การรับรองคุณภาพระบบเทคโนโลยีสารสนเทศโรงพยาบาล

ปัจจุบันเทคโนโลยีสารสนเทศเป็นโครงสร้างพื้นฐานสำคัญของการให้บริการสุขภาพ ตั้งแต่การลงทะเบียนผู้ป่วย การบันทึกเวชระเบียนอิเล็กทรอนิกส์ การสั่งยาและการรายงานผลตรวจ ไปจนถึงการเบิกจ่ายและการรายงานข้อมูลต่อหน่วยงานภายนอก หากระบบหยุดชะงัก ข้อมูลคลาดเคลื่อน หรือถูกโจมตีทางไซเบอร์ จะกระทบต่อความปลอดภัยของผู้ป่วยและความต่อเนื่องของบริการโดยตรง โรงพยาบาลจึงต้องบริหารจัดการระบบสารสนเทศอย่างมีมาตรฐาน มีความมั่นคงปลอดภัย และพัฒนาคุณภาพอย่างต่อเนื่อง

สมาคมเวชสารสนเทศไทย (TMI) ร่วมกับสถาบันรับรองคุณภาพสถานพยาบาล (องค์การมหาชน) จึงพัฒนาการรับรองคุณภาพระบบเทคโนโลยีสารสนเทศของโรงพยาบาล (HAIT) ขึ้น โดยอิงกรอบการพัฒนาคุณภาพระบบเทคโนโลยีสารสนเทศในโรงพยาบาล (Hospital Information Technology Quality Improvement Framework: HITQIF) การประเมินครอบคลุม 7 หมวด ได้แก่

• หมวดที่ 1         แผนแม่บท IT

• หมวดที่ 2         การจัดการความเสี่ยง

• หมวดที่ 3         ความมั่นคงปลอดภัย (รวมถึง BCP และ DRP)

• หมวดที่ 4         บริการ IT (Service Desk และ SLA)

• หมวดที่ 5         คุณภาพข้อมูลเวชระเบียน

• หมวดที่ 6         การพัฒนาโปรแกรมเอง

• หมวดที่ 7         ทรัพยากรและสมรรถนะบุคลากร

นอกจากนี้ยังมีข้อกำหนด HAIT Plus ซึ่งเป็นแนวทางการรักษาความมั่นคงปลอดภัยไซเบอร์สำหรับโรงพยาบาลของรัฐ โรงพยาบาลพัทลุง เล็งเห็นถึงความสำคัญของการพัฒนาระบบสารสนเทศให้ได้มาตรฐาน จึงจัดทำแนวทางฉบับนี้เพื่อเป็นกรอบการดำเนินงานด้านเทคโนโลยีสารสนเทศของโรงพยาบาล ให้สอดคล้องกับเกณฑ์ HAIT ระดับ 2 และนโยบายของกระทรวงสาธารณสุข รวมถึงพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 แนวทางนี้กำหนดนโยบาย ขั้นตอนปฏิบัติ ผู้รับผิดชอบ และตัวชี้วัดของแต่ละหมวด เพื่อให้บุคลากรทุกหน่วยงานถือปฏิบัติไปในทิศทางเดียวกัน และใช้เป็นหลักฐานประกอบการตรวจประเมิน

ผู้จัดทำหวังเป็นอย่างยิ่งว่าแนวทางฉบับนี้จะช่วยให้ระบบเทคโนโลยีสารสนเทศของโรงพยาบาลมีความพร้อมใช้ มั่นคงปลอดภัย และมีข้อมูลที่ถูกต้องน่าเชื่อถือ อันจะนำไปสู่การบริการที่มีคุณภาพและความปลอดภัยของผู้ป่วย ทั้งนี้จะทบทวนและปรับปรุงแนวทางอย่างน้อยปีละ 1 ครั้งตามวงจรการพัฒนาคุณภาพ (PDCA)

แนวทางการดำเนินการเพื่อรองรับการประเมิน HAIT ระดับ 2

HAIT ระดับ 2 ต่อยอดจากระดับ 1 ระดับ 1 เน้นให้โรงพยาบาล "มีระบบ" ครบทุกหมวด ส่วนระดับ 2 เน้นให้ระบบที่มีอยู่ได้รับการ "ทบทวนและปรับปรุงอย่างต่อเนื่อง" ตามวงจร PDCA ทุกปี และต้องแสดงหลักฐานได้ว่าการปรับปรุงนั้นเกิดผลจริง โรงพยาบาลที่ขอรับการประเมินระดับ 2 ต้องผ่านเกณฑ์ระดับ 1 ครบทุกข้อก่อน แล้วจึงดำเนินการเพิ่มเติมในแต่ละหมวด ดังนี้

1.      แผนแม่บทเทคโนโลยีสารสนเทศ: วิเคราะห์ความเชื่อมโยงกับเป้าหมายยุทธศาสตร์ของโรงพยาบาลให้ครบทุกเป้าหมาย และประเมินผลแผนปฏิบัติการทุกปีด้วย PDCA เป็นรายโครงการ

2.      การจัดการความเสี่ยง: ประเมินผลแผนจัดการความเสี่ยงด้วย PDCA ทุกปี และเริ่มวงรอบการประเมินใหม่ทุกปี โดยบันทึกต่อจากเอกสารเดิมเพื่อให้เห็นพัฒนาการ

3.      ความมั่นคงปลอดภัยสารสนเทศ: ทบทวนระเบียบปฏิบัติของปีก่อน ประเมินความรู้ความเข้าใจของบุคลากรอย่างน้อยปีละ 1 ครั้ง และจัดทำแผนกู้คืนระบบ (DRP) สำหรับเครื่องแม่ข่ายที่สำคัญ พร้อมเครื่องมือกู้คืน ซ้อมแผน และปรับปรุงแผนอย่างน้อย 1 รอบ PDCA

4.      การจัดระบบบริการเทคโนโลยีสารสนเทศ: ประเมินและปรับปรุง Service Desk และข้อตกลงระดับการให้บริการ (SLA) วิเคราะห์อุบัติการณ์เพื่อจัดระบบ Problem Management และวิเคราะห์บันทึกกิจกรรมรายบุคคลเพื่อปรับปรุงการทำงาน

5.      คุณภาพข้อมูลเวชระเบียน: พัฒนาคะแนนคุณภาพเวชระเบียนผู้ป่วยนอกและผู้ป่วยในให้ไม่น้อยกว่าร้อยละ 95 ทุกหัวข้อ (เพิ่มจากร้อยละ 80 ในระดับ 1)

6.      การควบคุมคุณภาพการพัฒนาโปรแกรม: มีระบบควบคุมเวอร์ชั่น (Version Control) และมีมาตรฐานการเขียนคำอธิบายในซอร์สโค้ดที่บุคคลภายนอกตรวจสอบได้

7.      การจัดการทรัพยากรและสมรรถนะบุคลากร: ประเมินผลและวางแผนพัฒนาขีดความสามารถของทรัพยากร (Capacity) และสมรรถนะของบุคลากร (Competency) จากผลของปีก่อน และมีระบบบริหารการเปลี่ยนแปลง (Change Management) อย่างน้อย 1 ระบบเป็นตัวอย่าง

แนวทางในหัวข้อนี้กำหนดกิจกรรม ผู้รับผิดชอบ กรอบเวลา และเอกสารหลักฐานที่ต้องจัดเตรียมในแต่ละหมวด เพื่อให้หน่วยงานที่เกี่ยวข้องดำเนินการได้ครบถ้วน และพร้อมรับการตรวจประเมินจากสมาคมเวชสารสนเทศไทย