Varje vårdgivare ska senast den 1 mars varje år upprätta en patientsäkerhetsberättelse som visar hur patientsäkerhetsarbetet har bedrivits under föregående kalenderår, vilka åtgärder som vidtagits och vilka resultat som uppnåtts. Mindre känt är att Socialstyrelsens föreskrifter HSLF-FS 2016:40 pekar ut fem bestämda delar om informationssäkerhet som ska finnas med i berättelsen.
De fem delarna är inte fritt formulerade avsnitt utan hänvisningar till arbete som ska ha gjorts löpande under året, vilket gör berättelsen till en avstämning snarare än en uppgift i sig.
Föreskriftens sjunde kapitel räknar upp vad som ska ingå. Det första är de uppföljningar av informationssäkerheten som är av större betydelse, alltså ett urval och inte allt som gjorts.
Det andra är de riskanalyser som genomförts, där vårdgivaren fortlöpande ska bedöma risker genom att uppskatta sannolikheten för händelser som kan leda till att kraven inte uppfylls och bedöma vilka negativa konsekvenser de skulle få. Det tredje är de förbättringsåtgärder som vidtagits under året.
Det fjärde är den årliga utvärderingen av skyddet mot olovlig åtkomst, och det femte är granskningen av att personalen dokumenterar i enlighet med de lagar och föreskrifter som gäller. Tillsammans täcker de fem punkterna både det förebyggande arbetet, det som faktiskt hände och det som gjordes åt saken, vilket är därför de hänger ihop som en kedja och inte som en lista.
Tre av de fem punkterna hämtas ur ett arbete som föreskriften kräver oavsett berättelsen. Vårdgivaren ska utse en eller flera personer som leder och samordnar informationssäkerhetsarbetet, och minst en gång om året ska de sammanställa information om genomförda riskanalyser, inträffade incidenter som medfört eller hade kunnat medföra vårdskada, gjorda uppföljningar och vidtagna förbättringsåtgärder.
Den sammanställningen är alltså råmaterialet till berättelsen. Verksamheter som gör den ordentligt skriver informationssäkerhetsdelen av patientsäkerhetsberättelsen på ett par timmar, medan de som hoppar över den får börja gräva i februari efter uppgifter som ingen har hållit ihop.
De allmänna råden tillägger att de utsedda personerna bör ha en sådan ställning i organisationen att arbetet kan prioriteras och utföras effektivt, vilket i praktiken avgör om sammanställningen blir ett underlag eller en formalitet.
Den fjärde punkten är den mest konkreta och ofta den svagaste. Vårdgivaren ska varje år utvärdera skyddet mot såväl intern som extern olovlig åtkomst till datornätverk och informationssystem, och resultatet ska redovisas i berättelsen.
Uppdelningen i intern och extern är värd att ta på allvar. Den externa delen hanteras ofta av it-funktionen genom tekniska tester och granskningar av nätverk och behörigheter utifrån, medan den interna delen handlar om personal som har åtkomst men inte alltid rätt att använda den.
Den interna utvärderingen bygger därmed på behörighetsstrukturen och på loggkontrollen, eftersom det är där faktisk åtkomst syns. En verksamhet som inte granskar sina loggar systematiskt har svårt att säga något meningsfullt om den interna delen, och berättelsen blir då en beskrivning av rutiner i stället för en utvärdering av skyddet.
Den femte punkten rör journalföringen. Vårdgivaren ska regelbundet granska att personalen dokumenterar i enlighet med lagar och föreskrifter, och granskningen ska redovisas i berättelsen.
Här blir frågan om vad som faktiskt granskas ofta otydlig. Dokumentationen kan brista på flera sätt samtidigt, från att uppgifter saknas till att de förs i fritext där struktur hade krävts eller att signeringen inte fungerar i praktiken. Granskningen behöver därför ha ett urval och en metod, så att resultatet går att jämföra mellan åren. Utan det blir redovisningen en upprepning av förra årets formuleringar, vilket säger ingenting om huruvida dokumentationen har blivit bättre eller sämre.
Den samlade poängen med de fem punkterna är att de kräver material som ska ha samlats in under året. Riskanalyser behöver vara dokumenterade när de görs, incidenter behöver registreras när de inträffar, loggkontroller behöver genomföras enligt en fastställd frekvens och varje kontroll behöver dokumenteras tillsammans med vad den ledde till. I februari går det att sammanställa, men inte att återskapa.
Där ligger värdet i att ha ett arbetssätt som producerar underlaget löpande. Vår produkt SALA analyserar journalöppningar och flaggar åtkomst som avviker, med kriterier som om patienten har en vårdkontakt med användarens enhet och om användaren har dokumenterat i journalen, och lösningen fungerar mot alla vårdinformationssystem.
Den som granskar loggarna löpande och dokumenterar varje kontroll har därmed den interna delen av utvärderingen färdig när berättelsen ska skrivas, i stället för en lucka som ska fyllas med allmänna formuleringar.
Vill ni se över vad ni faktiskt kan redovisa inför nästa patientsäkerhetsberättelse, hör av er så går vi igenom det.