchit les frontières, même là où les textes spécifiques ne le font pas.

À retenir

• L'enforcement est un pipelinepipelineL'ensemble des opportunités commerciales actives réparties selon les étapes du processus de vente, avec leur valeur potentielle cumulée et leur probabilité de conclusion.Voir la définition complète → à plusieurs étages : les audits RAC de routine attrapent les erreurs de facturation, tandis que le False Claims Act (avec treble damages et pénalités par claim) et les actions qui tam de whistleblowers traitent la fraude grave. L'exposition financière est souvent existentielle.
• La plupart des affaires FCA hospitalières découlent de violations de l'Anti-Kickback Statute ou de la Stark Law, où une relation financière viciée rend « faux » chacun des claims en aval.
• Un Corporate Integrity Agreement est l'alternative de l'OIG à l'exclusion : cinq ans de compliance officers, de formations et d'audits indépendants imposés. C'est coûteux et public.
• La règle des 60 jours sur les trop-perçus et le Self-Disclosure Protocol signifient que détecter et restituer ses propres erreurs coûte bien moins cher que d'être pris. Le retard crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →ée en lui-même une responsabilité.
• Un programme de compliance efficace est une couverturecouvertureLe nombre de personnes uniques exposées à votre message sur une période donnée. Contrairement aux impressions, le reach compte chaque personne une seule fois, quel que soit le nombre d'expositions.Voir la définition complète → financière documentée : il réduit les sanctions, dissuade les whistleblowers en leur offrant des canaux internes, et est retenu comme circonstance atténuante lors de la négociation des settlements.