วิธี Audit Data Inventory ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

ทีมบริหารความเสี่ยงของโรงพยาบาลจำนวนไม่น้อยเชื่อว่าสิ่งที่ผู้ตรวจสอบภายนอกจะขอดูก่อนเป็นอันดับแรกคือใบยินยอมที่ผู้ป่วยเซ็นก่อนเข้ารับการรักษา และถ้ามีลายเซ็นครบทุกแผนกก็ถือว่าจัดการเรื่องข้อมูลส่วนบุคคลของผู้ป่วยเรียบร้อยแล้ว ความเชื่อนี้คลาดเคลื่อนจากความเป็นจริงมาก เพราะใบยินยอมบอกได้เพียงว่าผู้ป่วยอนุญาตให้เก็บข้อมูล ณ ช่วงเวลานั้น แต่ไม่เคยบอกเลยว่าหลังจากเซ็นแล้วข้อมูลของผู้ป่วยคนนั้นเดินทางต่อไปยังระบบใดบ้าง ถูกส่งให้ห้องปฏิบัติการภายนอกกี่แห่ง ปรากฏอยู่ในแอปนัดหมายที่เชื่อมกับไลน์ทางการของคลินิกหรือไม่ และถูกเก็บไว้ในระบบคลาวด์สำหรับภาพเอกซเรย์นานเท่าไรก่อนถูกลบทิ้ง คำถามเหล่านี้ตอบได้ด้วยบัญชี Data Inventory เท่านั้น ไม่ใช่ด้วยกองใบยินยอมที่เก็บอยู่ในตู้เอกสารหน้าเคาน์เตอร์

ความเข้าใจผิดอีกชั้นหนึ่งที่ตามมาคือคิดว่าเมื่อมีบัญชีรายชื่อระบบสักหนึ่งชุดแล้วงานก็จบ ทั้งที่ในทางปฏิบัติคลินิกและโรงพยาบาลเปลี่ยนผู้ให้บริการภายนอกบ่อยกว่าที่ผู้บริหารส่วนใหญ่คิด เปิดบริการปรึกษาแพทย์ทางไกลเพิ่มขึ้นใหม่ เปลี่ยนระบบจัดคิวหรือระบบแชทตอบคนไข้ทุกปีสองปี และเริ่มรับข้อมูลจากอุปกรณ์ตรวจวัดสุขภาพส่วนบุคคลที่ผู้ป่วยส่งเข้ามาเองโดยไม่มีใครแจ้งฝ่ายที่ดูแลบัญชีเลย บทความนี้จึงพาไล่ทีละขั้นตอนว่าคลินิก โรงพยาบาล และธุรกิจสุขภาพควร Audit บัญชี Data Inventory อย่างไรให้ตรงกับความเป็นจริง พร้อมตัวอย่าง Evidence ที่ควรเก็บไว้ในทุกรอบตรวจ ตามกรอบ NIST Privacy Framework ที่ใช้ฟังก์ชัน Identify เป็นจุดเริ่มต้นของการบริหารความเสี่ยงด้านข้อมูลส่วนบุคคลทั้งหมด

Data Inventory ของธุรกิจสุขภาพคือบัญชีที่บันทึกว่าข้อมูลผู้ป่วยแต่ละประเภทถูกเก็บไว้ที่ระบบใดบ้าง ตั้งแต่ระบบเวชระเบียน แอปนัดหมาย ไปจนถึงห้องแล็บภายนอกและผู้ให้บริการปรึกษาแพทย์ทางไกล การ Audit คือการนำบัญชีนี้มาเทียบกับความเป็นจริงเป็นระยะพร้อมเก็บหลักฐานของการตรวจไว้ทุกครั้ง เพราะระบบและผู้ให้บริการภายนอกของธุรกิจสุขภาพเปลี่ยนบ่อยกว่าที่ผู้บริหารส่วนใหญ่คิด การตรวจครั้งเดียวตอนเริ่มต้นจึงไม่พอ ต้องทำซ้ำตามรอบที่กำหนดและทุกครั้งที่มีระบบใหม่เข้ามาเกี่ยวข้องกับข้อมูลผู้ป่วย

ทำไมใบยินยอมผู้ป่วยไม่ใช่หลักฐานว่าองค์กรรู้จักข้อมูลของตัวเองดีพอ

ข้อมูลผู้ป่วยของสถานพยาบาลแห่งหนึ่งไม่เคยอยู่นิ่งในระบบเดียว ผู้ป่วยรายหนึ่งที่จองคิวผ่านแอปอาจมีข้อมูลพร้อมกันอยู่ในระบบนัดหมาย ระบบเวชระเบียนอิเล็กทรอนิกส์ ระบบเครือข่ายส่งต่อผู้ป่วยไปโรงพยาบาลพันธมิตรเมื่อเกินศักยภาพการรักษา ระบบจ่ายยาของร้านยาในเครือ และระบบคลาวด์เก็บภาพถ่ายทางการแพทย์ที่บริษัทภายนอกดูแลเซิร์ฟเวอร์ให้ ยิ่งสถานพยาบาลเปิดช่องทางปรึกษาแพทย์ทางไกลหรือให้ผู้ป่วยส่งค่าที่วัดจากอุปกรณ์สุขภาพส่วนตัวเข้ามา จำนวนระบบที่แตะข้อมูลผู้ป่วยก็ยิ่งมากกว่าที่ทีมบริหารมองเห็นในสายตาแรก

เมื่อระบบที่เกี่ยวข้องกระจายตัวมากขนาดนี้ ความเสี่ยงที่แท้จริงจึงไม่ได้อยู่ที่การไม่มีนโยบายความเป็นส่วนตัวหรือใบยินยอม แต่อยู่ที่การไม่รู้ตัวว่ามีระบบใดบ้างที่ถือข้อมูลผู้ป่วยอยู่ หากเกิดเหตุข้อมูลรั่วไหลจากระบบใดระบบหนึ่งที่ไม่มีใครนึกถึงมาก่อน เช่น ระบบแชทของพนักงานต้อนรับที่คุยนัดหมายผ่านไลน์ส่วนตัว องค์กรจะตอบคำถามพื้นฐานที่สุดไม่ได้ว่าผู้ป่วยกี่รายได้รับผลกระทบ และข้อมูลประเภทใดหลุดออกไปบ้าง บัญชี Data Inventory ที่ทำไว้ล่วงหน้าคือสิ่งเดียวที่ทำให้ตอบคำถามเหล่านี้ได้ทันเวลา แทนที่จะต้องมานั่งไล่สืบย้อนหลังในสถานการณ์ที่กดดันอยู่แล้ว

องค์ประกอบของ Data Inventory ภายใต้กรอบ NIST Privacy Framework สำหรับธุรกิจสุขภาพ

NIST Privacy Framework วางฟังก์ชันแรกสุดของการบริหารความเป็นส่วนตัวไว้ที่ Identify ซึ่งหมายถึงการทำความเข้าใจให้ชัดก่อนว่าองค์กรประมวลผลข้อมูลส่วนบุคคลประเภทใดบ้าง ผ่านระบบอะไร เพื่อวัตถุประสงค์ใด และส่งต่อให้ผู้ประมวลผลภายนอกรายใดบ้าง สำหรับธุรกิจสุขภาพ การแปลงหลักการนี้ให้ใช้งานได้จริงต้องแยกเป็นชั้นระบบ ได้แก่ ระบบเวชระเบียนหลัก ระบบนัดหมายและแอปมือถือของคลินิก เครือข่ายส่งต่อผู้ป่วยไปสถานพยาบาลอื่น ระบบจ่ายยาและร้านยาในเครือ ผู้ให้บริการปรึกษาแพทย์ทางไกล และระบบคลาวด์เก็บภาพถ่ายทางการแพทย์ที่ผู้ให้บริการภายนอกดูแลแทน

แต่ละรายการในบัญชีต้องระบุประเภทข้อมูลที่ไหลผ่าน เช่น ข้อมูลระบุตัวตนผู้ป่วย ประวัติการรักษา ผลตรวจทางห้องปฏิบัติการ ค่าที่วัดจากอุปกรณ์สุขภาพส่วนบุคคล และข้อมูลการเรียกเก็บเงิน หน่วยงานหรือทีมภายในที่เป็นเจ้าของระบบนั้น ผู้ให้บริการภายนอกที่รับข้อมูลไปพร้อมประเทศที่ตั้งเซิร์ฟเวอร์หากเป็นระบบคลาวด์ต่างประเทศ และระยะเวลาที่แต่ละระบบเก็บข้อมูลไว้ก่อนลบทิ้งหรือทำให้ไม่ระบุตัวตน บัญชีที่ขาดองค์ประกอบใดองค์ประกอบหนึ่งไปมักใช้ตอบคำขอใช้สิทธิของผู้ป่วยหรือรายงานเหตุการณ์ข้อมูลรั่วไหลได้ไม่ครบถ้วน

ข้อควรแยกให้ชัดคือ Data Inventory ไม่ใช่เอกสารเดียวกับนโยบายความเป็นส่วนตัวที่เผยแพร่ให้ผู้ป่วยอ่าน หรือใบยินยอมที่ให้ผู้ป่วยเซ็นก่อนตรวจ เอกสารสองแบบนั้นเป็นสิ่งที่บอกคนภายนอกว่าองค์กรอ้างว่าทำอะไรกับข้อมูล ในขณะที่ Data Inventory เป็นเอกสารทำงานภายในที่ละเอียดกว่ามากและไม่จำเป็นต้องเผยแพร่สู่สาธารณะ สถานพยาบาลที่มีแค่ใบยินยอมสวยงามแต่ไม่มีบัญชีภายในรองรับ มักตอบคำถามเชิงลึกไม่ได้ทันที เช่น ผลตรวจของผู้ป่วยรายหนึ่งถูกส่งไปยังผู้ให้บริการภายนอกกี่ราย เพราะไม่เคยมีบันทึกไว้อย่างเป็นระบบ

ขั้นตอน Audit บัญชี Data Inventory ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ

1. รวบรวมรายชื่อระบบที่ถือข้อมูลผู้ป่วยจากทุกแผนกก่อนเริ่มตรวจ — เริ่มจากประชุมสั้น ๆ กับตัวแทนแต่ละแผนก เช่น แผนกต้อนรับ แผนกพยาบาล แผนกการเงิน แผนกเภสัชกรรม และฝ่ายไอที ให้แต่ละแผนกเล่าว่าตนใช้ระบบใดที่เก็บข้อมูลผู้ป่วยบ้าง สถานพยาบาลหลายแห่งพบว่าเมื่อรวบรวมครบทุกแผนกแล้วมีระบบที่ไม่เคยอยู่ในสารบบมาก่อนอย่างน้อยหนึ่งระบบ เช่น กลุ่มไลน์ที่พยาบาลใช้ส่งผลตรวจให้แพทย์ปรึกษาทางไกลเป็นการภายใน
2. เทียบบัญชีเดิมกับระบบที่รวบรวมได้ใหม่ทีละรายการ — นำบัญชี Data Inventory ฉบับล่าสุดมาเทียบกับรายชื่อระบบที่รวบรวมได้จากขั้นตอนแรกทีละรายการ ระบบใดที่มีอยู่ในบัญชีแต่เลิกใช้งานไปแล้วให้ทำเครื่องหมายเพื่อพิจารณาลบออก พร้อมยืนยันว่าข้อมูลในระบบนั้นถูกจัดการอย่างเหมาะสมแล้ว ส่วนระบบใหม่ที่ไม่เคยอยู่ในบัญชีให้เพิ่มเข้าไปพร้อมรายละเอียดครบทุกช่อง
3. ตรวจสอบเครือข่ายส่งต่อผู้ป่วยและผู้ให้บริการภายนอกที่เกี่ยวข้องแต่ละราย — สถานพยาบาลขนาดกลางมักมีผู้ให้บริการภายนอกหลายรายที่แตะข้อมูลผู้ป่วยโดยไม่มีใครไล่รายชื่อไว้ครบ เช่น โรงพยาบาลพันธมิตรที่รับผู้ป่วยต่อเมื่อเกินศักยภาพ ห้องปฏิบัติการภายนอกที่รับส่งตัวอย่างตรวจ ผู้ให้บริการปรึกษาแพทย์ทางไกล และร้านยาในเครือที่รับใบสั่งยาอิเล็กทรอนิกส์ ต้องตรวจว่าแต่ละรายมีข้อตกลงด้านการประมวลผลข้อมูลที่ยังมีผลบังคับใช้หรือไม่
4. ตรวจตำแหน่งจัดเก็บและระยะเวลาการเก็บรักษาข้อมูลของแต่ละระบบเทียบกับที่บันทึกไว้ — หยิบระบบสองถึงสามระบบมาสุ่มตรวจว่าการตั้งค่าเก็บข้อมูลจริงตรงกับระยะเวลาที่บันทึกไว้ในบัญชีหรือไม่ และหากเป็นระบบคลาวด์เก็บภาพเอกซเรย์หรือผลตรวจที่ผู้ให้บริการต่างประเทศดูแล ต้องตรวจด้วยว่าเซิร์ฟเวอร์ตั้งอยู่ที่ใด สถานพยาบาลบางแห่งพบว่าระบบเก็บภาพถ่ายทางการแพทย์ตั้งค่าเก็บข้อมูลไว้ถาวรโดยไม่มีการลบเลย ทั้งที่บัญชีระบุระยะเวลาที่สั้นกว่านั้นมาก
5. สัมภาษณ์เจ้าของระบบแต่ละรายเพื่อยืนยันความถูกต้องของรายละเอียด — ผู้ทำ Audit ควรนัดคุยสั้น ๆ กับเจ้าของระบบแต่ละรายเพื่อยืนยันว่าวัตถุประสงค์การใช้ข้อมูล ผู้ที่เข้าถึงได้ และผู้ให้บริการภายนอกที่เกี่ยวข้อง ยังตรงกับที่บันทึกไว้ในบัญชีหรือไม่ เพราะรายละเอียดเหล่านี้เปลี่ยนได้บ่อยเมื่อมีการปรับกระบวนการทำงานภายในโดยไม่มีใครแจ้งผู้ดูแลบัญชี Data Inventory
6. บันทึกผล Audit พร้อมช่องว่างที่พบและแผนแก้ไขที่มีกำหนดเวลาชัดเจน — ทุกครั้งที่ Audit เสร็จสิ้น ต้องสรุปเป็นเอกสารว่าตรวจพบระบบใดที่ข้อมูลไม่ตรงกับบัญชี พบผู้ให้บริการภายนอกรายใดที่ยังไม่มีข้อตกลงชัดเจน และกำหนดว่าใครต้องแก้ไขเรื่องใดภายในวันที่เท่าไร เอกสารสรุปนี้เองที่จะกลายเป็นหลักฐานสำคัญเมื่อถูกตรวจสอบหรือเมื่อต้องตอบคำขอใช้สิทธิของผู้ป่วยในอนาคต

Evidence ที่ควรเก็บจากทุกรอบ Audit Data Inventory

หลักฐานของการ Audit แต่ละรอบไม่ควรกระจัดกระจายอยู่ตามความสะดวกของแต่ละแผนก แต่ควรรวมไว้ในที่เดียวที่ผู้ประสานงานเข้าถึงได้ทุกเวลา เมื่อหน่วยงานกำกับดูแลหรือผู้ป่วยยื่นคำร้องขอตรวจสอบ ทีมที่มีหลักฐานจัดเก็บเป็นระบบจะตอบคำถามได้เร็วกว่าทีมที่ต้องไล่ตามหาไฟล์จากหลายแผนกในเวลาที่กดดันอยู่แล้ว

ความถี่ในการ Audit ใครควรเป็นเจ้าของบัญชี และการเชื่อมโยงกับหัวข้ออื่น

สำหรับธุรกิจสุขภาพที่มีความเสี่ยงด้านข้อมูลอ่อนไหวสูงกว่าธุรกิจทั่วไป แนะนำให้ Audit บัญชี Data Inventory อย่างน้อยทุกสิบสองเดือนตามแนวทาง Review every 12 months และควรทำนอกรอบทันทีเมื่อเปลี่ยนผู้ให้บริการภายนอกรายใหม่ เปิดบริการทางการแพทย์รูปแบบใหม่ เช่น บริการปรึกษาแพทย์ทางไกล หรือเมื่อเกิดเหตุการณ์ที่ทำให้สงสัยว่าข้อมูลอาจรั่วไหล

อีกประเด็นที่มักถูกมองข้ามคือใครควรเป็นเจ้าของบัญชี Data Inventory ในองค์กรสุขภาพที่ไม่มีตำแหน่งเจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคลประจำ หลายแห่งแก้ปัญหานี้ด้วยการมอบหมายให้ผู้จัดการฝ่ายปฏิบัติการ หรือหัวหน้าแผนกคุณภาพเป็นผู้ประสานงานหลัก โดยไม่จำเป็นต้องเป็นผู้เชี่ยวชาญด้านกฎหมาย หน้าที่หลักคือนัดหมายให้ตัวแทนแต่ละแผนกมาให้ข้อมูลตามกำหนด รวบรวมคำตอบเป็นเอกสารเดียว และติดตามว่าแผนแก้ไขช่องว่างที่พบในรอบก่อนถูกดำเนินการจริงหรือไม่ก่อนเริ่มรอบถัดไป คลินิกขนาดกลางบางแห่งพบว่าเมื่อไม่มีผู้ประสานงานที่ชัดเจน บัญชี Data Inventory มักถูกทิ้งไว้เฉย ๆ นานเป็นปี จนเมื่อถึงเวลาต้องใช้จริงกลับพบว่าข้อมูลในบัญชีล้าสมัยไปมากแล้ว

แนวทางการทำ Data Inventory ในบทความนี้ใช้หลักการเดียวกันไม่ว่าจะเป็นธุรกิจสุขภาพหรือธุรกิจประเภทอื่น เพียงแต่รายละเอียดของระบบและผู้ให้บริการภายนอกจะต่างกันไปตามบริบทของแต่ละอุตสาหกรรม ผู้ที่ดูแลข้อมูลในองค์กรที่มีทั้งฝั่งธุรกิจสุขภาพและฝั่งเทคโนโลยีสามารถดูตัวอย่างการทำ Audit ในบริบทธุรกิจ SaaS เพิ่มเติมได้ที่ วิธี Audit Data Inventory ของธุรกิจ SaaS และดูแนวทางสำหรับองค์กรขนาดใหญ่ที่มีหลายแผนกได้ที่ เช็กลิสต์ Data Inventory สำหรับองค์กรการเงินและองค์กรขนาดใหญ่ ส่วนภาพรวมของหมวด Data Governance ทั้งหมดดูได้ที่ คลังความรู้ Data Governance

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit Data Inventory ธุรกิจสุขภาพ

• ทำ Data Inventory ครั้งเดียวตอนเปิดกิจการแล้วไม่กลับมาตรวจซ้ำ ทั้งที่มีบริการทางการแพทย์รูปแบบใหม่เพิ่มเข้ามาตลอดเวลา
• ให้ฝ่ายไอทีเขียนบัญชีเพียงฝ่ายเดียวโดยไม่สอบถามแผนกต้อนรับ แผนกพยาบาล หรือแผนกเภสัชกรรมที่ใช้ระบบอื่นอยู่
• เข้าใจว่าใบยินยอมของผู้ป่วยที่เซ็นไว้ทำหน้าที่แทนบัญชี Data Inventory ได้ ทั้งที่เป็นเอกสารคนละประเภทกัน
• ลืมรวมเครือข่ายส่งต่อผู้ป่วยและร้านยาในเครือเข้าไว้ในบัญชี ทั้งที่รับข้อมูลผู้ป่วยไปจริงทุกครั้งที่มีการส่งต่อ
• ไม่บันทึกผล Audit เป็นเอกสาร ทำให้เมื่อถูกสอบถามย้อนหลังไม่มีหลักฐานว่าเคยตรวจสอบจริง

สรุป

การ Audit Data Inventory ของธุรกิจสุขภาพต้องเริ่มจากการรวบรวมระบบจากทุกแผนกที่แตะข้อมูลผู้ป่วย ไม่ใช่ให้แผนกใดแผนกหนึ่งเขียนบัญชีขึ้นเองตามความจำ ตามด้วยการเทียบบัญชีเดิมกับความเป็นจริง ตรวจเครือข่ายส่งต่อผู้ป่วยและผู้ให้บริการภายนอก ตรวจตำแหน่งจัดเก็บและระยะเวลาการเก็บข้อมูล สัมภาษณ์เจ้าของระบบ และบันทึกผลพร้อมแผนแก้ไขที่มีกำหนดเวลา บัญชีที่ทำไว้อย่างครบถ้วนและทบทวนสม่ำเสมอคือรากฐานที่ทำให้องค์กรตอบคำขอใช้สิทธิของผู้ป่วยหรือรายงานเหตุการณ์ข้อมูลรั่วไหลได้ทันเวลา แต่การมีบัญชีที่ดีเป็นเพียงจุดเริ่มต้นของการบริหารความเสี่ยงด้านข้อมูล ไม่ใช่จุดสิ้นสุดของภาระหน้าที่ทั้งหมดตามกฎหมาย

แหล่งข้อมูลอ้างอิง

แนวทางการทำ Data Inventory ในบทความนี้อ้างอิงโครงสร้างฟังก์ชัน Identify ของ NIST Privacy Framework ซึ่งเป็นกรอบการบริหารความเสี่ยงด้านความเป็นส่วนตัวที่ใช้อ้างอิงกันแพร่หลาย โดยนำมาปรับให้เหมาะกับบริบทธุรกิจสุขภาพไทยและ PDPA ในฐานะกฎหมายที่บังคับใช้จริง ผู้อ่านควรตรวจสอบรายละเอียดที่ปรับปรุงล่าสุดจากเว็บไซต์ NIST โดยตรง และปรึกษาผู้เชี่ยวชาญด้านกฎหมายของแต่ละสถานพยาบาลประกอบการตัดสินใจ