Internrevisjonsrapport Helse Møre og Romsdal HF Intern styring og kontroll med bruk og utnyttelse av elektronisk pasientjournal (EPJ) Stjørdal 2.mai 2013 INTERNREVISJONEN
2 Innholdsfortegnelse 1. Rapportinformasjon... 3 2. Sammendrag... 4 3. Innledning... 6 3.1 Bakgrunn og formål... 6 3.2 Omfang... 6 3.2.1 Revisjonsenheter... 6 3.2.2 Problemstillinger... 6 3.3 Revisjonsgrunnlag... 7 3.3.1 Lovgrunnlag... 7 3.3.2 Interne styringsdokumenter... 7 3.4 Metode... 7 3.4.1 Dokumentanalyse... 7 3.4.2 Intervjuer... 7 3.5 Generelt om EPJ-systemene... 7 4. Sentrale funn og vurderinger... 9 4.1 Organisering... 9 4.1.1 Beskrivelse av virksomheten... 9 4.1.2 Styring av tilgangen til EPJ-systemene (tilgangsstyring)... 9 4.2 Kompetanse... 10 4.2.1 Dokumentasjon... 10 4.2.2 Opplæring av nyansatte... 11 4.2.3 Kompetanseutvikling... 11 4.3 Ledelsen rolle på EPJ-området... 12 4.4 Risikovurdering, håndtering av uønskede hendelser og forbedringsarbeid... 13 4.5 Forhold knyttet til journalhåndteringen... 13 4.5.1 Rutiner for oppfølging og signering av prøvesvar... 13 4.5.2 Rutiner for ferdigstilling av dokumenter i DocuLive... 15 4.5.3 Ulovlig innsyn i journal... 15 4.5.4 Journalansvarlig person... 16 4.5.5 Bruk av og erfaring med EPJ-systemene... 17 5. Konklusjon og anbefalinger... 18 6. Vedlegg... 20
3 1. Rapportinformasjon Revisjonsperiode: 6. desember 2012 2. mai 2013 Virksomhet: Oppdragsgiver: Helse Møre og Romsdal HF Styret for Helse Midt-Norge RHF Revisorer: Per-Ove Godø Internrevisjonen (revisjonsleder) Ellinor Wessel Pettersen Internrevisjonen Ingjerd Almskaar Aspen Helse Møre og Romsdal HF (fagrevisor) Karin Aasprong Lyngeng Helse Møre og Romsdal HF (fagrevisor) Jon Gausdal Helse Midt-Norge IT (observatør) Kontaktpersoner: Vidar Hagerup Foretaksnivå Helse Møre og Romsdal Nils-Arne Skagøy Klinikk for psykisk helsevern, Ålesund Kirsti Rønnestad Klinikk for kirurgi, Ålesund Per-Ove Godø Internrevisjonen
4 2. Sammendrag Formål og omfang Formålet med revisjonen har vært å undersøke om helseforetakene har etablert systemer som sikrer god intern styring og kontroll med journalhåndteringen, samt sikrer at foretakene utnytter EPJ-systemene på en mest mulig effektiv måte. Revisjonen er gjennomført ved Helse Møre og Romsdal HF, der det er gjennomført revisjonsbesøk ved avdeling for Sjukehuspsykiatri Sunnmøre og Kirurgisk avdeling Ålesund. Det er gjennomført tilsvarende revisjoner i Helse Nord-Trøndelag HF og St. Olavs Hospital HF. Konklusjon Basert på funnene i revisjonen konkluderer internrevisjonen med at helseforetaket/de reviderte enhetene har etablert en del systemer som skal sikre intern styring og kontroll med bruken og utnyttelsen av EPJ-systemene. Internrevisjonen konstaterer likevel at det på viktige områder ikke er tilstrekkelig intern styring og kontroll. Dette gjelder områdene opplæring/kompetanseutvikling, signering/oppfølging av prøvesvar og ferdigstilling av dokumenter. Internrevisjonen konstaterer videre at ledelsen i helseforetaket sin rolle på EPJ-området ikke har fremstått som tydelig når det gjelder å sikre god styring og kontroll med bruk og utnyttelse av EPJ-systemene. Konklusjonen er basert på følgende hovedfunn i revisjonen: Internrevisjonens inntrykk er at opplæring av nytilsatte skjer til en viss grad, men at dette ikke er satt i system. Det fremstår derfor som usikkert om alle nytilsatte får opplæring i EPJsystemene, samt hvilket omfang og innhold opplæringen har. Det mangler planer og system for organisert og strukturert kompetanseutvikling og oppdatering i EPJ-systemene. Internrevisjonen mener at konsekvensene av mangelfull opplæring/kompetanseutvikling kan medføre risiko for feil, dårlig utnyttelse, tungvint bruk og mindre effektiv bruk av EPJsystemene. Revisjonen har vist at det ikke stilles tydelige krav fra ledelsen om tiltak knyttet til opplæring og kompetanseutvikling. Tilstrekkelig opplæring er ett av de viktigste suksesskriteriene for god utnyttelse av EPJ-systemene. Det er heller ikke fremkommet at ledelsen har gitt retningslinjer for bruk og utnyttelse av EPJsystemene for å sikre effektiv utnyttelse av systemene. Med bakgrunn i oversendt dokumentasjon og opplysninger i intervju fremstår det som uklart hvilke retningslinjer som gjelder for signering av prøvesvar. I en prosedyre for kirurgisk klinikk fremgår det at Styringsgruppa for RoS har bestemt at alle prøvesvar skal signeres elektronisk mens det samtidig gis retningslinjer i prosedyren for signering på papir. I en foretaksprosedyre fremgår det at prøvesvar ikke skal makuleres mens opplysninger i intervju viser en annen praksis. Internrevisjonen mener at den uklare situasjonen som har fremkommet er forbundet med risiko for at det kan skje feil og uønskede hendelser Helseforetaket har etablert skriftlige retningslinjer for ferdigstilling av dokumenter i DocuLive. Oversikter som internrevisjonen har mottatt viser at det finnes mange dokumenter i
5 DocuLive som ikke er ferdigstilte. Dokumenter som ikke er ferdigstilte i DocuLive skaper lett uryddige og uoversiktlige journaler og det kan også skapes usikkerhet om f. eks brev og epikriser er sendt ut eller ikke. Helseforetaket har etablert et godt system for helsepersonellets tilgang til opplysninger i journaler. Rollen som journalansvarlig person er ikke tydelig definert i forhold til kravene i regelverket. Anbefalinger Internrevisjonen har gitt fem anbefalinger knyttet til ledelsens rolle, signering av prøvesvar, ferdigstilling av dokumenter, journalansvarlig person og risikovurdering/uønskede hendelser. Det vises til kapittel 5 i rapporten.
6 3. Innledning 3.1 Bakgrunn og formål Riksrevisjonen gjennomførte i 2007/2008 en undersøkelse om IKT i sykehus og elektronisk samhandling i helsetjenesten. I undersøkelsen ble det bl.a. konkludert med at det var mangelfull utnyttelse av EPJ i helseforetakene. Helsetilsynene i Midt-Norge gjennomførte i 2010 tilsyn med kommunikasjon i helseforetak. Med bakgrunn i dette tilsynet og tilsvarende tilsyn i resten av landet har Statens helsetilsyn i brev til Helse- og omsorgsdepartementet gitt informasjon om at gjennomførte tilsyn i spesialisthelsetjenesten viser at elektronisk kommunikasjon er et risikoområde. Det ble avdekket flere avvik i tilsynene, blant annet problemer med system for elektronisk signering og oppfølging av prøvesvar, og svikt i journalsystemene. Det har kommet innspill fra foretaksgruppen med opplysninger om sårbarhetsområder på EPJområdet. Med bakgrunn i ovenstående ønsker revisjonsutvalget og styret i Helse midt-norge RHF at det skal gjennomføres en internrevisjon for å undersøke hvordan situasjonen er i 2012/2013. Formålet med revisjonen er å undersøke om helseforetakene har etablert systemer som sikrer god styring og kontroll med journalhåndteringen, samt at foretakene utnytter EPJ på en mest mulig effektiv måte. 3.2 Omfang 3.2.1 Revisjonsenheter Revisjonen er gjennomført i Helse Møre og Romsdal HF. Det er gjennomført revisjonsbesøk ved følgende enheter i foretaket: Avdeling for Sjukehuspsykiatri Sunnmøre, Ålesund sjukehus Kirurgisk avdeling Ålesund Det er gjort tilsvarende revisjoner i Helse Nord-Trøndelag HF og St. Olavs Hospital HF. 3.2.2 Problemstillinger Følgende hovedproblemstillinger er formulert for revisjonen: I hvilken grad utnyttes EPJ mest mulig effektivt til ulike oppgaver? Er journalinformasjonen komplett, dekkende og oversiktlig å jobbe med? I hvilken grad er det etablert systemer som sikrer god styring og kontroll med journalhåndteringen For å besvare problemstillingene, er følgende forhold undersøkt: Organisering av virksomheten, herunder tilgangsstyring Opplæring/kompetanseutvikling Ledelsens rolle på IKT-området Forhold knyttet til journalhåndtering System for risikovurdering/håndtering av uønskede hendelser/forbedringsarbeid
7 3.3 Revisjonsgrunnlag Revisjonskriterier er standarden som den innsamlede informasjonen i revisjonen vurderes opp mot. Revisjonskriteriene i denne revisjonen er utledet fra følgende kilder: 3.3.1 Lovgrunnlag Spesialisthelsetjenesteloven 2-2, 3-2, 3-10 Helseregisterloven 13, 13a, 15, 16, 17 Helsepersonelloven 21, 21a, 39, 40 Pasientjournalforskriften 6, 7 Internkontrollforskriften Interne styringsdokumenter Nærmere utdyping av regelverket finnes i Vedlegg 1 3.3.2 Interne styringsdokumenter Oversikt over interne styringsdokumenter som er benyttet i revisjonen finnes i Vedlegg 2. 3.4 Metode 3.4.1 Dokumentanalyse Det er innhentet og analysert relevant dokumentasjon som belyser problemstillingene. Dokumentene har blitt benyttet som kildemateriale, underlag for videre undersøkelser og som revisjonskriterier. Dokumenter som er benyttet går fram av teksten. 3.4.2 Intervjuer Det er gjennomført intervjuer med personer på ledernivå og med et utvalg av ansatte fra de ulike personellgruppene. Det ble gjennomført intervjuer med til sammen 18 personer i de reviderte enhetene i Helse Møre og Romsdal. Det ble intervjuet personell med følgende funksjoner: Leger/psykologer/annet behandlingspersonell Sykepleiere Ledere Merkantilt ansatte Personell med IT-ansvar 3.5 Generelt om EPJ-systemene EPJ - elektronisk pasientjournal - er en samlebetegnelse på flere elektroniske systemer som benyttes i dokumentasjonen og administreringen av pasientopplysninger i helseforetakene. Følgende EPJ-systemer har vært relevante i denne revisjonen: DocuLive Hovedjournal der personellet journalfører pasientopplysninger i egne kapitler for f. eks legenotater og sykepleienotater. PAS Pasientadministrasjon og økonomisk oppgjør for behandling. Rapporterer bl.a. til Norsk Pasientregister (NPR) MyWay2Pas Nytt brukergrensesnitt til PAS som bygges over PAS.
8 Klinisk arbeidsflate Portallignende verktøy for å integrere flere systemer inn i samme brukergrensesnitt. Kun én pålogging på alle systemene som integreres (single sign-on). Dette systemet er foreløpig tilpasset psykiatri (fase 1), der MyWay2Pas, DocuLive, RoS og ny brevmodul er integrert inn i løsningen. I fase 2 skal systemet integreres i somatikken. OpPlan System for operasjonsplanlegging RoS (Rekvisisjon og Svar) - samlested for elektroniske rekvisisjoner og prøvesvar, samt funksjon for signering. Systemet er integrert med DocuLive. RoS er et bindeledd mellom DocuLive, som brukes av klinkerne, og Lab-systemene NSL (klinisk kjemi), NSML (mikrobiologi) og Sympathy (patologi) som brukes av de ansatte på laboratoriene. PACS/RIS (røntgen) består av et PACS bildearkiv og et RIS administrasjonsverktøy (som bl.a. inneholder pasientinfo). PACS står for Picture Archive and Communication System, RIS står for Radiology Information System. Det fins en web-modul "Kundrad Web" som fører til at legene kan rekvirere bildeunderøkelser direkte fra DocuLive, uten å logge inn i RIS. Det er et regionalt prosjekt på gang for å overføre røntgensvaret fra radiologen (en tekstlig vurdering) direkte inn i DocuLive-journalen, med tilhørende signeringsfunksjon i DocuLive. Prosjektet skal ferdigstilles før sommerferien. Men for å se selve bildet, må legene logge inn i RIS-systemet og søke opp pasienten der. Oppbyggingen av DocuLive Dette bildet er et eksempel fra St. Olavs Hospital, men er det samme for alle helseforetakene.
9 4. Sentrale funn og vurderinger 4.1 Organisering 4.1.1 Beskrivelse av virksomheten Avdeling for Sjukehuspsykiatri Sunnmøre er en avdeling i Klinikk for psykisk helsevern. Klinikk for psykisk helsevern er en gjennomgående klinikk for hele Helse Møre og Romsdal. Klinikken har 5 avdelinger fordelt på Region Sunnmøre, Region Nordmøre og Romsdal og en foretaksdekkende avdeling (alderspsykiatri og rehabilitering). Kirurgisk avdeling Ålesund er en avdeling i Klinikk for kirurgi Ålesund. Avdelingen har 6 seksjoner fordelt på gastro, mamma/endokr, urologi, kar/thorax, kirurgisk poliklinikk og dagkirurgi. Organiseringen av IKT-området i foretaket Området er organisert i en IKT- seksjon i Fagavdelingen. I seksjonen er det en egen gruppe for EPJ-drift. Gruppa består av ansatte ved alle sykehusene i foretaket og har felles møte hver 14. dag. Arbeidsoppgavene til gruppa består bl.a. av opplæring/veiledning, tilgangsadministrasjon, innføring av nye funksjonalitet i DocuLive, bl.a. e-kurve, utarbeidelse av nivå 1 prosedyrer m.m. Det opplyses at det kun er i sykepleiegruppa at det er aktive superbrukere. For øvrig er det EPJ-konsulenter som utfører oppgavene i gruppa for EPJ-drift. 4.1.2 Styring av tilgangen til EPJ-systemene (tilgangsstyring) Det foreligger tre foretaksprosedyrer: Tilgangsadministrasjon rutine for henvendelse til Hemit kundesenter, Tilgangsrettigheter i DocuLive/EPJ og Tilgang til DocuLive. Det fremgår av den skriftlige dokumentasjonen følgende retningslinjer for tilgangsrettigheter: Avdelingssjef/den som har fått oppgaven delegert, bestiller tilgang i samsvar med tjenstlig behov. All tilgang som den tilsatte får skal presiseres i bestillingen. Tidsrommet for tilgangen skal samsvare med tilsettingen. Fast stilling har ikke tidsavgrensing. Utgangspunktet for tilgang er en basistilgang for bestemte faggrupper. Dersom det skal gjøres avdelingsvise tilpasninger for tilganger, skal dette konkretiseres i bestillingen Ut over basistilgangen kan det gis følgende tilganger som må bestilles særskilt: o Aktualiseringsrett (kan være en del av basistilgang), dvs. at ansatte gis tilgang til alle journaler innen ett domene, f. eks innen somatisk. o Spesialtilgang, innebærer tilgang til å skrive i legedokumentasjonen uten å være lege. o Tilgang til andre domener (kan være en del av basistilgang) o Tilgang til sekundærsykehus for andre enn leger (alle leger skal ha dette) Avklaring av såkalte gråsone-tilganger, dvs. hvilke tilganger ufaglærte, prest, farmasøyt m.m. skal ha. Det er i prosedyreform utarbeidet en oversikt over standardtilganger og rettigheter for en del faggrupper. Det er nedfelt noen prinsipper vedrørende tilganger: Tilgangen for personale skal begrenses, men skal være tilstrekkelig til å utføre sine pålagte oppgaver. Tjenstlig behov skal styre tilgangen ut over basistilgang. Det skal være tidsavgrensing for tilganger til personell som ikke er fast ansatt.
10 Fra Avdeling for Sjukehuspsykiatri Sunnmøre er det mottatt en prosedyre Journaltilgang ved mottak av nye pasienter fra Søre Sunnmøre og ved mottak eller behandling av pasienter i Ungdompsykiatrisk avdeling. Denne prosedyren omhandler spesialtilganger for å sikre at mottakende lege i seksjonene i avdelingen får tilgang til alle relevante opplysninger for pasienter som ankommer fra Volda DPS og fra Ungdomspsykiatrisk avdeling. Det fremgår ikke av foreliggende dokumentasjon hvilket system som gjelder i forhold til avslutning av tilganger, med unntak av tilganger til personell med tidsavgrenset stilling der avslutning skjer automatisk. Begrepet blålys-tilgang nevnes ikke i de ovennevnte prosedyrene. I intervju kommer det fram at de ansatte har fått tilganger tildelt av sin nærmeste leder. Ansatte har normalt bare tilgang til journaler for pasienter på egen seksjon, men legene har utvidede tilganger. Tilganger begrenses for vikariater, mens fast ansatt får tilganger så lenge de jobber på aktuelle arbeidsplass. Det kom fram eksempler på at ansatte som skifter arbeidssted innenfor foretaket har fått med seg de tilganger de har fra forrige arbeidssted. Det opplyses at det ikke skjer automatisk opphør av tilganger når personellet endrer arbeidssted. I slike tilfeller må det derfor varsles til IKT-seksjonen om dette. Noen av de intervjuede har hørt om blålys-tilgang, men er usikker på om dette finnes i foretaket. Fra Kirurgisk avdeling Ålesund opplyses det at det har vært behov for å få tilgang til psykiatriske journaler i noen tilfeller, men man har ikke tilgang til dette. Løsningen har da vært å ringe vakthavende ved psykiatrisk avdeling for å få nødvendige opplysninger. Det opplyses at det ikke er etablert noen generelle rutiner for kontroll av tilgangene og heller ikke for avslutning av tilganger. Det påpekes at dersom systemet for tilgangsstyring (IAM) var bedre, kunne lederne selv følge opp dette, f.eks. sjekke hvem som har hvilke roller (profiler), men dette er ikke mulig i dag. Det tas av og til ut lister med oversikter over tilganger som blir sendt til seksjonsledere for gjennomgang og merking av tilganger som skal strykes. Det var ikke krav om at ansatte gjennomfører opplæring før tilgang til systemene gis. Vurdering Etter internrevisjonens syn har Helse Møre og Romsdal etablert et godt skriftlig system for tilgangsstyringen til EPJ-systemene. Hovedinntrykket er at systemet synes å fungere i praksis, men at det ikke er tilstrekkelig intern styring og kontroll for å sikre at tilganger avsluttes og at personellet har de riktige og nødvendige tilganger til enhver tid. 4.2 Kompetanse 4.2.1 Dokumentasjon Det er oversendt kopi av et bilde fra EQS som viser Kompetanse og opplæringsportal i DocuLive. Det står merket på bildet at denne portalen er under arbeid og ventes implementert i juni 2013. Ut over dette er det ikke mottatt skriftlig dokumentasjon på dette området.
11 4.2.2 Opplæring av nyansatte Det er opplyst at EPJ-drift i IKT-seksjonen har ansvar for opplæring og veiledning av nytilsatte. Gruppa har bl.a. kurs for turnusleger, legestudenter og sykepleierstudenter to ganger i året. Nye sekretærer skal starte med e-læring og deretter skal det foregå lokal opplæring. Gruppa har fått meldt behov for opplæring av nytilsatte der de ikke alltid kan stille opp fordi det er for få. Det gis tilbud om opplæring når det er tilstrekkelig antall deltagere. Det er imidlertid et problem at det i noen tilfeller er få som møter på kurs selv om flere har fått tilbud og er påmeldt. Kirurgisk avdeling Ålesund I intervju kommer det fram at det er forskjeller når det gjelder opplæring av nyansatte for de ulike faggruppene. Når det gjelder sykepleiergruppen opplyses det at nyansatte sykepleiere sendes på kurs og det nevnes at det finnes en perm der det står hva disse skal gjennomføre av opplæring. Det kom ikke fram opplysninger om innholdet eller omfanget av opplæringen. Det var ikke kjent blant de intervjuede om det ble gjennomført opplæring av de øvrige nyansatte personellgruppene, bortsett fra én opplysning om at nyansatte som ikke kan DocuLive får tilbud om å delta på turnuslegekurset som gjennomføres to ganger pr. år. Avdeling for Sjukehuspsykiatri Sunnmøre Det kommer fram i intervju at det er stor variasjon i hvilken grad nyansatte deltar på organiserte kurs. Gjennomgående ble det opplyst at superbrukerne har en viktig rolle i opplæringen av nyansatte. I tillegg er mye basert på kollegaveiledning. 4.2.3 Kompetanseutvikling I intervju ble det opplyst at det ikke finnes plan eller opplegg for systematisk og målrettet kompetanseutvikling på EPJ-området. IKT-seksjonen har kurstilbud som ligger på kursportalen på intranettet. Man må selv gå inn og undersøke tilbudet til enhver tid og melde seg på. Noen ledere oppfordrer til dette. E-læringstilbudet på foretakets intranettside er kjent av mange, men ingen av de intervjuede hadde benyttet dette. En av årsakene til at det ikke ble benyttet opplyses å være mangel på tid. I følge opplysninger i intervju er mye av kompetanseutviklingen i de reviderte enhetene basert på kollegaveiledning. Revisjonen har vist at superbrukerordningen til en viss grad var etablert i de reviderte enhetene. Ved begge enhetene var denne ordningen best etablert for sykepleiergruppen, mens det var mer variabelt for de øvrige faggruppene. Det foreligger ingen beskrivelser av hva som ligger i superbrukerrollen. Det ble opplyst at oppgraderinger og endringer i EPJ vanligvis blir gjort kjent gjennom e-post til de ansatte. Det er opp til den enkelte å sette seg inn i informasjonen og sikre seg at de er oppdaterte på dette. Det ble påpekt under intervju at mange ikke leser denne informasjonen og går dermed glipp av viktig informasjon. Dette kan i sin tur medføre at ikke alle tar i bruk nye funksjoner og får dermed ikke utnyttet systemene makismalt. Det fremkommer under intervju at man ikke kjenner til om det stilles krav fra ledelsen om kompetanseutvikling. Det var heller ikke kjent om det ble ført noen oversikter over gjennomførte kurs og lignende.
12 Vurdering Internrevisjonens inntrykk er at opplæring av nytilsatte skjer til en viss grad, men at dette ikke er satt i system. Det fremstår derfor som usikkert om alle nytilsatte får opplæring i EPJsystemene, samt hvilket omfang og innhold opplæringen har. Etter det internrevisjonen kan se foreligger det ikke et system som skal dokumentere at opplæring for nytilsatte er gjennomført, verken ved de reviderte enhetene eller på foretaksnivå. Revisjonen har vist at det ikke er laget planer eller systematiske ordninger for hvordan personellet skal følges opp med kompetanseutvikling i EPJ-systemene. Kollegalæring er fremhevet som en gjennomgående og viktig læringsform. Etter internrevisjonens syn vil kollegalæring være et viktig supplement til kompetanseheving i virksomheten. Dette kan imidlertid etter vårt syn ikke erstatte behovet for en organisert og strukturert form for kompetanseutvikling. Internrevisjonen mener at konsekvensene av mangelfull opplæring/kompetanseutvikling kan medføre risiko for feil, dårlig utnyttelse, tungvint bruk og mindre effektiv bruk av EPJsystemene. 4.3 Ledelsen rolle på EPJ-området Flere av de intervjuede uttrykte usikkerhet om hvorvidt alle muligheter i EPJ-systemene utnyttes og mente at det burde gis mer systematisk opplæring i systemene for å sikre dette. Det ble påpekt at tilfeldig kollegalæring like gjerne kan føre til at man lærer hverandre uvaner. Det ble videre påpekt at det er et behov for avdelingsvise superbrukere som kan bidra til mer effektiv bruk av systemene, for eksempel veilede i rett bruk av rette typer dokumenter, måter man skal dokumentere på og oppfølging av signering og ferdigstilling av dokumenter. Det fremkom ingen informasjon om at det fra ledelsens side er gitt noen retningslinjer for bruk av eller opplæring i EPJ-systemene for bl.a. å sikre at alle relevante funksjoner i DocuLive tas i bruk. Talegjenkjenning (TGK) ble gjennomført som et prosjekt ved foretaket i 2009/2010 og ble formelt avsluttet i april 2010. Det er vedtatt at TGK skal benyttes, men det er gjort noen unntak for enkelte grupper leger. Videre opplyses det at oversikter fra 2012 viser at det er mange (over 50 %) som bruker systemet. De som ikke bruker det skriver enten selv eller bruker diktering og får sekretær til å skrive. Det kom under revisjonen ikke klart fram hvordan systemet Klinisk arbeidsflate er forankret i foretaksledelsen. Vurdering Styring av IKT er en del av det generelle ledelsesansvaret i en virksomhet, og ledelsen på alle nivåer i helseforetakene har et ansvar for å legge til rette for en effektiv utnyttelse og god bruk av EPJ for å sikre at dette blir et verktøy som understøtter kjerneoppgavene i helseforetaket. Tilstrekkelig opplæring er ett av de viktigste suksesskriteriene for god utnyttelse av EPJsystemene. En god utnyttelse av EPJ forutsetter at de tilgjengelige funksjonene i systemene blir tatt i bruk. Internrevisjonen mener at ledelsen i Helse Møre og Romsdal bør ha større oppmerksomhet rettet mot EPJ-området for å sikre at systemene utnyttes effektivt og at foretaket oppnår de gevinster som må forventes ved innføring og bruk av systemene.
13 4.4 Risikovurdering, håndtering av uønskede hendelser og forbedringsarbeid Internrevisjonen har mottatt prosedyre Risiko- og sårbarhetsanalyse og prosedyrer for melderutiner og avvikshåndtering. Prosedyren gjelder for hele foretaket på alle områder. Ingen av de intervjuede var kjent med om det ble gjennomført systematiske risikovurderinger på EPJ-området. Flere var kjent med at det ble gjort risikovurdering i andre sammenhenger, bl.a. i forbindelse med omorganiseringer. På spørsmål om de var kjent med noen risikoområder/hendelser knyttet til EPJ ble følgende eksempler nevnt: føring av journalopplysninger (notater og rekvisisjoner) på feil pasient. interne søknader på f. eks innleggelser blir ikke sendt på grunn av at adressat ikke blir lagt inn i adressefeltet. I slike tilfeller blir dokumentet liggende som et brev i EPJ og kan havne f. eks hos fastlegen i stedet for riktig avdeling. Det anslås at det er 10-15 slike hendelser i året. histologisvar ikke kvittert. Personell forlater pc uten å låse denne. Annet personell kan dermed begynne å skrive på en pc der en annen bruker er pålogget. Det ble opplyst at de reviderte enheter benytter avvikssystemet i EQS i varierende grad. Noen få opplyste at de brukte dette avvikssystemet og meldte inn avvik knyttet til bruken av EPJ. Flere av de som meldte avvik savnet en tilbakemelding på oppfølgingen av meldingen. Det er ikke utarbeidet skriftlige nødrutiner for situasjoner der EPJ-systemene er nede. Ved planlagt nedetid blir de informert. Ingen var kjent med om det er etablert nødrutiner ved uplanlagt nedetid.. Når det oppstår situasjoner der EPJ-systemene er nede, ringer man Hemit og gjør for øvrig det beste ut av situasjonen, for eksempel at man tar i bruk diktering, skriver på lapper som skrives inn i journalen senere, skriver i Word og overfører til DocuLive i ettertid o.l. Vurdering Etter internrevisjonens vurdering er EPJ-området forbundet med risiko der potensialet for at det kan skje feil og uønskede hendelser er relativt stort. Risikovurderinger og håndtering av risiko ved å iverksette risikoreduserende tiltak er viktig for å forebygge feil og uønskede hendelser. Registrering og håndtering av feil og uønskede hendelser når dette likevel skjer, er viktig i forbedringsarbeidet og i forebyggingen av nye hendelser. Revisjonen har vist at de reviderte enhetene ikke har tilstrekkelig oppmerksomhet rettet mot dette området. 4.5 Forhold knyttet til journalhåndteringen 4.5.1 Rutiner for oppfølging og signering av prøvesvar Internrevisjonen har mottatt følgende prosedyrer på området: Foretaksprosedyre: RoS bruksanvisning omhandler i all hovedsak rutiner for rekvirering av prøver, men har noen avsnitt som omhandler signering i RoS. Foretaksprosedyre Oppbevaring av signerte labsvar og røntgensvar hensikten med prosedyren er å sikre at manuelt signerte skjema blir oppbevart. Gjelder altså skjema der det ikke er elektroniske signeringsrutiner. I prosedyren fremgår det at bl.a. at avdelingen
14 har ansvar for at dokumentene er signert av lege før levering til arkiv. Dokumentene skal ikke makuleres, men oppbevares i henhold til arkivlov. Prosedyre Elektronisk signering i ROS, datert 28.01.2013. Prosedyren gjelder for Kirurgisk avdeling Ålesund. Hensikten med prosedyren er å beskrive hvordan leger på kirurgisk avdeling skal forholde seg til elektronisk signering av prøvesvar. Prosedyren viser til vedtak i Styringsgruppa for ROS som har bestemt at alle prøvesvar skal signeres elektronisk. Imidlertid omhandler prosedyren håndtering og signering av papirbaserte laboratoriesvar fram til at endringer er gjennomført i RoS slik at elektronisk signering kan gjennomføres. Ved begge de reviderte enhetene opplyses det fra flere av de intervjuede at man mente at de signerte prøvesvarene på papir blir arkivert en stund og deretter blir de makulert. I intervju ble det opplyst at man ikke visste hvem som hadde besluttet at man skulle fortsette signering på papir. Nesten ingen av de intervjuede var kjent med prosedyrene. Ved Kirurgisk avdeling Ålesund kom det fram i intervju at laboratoriesvar kommer i papir fra laboratoriet, samles i en pasientperm og signeres på previsitten. Dersom prøvesvarene kommer etter at pasienten er utskrevet, legges svarene i en kurv i avdelingene og legene går gjennom dem i ny og ne, signerer og sender dem til postsekretær. Videre opplyses det at for inneliggende pasienter blir prøvesvarene ikke alltid signert. Sykepleierne følger også med og sier fra til lege dersom prøvesvar viser unormale verdier. Det fremkommer også at sekretærene har instruks om at de ikke skal sende usignerte prøvesvar til arkiv. Man føler seg sikker på at alle prøvesvar blir signert til slutt, men er mer usikker på om dette blir gjort til riktig tidspunkt. Det uttrykkes usikkerhet om hvorfor RoS ikke brukes til elektronisk signering, muligens fordi det ikke er gitt formell opplæring i systemet. Det oppleves at signering på papir går fort, det gjøres samtidig med visitt og man ser på prøvesvarene mens man snakker med pasienten. Samtidig kom det fram at når man først går inn i RoS for å sjekke svarene kunne man likegodt signert, men vet ikke hvordan dette skal gjøres. Ved Avdeling for Sjukehuspsykiatri Sunnmøre ble det opplyst at blodprøvesvar på papir samles bunkevis, gjennomgås av legene på morgenmøte, signeres og makuleres deretter. I åpningsmøtet på revisjonsdagen ba internrevisjonen om å få en oversikt over usignerte prøvesvar. Foretaket har ikke klart å fremskaffe slik oversikt. Årsaken kan være at det ikke skjer signering elektronisk i RoS og at det ikke finnes noen oversikt over dette på annen måte. Vurdering Med bakgrunn i oversendt dokumentasjon og opplysninger i intervju fremstår det som uklart hvilke retningslinjer som gjelder for signering av prøvesvar. Ett eksempel på den uklare situasjonen er prosedyren fra kirurgisk avdeling der det fremgår at Styringsgruppa for RoS har bestemt at alle prøvesvar skal signeres elektronisk mens det samtidig gis retningslinjer for signering på papir. Et annet eksempel er hvorvidt signerte prøvesvar på papir skal makuleres eller ikke. I prosedyren fremgår det at prøvesvar ikke skal makuleres mens opplysninger i intervju viser en annen praksis. Etter vårt syn har revisjonen vist at helseforetaket ikke har intern styring og kontroll på dette området. Internrevisjonen mener at den uklare situasjonen som har fremkommet er forbundet med risiko for at det kan skje feil og uønskede hendelser. Det er derfor viktig at ledelsen tar
15 en gjennomgang med tanke på en klargjøring av hvilke retningslinjer som skal gjelde og sikrer implementering av disse. 4.5.2 Rutiner for ferdigstilling av dokumenter i DocuLive Det foreligger én prosedyre på området: Godkjenning av dokumentasjon i DocuLive. Prosedyren gjelder for hele foretaket. I henhold til prosedyren skal alle som skriver i DocuLive sjekke innboksen minst hver morgen og ettermiddag og dokumenter skal godkjennes fortløpende. I intervju fremkommer det at det er den enkeltes ansvar å ferdigstille dokumenter i DocuLive. Det sjekkes ikke regelmessig om det ligger uferdige dokumenter i DocuLive, verken når folk slutter eller som rutinemessig kontroll. Sekretærer og annet personell påtar seg ofte en uformell kvalitetssikrerolle på området uten at dette er en dedikert oppgave for disse. De fleste opplyser at de antar at det er nærmeste leder som har ansvar for å følge opp at de etablerte rutinene følges. I åpningsmøtet på revisjonsdagen ba internrevisjonen om å få en oversikt over uferdige dokumenter. Fra Avdeling for Sjukehuspsykiatri Sunnmøre er det mottatt en oversikt der det fremgår ca 450 uferdige dokumenter med status kladd og til godkjenning. Disse dokumentene skriver seg fra psykiatrisk poliklinikk, allmenn team og utgjør etter det som er opplyst bare 1/3 av poliklinikken. De fleste dokumentene er fra 2012 og 2013, men det finnes noen få som er fra 2008, 2009 og 2011. Fra Kirurgisk avdeling Ålesund er det mottatt en oversikt der det fremgår ca 180 uferdige dokumenter med status i hovedsak kladd og til godkjenning. Dokumentene skriver seg fra 2011, 2012 og 2013. Vurdering Med bakgrunn i intervju og oversikter over uferdige dokumenter i DocuLive mener internrevisjonen at foretaket ikke har tilstrekkelig intern styring og kontroll på området. Dokumenter som ikke er ferdigstilt i DocuLive skaper lett uryddige og uoversiktlige journaler og gjør at informasjonen blir vanskeligere tilgjengelig. Det kan videre skapes usikkerhet om f. eks brev og epikriser som ikke er ferdigstilt er sendt ut eller ikke. Internrevisjonen ser det som viktig at foretaket sikrer at ansvarlige ledere følger opp og kontrollerer at de etablerte retningslinjene følges. 4.5.3 Ulovlig innsyn i journal Internrevisjonen har mottatt følgende prosedyrer på området: Foretaksprosedyre: Brudd på Mistanke om brudd på taushetsplikt. Prosedyren skal sikre riktig saksgang ved brudd på eller mistanke om brudd på informasjonssikkerheten i henhold til lovgivningen. Foretaksprosedyre: Logganalyse DocuLive, kontroll og reaksjoner. Her fremgår det at loggkjøring skjer annenhver uke der det skal sjekkes minimum åtte brukere hver gang. Brukere med utvidete tilganger skal sjekkes den 1. og 15. hver måned. Følgende regnes som avvik: Innsyn i egen journal, innsyn i barns journal, innsyn i pårørendes/families/slekts journal og innsyn i andre journaler der en ikke har et behandlingsforhold. Det beskrives også sanksjoner ved avvik. Foretaksprosedyre: Logganalyse i DocuLive. Prosedyren omhandler dokumentering av logganalyser i DocuLive og viser en oversikt over logganalyser i 2010. Her er det
16 kontrollert ca 300 brukere i Volda og Ålesund. Det ble funnet 4 avvik og 18 merknader. Avvik blir betegnet som brudd på lov, mens merknad betegnes som brudd på interne retningslinjer, for eksempel innsyn i egen journal. I intervju fremkommer det at man er kjent med reglene om ulovlig innsyn i journal og at man er bevisste på at det skal være tjenstlig behov for å gå inn i journaler. Det ble opplyst at Fagdirektør nylig har sendt påminnelse på e-post til alle ansatte. Noen var kjent med at det ble kjørt loggsjekker, men ingen av de intervjuede kjente til om dette var gjort i egen avdeling. Det var få som hadde kjennskap til prosedyrene på området. Vurdering Med bakgrunn i opplysninger mottatt i revisjonen er det etter vår vurdering etablert et godt system i foretaket når det gjelder innsyn i journaler. Videre synes det som at personellet har høy bevissthet på at man ikke skal ha innsyn i journaler man ikke har tjenstlig behov for. 4.5.4 Journalansvarlig person Det foreligger en prosedyre Pasientansvarlig lege/journalansvarlig lege som gjelder for Kirurgisk avdeling Ålesund. Her fremgår det at journalansvarlig er en lege som skal ha koordineringsansvar for den enkelte pasientjournal. Det er normalt avdelingssjef eller seksjonsoverlegen ved den seksjonen pasienten er innlagt som har denne rollen. Det er videre skissert i prosedyren hvilken funksjon journalansvarlig skal ha. Det er ikke mottatt prosedyre eller funksjonsbeskrivelse for journalansvarlig person fra Avdeling for Sjukehuspsykiatri Sunnmøre eller fra foretaket. Generelt var funksjonen som journalansvarlig person lite kjent blant de intervjuede. Noen kjente til at det var avdelingssjef eller seksjonsoverlege som innehar denne funksjonen. Vurdering Det fremgår av helsepersonelloven 39, 2. ledd følgende: I helseinstitusjoner skal det utpekes en person som skal ha det overordnede ansvaret for den enkelte journal, og herunder ta stilling til hvilke opplysninger som skal stå i pasientjournalen. I forskrift om pasientjournal (journalforskriften) 6 fremgår bl.a. at I helseinstitusjon er det den journalansvarlige som skal sørge for at journal blir opprettet. Det skal fremgå av journalen hvem som er journalansvarlig. I følge kommentarer til journalforskriften 6 vil den journalansvarlige ha ansvaret for at journal opprettes og for at den føres og behandles i samsvar med lov- og forskriftsbestemte krav. Journalansvaret vil blant annet innebære et koordineringsansvar. Når flere personer skal gjøre nedtegnelser i samme journal, kan det være behov for strukturering og samordning av journalopplysningene. Nødvendige journalopplysninger må gjøres lett tilgjengelige for dem som skal anvende opplysningene som grunnlag for beslutninger om undersøkelser, diagnose, behandling og annen oppfølgning av pasienten. Den journalansvarlige kan på dette grunnlag beslutte at opplysninger skal tas ut på grunn av irrelevans eller dobbeltføring og redigere innholdet, men skal om mulig rådføre seg med den som har gjort nedtegnelsene. Journalansvaret innebærer også å ta stilling til krav om retting og sletting i journalen, ta stilling til spørsmål om innsyn i og utlevering av journal, samt å sørge for at journalen blir avsluttet på en forsvarlig måte. Etter internrevisjonens vurdering virker det som at rollen som journalansvarlig person ikke er tydelig nok definert i forhold til kravene i regelverket. Internrevisjonen mener at foretaket
17 med bakgrunn i regelverket bør tydeliggjøre hvilken funksjon journalansvarlig person skal ha og sikre at dette implementeres i hele foretaket. 4.5.5 Bruk av og erfaring med EPJ-systemene Kirurgisk avdeling Ålesund har utarbeidet Prosedyre ved journalopptak der det fremgår retningslinjer for hvilke opplysninger som skal stå i journalen ved journalopptak. I tillegg har avdelingen en prosedyre Kirurgisk epikrise som gir nærmere retningslinjer for bl.a. innhold i epikriser. Det opplyses at legene fører journal fortløpende, men skriver ikke notater hver dag. De skriver alltid ved mottak av pasienten, men etter det gjøres det notater bare ved endringer og når det er noe å skrive om, for eksempel komplikasjoner. Legene leser ofte sykepleiedokumentasjonen, særlig i forkant av visitten. Talegjenkjenning (TGK) ble gjennomført som et prosjekt ved foretaket i 2009/2010 og ble formelt avsluttet i april 2010. Det er vedtatt at TGK skal benyttes, men det er gjort noen unntak for enkelte grupper leger. Det er gjennomført opplæring for alle leger, inkl turnusleger, og det er gjennomført særskilt opplæring av fem EPJ-instruktører og sju superbrukere. Det er delte oppfatninger om TGK er et godt hjelpemiddel eller ikke. Det kom fram eksempel på at TGK fungerte som en rask og effektiv måte å dokumentere på etter at man har tatt seg tid til en nøyaktig og systematisk profilbygging. Andre uttrykte stor skepsis og har brukt mye tid på å få dette til uten å ha lykkes. Det ble opplyst at oversikter fra 2012 viser at det er mange (over 50 %) som bruker systemet. De som ikke bruker det skriver enten selv eller bruker diktering og får sekretær til å skrive. Avdeling for Sjukehuspsykiatri Sunnmøre har utarbeidet prosedyre Primærjournal Psykiatrisk poliklinikk Ålesund som har til hensikt å utvikle hensiktsmessige og gode rutiner for journalføring ved psykiatrisk poliklinikk. Prosedyren inneholder retningslinjer for hva journalen skal inneholde. Videre foreligger det to prosedyrer som omhandler epikrise: Krav til epikrise psykiatrisk poliklinikk Ålesund og Utsending av epikriser fra Voksenpsykiatrisk avdeling, mottaksseksjonen. Førstnevnte prosedyre omhandler krav til innhold i epikrisen, mens den andre har til hensikt å sikre 100 % utsendte epikriser innen 7 dager. De intervjuede er av den oppfatning at journaler føres fortløpende. Samtidig kom det fram at det noen ganger oppstod usikkerhet om hvilke opplysninger som skal nedfelles i journalen. Videre ble det opplyst at psykiatrisk klinikk ikke hadde tatt i bruk elektronisk behandling av henvisninger (vurderingsnotat i DocuLive) enda. Dette avventes til etter implementering av klinisk arbeidsflate og Puls. I dag er praksisen at henvisninger skannes inn, deretter påføres vurderingen fra behandler for så å skannes inn på nytt. Det er opplyst at Klinisk arbeidsflate (MyWay2Pas) nylig er etablert som prosjekt for Psykiatrisk klinikk. Opplæring av superbrukere er startet. Alle sekretærer og noen behandlere skal ha opplæring. Styringsgruppa har ifølge opplysningene bestemt at i denne omgang skal sykepleiere og miljøarbeidere benytte systemet og at leger og psykologer ikke skal bruke det. Det er gjort noen unntak i så måte for akuttposten. I intervju ble det påpekt at Klinisk arbeidsflate ble tilrettelagt for behandlerne slik at de skulle legge inn MBDS selv. I og med at leger og psykologer unntas fra bruken av dette systemet, blir det et papirsystem som innebærer at såkalte behandlerlapper skal skrives ut fra PAS,
18 fylles ut med de opplysninger som trengs (MBDS, koding etc) som skal leveres til ekspedisjon på slutten av dagen og deretter etterregistreres av sekretær. Ut fra det som ble opplyst er denne praksisen en tilbakegang til papir ettersom behandlerne tidligere førte dette selv i PAS. Videre opplyses det at MyWay2Pas har medført merarbeid for merkantilt personell på poliklinikk på grunn av at det må gjøres noen dobbeltregistreringer. Når det gjelder tilgjengelighet til informasjon og funksjonaliteten i EPJ-systemene kom det fram noe varierende opplysninger: Det oppleves som en stor mangel at det ikke kan henvises elektronisk mellom sykehusene i foretaket. Man kan eksempelvis ikke henvise elektronisk fra Volda sjukehus til Ålesund sjukehus ved en kreftdiagnose som stilles i Volda og som må opereres i Ålesund. Det kan ta en uke å få fram henvisningen i posten. Løsningen er da at de bruker telefon og legene i Ålesund går inn i journalen i Volda. Ved overflytting av pasienter mellom sykehus i foretaket lages en sykepleiesammenfatning som sendes med pasienten i papirversjon som antagelig skannes inn i DocuLive ved det sykehuset pasienten kommer til. Det savnes en mulighet til å kunne ha lesetilgang til journalen i stedet for å operere med papir For dårlig opplæring i MBDS alle sitter for seg selv og gjør det forskjellig. Papirkurver skannes inn i journalen, noe som medfører at dette dokumentet ikke kan søkes mot i ettertid. De intervjuede var i all hovedsak fornøyd med tilgjengeligheten til informasjonen i systemene. Vurdering Etter internrevisjonens syn har de reviderte enhetene etablert et tilfredsstillende skriftlig system for å sikre forskriftsmessig journalføring. Internrevisjonen har merket seg at talegjenkjenning ikke er tatt i bruk fullt ut i foretaket. Etter det vi har forstått, har ledelsen i foretaket besluttet at dette verktøyet skal benyttes i journalføringen. Vi stiller derfor spørsmål ved hvordan dette følges opp av foretaksledelsen. Videre mener internrevisjonen at opplysninger som fremkommer om innføring og bruk av klinisk arbeidsflate gir grunnlag for å stille spørsmål om hvordan dette arbeidet følges opp av foretaksledelsen. 5. Konklusjon og anbefalinger Konklusjon Basert på funnene i revisjonen konkluderer internrevisjonen med at helseforetaket/de reviderte enhetene har etablert en del systemer som skal sikre intern styring og kontroll med bruken og utnyttelsen av EPJ-systemene. Internrevisjonen konstaterer likevel at det på viktige områder ikke er tilstrekkelig intern styring og kontroll. Dette gjelder områdene opplæring/kompetanseutvikling, signering/oppfølging av prøvesvar og ferdigstilling av dokumenter. Internrevisjonen konstaterer videre at ledelsen i helseforetaket sin rolle på EPJ-området ikke har fremstått som tydelig når det gjelder å sikre god styring og kontroll med bruk og utnyttelse av EPJ-systemene.
19 Anbefalinger 1. Ledelsen i helseforetaket bør ha større oppmerksomhet rettet mot EPJ-området for å sikre god styring og kontroll med bruk og utnyttelse av EPJ-systemene, herunder sikre tilstrekkelig og systematisk opplæring i EPJ-systemene for nyansatte. etablere planer for systematisk og strukturert kompetanseutvikling i EPJsystemene. 2. Helseforetaket/de reviderte enhetene bør bruke det etablerte systemet for risikovurderinger og uønskede hendelser også for EPJ-området. 3. Helseforetaket bør gjennomgå systemet for signering og oppfølging av prøvesvar med tanke på klargjøring av hvilke retningslinjer som skal gjelde, samt sikre implementering av retningslinjene i hele organisasjonen. 4. Helseforetaket/de reviderte enhetene bør etablere et system for å sikre bedre styring og kontroll med ferdigstilling av dokumenter i DocuLive. 5. Helseforetaket bør med bakgrunn i regelverket tydeliggjøre hvilken funksjon journalansvarlig person skal ha og sikre at dette implementeres i hele foretaket.
20 6. Vedlegg Vedlegg 1 Utdyping av revisjonskriterier Spesialisthelsetjenesteloven 2-2: Tjenestene som ytes skal være forsvarlige Spesialisthelsetjenesten 3-2: Helseforetakene skal sørge for at journal- og informasjonssystemene ved institusjonen er forsvarlige. Spesialisthelsetjenesten 3-10: Virksomheter som yter helsetjenester som omfattes av denne loven, skal sørge for at ansatt helsepersonell gis slik opplæring, etterutdanning og videreutdanning som er påkrevet for at den enkelte skal kunne utføre sitt arbeid forsvarlig. Helseregisterloven 13: Bare den databehandlingsansvarlige, databehandlere og den som arbeider under den databehandlingsansvarliges eller databehandlers instruksjonsmyndighet, kan gis tilgang til helseopplysninger. Tilgang kan bare gis i den grad dette er nødvendig for vedkommendes arbeid og i samsvar med gjeldende bestemmelser om taushetsplikt. Tilgang til helseopplysninger i behandlingsrettet helseregister på tvers av virksomheter kan bare gis etter uttrykkelig samtykke fra den registrerte. Helseregisterloven 13a: Det er forbudt å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte helseopplysninger som behandles etter denne loven uten at det er begrunnet i helse- og omsorgstjenester til den enkelte, administrasjon av slike tjenester eller har særskilt hjemmel i lov eller forskrift. Helseregisterloven 15: Enhver som behandler helseopplysninger etter denne lov, har taushetsplikt etter forvaltningsloven 13 til 13e og helsepersonelloven. Taushetsplikten etter første ledd gjelder også pasientens fødested, fødselsdato, personnummer, pseudonym, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted. Helseregisterloven 16: Den databehandlingsansvarlige og databehandleren skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet, kvalitet og tilgjengelighet ved behandling av helseopplysninger. Helseregisterloven 17: databehandlingsansvarlige skal etablere og holde vedlike planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene i eller i medhold av denne loven, herunder sikre helseopplysningenes kvalitet. Den databehandlingsansvarlige skal dokumentere tiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den databehandlingsansvarlige og hos databehandleren. Dokumentasjonen skal også være tilgjengelig for tilsynsmyndighetene. Helsepersonelloven 21: Helsepersonell skal hindre at andre får adgang eller kjennskap til opplysninger om folks legems- eller sykdomsforhold eller andre personlige forhold som de får vite om i egenskap av å være helsepersonell. Helsepersonelloven 21a: Det er forbudt å lese, søke etter eller på annen måte tilegne seg, bruke eller besitte opplysninger som nevnt i 21 uten at det er begrunnet i helsehjelp til pasienten, administrasjon av slik hjelp eller har særskilt hjemmel i lov eller forskrift. ("snoking"). Helsepersonelloven 39: I helseinstitusjoner skal det utpekes en person som skal ha det overordnede ansvaret for den enkelte journal, og herunder ta stilling til hvilke opplysninger som skal stå i pasientjournalen. (Journalansvarlig person). Helsepersonelloven 40: Journalen skal føres i samsvar med god yrkesskikk og skal inneholde relevante og nødvendige opplysninger om pasienten og helsehjelpen, samt de opplysninger som er nødvendige for å oppfylle meldeplikt eller opplysningsplikt fastsatt i lov eller i medhold av lov. Journalen skal være lett å forstå for annet kvalifisert helsepersonell. Pasientjournalforskriften 6: I helseinstitusjoner skal det utpekes en person som skal ha det overordnede ansvaret for den enkelte journal, og herunder ta stilling til hvilke opplysninger som skal stå i pasientjournalen, jf. helsepersonelloven 39 andre ledd. I helseinstitusjon er det den journalansvarlige som skal sørge for at journal blir opprettet. Det skal fremgå av journalen hvem som er journalansvarlig. Den journalansvarlige kan ikke beslutte at opplysninger ikke skal stå i journalen dersom opplysningene er av betydning som dokumentasjon for uenighet mellom helsepersonell i faglige spørsmål vedrørende helsehjelpen som ytes pasienten.
21 Pasientjournalforskriften 7: Pasientjournalen skal fortrinnsvis skrives på norsk. Dansk og svensk kan benyttes i den utstrekning det er forsvarlig. I særlige tilfeller kan Statens helsetilsyn gi tillatelse til å benytte annet språk. Journalen skal føres fortløpende. Med fortløpende menes at nedtegnelser skal gjøres uten ugrunnet opphold etter at helsehjelpen er gitt. Nedtegnelsene skal dateres og signeres. Internkontrollforskriften 4: Internkontrollen skal tilpasses virksomhetens størrelse, egenart, aktiviteter og risikoforhold og ha det omfang som er nødvendig for å etterleve krav fastsatt i eller i medhold av sosial- og helselovgivningen. Interne styringsdokumenter: Se Vedlegg 2. Vedlegg 2 - Interne styringsdokumenter/dokumentasjon som er benyttet i revisjonen Felles overordnede styringsdokumenter for hele foretaket: Oversikt over organiseringen av IKT-området i HMR Prosedyre Tilgangsadministrasjon, henvendelser til HEMIT kundesenter Prosedyre Tilgangsrettigheter i DocuLive/EPJ Prosedyre Tilgang DocuLive Plan for innføring av TGK diverse dokumenter inkludert sluttrapport Prosedyre RoS bruksanvisning Dokument Oppbevaring av signerte labsvar og røntgensvar Prosedyre Godkjenning av dokumenter i DocuLive Prosedyre Avslutning av kurve og legemiddelinformasjon ved utskriving Prosedyre Brudd på/mistanke om brudd på taushetsplikt Prosedyre Logganalyse DocuLive, kontroller og reaksjoner Prosedyre Kompetanse og opplæringsportal (under utarbeiding ikke implementert). Prosedyre Avvik/systemsvikt melderutine Prosedyre Logganalyse i DocuLive Prosedyre Risiko og sårbarhetsanalyse Psykiatrisk klinikk: Organisasjonskart Prosedyre Krav til epikrise psykiatrisk poliklinikk Ålesund Prosedyre Primærjournal Psykiatrisk poliklinikk Ålesund Prosedyre Utsending av epikriser fra Voksenpsykiatrisk avdeling, mottaksseksjonen Prosedyre Innleggelser i Mottaksseksjonen fra Voksenpsykiatrisk poliklinikk i Ålesund og Volda Prosedyre Journaltilgang ved mottak av nye pasienter fra Søre-Sunnmøre og ved mottak eller behandling av pasienter i Ungdomspsykiatrisk avdeling Prosedyre Kvalitetsråd Voksenpsykiatrisk avdeling Kirurgisk klinikk: Organisasjonskart Prosedyre Elektronisk signering i RoS Prosedyre Kirurgisk epikrise Prosedyre Prosedyre ved journalopptak Prosedyre Pasientansvarlig lege/journalansvarlig lege