Auditointi. Teemupekka Virtanen

Transkriptio

1 Auditointi Teemupekka Virtanen

2 Lähtökohta Kaikki KANTAan liittyneet organisaatiot jakavat saman tietomassan Keskinäinen luottamus Yhteiset toimintaperiaatteet Yhteinen turvataso Minä uskallan antaa potilaitteni tiedot KANTAan, koska tiedän, että muut pitävät niistä yhtä hyvää huolta kuin minä itsekin Auditointi/sertifiointi on keino varmistaa yhteinen taso Jakautuu useisiin vaiheisiin Järjestelmän tekninen yhteensopivuus (järjestelmätoimittaja) Järjestelmän auditointi (järjestelmätoimittaja) Organisaation auditointi (organisaatiot) Teemupekka Virtanen

3 Auditoinnin vaiheet - Järjestelmä Toiminnallisten vaatimusten täyttäminen Kaikki käyttötapaukset on toteutettu Järjestelmätoimittajan vakuutus Järjestelmän tekninen yhteensopivuus Rajapinnat, formaatit ja tietoliikenne on yhteensopivaa Järjestelmätoimittaja hankkii järjestelmälleen Kelan yhteistestaus Järjestelmän auditointi Järjestelmän turvaominaisuudet Järjestelmätoimittaja hankkii järjestelmälleen Sertifiointi vahvistetaan ensimmäisen käyttöönoton jälkeen KPMG auditoi, STM vahvistaa Teemupekka Virtanen

4 KANTA-organisaatioauditointi Varmistetaan, että kukin liittyvä organisaatio täyttää kriteerit Tehdään itsearviona Liittyessään palveluun organisaatio vakuuttaa täyttävänsä kriteerit nyt ja jatkossa Organisaation kriteereitä hiotaan vielä Perustuvat alkuperäisiin STAKES-kriteereihin, mutta niitä selvennetään ja yksinkertaistetaan Luettelon täytyy olla niin selkeä, että se ymmärretään kaikissa organisaatioissa Kriteereiden pilotointi ensimmäisillä liittyjillä (Turku) Teemupekka Virtanen

5 Auditoinnin vaiheet - Palveluntarjoaja Palveluntarjoaja on terveydenhuollon ulkopuolinen taho, joka palveluita terveydenhuollon organisaatiolle Alihankkija Auditointi perustuu palveluntarjoajan asemaan alihankkijana Kaikki alihankkijat on auditoitava Oman organisaation ulkopuoliset tahot Tahot, joilla on mahdollisuus nähdä potilastietoja KPMG auditoi, STM hyväksyy Palveluntarjoaja tilaa ja maksaa rekisteröinnin Teemupekka Virtanen

6 Auditointi käytännössä organisaatiossa Organisaatio käyttää auditoitua tietojärjestelmää Organisaatioon on päivitetty hyväksytty versio Organisaatiossa on tietoturva/-suojapolitiikka Järjestelmään on määritelty käyttöoikeudet Roolipohjainen käyttäjähallinta Henkilökohtaiset tunnukset Turvallisuus on otettu huomioon sopimuksissa Tietoliikenneyhteydet, järjestelmän ylläpito Organisaatio vakuuttaa, että vaatimukset täytetään Sanktiot Teemupekka Virtanen

7 STM / Itseauditointikriteerit liittyville apteekeille, FINAL # Kriteeri / kontrollitavoite Vaatimus/Kontrolli Vaatimustenmukaisuuden todentaminen / auditointi Kommentit 1 Sisäinen päätös liittymiselle Organisaation sisäinen hallinnollinen päätös liittymisestä ereseptiin ja KanTa-palvelujen käyttäjäksi on tehty. 2 Auditoitu järjestelmä Organisaatiossa on käytössä auditoitu ereseptikyvykäs järjestelmä, joka on parametroitu ereseptivaatimusten mukaisesti 3 Tietoturvapolitiikka Organisaatiolla on tietoturvapolitiikka laadittuna ja se on otettu käyttöön 4 Nimetty tietosuojavastaava 5 Ohjeet potilastietojen käsittelystä Organisaatiolle on nimetty tietosuojavastaava ja hänen toimenkuvansa on määritelty Organisaatio on laatinut kirjalliset ohjeet potilastietojen käsittelystä henkilökunnalle ja huolehtinut henkilökunnan kouluttamisesta ja osaamisesta potilastietojen käsittelyssä 6 Henkilökunnan koulutus Organisaatio on kouluttanut henkilökunnan uuden toimintamallin käyttöönottoon Tarkastetaan, että organisaatio on tehnyt sisäisen hallinnollisen päätöksen liittyä Reseptikeskukseen / KanTa-palvelun käyttäjäksi Tarkastetaan, että organisaatiolla on käytössään järjestelmä joka on läpäissyt tietoturvaauditoinnin. Tarkastetaan, että organisaatio on voimassaoleva ja ajantasainen tietoturvapolitiikka. Politiikasta tulee mm. ilmetä miten sitä tarkastetaan, kehitetään ja miten tietoturva on vastuutettu ja organisoitu organisaation tavoitteiden saavuttamiseksi. Tarkastetaan, että organisaatiolle nimetty tietosuojavastaava ja hänen toimenkuvansa on määritelty Tarkastetaan, että organisaatio on laatinut kirjalliset ohjeet potilastietojen käsittelystä henkilökunnalle ja huolehtinut henkilökunnan kouluttamisesta ja osaamisesta potilastietojen käsittelyssä Tarkastetaan, että organisaatio on kouluttanut henkilökunnan uuden toimintamallin käyttöönottoon - esim. reseptin uusimismenettely, suostumusmenettelyt, ylipäänsä uudet prosessit ovat hallussa Teemupekka Virtanen

8 Teemupekka Virtanen

9 Tilanne tänään Kriteerit valmiita ensimmäisiä käyttöönottoja varten Kriteereitä kehitetty edelleen kommenttien perusteella Jaettu osiin (thj organisaatio, apteekki, ) Julkaistaan KanTa.fi-sivustolla pian Kriteerit testataan ensimmäisissä käyttöönotoissa Turun terveystoimi, Pegasos, Linnea, reseptikeskus, YA Päivitetään kesällä Apteekkien osalta yhteistyössä Apteekkariliiton kanssa Teemupekka Virtanen

10 Seuraava vaihe Yhteistestauksesta pysyvä toiminta Kela organisoi Uudelleenauditointi järjestelmille Mahdollisuuksien mukaan kehityspolun mukaisesti eresepti KanTa 1 KanTa 2 Uusien versioiden myötä (ei korjauspäivitys) Toimittaja tilaa ja maksaa Uudelleenauditointi organisaatioille Sitoumus voimassa pysyvästi Teemupekka Virtanen

11 KANTA-auditointi - joskus Toteutetaan samalla tavalla lääkinnällisten laitteiden sertifioinnin kanssa Julkinen viranomainen auktorisoi sertifioijan Viranomaiseksi esitetään samaa tahoa kuin lääkinnällisillä laitteilla Lääkintälaitedirektiivi Luokka 1 Sertifiointi perustuu laatujärjestelmään Ei tarkasteta tietyn hetken tilannetta vaan prosessia Valmistajien lisäksi myös käyttäjillä on oltava laatujärjestelmä Läheltä piti tilanteiden raportointi Teemupekka Virtanen

12 KÄYTTÄJÄ Hankinta Elinkaari Resurssienhallinta Onko organisaatioilla eväät käytölle 'Kevyt QS' 'Ongelmatilanne' Sovitettu ei MMD Sw:lle sopivaksi Terveydenhuollon tietojärjestelmät TOIMITTAJA Suunnittelu Yhteensopivuus Suorituskyky Dokumentointi 'CAPA' Sovitettu ei MMD valmistajalle sopivaksi Toimenpiteet Kolmas osapuoli arvioi Mukailee lakia 1505 'Viranomainen' Valtuutus Pelisäännöt STM Kolmas osapuoli sertifioi Teemupekka Virtanen