Journalsystem och informationssäkerhet

Landstingets revisorer Revisionsrapport Januari 2012 Bilaga nr 3a till överläggningar med landstingets revisorer den 19 januari 2012. mer text Journalsystem och informationssäkerhet Delrapport 1 Ledning, styrning och kontroll över journalsystemet

Tjänsteställe, handläggare Revisionskontoret 11REV47 Innehållsförteckning 1 Bakgrund...1 2 Uppdraget...1 3 Revisionskriterier...2 4 Granskningsansvarig...2 5 Avgränsning, metod och urval...2 6 Resultat av granskningen...3 6.1 Systemförvaltningens innehåll och kontext...3 6.2 Systemförvaltningsplan och budget för SYSteam Cross...4 6.3 Organisation för systemförvaltning...5 6.4 Uppföljning och återrapportering...6 6.5 Översikt av styrdokument...6 6.6 Ny modell för systemförvaltning...8 7 Revisionell bedömning...9

Tjänsteställe, handläggare Revisionskontoret 2012-01-19 11REV47 1 (10) Revisor Anders Emnegard Distribution 1 BAKGRUND Den 1 juli 2008 infördes patientdatalagen med en sammanhängande reglering av personuppgiftsbehandlingen inom hälso- och sjukvården. Reglerna är utformade i syfte att underlätta informationsutbyte mellan vårdgivare och mellan vårdgivare och patient men alltid med skyddet för patientens integritet som första prioritet. Enligt patientdatalagen ska informationshanteringen inom hälso- och sjukvården vara organiserad så att den tillgodoser patientsäkerhet och god kvalitet samt främjar kostnadseffektivitet. Personuppgifter ska utformas och i övrigt behandlas så att patienters och övriga registrerades integritet respekteras. Under 2010 slutfördes införandet av journalsystemet SYSteam Cross i landstingets verksamheter och insatserna har under 2011 övergått till förvaltning och vidareutveckling av systemet. Under oktober 2011 anslöt sig landstinget till Nationell Patientöversikt. Tjänsten gör det möjligt för behörig vårdpersonal att med patientens samtycke ta del av journalinformation som registrerats hos andra vårdgivare, t.ex. ett annat landsting eller en privat vårdgivare. Andra aktuella exempel på utvecklingen kring informationsutbyte inom vården är att landstinget sedan september 2011 kan skicka läkarintyg för sjukskrivning direkt och elektroniskt till Försäkringskassan samt tjänsten Mina vårdkontakter som är under införande, där patienter kan ha kontakt med sin vårdgivare via Internet. De fyra exemplen har sina legala förutsättningar i patientdatalagen. Landstingsrevisionens väsentlighets- och riskanalys, april 2011, ligger till grund för valet att göra en fördjupad granskning av systemförvaltning, informationshantering och journalföring i hälso- och sjukvården. 2 UPPDRAGET Syftet med granskningen är att bedöma om landstinget har vidtagit ändamålsenliga tekniska och organisatoriska åtgärder för att säkerställa patientsäkerhet och patientens integritet vid informationshantering och journalföring i hälso- och sjukvården. Postadress Besöksadress Telefon Telefax E-post Landstinget Västernorrland Storgatan 1, Härnösand 0611-800 00 0611-803 76 revision@lvn.se 871 85 HÄRNÖSAND

2012-01-19 11REV47 2 Utifrån syftet ska följande revisionsfrågor besvaras: Har Landstingsstyrelsen en ändamålsenlig ledning, styrning och kontroll över journalsystemet? Finns det ändamålsenliga rutiner och ett stöd i journalsystemet som säkerställer patientsäkerheten vid journalföring? Finns det ändamålsenliga rutiner och ett stöd i journalsystemet som säkerställer patientens integritet? Den fortsatta redovisningen är uppdelad i tre delrapporter: Delrapport 1 ledning, styrning och kontroll över journalsystemet Delrapport 2 patientsäkerhet vid journalföring Delrapport 3 patientens integritetsskydd 3 REVISIONSKRITERIER Med revisionskriterier avses de bedömningsgrunder som bildar underlag för revisionens analyser, slutsatser och bedömningar. Revisionskriterierna hämtas bland annat från lagar, interna regelverk, policyer och fullmäktigebeslut. Granskningens revisionskriterier utgörs huvudsakligen av: Kommunallag (1991:900), Landstingsplan, Landstingsstyrelsens reglemente och andra interna styrdokument, såsom riktlinjer, rutiner och anvisningar. 4 GRANSKNINGSANSVARIG Yrkesrevisor Anders Emnegard har svarat för granskningsarbetet. 5 AVGRÄNSNING, METOD OCH URVAL I denna delrapport ska följande revisionsfråga besvaras. Har Landstingsstyrelsen en ändamålsenlig ledning, styrning och kontroll över journalsystemet? Med ändamålsenlig styrning menar vi att det finns en organisation kring journalsystemet där ansvar och befogenheter är tydligt definierade. Att det finns en ekonomisk styrning och tydliga mål vad gäller utveckling och kvalitetssäkring för journalsystemet. Granskningen är avgränsad till systemförvaltningen av journalsystemet SYSteam Cross men rapporten berör även IT-verksamheten i stort.

2012-01-19 11REV47 3 Granskningen har genomförts genom studier av Landstingsstyrelsens beslut under 2011, riktlinjer, rutiner, rapporter med flera dokument i landstinget. Intervjuer har genomförts med IT-chef, informationssäkerhetschef och anställda vid systemförvaltningen. Samtliga uppgiftslämnare samt berörd förvaltningschef har lämnats möjlighet att sakgranska rapporten. Landstingsstyrelsen är ansvarig för den verksamhet som granskningen omfattar. Enligt reglementet ingår det i styrelsens ledningsfunktion att leda och samordna utvecklingen av IT-system. 6 RESULTAT AV GRANSKNINGEN 6.1 Systemförvaltningens innehåll och kontext Systemförvaltning beskrivs som alla aktiviteter som utförs för att säkerställa att ett IT-system fungerar på bästa sätt i verksamheten. Enligt landstingets riktlinjer för systemförvaltning bör arbetet beskrivas i en systemförvaltningsplan som bland annat bör innehålla uppgifter om planerade aktiviteter, ansvarsfördelning, ekonomiska resurser och uppföljning. Planen ska följa budgetarbetet och ska i normalfallet gälla för ett år. 1 Systemförvaltningsplanen ingår som en del i genomförandet av landstingets IT-plan. Systemförvaltningsplanen beskrivs som den konkreta överenskommelsen kring vad som ska göras under året. IT-planen har utarbetats utifrån strategiseminarier där företrädare för verksamheterna och Landstingsstaben IT medverkat. Styrelsen har därefter infomerats om den överenskomna IT-planen. Styrelsen har årligen anslagit medel för genomförande av IT-planen samt löpande beslutat om igångsättande av enskilda utvecklingsprojekt. Till grund för IT-planen ligger landstingets IT-vision, Strategier/ Vägval och Målbild 2011 (se nedanstående figur). En av de fem strategierna/vägvalen är ett generellt vårdsystem - SYSteam Cross - en patient, en journal. 1 Riktlinjer för systemförvaltning, 2008-05-10 Kort beskrivning av landstingets systemförvaltningsmodell, 2009-01-14 Systemförvaltningsmodell för Landstinget Västernorrland, 2009-04-09

2012-01-19 11REV47 4 Figur: Styrdokument och organisation för utveckling, förvaltning och drift av IT (källa: Landstingets intranät - Organisation - Verksamhetspresentationer - Landstingsstaben - IT) Kommentar IT-planen och systemförvaltningsplanen är de mest centrala dokumenten för styrning, ledning och kontroll av journalsystemet. ITplanen anger prioriteringarna inom IT-verksamheten i stort och systemförvaltningsplanen anger prioriteringarna för det enskilda systemet. IT-planen har fastställts av IT-chefen och systemförvaltningsplanen ska enligt riktlinjerna fastställas av systemägaren tillsammans med styrgruppen. Även tidigare granskningar har visat att den styrmodell för IT som använts de senaste åren inte har inbegripit Landstingsstyrelsen i de strategiska vägvalen och att planeringen av IT-utvecklingen har skett i tjänstemannaledet. 6.2 Systemförvaltningsplan och budget för SYSteam Cross Systemförvaltningsplanen för 2010 beskriver uppdrag, aktiviteter, organisation, ansvarsfördelning, budget och plan för uppföljning och rapportering, i enlighet med landstingets riktlinjer. En systemförvaltningsplan för 2011 har inte fastställts (se nästa avsnitt). Ledningen för systemförvaltningen har hanterat situationen genom att arbeta utifrån det utkast till plan som framtagits. Utkastet har fått ligga till grund för den interna detaljplaneringen och arbetet under 2011. Finansieringen av systemförvaltningen sker dels med reserverade medel för landstingets IT-plan och dels genom interndebitering av

2012-01-19 11REV47 5 verksamheterna inom hälso- och sjukvården. De budgeterade kostnaderna för drift och förvaltning av gemensamma vårdsystem uppgår till drygt 50 miljoner kronor under 2011, varav SYSteam Cross står för cirka 30 miljoner kronor. Landstingsstyrelsen har i december 2010 anvisat 6 miljoner kronor, resterande kostnad interndebiteras verksamheterna. Kostnadsutfallet för förvaltningen av SYSteam Cross under 2011 uppgår till cirka 29 miljoner kronor. Kommentar Det ingår i Landstingsstyrelsens ansvar för ledning, styrning och kontroll av journalsystemet att säkerställa att en systemförvaltningsplan utarbetas och fastställs i enlighet med gällande riktlinjer. Rimligen borde systemförvaltningsplanen ha fastställts i anslutning till att Landstingsstyrelsen anvisade medel för densamma i december 2010. 6.3 Organisation för systemförvaltning Enligt riktlinjerna för systemförvaltning är rollerna systemägare och systemförvaltare obligatoriska, medan antalet systemadministratörer, styrgruppsmedlemmar och kontaktpersoner kan bero på IT-systemets storlek och omfattning. Riktlinjerna beskriver den generella ansvarsfördelningen mellan de olika rollerna i systemförvaltningen. De systemspecifika rollerna och arbetsuppgifterna ska beskrivas närmare i respektive systemförvaltningsplan. Sedan oktober 2010 saknar landstinget en utsedd systemägare för SYSteam Cross. Uppdraget innehades tidigare av dåvarande hälsooch sjukvårdsdirektören. Systemägaren har det övergripande ansvaret för ett specifikt IT-system. Systemägaren ansvarar bland annat för att systemet uppfyller verksamhetens krav och fastställer tillsammans med styrgruppen en systemförvaltningsplan med uppdrag, organisation, budget och uppföljning. Styrgruppen för SYSteam Cross ska enligt det upprättade förslaget till systemförvaltningsplan för 2011 (liksom under 2010) bestå av Hälso- och sjukvårdens samverkansgrupp (HSS) tillsammans med systemägaren, IT-chefen och förvaltningsledaren. Systemägaren ska vara sammankallande och ordförande i styrgruppen. Det har inte funnits någon särskild styrgrupp för systemförvaltningen av SYSteam Cross under 2011. Under januari-september 2011 har Landstingsledningsgruppen (LLG) varit övergripande IT-styrgrupp. I september 2011 beslutade LLG att koppla IT-styrgruppen till Hälsooch sjukvårdens samverkansgrupp. Under 2011 har IT-styrgruppen främst behandlat enskilda projekt och utvecklingsarbeten, ingen återraportering eller beslut avseende

2012-01-19 11REV47 6 systemförvaltningen för SYSteam Cross har noterats i minnesanteckningarna. Kommentar Avsaknaden av systemägare för journalsystemet under 2011 har sannolikt varit den enskilt främsta orsaken till att systemförvaltningsplanen inte har fastställts och att det heller inte har sammankallats en styrgrupp som behandlat systemförvaltningsfrågor. Enligt vår mening är den mest påtagliga bristen under 2011 att ingen utövat ett ledningsansvar för att journalsystemet uppfyller verksamhetens krav. Det ingår i Landstingsstyrelsens ansvar för ledning, styrning och kontroll av journalsystemet att säkerställa att de avgörande rollerna för systemförvaltningen är tillsatta och fungerar på ett ändamålsenligt sätt. 6.4 Uppföljning och återrapportering Enligt det upprättade förslaget till systemförvaltningsplan för 2011 (liksom under 2010) ska systemförvaltningen följas upp kontinuerligt och rapporteras vid systemförvaltningsmöten och styrgruppsmöten. Vidare reglerar arbetsordningen för Landstingsstaben IT hur aktiviteter ska följas upp och rapporteras, från den enskilde medarbetaren till systemförvaltaren, förvaltningsledaren, styrgruppen och systemägaren. I avsaknad av styrgrupp och systemägare har återrapporteringen under 2011 varit begränsad till ledningen för systemförvaltningen och IT-chef. Sett ur Landstingsstabens perspektiv är en av de viktigaste händelserna att införandet av journalsystemet SYSteam Cross i landstingets verksamheter nu är avslutat och att systemet övergått till förvaltning och vidareutveckling. Ur Landstingsstabens delårsrapport januari-april 2011 Landstingsstaben IT har lämnat underlag till delårsrapporterna under 2011. I övrigt har Landstingsstyrelsen inte innefattats i något system för återrapportering av strategiska IT-frågor under 2011. Kommentar Det ingår i Landstingsstyrelsens ansvar för ledning, styrning och kontroll att säkerställa en ändamålsenlig återrapportering av systemförvaltningen. Vidare bör system för återrapportering av strategiska frågor till Landstingsstyrelsen utvecklas. 6.5 Översikt av styrdokument Nedan redovisas i vilken utsträckning IT-verksamheten och systemförvaltningen av journalsystemet berörs i landstingets styrdokument. Tabell: Styrdokument oktober 2011 IT-policy Har upphört att gälla. I samband med 2010 års genomgång av landstingets styrdokument befanns IT-policyn vara inaktuell. Landstingsstyrelsen beslutade i juni 2010 att IT-policyn skulle upphöra att gälla.

2012-01-19 11REV47 7 Landstingsplan Landstingsstyrelsens balanserade styrning Landstingsstabens övergripande balanserade styrkort IT-plan Övergripande riktlinjer för IT Riktlinjer systemförvaltning Planen för 2010-2012 finns tillgänglig som en PowerPointpresentation på intranätet. Planen för 2011-2013 presenterades inför Landstingsstyrelsens sammanträde 2010-11-09. Planen var inte diarieförd och fanns inte tillgänglig i sammanträdeshandlingarna eller på intranätet i övrigt vid tiden för granskningen. Planen har inte kunnat uppbringas, annat än som en sammanfattning i en PowerPointpresentation. Systemförvaltningsmodell för Landstinget Västernorrland Systemförvaltningsplan för SYSteam Cross Arbetsordning Planen för 2011-2013 respektive 2012-2014 Innehåller inte målsättningar eller uppdrag kring IT. Planen för 2011-2013 respektive 2012-2014 berör inte ITfrågor. Styrkortet för 2010 innehåller en referens under perspektivet effektiva processer: Genomföra de åtgärder som framkommer av IT-planen. Motsvarande styrkort för 2011 har inte utarbetats. Specifika styrkort för Landstingsstaben IT har inte utarbetats. Har upphört att gälla. I samband med 2010 års genomgång av landstingets styrdokument befanns riktlinjerna vara inaktuella. Landstingsstyrelsen beslutade i juni 2010 att riktlinjerna skulle upphöra att gälla. Allmän beskrivning av hur landstingets systemförvaltning ska organiseras och bedrivas. Senaste version är fastställd 2008-05-10. Generell beskrivning av systemförvaltningsmodellen med organisation, rollfördelning samt innehållet i en systemförvaltningsplan. Senaste version är daterad 2009-04-09. Finns även i kortare form, daterad 2009-01-14. Plan för 2010 fastställdes av systemägaren 2009-11-12. Plan för 2011 har inte fastställts. Reglerar hur förvaltningsaktiviteter, uppdrag och projekt ska hanteras inom SYSteam Cross systemförvaltning. Fastställd av förvaltningsledaren 2010-05-18. Kommentar Landstingsstyrelsen har ansvar för IT-utvecklingen vilket innebär att strategiska IT-frågor bör behandlas i landstingsplan och styrkort. Vi ställer oss frågande till i vilken utsträckning IT-planen varit ett levande dokument under 2011.

2012-01-19 11REV47 8 6.6 Ny modell för systemförvaltning 2010 års systemförvaltningsplan innehåller en målbild för 2011 med en sammanhållen systemförvaltning av samtliga vårdsystem. 2 Landstingets modell för systemförvaltning ska enligt planen tillämpas under 2010 men aktiviteter ska under året initieras för en övergång till en ny modell, benämnd pm3. Av den förstudie som Landstingsstaben IT genomförde under 2010 framgår behov av att utveckla styrning, ledning och finansieringsmodell för systemförvaltningen. Bland annat har ägarskap och ansvar för ITutvecklingen uppfattats som otydligt och det bedömdes saknas en överblick och en tydlig styrning av den totala systemförvaltningen i landstinget. Det fanns också behov att utveckla ett mer verksamhetsprocessorienterat synsätt på systemförvaltning. 3 Landstingsstaben IT överlämnade i augusti 2010 ett förslag om att införa systemförvaltningsmodellen pm3. I samband med Landstingsledningsgruppens möte i september 2010 beslutade dåvarande landstingsdirektören att avvakta med införande av pm3 och utveckling av ny IT-organisation. Av Landstingsstyrelsens svar i augusti 2011 till revisorerna avseende granskningen av landstingets IT-kostnader framgår att landstingsdirektören har för avsikt att fatta beslut om att initiera ett projekt för införande av pm3 samt att göra en översyn av ITorganisationen i anslutning till översynen av landstingsstaben. Landstingsstyrelsen beslutade i december 2011 att införa pm3 som förvaltningsmodell för samtliga IT-system i landstinget med succesivt införande från och med 2012. Övergången beräknas ta två till tre år att genomföra. Av beslutsunderlaget framgår att pm3 bygger på en tydlig verksamhetsstyrning av IT genom att berörd verksamhet svarar för behov, krav och kostnader medan ITfunktionen svarar för att tillhandahålla utveckling, drift, teknisk förvaltning samt ägarskap av de tekniska lösningarna. Kommentar Landstingsstaben IT har i olika utredningar lyft fram brister kring möjligheten att skapa en ändamålsenlig styrning med nuvarande modell för systemförvaltning. Bristerna till trots har förslaget legat 2 Varje IT-system i sig (t.ex. SYSteam Cross) definieras i nuvarande modell som ett (1) förvaltningsobjekt. Vid en sammanhållen systemförvaltning kan ett förvaltningsobjekt innehålla flera IT-komponenter, som avgränsas utifrån den verksamhet de ska stödja. Som ett exempel kan en så kallad objektsfamilj innehålla alla vårdsystem i landstinget (KoVIS, IVA, SYSteam Cross, Obstetrix, Orbit, m.fl.). 3 Förstudie Systemförvaltningsmodell enligt pm 3, 2010-02-10 Transformation av IT inom Landstinget Västernorrland, 2010-08-17

2012-01-19 11REV47 9 på is i över ett år innan Landstingsstyrelsen beslutade att införa en ny systemförvaltningsmodell. Då beslutet i högsta grad berör verksamheterna inom hälso- och sjukvården borde Landstingsstyrelsen berett ansvariga nämnder möjlighet att yttra sig över förslaget. Det framgår inte av beslutsunderlaget om den nya modellen kommer att innebära en förskjutning i ansvarsfrågan från Landstingsstyrelsen till nämnderna och vilka konsekvenser detta i så fall bör få kring ledning och styrning samt system för återrapportering och internkontroll. Vi rekommenderar att dessa frågor klargörs. Vidare beslutade Landstingsstyrelsen i december 2011 att inrätta en IT-strukturberedningsgrupp bestående av ledamöterna i styrelsens allmänna utskott samt tjänstemän från Landstingsstaben IT. Syftet är att få en bättre insyn i pågående IT-ärenden. Det är inte möjligt att utläsa om beslutet kan komma att få bäring på ledning, styrning och kontroll över journalsystemet. Oavsett vilket rekommenderar vi att den nytillsatta gruppen återkommer till styrelsen med förslag på uppdragsbeskrivning och former för återraportering till styrelsen som helhet. 7 REVISIONELL BEDÖMNING Under 2010 slutfördes införandet av journalsystemet SYSteam Cross i landstingets verksamheter och insatserna har under 2011 övergått till förvaltning och vidareutveckling av systemet. Revisionsfrågan är: Har Landstingsstyrelsen utövat en ändamålsenlig ledning, styrning och kontroll över journalsystemet? Tidigare granskningar har visat att den styrmodell för IT som använts de senaste åren inte har inbegripit Landstingsstyrelsen i de strategiska vägvalen och att planeringen av IT-utvecklingen har skett i tjänstemannaledet. Granskningen visar bland annat följande brister under 2011: Det saknas beslut om systemförvaltningsplan. Flera andra grundläggande styrdokument saknas eller har upphört att gälla. IT-verksamheten berörs inte i landstingsplan och styrkort. Det har inte funnits en systemägare och inte heller en styrgrupp för journalsystemet. Det finns inget system för återrapportering av strategiska frågor till Landstingsstyrelsen.

Revisionskontoret, 871 85 Härnösand Tfn 0611-800 00 E-post: revision@lvn.se Webbplats: www.lvn.se