เปรียบเทียบแนวทางจัดการ Data Inventory สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ: ทำเอง ใช้ปลั๊กอิน หรือใช้แพลตฟอร์ม

เจ็ดโมงเช้าวันจันทร์ พนักงานหน้าเคาน์เตอร์คลินิกแห่งหนึ่งเปิดสมุดนัดกระดาษ ระบบ HIS บนคอมพิวเตอร์ และไลน์แอดมินสำหรับตอบคนไข้พร้อมกันสามหน้าจอ ผู้จัดการคลินิกเคยถามในที่ประชุมว่า "ข้อมูลคนไข้ของเราอยู่ที่ไหนบ้าง" แล้วได้คำตอบที่ต่างกันสามแบบจากสามแผนก นี่คือจุดเริ่มต้นที่คลินิกและโรงพยาบาลจำนวนมากตระหนักว่าต้องมี Data Inventory คือบัญชีรายการข้อมูลที่บอกว่าเก็บอะไร เก็บที่ไหน ใครเข้าถึงได้ และส่งต่อให้ใครบ้าง

บทความนี้เทียบ 3 แนวทางที่ธุรกิจสุขภาพเลือกใช้จริง คือทำเองด้วยสเปรดชีต ใช้ปลั๊กอินหรือเครื่องมือแยกส่วนตรวจทีละระบบ และใช้แพลตฟอร์มรวมศูนย์ พร้อมชี้ให้เห็นว่าแต่ละแนวทางเหมาะกับคลินิกขนาดใด และข้อจำกัดที่ทีมงานต้องรู้ก่อนเลือก

ข้อมูลอะไรบ้างที่คลินิกและโรงพยาบาลต้องนับเข้า Data Inventory

งานแรกของ Data Inventory ไม่ใช่การเลือกเครื่องมือ แต่คือการไล่ดูว่าธุรกิจสุขภาพเก็บข้อมูลผ่านช่องทางใดบ้าง ระบบที่พบบ่อยในคลินิกและโรงพยาบาลไทยมีดังนี้

• ระบบ HIS/EMR ที่บันทึกประวัติการรักษา ผลตรวจ และใบสั่งยา
• แบบฟอร์มนัดหมายออนไลน์บนเว็บไซต์หรือแอป
• ไลน์ OA หรือแชตบอตที่คนไข้ใช้สอบถามและนัดหมาย
• ระบบชำระเงินและใบเสร็จที่เชื่อมกับธนาคารหรือผู้ให้บริการชำระเงิน
• กล้องวงจรปิดบริเวณจุดรับผู้ป่วยและห้องตรวจ
• อีเมลและเอกสารกระดาษที่ยังไม่ได้แปลงเป็นดิจิทัล
• ระบบส่งต่อผู้ป่วยหรือแล็บภายนอกที่รับผลตรวจไปวิเคราะห์

คลินิกขนาดเล็กมักมีระบบเหล่านี้ไม่ครบทุกข้อ ขณะที่โรงพยาบาลขนาดกลางถึงใหญ่มักมีระบบซ้อนกันหลายชุดที่แผนกต่าง ๆ เพิ่มเข้ามาเองโดยไม่ได้แจ้งส่วนกลาง ซึ่งเป็นสาเหตุหลักที่ทำให้ Data Inventory ตกหล่น หากยังไม่เคยเริ่มทำ ดูขั้นตอนพื้นฐานได้ที่ คู่มือ Data Inventory สำหรับธุรกิจสุขภาพ และภาพรวมของเสาหลักทั้งหมดที่ คลังความรู้ Data Governance

ทำไมข้อมูลสุขภาพต้องแยกชั้นความอ่อนไหวก่อนทำ Inventory

PDPA จัดข้อมูลด้านสุขภาพเป็นข้อมูลอ่อนไหวที่ต้องดูแลเข้มงวดกว่าข้อมูลทั่วไป การทำ Data Inventory ของธุรกิจสุขภาพจึงต้องมีคอลัมน์แยกระดับความอ่อนไหวของแต่ละแหล่งข้อมูล ไม่ใช่แค่ระบุว่าเก็บอะไร แต่ต้องระบุด้วยว่ารายการใดเป็นข้อมูลสุขภาพโดยตรง เช่น ผลตรวจและประวัติการรักษา และรายการใดเป็นข้อมูลทั่วไป เช่น ชื่อที่อยู่สำหรับนัดหมาย เพราะสองกลุ่มนี้ต้องการมาตรการดูแลและขอบเขตการเข้าถึงที่ต่างกัน ธุรกิจที่มีข้อมูลอ่อนไหวปริมาณมากหรือซับซ้อนควรให้ฝ่ายกฎหมายหรือผู้เชี่ยวชาญด้านความเป็นส่วนตัวช่วยตรวจการจัดชั้นนี้อีกครั้ง

แนวทางที่หนึ่ง: ทำเองด้วยสเปรดชีต

คลินิกจำนวนมากเริ่มต้นด้วยสเปรดชีตที่ทีมงานกรอกเอง โดยตั้งคอลัมน์ เช่น ชื่อระบบ ประเภทข้อมูล แหล่งที่มา ผู้เข้าถึง ระยะเวลาเก็บ และผู้ดูแล วิธีนี้ไม่มีค่าใช้จ่ายเพิ่ม เริ่มได้ทันที และเหมาะกับคลินิกที่มีระบบไม่กี่ระบบ

ข้อจำกัดคือสเปรดชีตไม่อัปเดตตัวเองเมื่อคลินิกเพิ่มระบบใหม่ เช่น เปลี่ยนผู้ให้บริการชำระเงินหรือเพิ่มไลน์ OA สาขาใหม่ หากไม่มีคนรับผิดชอบตรวจทบทวนเป็นรอบ ข้อมูลในสเปรดชีตจะล้าสมัยภายในไม่กี่เดือน และมักไม่มีการบันทึกหลักฐานว่าใครแก้ไขอะไรเมื่อใด

แนวทางที่สอง: ใช้ปลั๊กอินหรือเครื่องมือแยกส่วนตรวจทีละระบบ

บางคลินิกใช้เครื่องมือเฉพาะทาง เช่น ปลั๊กอินสแกนคุกกี้บนเว็บไซต์ ปลั๊กอินตรวจฟอร์มนัดหมาย หรือเครื่องมือของผู้ให้บริการ HIS ที่มีรายงานการเข้าถึงข้อมูลในตัว วิธีนี้ให้รายละเอียดเชิงลึกในระบบนั้น ๆ ดีกว่าสเปรดชีตทั่วไป และมักไม่ต้องเปลี่ยนระบบหลักที่ใช้อยู่

ข้อจำกัดสำคัญคือแต่ละเครื่องมือมองเห็นเฉพาะระบบของตัวเอง ทีมงานต้องนำผลจากหลายเครื่องมือมาต่อกันเองเพื่อให้เห็นภาพรวมทั้งองค์กร ซึ่งเสี่ยงตกหล่นตรงรอยต่อ เช่น ข้อมูลที่ไหลจากฟอร์มนัดหมายบนเว็บไปยัง HIS อาจไม่ถูกนับในเครื่องมือใดเลยเพราะอยู่คนละจุดตรวจ

แนวทางที่สาม: ใช้แพลตฟอร์มรวมศูนย์

แพลตฟอร์มอย่าง trusty ช่วยสแกนหน้าเว็บไซต์ของคลินิกเพื่อตรวจหาคุกกี้ สคริปต์ติดตาม และฟอร์มที่เก็บข้อมูลผู้ป่วยบนหน้าเว็บ พร้อมให้ทีมงานกรอกรายการระบบหลังบ้านที่สแกนจากภายนอกมองไม่เห็น เช่น HIS แล็บภายนอก หรือระบบ CRM ต่อในหน้ารายการเดียวกัน ข้อดีคือมีศูนย์กลางเดียวที่ทุกแผนกเห็นข้อมูลตรงกัน และมีบันทึกวันที่ปรับปรุงล่าสุด

ข้อจำกัดที่ต้องเข้าใจตรงไปตรงมาคือการสแกนอัตโนมัติตรวจได้เฉพาะสิ่งที่ปรากฏบนหน้าเว็บสาธารณะ ส่วนระบบ HIS เครื่องบันทึกเสียงสายด่วน หรือแฟ้มกระดาษยังต้องให้ทีมงานกรอกเพิ่มเองเสมอ แพลตฟอร์มไม่สามารถมองทะลุเข้าไปในฐานข้อมูลภายในของโรงพยาบาลได้

ตารางเปรียบเทียบ 3 แนวทาง

เลือกแนวทางตามขนาดคลินิกหรือโรงพยาบาล

คลินิกเดี่ยว ระบบไม่เกิน 3-4 ระบบ

สเปรดชีตที่มีเจ้าของงานชัดเจนและทบทวนทุกไตรมาสมักเพียงพอ สิ่งสำคัญคือต้องกำหนดวันทบทวนไว้ล่วงหน้า ไม่ใช่รอให้มีปัญหาก่อนถึงจะเปิดไฟล์มาดู

เครือคลินิกหรือโรงพยาบาลขนาดกลาง

เมื่อมีหลายสาขาและหลายแผนกเพิ่มระบบเองได้ การรวมศูนย์ด้วยแพลตฟอร์มช่วยให้ผู้บริหารเห็นภาพเดียวกันโดยไม่ต้องรอให้แต่ละสาขาส่งรายงานแยกกัน แต่ยังต้องมีเจ้าของงานกรอกส่วนหลังบ้านต่อเนื่อง

โรงพยาบาลขนาดใหญ่หรือเครือข่ายหลายจังหวัด

มักต้องผสมทั้งสามแนวทาง คือใช้แพลตฟอร์มรวมศูนย์เป็นแกนหลัก ใช้เครื่องมือเฉพาะทางตรวจระบบ HIS ที่มีความซับซ้อนสูง และยังต้องมีทีมกำกับดูแลกลางที่ทบทวนความถูกต้องเป็นรอบ เพราะไม่มีเครื่องมือใดครอบคลุมระบบเฉพาะทางของโรงพยาบาลได้ทั้งหมด

ต้นทุนแฝงที่มักถูกมองข้ามในแต่ละแนวทาง

ทีมงานคลินิกมักเปรียบเทียบแค่ค่าใช้จ่ายที่มองเห็นตรง ๆ เช่น ค่าสมัครเครื่องมือ แต่ต้นทุนที่ทำให้ Data Inventory ล้มเหลวจริงมักเป็นต้นทุนแฝงที่ไม่มีในใบเสนอราคา

สำหรับแนวทางทำเองด้วยสเปรดชีต ต้นทุนแฝงคือเวลาของพนักงานที่ต้องกันไว้ทบทวนไฟล์ทุกไตรมาส และความเสี่ยงที่ไฟล์จะสูญหายหรือมีหลายเวอร์ชันกระจายอยู่ในเครื่องของคนหลายคน หากพนักงานที่ดูแลไฟล์ลาออก ความรู้เกี่ยวกับที่มาของแต่ละแถวมักหายไปพร้อมกัน

สำหรับแนวทางใช้ปลั๊กอินหรือเครื่องมือแยกส่วน ต้นทุนแฝงคือเวลาที่ทีมไอทีต้องเข้าไปดึงรายงานจากแต่ละเครื่องมือมาประกอบกันเอง และความเสี่ยงที่รายงานจากเครื่องมือต่างค่ายจะใช้คำศัพท์หรือหมวดหมู่ไม่ตรงกัน เช่น เครื่องมือหนึ่งเรียกคุกกี้วิเคราะห์ผลว่า Analytics ขณะอีกเครื่องมือเรียกว่า Statistics ทำให้เวลานำมารวมกันต้องมีคนแปลความหมายซ้ำ

สำหรับแนวทางแพลตฟอร์มรวมศูนย์ ต้นทุนแฝงคือค่าบริการรายปีที่ต้องวางแผนงบประมาณล่วงหน้า และเวลาที่ทีมงานยังต้องกรอกข้อมูลระบบหลังบ้านเองในช่วงตั้งต้น ซึ่งมักถูกมองข้ามว่าแพลตฟอร์มจะทำงานให้ทั้งหมดโดยอัตโนมัติ ทั้งที่ในทางปฏิบัติทีมงานยังต้องมีส่วนร่วมตรวจสอบความถูกต้องของข้อมูลที่กรอกเองอยู่ดี

สัญญาณที่บอกว่าถึงเวลาต้องเปลี่ยนแนวทาง

คลินิกไม่จำเป็นต้องตัดสินใจเลือกแนวทางเดียวตลอดไป สัญญาณที่บ่งบอกว่าสเปรดชีตเริ่มไม่พอ ได้แก่ จำนวนแถวในไฟล์เกินร้อยรายการจนหาข้อมูลยาก มีมากกว่าหนึ่งสาขาที่ต้องรายงานเข้าส่วนกลาง หรือฝ่ายบริหารเริ่มถามหารายงานภาพรวมที่สเปรดชีตให้ไม่ได้ทันที ในทางกลับกัน หากคลินิกใช้แพลตฟอร์มรวมศูนย์อยู่แล้วแต่พบว่าทีมงานไม่เคยเข้าไปกรอกส่วนหลังบ้านเลยเป็นเวลาหลายเดือน นั่นเป็นสัญญาณว่าเครื่องมือไม่ได้ช่วยแก้ปัญหาจริง แต่กลายเป็นภาระเพิ่มที่ไม่มีใครดูแล

เช็กลิสต์ปฏิบัติ

• ลิสต์ระบบทุกจุดที่เก็บข้อมูลผู้ป่วย รวมถึงระบบที่แผนกย่อยเพิ่มเองโดยไม่แจ้งส่วนกลาง
• แยกคอลัมน์ระดับความอ่อนไหวของข้อมูลในแต่ละแหล่ง โดยเฉพาะข้อมูลสุขภาพโดยตรง
• กำหนดเจ้าของงาน (Owner) รายระบบที่ต้องรายงานเมื่อมีการเปลี่ยนแปลง
• ตั้งรอบทบทวน Data Inventory อย่างน้อยทุก 6-12 เดือน หรือทันทีเมื่อเพิ่มระบบใหม่
• ระบุว่าข้อมูลรายการใดถูกส่งต่อให้แล็บภายนอกหรือผู้ให้บริการชำระเงิน
• ทดสอบว่าฟอร์มนัดหมายบนเว็บไซต์ส่งข้อมูลไปที่ระบบใดจริง ไม่ใช่แค่เดาจากเอกสารเก่า
• เก็บหลักฐานวันที่ปรับปรุง Inventory ล่าสุดไว้เผื่อทีมกฎหมายหรือผู้ตรวจสอบขอดู

ข้อผิดพลาดที่พบบ่อย

• ทำ Data Inventory ครั้งเดียวตอนเปิดคลินิกแล้วไม่เคยทบทวนซ้ำ ทั้งที่ระบบเปลี่ยนทุกปี
• นับเฉพาะระบบที่ IT ดูแล แต่ลืมไลน์ OA หรือฟอร์มกระดาษที่แผนกต้อนรับใช้เอง
• ใช้แพลตฟอร์มสแกนเว็บไซต์แล้วเข้าใจว่าครอบคลุมระบบ HIS หลังบ้านไปด้วย ทั้งที่ต้องกรอกเพิ่มเอง
• ไม่แยกข้อมูลอ่อนไหวออกจากข้อมูลทั่วไป ทำให้กำหนดมาตรการดูแลผิดระดับ
• ไม่มีเจ้าของงานชัดเจน เมื่อแผนกเปลี่ยนระบบใหม่จึงไม่มีใครอัปเดต Inventory

คำถามที่พบบ่อย

คลินิกขนาดเล็กจำเป็นต้องใช้แพลตฟอร์มรวมศูนย์ทำ Data Inventory หรือไม่

ไม่จำเป็นเสมอไป คลินิกที่มีระบบไม่กี่ระบบและมีคนดูแลชัดเจนอาจเริ่มจากสเปรดชีตที่ทบทวนสม่ำเสมอได้ก่อน แล้วค่อยพิจารณาแพลตฟอร์มเมื่อจำนวนสาขาหรือระบบเพิ่มขึ้น

Data Inventory ต่างจาก Data Mapping อย่างไร

Data Inventory คือบัญชีรายการว่าเก็บข้อมูลอะไรที่ไหน ส่วน Data Mapping สำหรับธุรกิจสุขภาพ คือการตามรอยว่าข้อมูลนั้นไหลจากจุดหนึ่งไปอีกจุดหนึ่งอย่างไร ทั้งสองงานควรทำต่อเนื่องกัน

แพลตฟอร์มสแกนเว็บไซต์เห็นข้อมูลใน HIS ได้หรือไม่

โดยทั่วไปไม่เห็น การสแกนจากภายนอกตรวจได้เฉพาะสิ่งที่ปรากฏบนหน้าเว็บสาธารณะ เช่น คุกกี้และฟอร์ม ส่วนระบบ HIS หรือฐานข้อมูลภายในต้องให้ทีมงานกรอกข้อมูลเพิ่มเองในหน้า Inventory

ต้องทบทวน Data Inventory บ่อยแค่ไหน

แนะนำอย่างน้อยทุก 6-12 เดือน และทุกครั้งที่เพิ่มหรือเปลี่ยนระบบสำคัญ เช่น เปลี่ยนผู้ให้บริการชำระเงินหรือเพิ่มสาขาใหม่

สรุป

ไม่มีแนวทางเดียวที่เหมาะกับคลินิกและโรงพยาบาลทุกขนาด คลินิกเดี่ยวอาจเริ่มจากสเปรดชีตที่มีวินัยการทบทวน ส่วนเครือคลินิกหรือโรงพยาบาลขนาดกลางถึงใหญ่มักต้องพึ่งแพลตฟอร์มรวมศูนย์ผสมกับเครื่องมือเฉพาะทาง สิ่งที่สำคัญกว่าการเลือกเครื่องมือคือการกำหนดเจ้าของงานและรอบทบทวนที่ทำได้จริง เพราะ Data Inventory ที่ล้าสมัยไม่ต่างจากไม่มี Inventory เลย

แหล่งข้อมูลอ้างอิง

• NIST Privacy Framework
• สำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (PDPC)