Landstingsstyrelsens förvaltning LS1203-0482 SLL Juridik och Upphandling SLL1642 Upphandlingsavdelningen Bilaga 1 Kravspecifikation avseende upphandling av IT-tjänster för Nationella kvalitetsregister inom SLL SLL1642 Bilagor: Preciserade it-krav, Bilaga 1.1
Kravspecifikation Bilaga 1 Sida 1 av 11 Innehållsförteckning 1 INLEDNING... 2 2 OMFATTNING... 2 2.1 STAND-ALONE (FRISTÅENDE) SYSTEM 1... 2 2.2 STAND-ALONE (FRISTÅENDE) SYSTEM 2... 2 2.3 STAND-ALONE (FRISTÅENDE) SYSTEM 3... 3 2.4 KOPPLAT (EJ FRISTÅENDE) SYSTEM 1... 3 2.5 KOPPLAT (EJ FRISTÅENDE) SYSTEM 2... 3 2.6 DRIFT 1... 3 2.7 DRIFT 2... 3 2.8 DRIFT 3... 3 2.9 DRIFT 4... 4 3 LAGAR, FÖRORDNINGAR OCH POLICY... 4 4 KVALITETSREGISTER-ERFARENHET... 4 5 FUNKTIONELLA KRAV... 4 5.1 ANVÄNDARE... 4 5.2 ANVÄNDARVÄNLIGHET... 5 5.3 SYSTEMET - ALLMÄNT... 5 5.4 SYSTEMET- FUNKTIONELLT... 6 5.4.1 Import... 6 5.4.2 Export... 6 5.5 SYSTEMET- DATALAGRING... 6 5.6 SYSTEMETS TILLGÄNGLIGHET... 7 5.7 DRIFT... 7 6 ICKE-FUNKTIONELLA KRAV... 7 7 TEST... 7 7.1 DOKUMENTATION OCH PROTOKOLL... 7 7.1.1 Anvisningar inför testning... 7 8 SUPPORT... 8 8.1 FELKLASSIFICERING, -SÖKNING OCH RÄTTNING... 9 9 FÖRVALTNING... 9 10 KRAV PÅ DOKUMENTATION OCH HJÄLPFUNKTIONER... 10 10.1 GENERELLA KRAV... 10 10.2 HJÄLPFUNKTIONER... 10 10.3 DOKUMENTATION... 11 11 UTBILDNING... 11 11.1 UTBILDNINGSMILJÖER... 11
Kravspecifikation Bilaga 1 Sida 2 av 11 1 Inledning SLL ansvarar för och bedriver hälso- och sjukvård, tandvård, omsorg, kollektivtrafik, kultur och utbildning inom Stockholms län. QRC Stockholm, som är en del av SLL, ansvarar för utveckling och support av tjänster till kvalitetsregister såväl nationella som regionala. Kvalitetsregister används för att löpande utvärdera och förbättra kvaliteten i vården. De startas av vårdprofessionella för att följa en patientgrupp över tid, göra jämförelser mellan enheter, utvärdera olika behandlingsmetoder och sprida ny kunskap. Kvalitetsregister innehåller information om patientens diagnos, behandlingar och hälsoresultat. Registren gör det möjligt att se vilka resultat som åstadkoms i sjukvården. Med informationen går det att analysera och se vilka resultat som åstadkoms i sjukvården för olika patientgrupper. Kliniker och sjukvårdspersonal kan följa patienternas resultat och arbeta med att förbättra kvaliteten i vården. Jämförelse av kvalitet kan ske både inom och mellan verksamheter. Kvalitetsregister möjliggör för patienter att påverka vårdens utformning baserat på sina upplevelser och erfarenheter. Eftersom registren ska inkludera alla patienter med en viss sjukdom kan vi utvärdera hur olika behandlingar fungerar i vardaglig användning, inte bara på de patienter som inkluderas i en klinisk prövning. För att kunna stödja kvalitetsregister avseende it vill QRC Stockholm genom detta avtal skapa en enkel process för att upphandla IT-tjänster. Avseende beteckningen kvalitetsregister, se SKL.se (http://www.kvalitetsregister.se/). Detta dokument och andra dokument som hänvisas till i detta dokument är Kravspecifikationen. 2 Omfattning Tjänsteområdena är uppdelade enligt de olika behov som kvalitetsregistren har. Varje tjänsteområde ska ha en tydlig avgränsning. Tjänsteområdena är: 2.1 Stand-alone (fristående) system 1 Applikation med manuell inmatning Webbinmatning Databas Intern användarkatalog Login namn och lösenord 2.2 Stand-alone (fristående) system 2 Applikation med manuell inmatning Webbinmatning Databas
Kravspecifikation Bilaga 1 Sida 3 av 11 Intern användarkatalog elegitimations-inloggning (2-faktors autentisering) 2.3 Stand-alone (fristående) system 3 Applikation med manuell inmatning Webbinmatning Databas Federerad användarkatalog elegitimations-inloggning (2-faktors autentisering) Nyttjande av det nationella säkerhetskonceptet IdP, SP och SAML 2.4 Kopplat (ej fristående) system 1 Applikation med manuell inmatning Webbinmatning Databas Federerad användarkatalog elegitimations-inloggning (2-faktors autentisering) Nyttjande av det nationella säkerhetskonceptet IdP, SP och SAML Integration via Nationell och/eller Regional Tjänsteplattform Multipla modultjänster integrerade med kvalitetsregisterapplikationen i systemet Olika behörighetsstyrd funktionalitet på central och lokal personuppgiftsansvarsnivå i systemets moduler 2.5 Kopplat (ej fristående) system 2 Databas 2.6 Drift 1 2.7 Drift 2 2.8 Drift 3 Federerad användarkatalog elegitimations-inloggning (2-faktors autentisering) Nyttjande av det nationella säkerhetskonceptet IdP, SP och SAML Integration via Nationell och/eller Regional Tjänsteplattform Drift av applikation och databas Ingen integration Drift av applikation och databas Nyttjande av det nationella säkerhetskonceptet IdP, SP och SAML Drift av applikation och databas Integration med Nationell och/eller Regional Tjänsteplattform
Kravspecifikation Bilaga 1 Sida 4 av 11 2.9 Drift 4 Drift av applikation och databas Integration med Nationell och/eller Regional Tjänsteplattform Nyttjande av det nationella säkerhetskonceptet IdP, SP och SAML 3 Lagar, förordningar och policy Leverantören ska i anbudssvaret leverera dokumentation som visar att man följer de tekniska, organisatoriska och juridiska krav enligt QRC juridiska handbok (http://qrcstockholm.se/images/dokument/hbok.pdf). För personuppgiftshantering gäller: - hälso- och sjukvårdssekretess - offentlighet - informationssäkerhet t.ex. krav enligt Tryckfrihetsförordningen, Offentlighets- och sekretesslagen, Patientsäkerhetslagen, Patientdatalagen, arkivlagen samt Socialstyrelsens föreskrifter och Datainspektion och andra tillämpliga författningar. 4 Kvalitetsregister-erfarenhet Leverantören ska i anbudssvaret leverera dokumentation som visar att man har dokumenterad kompetens och erfarenhet av att utveckla, användaranpassa och ge support avseende nationella kvalitetsregister eller liknande, inom de tjänsteområde(n) anbud lämnas. 5 Funktionella krav Funktionella krav är de krav som är unikt kopplade till det aktuella kvalitetsregistret och som specificerar vad som behövs för att tillfredsställa de behov som enskilt register ställer på innehåll och funktionalitet. 5.1 Användare Systemet har fyra principiella användargrupper inom respektive verksamhet: registerförvaltare användare av systemet, som disponerar data specificerade i avtal med anslutna enheter (tillgång till data i enlighet med avtal, t.ex. forskare) användare vid de enheter som äger data; patienter, vårdgivare, verksamhetsledning (tillgång till egna data). Användare kan också vara enskilda patienter utanför ovan angiven enhet. Därutöver kan det komma att finnas andra intressenter som anhöriga, allmänheten, andra medicinska verksamheter, myndigheter, samverkande företag m.fl.
Kravspecifikation Bilaga 1 Sida 5 av 11 5.2 Användarvänlighet Svarstider bör ej överstiga 3 (tre) sekunder vid presentation av information på existerande sida. Namnet på inloggad person ska automatiskt visas i systemet efter inloggning. 5.3 Systemet - Allmänt Systemet ska vara flexibelt och kunna anpassas, på uppdrag av Beställaren, till nya leverantörer, interna organisationsförändringar och rutinförändringar. Systemet ska ha en modern arkitektur, så att nya kanaler i form av smartphones, ipads etc. ska kunna läggas in enligt nationella riktlinjer - utan omfattande förändringar. Systemet ska ge lokala användare behörighet enbart till den egna enhetens patienter i enlighet med PDL. Vilket innebär att för identifierad information får man bara ta del av information från den egna enheten, men för oidentifierad data ska alla kunna se allt aggregerad data. Användarrollen registerhållare och registeradministratör ska ha tillgång till all data i systemet utan att ha rätten att modifiera systemet. Ett användarregister ska finnas i denna tjänst för hantering av behörigheter och roller kopplat till inloggningsinformation. Systemet ska ha rollbaserad behörighetsstyrning baserat på information från Beställaren. Olika typer av användare ska alltså tilldelas olika behörigheter. Systemet ska omfatta kontroll av och utdelande av behörighet till olika tjänster i systemet, för olika användarkategorier (patienter, vårdgivare, verksamhetschefer etc.). Dessa ska kunna kopplas till olika läs- skriv- och admin-rättigheter. Leverantören ska dokumentera den behörighetsmodell som systemet använder sig av, för att tilldela personal behörighet/roller. Beställaren ska ges möjlighet att ta del av behörighetsmodellen. Det ska vara möjligt att i systemet ta fram en lista över användare och deras behörigheter och roller. Det ska vara möjligt att tidsbegränsa behörigheter till systemet. Automatisk utloggning ska hanteras efter en konfigurerbar tids inaktivitet. Det ska gå att delegera rättighetsadministrationen. Import från andra register ska kunna göras. Loggning ska ske. Loggning av vissa systemhändelser ska kunna göras i samarbete med beställaren.
Kravspecifikation Bilaga 1 Sida 6 av 11 5.4 Systemet- Funktionellt Export ska kunna ske i olika format för vidare analys med statistikprogram. Detta ska inte kräva kunnande i SQL eller annat sökspråk. Individdata ska kunna hanteras via löpnummer och inte via personnummer enligt Datainspektionens anvisningar. Leverantören ska ha kunskap om hur man bygger statistisk uppföljning och kunna diskutera och ge råd om detta till vårdpersonal, administratörer och forskare på registersidan. Systemet ska kunna redovisa data om antal inkluderade patienter och besök per län samt antal användare och deras registreringsaktivitet. All information/data ägs av systemets CPUA och leverantören ska kunna skriftligt garantera att all data utplånas från servrar och backuper enligt gemensam överenskommen plan. Systemet ska ha öppet gränssnitt så att BI (Business Intelligence/Beslutsstöd) kan hanteras inuti efterfrågat system, men av annat system, utan att informationen behöver exporteras. 5.4.1 Import Information ska kunna importeras. 5.4.2 Export Data ska kunna exporteras 5.5 Systemet- Datalagring Systemet bör exekveras i en miljö som gör det lätt och snabbt för beställaren att byta datalagringsmiljö. Det ska inte finnas några principiella begränsningar vad gäller lagringskapacitet och expandering av lagringskapacitet. Systemets databas ska hanteras via särskild behörighet, skild från enskild användare. Leverantören ska tillsammans med registerförvaltare komma överens om hur man ska gå tillväga för att säkerställa att backuprutinerna fungerar och upprätthålls. Leverantören ska göra backup av data regelbundet regelbundenheten bestäms tillsammans med registerförvaltare. Minst en backup ska förvaras på annan plats än originaldatabasen så att den inte kan förstöras av brand, inbrott, översvämning eller dylikt. Backupsystemet får ej störa tillgängligheten, dvs. backuptagningen ska ske i bakgrunden.
Kravspecifikation Bilaga 1 Sida 7 av 11 Leverantören ska tillsammans med registerförvaltare komma överens om hur ofta tagna backuper ska testas. 5.6 Systemets tillgänglighet Systemet ska vara 100 % tillgängligt enligt avtalad SLA. 5.7 Drift Leverantören ska ha registerplattformen i drift för registrering och rapportering av registerdata, vid kontraktets undertecknande överenskommen tid. Ledningen för den personuppgiftsansvarige hos leverantören, ska alltid ha det övergripande ansvaret för säkerheten. För att uppnå en god informationssäkerhet är det viktigt att det finns en fastslagen policy. Berörd personal ska ha utbildats i säkerhetsoch integritetsfrågor. Leverantören bör förse driftspersonal och systemansvariga med information avseende inrapporterade Fel och Svar på vanligt förekommande frågor (FAQ). Tillgång till de olika funktionerna i systemet ska kunna begränsas för de användare hos leverantören som arbetar med systemet, så att de bara har tillgång till det som krävs för att kunna fullfölja sitt arbete. Leverantören ska, före driftsättning, redogöra för hur denne hanterar disaster recovery samt ta fram en kontinuitetsplan. Leverantörens driftmiljö bör vara åtkomligt för den nordiska marknaden. 6 Icke-Funktionella krav Bilagan Kravspecifikation, preciserade it-krav, bilaga 1.1 innehåller övergripande krav på teknik, juridik, leverantörer etc. som skapar förutsättningarna för de funktionella kraven. 7 Test 7.1 Dokumentation och protokoll Leverantören ska bistå i arbetet med att ta fram fullständiga testprotokoll inför implementering. Leverantören ska avge testrapporter enligt testrapportmall. Leverantör ska kunna ge information om i testhistorik avseende kända fel och buggar i systemets olika delar/moduler. 7.1.1 Anvisningar inför testning Överföring av testdata ska ske via utpekade testmiljöer. Leverantören ska ansvara för testning på objektnivå.
Kravspecifikation Bilaga 1 Sida 8 av 11 Leverantören ska ansvara för testning på system- och integrationsnivå. Leverantören ska finnas tillgänglig under acceptanstester. Leverantören ska ansvara för relevanta tester utförs och dokumenteras på ett strukturerat sätt. Leverantören ska finnas tillgänglig vid SystemIntegrationsTester (SIT). Leverantören ska vid leverans presentera och överlämna följande: Vilken testmiljö har används till vilka testfaser, med vilka kopplingar till andra system Installationsanvisningar enligt mall som används för närvarande i respektive system Leveransbeskrivning och testrapport innehållande: Vilka tester som har utförts och mot vilka testobjekt. Eventuella funktioner som inte har testats och anledning till detta. Testresultat med beskrivning av hittade fel, kvarstående öppna fel och en tidsatt åtgärdsplan. 8 Support Leverantören ska ha en befintlig supportorganisation för de tjänsteområde(n) som anbud lämnas på. En beskrivning av det ska medfölja anbudssvaret. Leverantören ska beskriva hur support för felanmälan tillhandahålls samt hur registrering av felanmälan går till. Dokumentation om det ska medfölja anbudssvaret. Leverantören ska hålla telefonsupport för användare. Med support avses: Allmän rådgivning, svara på frågor om funktionalitet eller handhavande från Beställarens utpekade kontaktperson Tillhandahålla uppgraderingar och nya versioner Tillhandahålla information om kända fel och vägar runt dessa Tekniskt konsultstöd vid t ex installation Leverantören ska tillhandahålla ett webbaserat ärendehanteringssystem för felanmälan. Leverantören ska dokumentera problemen och lösningarna per ärende. Det ska finnas möjlighet för systemadministratör, att se samtliga ärenden relaterade till systemet.
Kravspecifikation Bilaga 1 Sida 9 av 11 Leverantören ska tillhandahålla support för felanmälan från systemets kontaktpersoner. Vid allvarligare fel (klass 1 och 2 nedan) ska systemets kontaktpersoner informeras om felets art, omfattning, beräknad åtgärdstid etc. Fel som upptäcks via larm eller felrapport ska hanteras och eskaleras via Leverantörens felhanteringsrutin så att felet löses med bibehållen tillgänglighet. 8.1 Felklassificering, -sökning och rättning Ett fel kan upplevas som att systemet är ur funktion eller att systemet har försämrad prestanda. Det är definierat tre nivåer av prioritet/allvarlighetsgrad för ovan nämnda situationer. Vanligtvis har inte klass tre någon påverkan på systemet och dess funktionalitet. När en felrapportering görs tilldelas det någon av nedanstående klassificeringar: Klass/prioritet Påverkan för Nyttjarna Beskrivning 1- Hög - Tjänsten ej i drift 2 Mellan - Tjänsten försämrad 3 - Låg - Anmärkningsvärd händelse Nyttjarna kan inte använda tjänsten för att utföra normala funktioner; trafikhindrande fel. Nyttjarna upplever reducerad funktionalitet från tjänsten; ej trafikhindrande fel Nyttjarna upplever inga förändringar i funktionalitet; ej störande fel Tjänsten är ur drift hos leverantören, vilket innebär att alla eller de flesta användare påverkas. Normala funktioner kan ej utföras förrän tjänsten är i normal drift. Tjänsten kan erbjuda reducerad genomströmning, alternativt upplever en eller ett fåtal användare avbrott av typ klass Hög. En händelse som inte har någon signifikant effekt. Problemet analyseras dock. Ett felklassificeringssystem och åtgärdsplan ska finnas. 9 Förvaltning Förvaltning kan beställas av leverantör men också skötas av beställaren. Förvaltningsprocessen innehåller hanteringen av ett system under hela dess livscykel efter godkänd leverans. Förvaltningen innebär ett ansvar för att systemet införs, underhålls, används, vidareutvecklas och slutligen avvecklas. Systemet kommer att utvecklas med flera funktioner i kommande versioner. Det är dock av särskild vikt att systemförändringar orsakade av ändrad lagstiftning och liknande omedelbart genomförs. Vid införande av uppdateringar ska det ske i samråd med verksamheten. Det är vidare mycket viktigt att nya versioner, rättningar och uppdateringar ska kunna driftsättas utan att påverka applikationer som nyttjar tjänsterna.
Kravspecifikation Bilaga 1 Sida 10 av 11 Leverantören bör ha kännedom om och tillämpa PM3 och ITIL gentemot Beställaren. Leverantören ska vid avtalsstart, ha en avtalsansvarig samt en utsedd kontaktperson för systemet. Leverantören ska kvalitetssäkra att rätt kompetens finns för att upprätthålla och utveckla funktioner i systemet. Följande kategorier av förändringar bör hanteras och bl.a. prioriteras: förändrad implementering av komponent/tjänst byte av eller ändrade externa stödsystem (kodsystem, elektronisk katalog, personuppgiftssystem etc.) att lägga till nya tjänster, tillämpningar, komponenter förändrade förvaltningsmodeller Leverantören ska kostnadsfritt delta i förvaltningsmöten. Beställaren är sammankallande. Leverantören ska ta fram förslag till förvaltningsplan som ska fastställas tillsammans med Beställaren innan slutleveransen. Leverantören ska uppdatera och tillhandahålla nya versioner av programvaran i takt med utvecklingen av de standarder som ligger till grund för systemet. Kostnaden hanteras inom leverantörens Förvaltning. Leverantören ska uppdatera och tillhandahålla nya versioner av programvaran i takt med ändrad lagstiftning. Innan produktionssättning ska nya versioner och uppdateringar vara godkända av förvaltningen/verksamheten. För att få en konsistent och unik identifiering av olika versioner av systemet vid förändring och utveckling, ska det finnas en dokumenterad metod för versionshantering. Innan någon förändring i/av systemet görs, ska registerförvaltaren informeras. 10 Krav på dokumentation och hjälpfunktioner 10.1 Generella krav All dokumentation som ingår för att beskriva den levererade lösningen ska löpande hållas uppdaterad och konsistent. Leverantören ska, på ett säkert sätt (avseende brand, stöld, åtkomst), förvara begärd dokumentation. 10.2 Hjälpfunktioner Hjälpfunktion ska ingå. Systemet ska innehålla funktion för onlinehjälp.
Kravspecifikation Bilaga 1 Sida 11 av 11 Hjälpfunktioner ska vara på svenska. All användardialog i systemet ska vara på svenska. 10.3 Dokumentation Leverantören ska upprätthålla och tillhandahålla teknisk systemdokumentation för alla ingående tjänster, moduler, gränssnitt, API: er, kommunikationsprotokoll, datalager m.m. Leverantören ska ta fram och tillgängliggöra dokumentationen över den Tekniska Driftmiljön. Användarmanualer och lathundar på svenska ska ingå i ovanstående. Det ska finnas tydliga installationsanvisningar och beskrivna rutiner för systemets ingående produkter och moduler samt dessas installation/handhavande. 11 Utbildning Olika användargrupper har olika utbildningsbehov samt kommer att vara geografiskt spridda. Inledningsvis är det viktigt att utvald personal får en utbildning som ger användare den grund som behövs för att kunna använda och administrera tjänsten. Utbildningens form kan variera men bör i första hand vara självstudiematerial, gärna interaktiva utbildningar (e-learning) som kan användas för vanliga användare, i andra hand utbildning av superanvändare/administratörer som i sin tur kan utbilda användare ute på arbetsplatserna. 11.1 Utbildningsmiljöer Leverantören ska för utbildningsändamål tillhandahålla en logisk separerad, men i avseende funktionalitet, produktionslik utbildnings- och testmiljö. Komplett utbildningsmaterial för följande ändamål bör finnas: a. Systemförvaltare b. Supportpersonal c. Administratörer d. Användare (t ex självutbildningsmaterial) Utbildningsmaterialet ska vara på svenska. Lärarledd utbildning bör, där inget annat är angivet, ske på plats utsedd av Beställaren. Det bör finnas dokumentation (i formaten PDF, Word och Microsoft Powerpoint). All utbildningsdokumentation bör hållas uppdaterad och konsistent. Leverantören bör erbjuda webbaserade utbildningar. Utbildningstillfällen utöver specifikation bör prissättas per timme eller per tillfälle samt beskrivas i termer av omfattning, vilka resurser som planeras delta från Leverantören.