Laatustandardit ja lakivaatimukset ohjaavat kehittämistyötä Kumppanuusfoorum 24-25.8.2017 Marika Miettinen Lead Quality Partner Healthcare, Welfare & Education marika.miettinen@tieto.com
Marika Miettinen Lead Quality Partner marika.miettinen@tieto.com Vastuualueena Public, Healthcare & Welfare Laatujärjestelmä Standardit ja sertifikaatit Lääkinnälliset laitteet, MDD/MDR Lakivaatimukset Auditointiprosessi Sisäiset auditoinnit Standardeihin liittyvät auditoinnit Lakivaatimuksiin liittyvät auditoinnit 2
Toimintaa ohjaavia tekijöitä Lainsäädäntö, viranomaismääräykset ja -ohjeet Direktiivit ja asetukset Standardit Seuraamme jatkuvasti muutoksia ja teemme viranomaisten kanssa yhteistyötä Useita muutoksia on tällä hetkellä käynnissä ja parin vuoden kuluessa tulossa 3
Lainsäädäntö ja viranomaismääräykset Paljon tuotteisiimme ja palveluihimme vaikuttavia lakeja, viranomaismääräyksiä ja -ohjeita, esim. 4
Asiakastietolaki ja THL-määräykset Lainsäädäntöön on tehty viime vuosina merkittäviä muutoksia sekä Sotepalvelujen tuottajille että järjestelmätoimittajille Tarkoituksena on varmistaa, että järjestelmissä on käyttötarkoituksen kannalta oikeat toiminnallisuudet, riittävät tietoturvaominaisuudet ja että ne pystyvät liittymään osaksi Kanta-palvelujen kautta tapahtuvaa tietojen vaihtoa Tietojärjestelmien olennaiset vaatimukset Vaatimuksena on, että organisaatioissa ja palveluntuottajilla on asianmukaiset tietoturvakäytännöt ja käyttöympäristössä huolehditaan asianmukaisesta tietoturvasta Omavalvonta 5
Tietojärjestelmien olennaiset vaatimukset Järjestelmien luokittelu A- ja B-luokkiin A: Kanta-palveluihin liittyvät järjestelmät, myös Kanta-välityspalvelut B: Muut asiakas- tai potilastietoja käsittelevät järjestelmät On myös järjestelmiä, joita ei tarvitse luokitella Luokiteltujen järjestelmien ilmoittaminen Valviralle A-luokan järjestelmien vaatimustenmukaisuustodistuksen edellytyksenä on sertifiointi: hyväksytty Kelan yhteistestaus ja ulkoinen tietoturva-auditointi B-luokan järjestelmien on täytettävä olennaiset vaatimukset 1.1.2017 käyttöönotettavien järjestelmien (tai olennaisia muutoksia sisältävien päivitysten) osalta. Käytännössä tarkoittaa yleisiä lainsäädännön vaatimuksia ja velvoitetta ilmoittaa järjestelmät ja niiden käyttötarkoitus Valviralle. Sekä luokissa A että B vaaditaan kirjallinen selvitys ja ilmoitus Valviralle 6
Tietojärjestelmien olennaiset vaatimukset Todentamiseen käytetään sertifiointiprosessia (järjestelmille ja teknisille Kantavälityspalveluille) Toiminnalliset vaatimukset THL:n määräys (2/2016) Sote-tietojärjestelmien olennaisista toiminnallisista vaatimuksista Valmistajan/tietojärjestelmäpalveluntuottajan oma selvitys määräyksen mukaisilla menettelyillä Yhteentoimivuusvaatimukset Todennetaan A-luokan järjestelmissä Kanta-yhteistestauksen kautta Tietoturva- ja tietosuojavaatimukset THL:n määräys (1/2015) A-luokkaan kuuluvien sosiaali- ja terveydenhuollon tietojärjestelmien olennaisista tietoturvavaatimuksista Todennetaan A-luokan järjestelmissä tietoturvallisuuden arviointilaitoksen suorittamalla tietoturvaauditoinnilla Hyväksytyn sertifioinnin tuloksena A-luokan järjestelmä saa vaatimustenmukaisuustodistuksen Tiedot sertifioiduista järjestelmistä on ilmoitettava Valviralle, joka ylläpitää vaatimusten mukaisten järjestelmien rekisteriä (löytyy verkosta) 7
Direktiivit ja asetukset Tärkeimpiä toimintaamme sääteleviä direktiivejä ja asetuksia MDD 93/42/EEC, 2007/43/EC (Medical Device Directive) EU:n lääkinnällisten laitteiden direktiivi MDR EU 2017/745 (Medical Device Regulation) EU:n lääkinnällisten laitteiden asetus, joka hyväksyttiin toukokuussa 2017. Siirtymäaika direktiivistä asetukseen on 3 vuotta. GDPR EU 2016/679 (General Data Protection Regulation) EU:n tietosuoja-asetus, joka hyväksyttiin EU:ssa toukokuussa 2016. Sitä sovelletaan 25.5.2018 alkaen. Direktiivit ja asetukset vaikuttavat myös EU-maiden lainsäädäntöön ja useita lakeja joudutaan päivittämään Healthcare, Welfare & Education yksikössä on käynnissä hankkeet MDR ja GDPR asetusten vaatimusten täyttämiseksi 8
Standardit ISO 9001 - kansainvälinen standardi, joka määrittelee vaatimukset laadunhallintajärjestelmälle ISO 13485 - kansainvälinen standardi, joka määrittelee vaatimukset lääkinnällisten laitteiden laadunhallintajärjestelmälle ISO 14971 - kansainvälinen standardi lääkinnällisten laitteiden riskien hallintaan Standardien käyttö ei ole pakollista, mutta monet organisaatiot käyttävät standardeja osoittaakseen kyvykkyytensä tuottaa tuotteita ja palveluita, jotka täyttävät asiakkaiden ja asetusten vaatimukset Akkreditoidut sertifiointilaitokset voivat myöntää sertifikaatteja 9
Standardit MDD/MDR vaatimukset on sisällytetty kansallisiin lakeihin. Määräykset täydentävät lakeja. CE-merkitty tuote = lääkinnällinen laite ISO 13485 Sertifikaatti Valmistajan laatujärjestelmä ISO 9001 Vaatimustenmukaisuustodistus Sertifiointi (A), tuotteen rekisteröinti (A, B) MDR ja Suomen laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä asettavat vaatimuksen valmistajan laatujärjestelmälle. Laatujärjestelmän tarkoituksena on varmistaa, että valmistaja pystyy täyttämään valmistamaansa tuotteeseen liittyvät vaatimukset koko tuotteen elinkaaren ajan normaali- ja ongelmatilanteissa. Medical Device Directive/Regulation (MDD/MDR) General Data Protection Regulation (GDPR) Direktiivit ja asetukset Laki lääkinnällisistä laitteista: Suomi, Ruotsi, Norja, Islanti Viranomaismääräykset: Valvira, Läkemedelsverket, Helsedirektoratet Lait ja viranomaismääräykset Laki sosiaali- ja terveydenhuollon asiakastietojen sähköisestä käsittelystä On suositeltavaa rakentaa laatujärjestelmä kansainvälisesti tunnettujen standardien pohjalta. CE-merkatuille tuotteille se on ISO 13485. Tämä standardi auttaa varmistamaan, että laatujärjestelmä täyttää MDD vaatimukset. Laatujärjestelmän sertifiointi on suositeltavaa, koska se todistaa, että valmistaja täyttää standardin vaatimukset ja esim. ISO 13485 tapauksessa myös MDD vaatimukset. 10
Laatujärjestelmä 11 Tiedon laatujärjestelmä (TietoWay) pohjautuu toimialakohtaisiin standardeihin ja maailmanlaajuisesti parhaiksi havaittuihin käytäntöihin Laatujärjestelmä sisältää toimintamme prosessikuvaukset, menetelmät ja ohjeet sekä menetelmät asiakaspalautteen hallintaan ja laadunvalvontaan Kaiken tämän tavoitteena on toimintamme jatkuva parantaminen sekä korkean laadun saavuttaminen Healthcare, Welfare & Education yksiköllä on tämän lisäksi omia tarkentavia ohjeistuksia, joissa on erityisesti huomioitu oman toimialan vaatimukset Laatujärjestelmä sisältää liiketoimintaprosessit tuotteiden kehittämiseen, tukemiseen, myyntiin ja projektitoimituksiin sekä tämän lisäksi useita tukiprosesseja
Laatujärjestelmä - HWE Healthcare, Welfare & Education yksiköllä on lisäksi kuvattuna ISO 13485 standardin vaatimia prosesseja, joita käytetään varmistamaan standardin vaatimusten mukaisuus, esim. Lääkinnällisen laitteen kehitys ja rekisteröinti Major incident management, tarkempi ohjeistus Vaaratilanneraportointi Tuotteen riskienhallinta Korjaavat ja ehkäisevät toimenpiteet Poikkeavan tuotteen hallinta Ostotoiminta Julkaisujen hallinta ja hyväksyntä 12
Sertifikaatit Tieto Healthcare, Welfare and Education yksiköllä on ISO 9001:2008 ja ISO13485:2016 sertifikaatit. Sertifikaatit kattavat terveydenhuollon tietojärjestelmien suunnittelun, valmistuksen, myynnin, toimituksen ja asiakastuen Suomessa, Ruotsissa ja Intiassa julkisille ja yksityisille terveydenhuollon toimijoille Pohjoismaissa. Tänä vuonna on tarkoitus päivittää ISO 9001 sertifikaatti 9001:2015 versioon Sertifikaatteja aiotaan laajentaa soveltuvin osin kattamaan myös Welfare:n ja Education:n toiminnot lähitulevaisuudessa 13
CE-merkatut tuotteet Healthcare, Welfare & Education yksiköllä on yhteensä 40 CE-merkattua tuotetta; Suomessa 26, Ruotsissa 13 ja Norjassa 1 Suomessa HWE:lla ei ole tällä hetkellä yhtään sosiaalitoimen tuotetta vielä CE-merkattu, mutta esim. kotihoidon tuotteille tämä voi olla tarpeen myöhemmin MDR tuo muutoksia tuotteiden luokitteluun ja siirtymäajan puitteissa kaikkien tuotteidemme luokat tullaan arvioimaan uudestaan. Tällä hetkellä kaikki tuotteemme ovat 1-luokan tuotteita, joka on luokituksista kevyin. Uudistaessamme tuoteportfoliota määrittelemme samalla tuotteen käyttötarkoituksen ja sen perusteella CE-merkinnän tarpeen ja luokituksen 14
Vaatimusten huomioiminen kehitystyössä Kaikki alkaa tuoteportfolion suunnittelusta Tuotteille määritellään käyttötarkoitus ja pääpiirteissään tuotteen sisältö Selvitämme laki- ja asetusvaatimukset, jotka tuotteita tulee koskemaan Tuotteen kehityksen aikana Käytämme laatujärjestelmässämme kuvattuja prosesseja, menetelmiä ja työohjeita. Tämä varmistaa sen, että kaikki laatuvaatimukset tulee kehittämisessä huomioitua. Laki- ja asetusvaatimukset osa tuotekehitystiimien tehtävälistaa Tuotteen julkaisun yhteydessä hoidamme tarvittavan viranomaisraportoinnin, esim. ilmoitukset Valviralle Ennen julkaisun hyväksyntää varmistamme, että tuote täyttää laatuvaatimukset prosessiemme vaatimusten mukaisesti Tuotteen ylläpidon aikana Seuraamme aktiivisesti laki-, asetus- ja standardimuutoksia ja toteutamme tarvittavat muutokset tuotteisiimme Vakavissa ongelmatilanteissa käynnistämme MIM-prosessin ja pyrimme hoitamaan ongelman nopeasti ja kontrolloidusti Teemme tarvittavan viranomaisraportoinnin, esim. vaaratilanneraportointi sekä tietojen päivitykset viranomaisten rekistereihin 15
Laadunvarmistus Tuotosten laatu varmistetaan erilaisin katselmoinnein, testauksin ja validoinnein Asiakastietolain mukaisesti A-luokan tuotteiksi luokitelluille tuotteille tehdään Kelan kanssa yhteistyössä yhteistestaus ja tietoturvallisuuden arviointilaitoksen kanssa tietoturva-auditointi Käytämme kehitystyössämme Lean- ja Agile-menetelmiä Standardien, lakien ja asetusten vaatimukset on sisällytetty osaksi toimintaprosessejamme käytännönläheisellä tavalla, esim. työkaluja käyttämällä Sisäisissä auditoinneissa tarkastelemme, kuinka hyvin toiminnassamme sovelletaan laatujärjestelmässä kuvattuja prosesseja, menetelmiä ja ohjeita. Samalla arvioimme myös prosessien kehitystarvetta. Käyttämämme ISO-standardit edellyttävät sisäisiä auditointeja ISO-sertifikaatit edellyttävät vuosittaisen seuranta-auditoinnin, jonka sertifikaatin myöntänyt taho tekee Eri tasoiset asiakastyytyväisyyskyselyt ovat myös tärkeä lähde varmistamaan, että asiakkaille tuottamamme laatu on lupaustemme mukaista 16
Jatkuva parantaminen Standardit korostavat riskienhallintaa ja jatkuvaa parantamista eri tasoilla Riskienhallintaprosessimme kattaa eri tyyppiset riskit; toimitilat, henkilöt, materiaalin, datan, projektit, tuotteet, tietoturvan jne. Hallitsemme riskejä eri tasoilla; johtaminen, projektit, tuotteet Parannuskohteita havaitsemme monien eri toimintojen kautta: sisäiset toimintaprosessimme, asiakkaiden ja yhteistyökumppaneiden palaute, ulkoiset auditoinnit, viranomaisyhteistyö jne. Tavoitteena on laatustandardien, laki- ja asetusvaatimusten täyttävä tuoteportfolio ja palvelut sekä tyytyväiset asiakkaat 17