sou · H3B332 · 2015-03-27 00:00:00 — Utredaren ska samråda med Strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110), En nationell samordnare för effektivare resursutnyttjande inom hälso- och sjukvården (dir. 2013:104), (dir. 2012:61), Förbättrad tillgång till personuppgifter inom och mellan hälso- och sjukvården och social- tjänsten m.m. (dir. 2011:111), Läkemedels- och apoteksutredningen (dir. 2011:55) Delegationen för e-förvaltning (dir. 2009:19), Social- styrelsen, Datainspektionen, , , , Myndigheten för samhällsskydd och beredskap, Kommuner och Landsting och övriga berörda myndigheter och aktörer, såsom , samt med berörda arbetstagarorganisationer. Uppdraget ska slutredovisas i ett betänkande . Nästa fas i e-hälsoarbetet En diskussionspromemoria från (S2013:17) Det grundläggande ansvaret för e-hälsoarbetet är tydligt Strategiskt arbete med innovation Vilket ansvar ska staten ta? Behov av tydlighet och styrning – genom befintliga styrinstrument Utvecklad informationshantering kräver utvecklad tillsyn Bättre nationellt stöd till aktörernas informationssäkerhetsarbete Informationssäkerhet är en ledningsfråga Stödet för implementering av regelverk behöver förbättras Hur ser behoven av gemensam informationsstruktur ut? Strukturerad information är viktigt av många skäl Arbetet med gemensam informationsstruktur behöver gå snabbare Vilken bör statens roll vara i infrastruktur- och arkitekturfrågor? Förändrat arbetssätt större utmaning än teknik Nationella krav för grundläggande interoperabilitet Nationella krav på grundläggande infrastruktur Kritisk information bör vara nationellt tillgänglig Samordning av statliga myndigheters register Bättre förutsättningar för hantering av uppgifter om ordinerade läkemedel Samma informationskälla är nödvändigt Det behövs en ny nationell eHälsostrategi och en handlingsplan (S2013:17) uppdrag ska skapa förutsättningar för en bättre, säkrare och effektivare informationshantering inom och mellan hälso- och sjukvården och . För oss inne- bär e-hälsa just att med hjälp av informationsteknik och e-tjänster skapa och utveckla en sådan informationshantering till nytta för in- divider, professioner och beslutsfattare. I kommuner och landsting har man länge bedrivit utveckling på e-hälsoområdet med stor innovationskraft och en vilja att med nya möjligheter förbättra hälso- och sjukvården och . Staten har stöttat och samordnat arbetet på nationell nivå. Trots dessa ansträngningar har vi ändå inte en så säker och effektiv infor- mationshantering inom och mellan hälso- och sjukvård och social- tjänst som vi borde ha. Aktörer inom vård och socialtjänst som deltar i en vård- eller om- sorgskedja kring en patient eller brukare har inte alltid tillgång till nödvändig information om vad övriga aktörer gör för individen. Det finns fortfarande stora problem med att föra information över organisations- och verksamhetsgränser. Beslutsfattare behöver bättre möjligheter att få tillgång till strukturerad och jämförbar informa- tion som underlag för uppföljning av sina verksamheter. Patienten eller brukaren själv kommer med tiden att få bättre tillgång till sin egen information och måste då kunna lita på att informationen är komplett och korrekt. För oss är patient- och brukarsäkerheten central. Det är inte accep- tabelt att patienters och brukares säkerhet riskeras till följd av brister i informationshanteringen. Dessutom kommer behoven av att kunna utbyta information över gränser sannolikt att öka i fram- tiden. Det gäller t.ex. gränser mellan huvudmän, system inom samma huvudmans ansvar, offentliga och privata aktörer eller mellan länder. Information måste kunna utbytas säkert och på ett sätt som skyddar den enskildes integritet. Rätt information i rätt tid för rätt användare är därför avgörande för de inblandade professionernas möjligheter att göra ett bra arbete med hög kvalitet. 4 nästa fas i e-hälsoarbetet Vi menar att e-hälsoarbetet nu står inför nästa fas i utvecklingen. E-hälsoarbetet måste i högre grad ingå i en förvaltningsstruktur där statliga myndigheter och aktörer inom vård och omsorg har definierade ansvar och uppdrag. Vi ser därför behov av utvecklad och ökad statlig styrning, nya strukturer, regelverk, samarbets- former etc. Vi ser även behov av en långsiktig ekonomisk satsning från såväl stat som huvudmän för att öka patient- och brukarsäker- heten och effektiviteten genom en bättre informationshantering. Vårdgivare och de som bedriver socialtjänst behöver ta ett större ledningsansvar för informationshantering. Staten kan tillsammans med huvudmännen och andra ansvariga aktörer bidra till att skapa ett långsiktigt förändringstryck när det gäller IT-utvecklingen i vården och . Den här diskussionspromemorian ser vi som en del av vår dialog med intressenter och berörda på området och vi tar gärna emot synpunkter och kommentarer. Vi beskriver här kortfattat den övergripande problembild vi ser så här långt i vårt arbete, vår bild av dagens e-hälso- arbete med dess styrkor, problem och brister. Resonemangen ligger på en strukturell nivå och innehåller inga skarpa förslag. Mer kon- kreta resonemang och förslag för att hantera de problem vi ser åter- kommer vi till i vårt slutbetänkande. nästa fas i e-hälsoarbetet 2Det grundläggande ansvaret för e-hälsoarbetet är tydligt Ofta hävdas att de utmaningar som finns inom e-hälsoområdet beror på oklarheter när det gäller ansvarsfrågan. Det finns svåra gräns- dragningar och komplicerade beroenden som gör att frågan behöver klarläggas. Men när det gäller hantering av information i vården och så är ansvaret tydligt. Det är vårdgivarna och de som bedriver socialtjänst som har det yttersta ansvaret. En del av pro- blemen vi ser kan bero på att dessa aktörer inte fullt ut tar ett aktivt ansvar för hanteringen av information inom sitt ansvarsområde. Aktörerna behöver också arbeta mer strategiskt med både frågor om upphandling av it-stöd och med en långsiktig hantering av innovationsarbetet. 2:1 Lagstiftning och regelverk I patientsäkerhetslagen (2010:650) finns bestämmelser som uttrycker att vårdgivaren1 ska planera, leda och kontrollera verksamheten på så sätt att kravet på god vård i hälso- och sjukvårdslagen (1982:763) upprätthålls. Vårdgivaren är alltså ytterst ansvarig för att verksam- heten drivs på ett säkert sätt och med hög kvalitet. I landsting och kommuner ska ledningen av hälso- och sjukvården utövas av en eller flera nämnder och det ska finnas en eller flera verksamhetschefer som svarar för verksamheten. Ledningen av hälso- och sjukvården ska vara organiserad så att den tillgodoser hög patientsäkerhet och god kvalitet av vården samt främjar kostnadseffektivitet. Kraven på god vård i hälso- och sjukvårdslagen (1982:763) innefattar bl.a. ett ansvar för att det i verksamheten finns den personal, de lokaler och den utrustning som krävs för att god vård ska kunna ges. När det gäller socialtjänst är kommunen enligt socialtjänstlagen (2001:453) ansvarig för inom sitt område. 1Vårdgivare är statlig myndighet, landsting eller kommun som bedriver hälso- och sjukvård i egen regi eller annan juridisk person än staten, landsting eller kommun som bedriver hälso- och sjuk- vård, till exempel aktiebolag eller stiftelser. Detta omfattar även juridiska personer som ägs av ett eller flera landsting eller kommuner och enskilda näringsidkare som bedriver hälso- och sjukvård. 6 nästa fas i e-hälsoarbetet nens uppgifter fullgörs av de nämnder som kommunfullmäktige bestämmer. Den som är ytterst ansvarig för att bedriva verksamheten på ett säkert sätt är också enligt gällande regelverk ansvarig för att han- tera personuppgifterna i verksamheten. Detta ansvar hör ihop. En vårdgivare är enligt patientdatalagen (2008:355) personuppgifts- ansvarig för den behandling av personuppgifter som vårdgivaren utför. I landsting och kommun är varje myndighet som bedriver hälso- och sjukvård personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. När det gäller socialtjäns- ten är kommunen enligt förordningen (2001:637) om behandling av personuppgifter inom personuppgiftsansvarig för den behandling av personuppgifter inom som kom- munen utför. Privata utförare av socialtjänst är enligt förordningen ansvariga för den behandling av personuppgifter som de utför. I den fortsatta texten använder vi ordet aktör som gemensam benämning på vårdgivare och de som bedriver verksamhet inom socialtjänst. Huvudman inom hälso- och sjukvården är den som enligt hälso- och sjukvårdslagen ansvarar för att erbjuda hälso- och sjukvård. Inom en huvudmans geografiska område kan en eller flera vårdgivare bedriva verksamhet. Huvudmannen har alltså ett ansvar för vårderbjudan- det, medan de vårdgivare som är verksamma inom huvudmannens område har det yttersta ansvaret i respektive verksamhet. Ungefär motsvarande gäller för , med den skillnaden att en huvudman också alltid i någon omfattning måste bedri- va socialtjänst, eftersom verksamhet som innefattar myndighets- utövning inte kan överlåtas på någon annan utförare. Men generellt gäller att den som utför verksamhet inom är ansvarig för den verksamheten, medan kommunen som huvudman är skyldig att se till att kommunen kan erbjuda de verksamheter som social- tjänstlagen m.m. kräver. Varje vårdgivare ska ha ett ledningssystem för den hälso- och sjuk- vårdsverksamhet som denne bedriver. Vårdgivaren ska även enligt föreskrifter (SOSFS 2008:14) om informations- hantering och journalföring i hälso- och sjukvården säkerställa att nästa fas i e-hälsoarbetet det i ledningssystemet finns en dokumenterad informationssäker- hetspolicy. Vårdgivaren ska utse en eller flera som ansvarar för informationssäkerhetsarbetet. Alla som bedriver socialtjänst2 ska också ha ett ledningssystem för sin verksamhet. Det gäller både vid myndighetsutövning, till exempel ärendehandläggning, och vid genomförandet av vård eller insatser. Motsvarande skyldighet har vårdgivare och den som bedriver verksamhet enligt LSS. Lednings- systemet ska användas för att systematiskt och fortlöpande utveckla och säkra verksamhetens kvalitet. Den som bedriver verksamheten ska med stöd av ledningssystemet planera, leda, kontrollera, följa upp, utvärdera och förbättra verksamheten. För att den enskilde individen ska kunna erbjudas god vård och om- sorg måste de ansvariga verksamheterna dokumentera och i övrigt hantera information om individen och hans eller hennes behov och om de insatser som planeras och genomförs. Även resultaten för individen måste dokumenteras och följas upp. För att verksamheten ska kunna utveckla sin kvalitet behöver resultaten också följas upp på verksamhetsnivå. Det är därför naturligt att se de konkreta insat- serna för en individ inom vård och omsorg, och den informations- hantering som hör ihop med dessa, som beståndsdelar av samma insats. Verksamhetsfrågor och frågor om informationshantering hör ihop. De är tillsammans nödvändiga för att tillgodose den enskildes behov. Lagstiftaren förutsätter att de ansvariga aktörerna tar ett medvetet och aktivt ansvar för hur verksamheten bedrivs och för hur infor- mationen hanteras i verksamheten. Aktörerna måste därför utöva ett ledningsansvar över hur it-stöden är utformade och hur de används. Det är dessa aktörer som är ansvariga för att systemen uppfyller de informationssäkerhetskrav som finns i lag och föreskrifter. Infor- mationssäkerhetskraven innefattar såväl att uppgifterna är skyddade mot obehörig åtkomst som att uppgifterna finns tillgängliga där de behövs i verksamheten m.m. 2Enligt definitionen i föreskrifter och allmänna råd (SOSFS 2011:9) om lednings- system för systematiskt kvalitetsarbete är den som bedriver socialtjänst: socialnämnd eller motsvarande nämnd, i fråga om sådan socialtjänst som kommunen bedriver i egen regi, , då den myndigheten bedriver socialtjänst, annan juridisk person än staten eller kommun som bedriver socialtjänst, till exempel aktiebolag eller stiftelser (även juridiska personer som ägs av en eller flera kommuner), och enskild näringsidkare som bedriver socialtjänst. 8 nästa fas i e-hälsoarbetet It-stöd är både arbetsverktyg för olika professioner och bärare av information som professionerna behöver. Vi kan konstatera att användarvänligheten i vårdens och it-stöd kan för- bättras på flera sätt. Det är ett ansvar för aktörerna att tillhandahålla system som stöder och underlättar för professioner i deras arbete. Det kräver, som ofta påtalas för oss, att användare av it-stöden tillåts spela en aktiv roll i utveckling och utformning, att it-stöd imple- menteras och att utbildning erbjuds i samband med imple- mentering. Här kan vi konstatera att det finns brister . Ledningens inställning till hur information ska hanteras måste vara känd i hela verksamheten. Det är nödvändigt för att personalen ska känna trygghet i sitt dagliga arbete. Mot bakgrund av den stora osäkerhet som har uttryckts när det gäller tillämpningen av patient- datalagen har vi anledning att anta att vårdgivarna inte har förmed- lat tillräckligt stöd när det gäller sin tolkning av lagstiftningen. Mot bakgrund av att hälso- och sjukvårdslagstiftningen till stora delar består av ramlagar förutsätter lagstiftaren att de ansvariga aktörerna tar ett aktivt ansvar för tillämpningen och skapar en ändamålsenlig praxis. Vi är medvetna om att det finns frågor som varje vårdgivare eller ut- förare av socialtjänst har svårt att ta sitt fulla ansvar för, till exempel när det gäller gemensamma lösningar för it-stöd. Det ingår i vårt arbete att ta reda på var gränserna för aktörernas ansvar bör sättas och var ansvaret i så fall bör läggas eller om det finns andra åtgärder som gör det lättare för dem att ta detta ansvar. Vi vill väcka frågan om något behöver göras för att förtydliga hur aktörerna ska ta och utöva sitt ansvar. Det finns flera tänkbara sätt att göra det på. Det kan vara så att regleringen på området behöver utvecklas. Redan med stöd av dagens lagstiftning ska vårdgivarna utse verksamhetschefer som svarar för verksamheten och en eller flera personer som svarar för informationssäkerhetsarbetet. Vi menar att det också kan finnas anledning att överväga om det borde infö- ras någon ny ledningsfunktion med tydligt mandat och utkrävbart ansvar inom hälso- och sjukvården. Detta måste i så fall övervägas även för ledningen inom . Med en skarpare reglering ser vi också förutsättningar att utveckla och förstärka den statliga tillsynen av hur ledningarna tar sitt ovan beskrivna ledningsansvar nästa fas i e-hälsoarbetet Man kan också tänka sig att det inom ramen för en reviderad eHälsostrategi med tillhörande handlings- plan ingår olika former av stöd- och utbildningsinsatser för att även den vägen tydliggöra aktörernas ansvar. 2:4 Upphandling av it-stöd Aktörernas upphandling har en stor betydelse för verksamheternas e-hälsoarbete. Upphandling av it-stöd är ett konkret sätt för led- ningen att styra hanteringen av information i verksamheten. Vi har uppfattat att de ansvariga aktörerna behöver utveckla sin styrning av upphandlingsfrågorna (se även avsnitt 3.2). Majoriteten av dem vi möter ser e-hälsoarbetet som en organisa- tions- och verksamhetsfråga. Trots detta ser vi att aktörernas upp- handlingsarbete är i huvudsak tekniskt orienterat. Den ”tekniska puckeln” med stora teknikinvesteringar har i mångt och mycket passerats. kliver e-hälsoarbetet in i nästa fas med fokus på informationshantering som en verksamhetsfråga. Teknik är all- tid en förutsättning för en säker och effektiv informationshante- ring men som vi ser det utgör tekniken i sig inte längre en utmaning för aktörerna. Utvecklad och ökad statlig styrning, exempelvis genom nationella krav på funktionalitet och informationssäkerhet som vi beskriver i kommande avsnitt, skulle kunna utgöra ett stöd för aktörerna i deras upphandlingsarbete. Sannolikt kan sådana nationella krav skapa en effektivare resursanvändning i upphandlingsarbetet. Även leverantörerna skulle kunna dra nytta av ett ramverk med nationella krav på it-stöd i verksamheterna eftersom det på så sätt skulle bli mer transparent vad som är nationella grundläggande krav. Privata och idéburna aktörer inom vård och omsorg skulle med stöd av exempelvis nationella krav också få en tydligare bild av vilka krav som deras system måste uppfylla. Ett annat argument för den här sortens utvecklade nationella krav är att underlätta mångfalds- och valfri- hetsutvecklingen. Privata och idéburna utförare måste anpassa sig till ett stort antal olika system och krav som aktörerna ställer upp. Detta är resurskrävande och det finns sannolikt en effektiviserings- potential här. Vi tror också att nationella krav på it-stöd i vård och omsorg kan ge bättre förutsättningar för aktörerna att genomföra innovationsupphandlingar. 10 nästa fas i e-hälsoarbetet 2:5 Strategiskt arbete med innovation Vi kan konstatera att e-hälsoområdet präglas av en stark innova- tionskraft, som bland annat kommer till uttryck i nya e-tjänster, tekniska lösningar och IT-baserade funktioner. Denna innovations- kraft har lyft e-hälsoarbetet till den prioritet det har . Det är nödvändigt att omhänderta innovation och även frigöra innova- tionskraft. Innovationen måste få utrymme för att stärka nyttan för patienter och brukare. Därför fäster vi stor vikt vid att våra kom- mande förslag om statens framtida roller och styrning inte utformas så att nya initiativ på området hämmas. Den fråga som vi ser att aktörerna behöver hantera strategiskt är förhållandet mellan å ena sidan drift och förvaltning och å andra sidan innovation. Behov och nya idéer uppstår ofta i den dagliga verk- samheten och innovationer kan bidra till lokala lösningar. Inno- vationsarbetet kan således inte bedrivas för långt från verksamheten. Såväl verksamheter som innovationsarbete behöver väl fungerande it-stöd. Aktörernas it-avdelningar måste därmed ha en nära relation med både verksamheter och de enheter som driver innovationsarbe- te. ser vi emellertid att exempelvis it-avdelningarna vid lands- tingen sällan är involverade i innovationer. På it-avdelningarna vilar ett ansvar för daglig drift och förvaltning av befintliga system, med- an innovationsarbete kräver en annan miljö i form av exempelvis referensgrupper, test och utvecklingsmiljöer. Vi menar att innovation precis som upphandling bör betraktas som en ledningsfråga och att aktörerna behöver arbeta mer strategiskt med att främja ett långsiktigt innovationsarbete. I detta bör ingå att organisera innovationsarbetet så att det finns fungerande kanaler mellan innovation och verksamhet. nästa fas i e-hälsoarbetet 11 3 Vilket ansvar ska staten ta? Staten behöver styra det nationella e-hälsoarbetet för att skapa en säkrare och effektivare informationshantering, exempelvis med hjälp av normering, tillsyn, myndighetsstyrning och samordning. 3:1 Behov av tydlighet och styrning – genom befintliga styrinstrument I vårt arbete möter vi en samstämmig efterfrågan på ökad tydlighet, ordning och styrning inom e-hälsoområdet. För statens del kan denna efterfrågan mötas genom att staten använder de instrument man har. Detta kan innebära att lagstiftning och andra regelverk behöver utvecklas, det kan innebära en ökad tydlig- het i myndigheternas uppdrag, men även en tydlighet i vilket ansvar som redan åligger respektive aktör och huvudman. Som vi ser det kan detta också innebära nya roller och myndighetsuppdrag. För att skapa en säker och effektiv informationshantering i vård- och omsorgskedjor måste vissa verksamhetsövergripande beslut fattas på en högre beslutsnivå än hos aktörerna. Det kan exempelvis handla om teknisk och semantisk interoperabilitet där gemensamma lösningar underlättas av att beslutsfattandet organisatoriskt ligger på en nivå över aktörerna. Här skulle statlig styrning möjligen kunna driva utvecklingen snabbare framåt. Om staten (till exempel via eHälsomyndigheten) ställde vissa grundläggande nationella krav på funktionaliteten i verksamheternas it-stöd så skulle det kunna bidra till en mer enhetlig informationshantering över landet. Sådana krav bör också vara föremål för tillsyn, vilket vi återkommer till nedan. Vi menar att det också finns anledning att fundera på vilken typ av ansvar som staten bör ta. Här kan vi konstatera att Regeringskans- liet (särskilt ) tagit en stor del av det operativaansvaretiarbetetinomramenförstrateginNationelle-hälsa. Det är relativt ovanligt att ett departement har den rollen i ett löpande utvecklingsarbete. Vi tror att någon form av samverkans- arbete krävs även fortsättningsvis, exempelvis i form av en reviderad 12 nästa fas i e-hälsoarbetet eHälsostrategi (se nedan). De mer operativa delarna i det framtida nationella e-hälsoarbetet bör dock hanteras av myndigheter. Vi anser att eHälsomyndigheten skulle kunna ta det övergripande ansvaret och genom sitt eHälsokansli driva och koordinera utvecklingen i nära samverkan med övriga inblandade aktörer. 3:2 Utvecklad informationshantering kräver utvecklad tillsyn Inom området it-stöd och informationshantering i hälso- och sjuk- vården och är det flera myndigheter som har till- synsansvar. Det är främst Inspektionen för vård och omsorg (), Datainspektionen, och . I takt med att hälso- och sjukvården och utvecklas och nya sätt att hantera information implementeras måste, enligt vår mening, även tillsynen utvecklas. Det är nödvändigt att en myndig- het som utövar tillsyn över att journaler förs och att dokumen- tationen innehåller rätt uppgifter. Men ett journal- eller dokumen- tationssystem är inte bara bärare av information, det är också ett nödvändigt arbetsverktyg för yrkesutövarna i verksamheten. Detta verktyg måste kunna användas på ett säkert sätt. Det kräver såväl rätt kompetens hos användaren som rätt utformning av it-stöden. Stöden kan, om de inte är ändamålsenligt utformade, i sig inne- bära risker. IVO:s tillsyn är övergripande när det gäller patient- och brukarsäkerhet och den kompletteras av upp- drag att från utöva tillsyn av medicintekniska produkter och Datainspektionens uppdrag att utöva tillsyn av inte- gritetsfrågor. Det finns enligt vår bedömning anledning för aktörerna att i sam- band med upphandling arbeta mer aktivt med kravställning och utveckling av sina informationssystem. Hur ska systemen vara utformade för att vara användbara? Hur ska de vara utformade för att underlätta och stödja det arbete som utförs för individen? Hur ska de vara utformade för att säkerställa att viktig information inte missas i samband med ställningstaganden kring behandling? Hur ser ett ändamålsenligt användargränssnitt ut i olika delar av verksamheterna? Har verksamheten ändamålsenliga rutiner för in- och utloggning m.m.? Dessa verksamhetsnära frågor, som har be- tydelse för hur verksamheten kan bedrivas på ett gott, säkert och effektivt sätt, ingår därför också i tillsynsmyndigheternas uppdrag. nästa fas i e-hälsoarbetet 13 De informationssäkerhetsaspekter som aktualiseras i dessa fråge- ställningar har betydelse för individens säkerhet och kvaliteten i de insatser som erbjuds. I hälso- och sjukvården som handlar säkerheten såväl om att skydda patienten eller brukaren mot kroppsliga skador och psykiskt lidande och mot dödsfall som hade kunnat undvikas. Men kraven måste, enligt vår mening, ställas högre ; kvaliteten måste utvecklas och ständigt bli högre. Vi menar att det också kan finnas anledning för tillsynsmyndig- heterna att fånga upp de signaler som yrkesutövare inom hälso- och sjukvården lyft i olika sammanhang vad gäller informations- systemens användbarhet och det faktum att tekniken upplevs som ett hinder för att kunna ge god vård på ett effektivt sätt. Vi menar att behöver utveckla sin tillsyn över hur aktörerna hanterar informationssäkerhetsfrågor. Det är sannolikt att även till- synsmyndigheten behöver stärka sin kompetens för att kunna utöva såväl tillsyn av som stöd till aktörernas verksamhet inom e-hälso- området.