基于风险防控的医院信息系统内控初探*

杨 毅 王觅也 罗 凯 师庆科

(四川大学华西医院医疗信息化技术教育部工程研究中心 成都 610041)

1 引言

随着信息技术的飞速发展，信息化已成为现代医院管理的重要基础和技术手段，医疗业务开展、医院运营管理及决策对信息系统的依赖程度越来越高。在实际业务运行过程中细微的安全疏忽或系统功能故障都可能导致临床业务和医疗服务中断，这对信息系统的安全、稳定、畅通提出更高的要求，故进行信息系统风险防控尤为重要。为更好地发挥医院信息系统支撑保障作用，需提高认识，采取积极有力措施，在推进医院信息化建设的同时做好系统风险防控，不断提高医院管理水平，才能适应现代化医院科学管理的需要[1]。

2 医院信息系统风险防控的意义

2.1 保障业务顺利开展及医疗安全

患者预约挂号、看诊、缴费、检查、取药、获取报告及住院期间各种记录等就医流程均通过信息系统进行，医疗业务的顺利开展依赖于信息系统的稳定和畅通。在此基础上通过信息系统提供的完备功能及患者就诊信息支撑医疗活动，保证医疗安全。

2.2 提高信息化服务能力，打造智慧医院

在当前“互联网+”背景下，医疗行业为实现更好的发展及为患者提供更优质的服务，需融入更多的前沿信息技术，如人工智能、语音输入等，顺应智慧医疗模式，通过互联网、物联网等技术逐步推行智慧病房、智慧健康管理等平台，实现就医更便捷、患者更安全、服务更周到，提高医院信息化服务能力。

2.3 提升精细化管理能力及综合实力

医院信息系统涵盖医疗业务、财务管理、医务管理、管理决策支持、科研教学管理、物资与设备管理、人事管理等运营的各个方面，做好医院信息系统风险防控有助于提高临床诊治水平、整体工作效率及医院精细化管理水平，更好地为科学决策提供依据，促进医院管理目标的实现，增强综合实力。

2.4 保证信息化建设合法合规

通过建立健全相应管理制度、制定标准化管理流程、进行审计监督等内部控制方法，有利于保证医院信息化建设遵守国家和地方的法律、法规，贯彻执行国家政策方针[3]。

3 医院信息系统风险分析

3.1 系统规划

指各信息系统间缺乏统一规划、归口管理、有效整合，系统购置未审批或未进行可行性论证，存在重复建设，导致信息无法共享、数据分析不准确，影响管理决策。

3.2 系统开发

信息系统开发商选择不当或开发行为本身不当、信息系统硬件供应商选择不当，系统或硬件无法完全满足医院实际需要，导致医院运营效率低下或违反国家法律法规。

3.3 系统使用

权限设置与授权管理不当、用户不熟悉系统功能或业务流程、用户误操作等原因导致重大差错、舞弊、欺诈，给医院造成损失。

3.4 机房管理

机房环境、安全设施建设不合理或人员管理不当，导致设备异常、系统宕机、程序破坏、数据丢失甚至系统损坏。

3.5 网络管理

未对网络需求进行合理评估而实施，影响整体网络结构稳定性，导致业务中断。

3.6 系统资源

系统计算、存储资源不足，或冗余度不够，导致新业务开展不稳定、中断后恢复时间较长，新增业务无法及时开展。

3.7 信息安全

未采取有效安全措施防范系统病毒等恶意软件或攻击，可能导致系统无法持续稳定运行，影响业务活动；未对系统数据进行定期备份和维护管理，导致系统在遭遇故障、突发事件时可能丢失或毁坏；数据使用未经审批或越权审批、未按照规定的用途使用，可能会导致数据泄露，损害医院利益。

4 医院信息系统内部控制原则[2]

4.1 概述

公立医院性质为事业单位且本身具有公益性，内控原则应遵循《行政事业单位内部控制规范(试行)》(财会[2012]21号)要求。医院信息系统管理是医院管理的重要组成部分，因此需与医院层面内控原则保持一致。

4.2 全面性

内部控制应当贯穿单位信息系统的决策、执行和监督全过程，实现对信息系统的全面控制。

4.3 重要性

在全面控制的基础上，内部控制应当关注单位重要信息系统及其重大风险。

4.4 制衡性

内部控制应当在单位内部的部门管理、职责分工、业务流程等方面形成相互制约和相互监督。

4.5 适应性

内部控制应当符合国家有关规定和单位的实际情况，随着外部环境的变化、单位经济活动的调整和管理要求的提高，不断修订和完善。

5 医院信息系统内部控制活动(图1)

图1 医院信息系统内部控制活动

5.1 概述

根据医院内控原则进行风险评估和分析，建立健全相应管理制度、制定标准化业务流程，采取预防性和发现性控制措施相结合、手工和系统控制并行的方式开展业务，执行各项规章制度。实现以下控制目标：一是保证信息系统的开发、购买和使用符合国家及监管部门法律法规的有关要求；二是保障信息系统功能的有效性，满足医院业务开展需要；三是确保系统运行安全稳定，出现故障能及时恢复；四是加强医院信息数据使用管理、规范数据使用行为，保证数据服务高效、准确。

5.2 规划管理控制，进行顶层设计

成立以领导层为核心的医院信息化建设管理委员会及推进医院信息化建设的专职机构并明确相应工作机制及职责，对信息系统进行统一规划和归口管理。由专职管理机构定期调研全院信息系统需求，形成信息系统设备采购和项目建设年度计划与预算，对重大项目进行专项评估并制定可行性研究报告，按相应管理机制逐级对医院信息系统建设与应用顶层规划设计、年度计划与预算、重大信息系统建设项目进行审批。

5.3 系统开发管理控制

加强采购管理，信息系统或软件采购之前对产品进行市场调研并形成调研报告，拟定招标文件并逐级审批，由医院负责采购的专职机构按国家及上级主管部门相关法律法规组织招标，对第3方系统供应商的资质、技术水平、质量保证等方面进行综合考量，选择满足需求的供应商并签订相应合同。对系统功能定制开发进行标准化项目管理，结合专家判断、数据分析、数据收集、决策、人际关系与团队技能、分解、关键路径法、三点估算等项目管理工具进行项目范围、进度、质量、成本管理，防止项目范围蔓延或镀金，保持对项目范围、进度、成本基准的维护，同时注重单个项目的风险管理，保证项目在批准的预算内进行及项目质量。[4-5]

5.4 系统使用管理控制

加强授权审批控制，对系统用户的增加修改、访问科室或模块变更采取逐级审批、分口管理的原则，建立和完善授权审批制度。各级人员在授权范围内行使职权和承担责任[6]。建立多部门协作的清退机制，对临时人员授权时即设定结束日期，离院人员信息(如离职、退休、解聘、外出进修等)即时共享并从系统中清退。加强系统使用培训管理，系统及功能模块上线、新增操作人员前对相关使用人员进行培训并保证培训质量，为系统正确使用提供保障。

5.5 机房管理控制

机房设定专人专岗管理，对机房进出人员按规范流程进行授权，对机房内的操作全程监控并进行屏幕录像，定期抽查录像，确保操作与任务申请单保持一致。通过现场巡查和远程监控方式每日对机房的清洁及环境情况、机房内服务器和交换设备的运行状况进行巡查，记录巡查结果，发现隐患及时排除。

5.6 网络管理控制

对网络或系统需求进行合理性、资源可用性、安全性等方面的评估，形成实施方案，逐级审批同意后方可实施部署。建立系统及网络安全防御机制。

5.7 资源管理控制

提前进行资源需求规划，将计算、存储等资源纳入信息化建设长期规划及信息系统设备采购项目建设年度计划中统一规划。

5.8 安全管理控制

采取建局域网、安装防火墙、防病毒软件、访问控制等方式防范病毒或恶意软件及恶意攻击，保障系统持续稳定运行；建立系统数据定期备份和维护管理制度及流程，定期进行数据恢复试验，以确保备份数据安全可靠；明确数据的使用登记、逐级审批原则，签署信息数据安全使用承诺；明确数据的有限交互，限定在院内局域网下载数据，保证数据传输及使用安全；在辅助业务环节进行敏感数据脱敏或加密，必要时增加二次验证。

6 结语

医院内部控制的整个过程是不断完善、循环往复的，在信息化建设过程中需要对信息系统进行顶层设计，梳理业务流程、岗位职责及管理制度，补充完善管理薄弱环节，对不相容职责进行岗位分离，建立健全相应管理制度，组建规范及专业的信息化建设项目管理、质控管理团队，加强从业人员培养、能力提升、风险意识教育与培训，提高全员风险防控意识，分工合理、权责分明，开展内部控制工作并不断完善优化，发挥内部审计监督作用，定期对信息系统建设及运维各业务环节内控效果、控制文档等进行监督检查，在日常工作中对内部控制的建立与实施情况切实开展内部自查和评价，发现问题及时整改和纠偏，进一步为医院发展提供支撑保障。