Gunvor Eldegard (Arbeiderpartiet), 2015-05-12:
Dette er jo ei sak som komiteen stort sett har vore samla om heile vegen, men eg har berre lyst til å gje nokre kommentarar. Kontrollane til Riksrevisjonen syner at eigarskapsutøvinga på dei undersøkte områda bør styrkast, både gjennom oppfølging av fastsette mål og krav og gjennom meir erfaringsoverføring. Dei sentrale funna til Riksrevisjonen er: Kapitalstrukturen gjev i liten grad disiplinerande insentiv til effektiv drift. Det er mangelfulle risiko- og sårbarheitsanalysar i helseføretak. Det er mangel på kontrollregime for oppfølginga av tilgangsbruken i elektroniske pasientjournalar. Norsk Tipping har eit effektiviseringspotensial. Universitet og høgskular må styrka si oppfølging av sine selskap. Eg vil kommentera det som gjeld beredskap og elektronisk pasientjournal: Når det gjeld helseføretaka sin beredskap innan IKT, vatn og straum, ser me at det manglar både risiko- og sårbarheitsanalysar og beredskapsplanar, og det er altfor få øvingar. Og sjølv om leiinga i departementet og dei regionale helseføretaka har lagt til rette for beredskapsarbeidet, har oppfølginga vore svak. Det er viktig at dette vert følgt opp av både departementet og føretaka. For når ein ser at 9 av dei 19 undersøkte helseføretaka manglar ROS-analysar for ein eller fleire av innsatsfaktorane, og at 13 helseføretak manglar ein eller fleire beredskapsplanar, så er eg veldig glad for at dette har vorte avdekt i rapporten, og eg forventar at dette no vert ordna opp i – både i kvalitet og i kvantitet. Me veit jo at etter den 22. juli 2011 så var det jo helseføretaka som faktisk kom veldig godt ut av det i rapportane etterpå. Dei gjorde ein veldig god jobb. Det var bra, men ein må òg vera trygg på at systemet fungerer dersom det skjer noko med IKT, eller med vatn- eller straumforsyninga. Når det gjeld elektronisk pasientjournal, EPJ, har dei fire helseføretaka utarbeidd skriftlege prosedyrar basert på regelverket om bl.a. personleg systempålogging, tilgangsstyring og loggkontroll i EPJ-systemet. Likevel er det mange eksempel på manglande etterleving av og lite kunnskap om interne rutinar og gjeldande regelverk: I to av fire helseføretak har tilsette lånt kvarandres brukar-ID og passord for pålogging til EPJ-systemet. Det viser seg at det er gjennomgåande for lite kunnskap om dei tre ulike tilgangsrettane til systemet som helseføretaka nyttar, og manglande kunnskap om når dei skal brukast. Og ingen av helseføretaka har gjennomført sikkerheitsrevisjonar, slik regelverket pålegg, og det er ulik oppfatning blant helseføretaka om kva pålegget inneber. Og det er ingen av helseføretaka som fører journalansvarlig i journalen, slik det står i regelverket at ein skal gjera, og det er gjennomgåande manglande kunnskap om kva ansvar journalansvarleg har. Riksrevisjonen meiner at helseføretaka verken har implementert gjeldande regelverk i tilstrekkeleg grad, eller i tilstrekkeleg grad lagt til rette for at dei tilsette vert i stand til å overhalda sine lovpålagde plikter for behandling av sensitive, teiepliktige helseopplysningar. Det er dessutan uheldig at pålegg i regelverk vert tolka og praktisert ulikt i ulike helseføretak. Det er alvorleg at helseføretaka ikkje har systematisk kontroll og oppfølging av dei tilsette sine tilgangar i EPJ, og me ber Helse- og omsorgsdepartementet ta anbefalingane frå Riksrevisjonen, slik at personvernet for pasientar i helsevesenet vert forbetra.