วิธี Audit Data Mapping ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

ข้อมูลผู้ป่วยหนึ่งรายในคลินิกทั่วไปมักไม่ได้อยู่นิ่งในระบบเดียว จากการสำรวจกระบวนการทำงานของคลินิกและโรงพยาบาลขนาดกลางหลายแห่งพบว่า ข้อมูลของผู้ป่วยรายหนึ่งอาจไหลผ่านระบบตั้งแต่ 5 ถึง 8 ระบบก่อนที่การรักษาจะจบรอบหนึ่ง เริ่มจากระบบนัดหมายออนไลน์ ไปยังระบบเวชระเบียนอิเล็กทรอนิกส์ ต่อไปยังห้องแล็บภายนอกที่รับตรวจตัวอย่าง ส่งต่อไปยังระบบเรียกเก็บเงินและประกันสุขภาพ และบางครั้งยังถูกส่งต่อไปยังระบบแจ้งเตือนผลตรวจทาง SMS หรืออีเมลอีกด้วย ตัวเลขนี้สำคัญเพราะมันหมายความว่าแผนผัง Data Mapping ของธุรกิจสุขภาพจะไม่มีวันเสร็จสมบูรณ์ได้ในครั้งเดียว แต่ต้องมีรอบ Audit ที่ตรวจสอบซ้ำอย่างสม่ำเสมอ เพื่อให้แน่ใจว่าแผนผังยังตรงกับสิ่งที่เกิดขึ้นจริงในแต่ละระบบ

การ Audit Data Mapping ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ คือการตรวจว่าแผนผังเส้นทางข้อมูลผู้ป่วยที่มีอยู่ยังตรงกับระบบจริงหรือไม่ โดยเทียบทีละเส้นทางว่าระบบนัดหมาย ระบบเวชระเบียน ห้องแล็บภายนอก และผู้ให้บริการเรียกเก็บเงินยังรับส่งข้อมูลตามที่บันทึกไว้หรือมีการเปลี่ยนแปลงที่ไม่ถูกอัปเดต พร้อมเก็บ Evidence เช่น บันทึกการตรวจ สัญญากับคู่ค้า และผลการเทียบเส้นทางแต่ละรอบไว้ใช้ตอบผู้ตรวจสอบเมื่อจำเป็น

ทำไมธุรกิจสุขภาพต้อง Audit Data Mapping บ่อยกว่าธุรกิจทั่วไป

ข้อมูลสุขภาพเป็นข้อมูลอ่อนไหวที่กฎหมายให้ความสำคัญเป็นพิเศษ และคลินิกหรือโรงพยาบาลมักทำงานร่วมกับคู่ค้าภายนอกจำนวนมากพร้อมกัน ทั้งห้องแล็บ บริษัทประกันสุขภาพ ผู้ให้บริการระบบเวชระเบียน และผู้ให้บริการแจ้งเตือนผลตรวจ แต่ละรายอาจเปลี่ยนแปลงระบบหรือเงื่อนไขการรับส่งข้อมูลโดยที่ทีมภายในคลินิกไม่ทันรู้ตัว การ Audit จึงไม่ใช่แค่การตรวจว่าแผนผังมีอยู่หรือไม่ แต่ต้องตรวจว่าแผนผังนั้นยังสะท้อนความจริงของการทำงานในปัจจุบันหรือไม่ เพราะความคลาดเคลื่อนระหว่างแผนผังกับความจริงคือช่องว่างที่ทำให้องค์กรตอบคำถามผู้ป่วยหรือผู้ตรวจสอบไม่ได้เมื่อถูกถามตรง ๆ ว่าข้อมูลของเขาไปอยู่ที่ไหนบ้าง

ขั้นตอนที่ 1: รวบรวมแผนผัง Data Mapping ปัจจุบันมาเป็นจุดตั้งต้น

ก่อนเริ่ม Audit ต้องมีแผนผังฉบับล่าสุดที่ใช้อยู่เป็นจุดอ้างอิง หากคลินิกยังไม่เคยทำแผนผังมาก่อน ขั้นตอนแรกของการ Audit คือการสร้างแผนผังเบื้องต้นขึ้นมาก่อน โดยเริ่มจากจุดที่ข้อมูลผู้ป่วยเข้าสู่ระบบครั้งแรก เช่น แบบฟอร์มนัดหมายหรือจุดลงทะเบียนหน้าเคาน์เตอร์ แล้วไล่ตามรอยไปทีละระบบ หากมีแผนผังเดิมอยู่แล้ว ให้นำมาเป็นรายการตรวจสอบทีละเส้นทาง โดยเตรียมคอลัมน์ไว้บันทึกว่าแต่ละเส้นทางยังตรงกับความจริงหรือมีการเปลี่ยนแปลง

ขั้นตอนที่ 2: สัมภาษณ์เจ้าของระบบแต่ละจุดแทนการอ่านเอกสารเก่า

เอกสารแผนผังเก่ามักไม่สะท้อนการเปลี่ยนแปลงที่เกิดขึ้นจริง เพราะเมื่อคลินิกเปลี่ยนห้องแล็บที่ทำงานด้วย หรือเปลี่ยนผู้ให้บริการส่ง SMS แจ้งผลตรวจ มักไม่มีใครแจ้งกลับมาที่เจ้าของแผนผัง วิธีที่ได้ผลจริงคือนัดคุยกับเจ้าหน้าที่ที่ทำงานหน้างานในแต่ละจุด เช่น พยาบาลที่ดูแลระบบนัดหมาย เจ้าหน้าที่การเงินที่ดูแลระบบเรียกเก็บเงิน และเจ้าหน้าที่ไอทีที่ดูแลระบบเวชระเบียน แล้วถามตรง ๆ ว่าตอนนี้ระบบส่งข้อมูลต่อไปที่ใดบ้าง มีการเปลี่ยนผู้ให้บริการในช่วงที่ผ่านมาหรือไม่

ในการสัมภาษณ์ ควรเตรียมคำถามให้เจาะจง แทนที่จะถามกว้าง ๆ ว่า "มีอะไรเปลี่ยนไหม" เพราะคำถามกว้างมักได้คำตอบว่า "ไม่มี" ทั้งที่จริงมีการเปลี่ยนแปลงเกิดขึ้น ควรถามเจาะจงเป็นรายระบบ เช่น "ตอนนี้ผลตรวจแล็บส่งกลับมาทางช่องทางไหน เปลี่ยนจากเดิมหรือไม่" หรือ "ใบเรียกเก็บเงินที่ส่งให้บริษัทประกันตอนนี้ผ่านระบบเดิมหรือมีระบบใหม่เข้ามาแทน" คำถามที่เจาะจงแบบนี้ช่วยดึงรายละเอียดที่คนหน้างานอาจมองข้ามไปเพราะเป็นงานประจำที่ทำทุกวันจนไม่รู้สึกว่าเป็นการเปลี่ยนแปลง

ขั้นตอนที่ 3: ตรวจเส้นทางที่ส่งข้อมูลออกนอกคลินิกเป็นพิเศษ

เส้นทางที่มีความเสี่ยงสูงที่สุดในธุรกิจสุขภาพคือเส้นทางที่ข้อมูลออกจากคลินิกไปสู่คู่ค้าภายนอก เช่น การส่งผลตรวจจากห้องแล็บกลับมา การส่งเอกสารเบิกจ่ายให้บริษัทประกัน หรือการส่งข้อมูลให้แพทย์เฉพาะทางภายนอกที่รับส่งต่อผู้ป่วย แต่ละเส้นทางเหล่านี้ควรตรวจสอบว่าส่งผ่านช่องทางที่เข้ารหัสหรือไม่ เช่น ระบบที่มีการยืนยันตัวตนและเข้ารหัสระหว่างส่ง หรือยังคงส่งผ่านโทรสารและอีเมลธรรมดาที่ไม่มีการป้องกันใด ๆ ซึ่งพบได้บ่อยในคลินิกขนาดเล็กที่ยังใช้กระบวนการทำงานแบบดั้งเดิม

อีกจุดที่ควรตรวจในขั้นตอนนี้คือเส้นทางข้อมูลที่เกี่ยวกับการส่งต่อผู้ป่วยระหว่างสถานพยาบาล เช่น เมื่อคลินิกส่งต่อผู้ป่วยไปโรงพยาบาลที่มีศักยภาพสูงกว่าเพื่อรักษาต่อ ข้อมูลประวัติการรักษาและผลตรวจมักถูกส่งไปพร้อมกันในรูปแบบเอกสารหรือไฟล์แนบ หากไม่มีระบบกลางที่ปลอดภัยรองรับ เจ้าหน้าที่มักเลือกวิธีที่สะดวกที่สุดในขณะนั้น เช่น ถ่ายรูปเอกสารส่งผ่านแอปพลิเคชันแชททั่วไป ซึ่งเป็นเส้นทางที่มีความเสี่ยงสูงมากแต่มักไม่ถูกบันทึกไว้ในแผนผังอย่างเป็นทางการเลย

ขั้นตอนที่ 4: ตรวจสอบสัญญากับคู่ค้าภายนอกว่ายังครอบคลุมเส้นทางจริง

สำหรับแต่ละเส้นทางที่ส่งข้อมูลออกนอกคลินิก ต้องตรวจว่ามีสัญญาหรือข้อตกลงประมวลผลข้อมูลกับคู่ค้ารายนั้นหรือไม่ และเงื่อนไขในสัญญายังครอบคลุมประเภทข้อมูลที่ส่งจริงในปัจจุบัน กรณีที่พบบ่อยคือคลินิกเริ่มใช้บริการห้องแล็บใหม่โดยผ่านการแนะนำจากแพทย์ในเครือข่าย แล้วเริ่มส่งข้อมูลผู้ป่วยไปทันทีโดยยังไม่มีการเซ็นสัญญาอย่างเป็นทางการ การ Audit ต้องจับเส้นทางลักษณะนี้ให้เจอ และผลักดันให้มีสัญญาที่ถูกต้องก่อนส่งข้อมูลต่อไป

ในโรงพยาบาลขนาดใหญ่ที่มีแผนกจำนวนมาก การตรวจสัญญาควรทำเป็นตารางกลางที่ทุกแผนกเข้าถึงได้ แทนที่จะให้แต่ละแผนกเก็บสัญญาของตัวเองแยกกัน เพราะเคยพบกรณีที่แผนกรังสีวิทยาและแผนกกายภาพบำบัดต่างฝ่ายต่างทำสัญญากับผู้ให้บริการจัดเก็บภาพทางการแพทย์รายเดียวกัน แต่เนื้อหาสัญญาระบุเงื่อนไขการใช้ข้อมูลไม่ตรงกัน ทำให้เมื่อผู้ตรวจสอบขอดูสัญญา โรงพยาบาลตอบไม่ได้ชัดเจนว่าเงื่อนไขจริงที่ใช้อยู่คือฉบับใดกันแน่

ขั้นตอนที่ 5: เทียบผลการ Audit รอบนี้กับรอบก่อนหน้าเพื่อดูแนวโน้ม

การ Audit ที่มีคุณค่าไม่ใช่แค่ตรวจแล้วจบ แต่ควรเทียบผลกับรอบก่อนหน้าเพื่อดูว่าจำนวนเส้นทางที่คลาดเคลื่อนเพิ่มขึ้นหรือลดลง หากพบว่าทุกรอบมีเส้นทางใหม่ที่ไม่เคยถูกบันทึกโผล่ขึ้นมาเรื่อย ๆ นั่นอาจสะท้อนว่ากระบวนการแจ้งเตือนเมื่อมีการเปลี่ยนแปลงระบบยังไม่รัดกุมพอ ควรย้อนกลับไปแก้ที่กระบวนการต้นทาง เช่น กำหนดให้การอนุมัติคู่ค้าใหม่ทุกรายต้องผ่านการแจ้งทีม Governance ก่อนเริ่มใช้งานจริง ไม่ใช่แจ้งย้อนหลังตอน Audit

การเทียบผลย้อนหลังยังช่วยให้เห็นรูปแบบของปัญหาที่เกิดซ้ำ เช่น หากทุกรอบพบว่าเส้นทางที่คลาดเคลื่อนมักมาจากแผนกเดียวกัน อาจสะท้อนว่าแผนกนั้นขาดความเข้าใจเรื่องการแจ้งเปลี่ยนแปลงระบบ หรือมีภาระงานมากจนไม่มีเวลาแจ้งทีม Governance ตามขั้นตอน การแก้ปัญหาที่ต้นเหตุแบบนี้ได้ผลกว่าการไล่แก้เส้นทางทีละจุดในทุกรอบ Audit โดยไม่มองภาพรวมว่าปัญหาเดิมมาจากจุดใดซ้ำ ๆ

Evidence ที่ควรเก็บไว้จากการ Audit แต่ละรอบ

สิ่งที่ผู้ตรวจสอบมักถามหาไม่ใช่แค่แผนผังฉบับล่าสุด แต่คือหลักฐานว่าคลินิกทำการ Audit จริงอย่างต่อเนื่อง ควรเก็บบันทึกวันที่ Audit แต่ละรอบ รายชื่อผู้ที่ถูกสัมภาษณ์ ผลการเทียบเส้นทางว่าตรงหรือคลาดเคลื่อนจุดใดบ้าง และสำเนาสัญญากับคู่ค้าที่เกี่ยวข้องในแต่ละเส้นทาง เอกสารเหล่านี้ไม่จำเป็นต้องซับซ้อน แต่ต้องมีอยู่จริงและปรับปรุงต่อเนื่อง เพราะเป็นสิ่งที่แสดงให้เห็นว่าคลินิกดูแลข้อมูลผู้ป่วยด้วยกระบวนการที่มีวินัย ไม่ใช่แค่ทำเอกสารไว้ครั้งเดียวแล้วเก็บเข้าลิ้นชัก

คลินิกขนาดเล็กที่มีทรัพยากรจำกัดไม่จำเป็นต้องใช้ระบบจัดเก็บเอกสารที่ซับซ้อน เพียงมีโฟลเดอร์กลางที่แยกตามรอบ Audit แต่ละครั้ง เก็บไฟล์บันทึกการสัมภาษณ์ ผลการเทียบเส้นทาง และสำเนาสัญญาไว้ในที่เดียวกันก็เพียงพอ สิ่งสำคัญกว่ารูปแบบการจัดเก็บคือความสม่ำเสมอ หากมีเพียงบันทึกของรอบล่าสุดโดยไม่มีประวัติย้อนหลัง ผู้ตรวจสอบจะไม่เห็นแนวโน้มว่าคลินิกดูแลเรื่องนี้อย่างต่อเนื่องมานานแค่ไหน

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit Data Mapping ของธุรกิจสุขภาพ

ข้อผิดพลาดแรกคือ Audit เฉพาะระบบหลักอย่างเวชระเบียน แต่ข้ามระบบเสริมอย่างระบบแจ้งเตือนผลตรวจทาง SMS หรือระบบสำรองข้อมูลที่มักมีคู่ค้าคนละรายกัน ข้อผิดพลาดที่สองคือให้ฝ่ายไอทีเป็นผู้ Audit เพียงฝ่ายเดียวโดยไม่สัมภาษณ์เจ้าหน้าที่หน้างานที่รู้ความเปลี่ยนแปลงจริง และข้อผิดพลาดที่สามคือทำ Audit เสร็จแล้วไม่แก้ไขเส้นทางที่พบว่าคลาดเคลื่อน ปล่อยให้รอบถัดไปเจอปัญหาเดิมซ้ำอีก ซึ่งสะท้อนว่าการ Audit ไม่ได้ถูกใช้เพื่อปรับปรุงจริง แต่ทำเพียงเพื่อให้มีเอกสารไว้แสดง

ข้อผิดพลาดที่สี่ซึ่งมักถูกมองข้ามคือการไม่แยกแยะระหว่างเส้นทางข้อมูลที่เกี่ยวกับการรักษาโดยตรงกับเส้นทางข้อมูลเชิงบริหาร เช่น ข้อมูลที่ใช้ทำรายงานสถิติผู้ป่วยเพื่อวางแผนงบประมาณ ทั้งสองกลุ่มมีระดับความเสี่ยงต่างกัน และควรมีรอบ Audit ที่เหมาะสมต่างกันด้วย การ Audit แบบเหมารวมทุกเส้นทางด้วยมาตรฐานเดียวกันอาจทำให้ทีมงานเสียเวลากับเส้นทางความเสี่ยงต่ำมากเกินไป จนเวลาที่ควรทุ่มให้เส้นทางความเสี่ยงสูงกลับไม่พอ

สรุป การ Audit Data Mapping คือวินัยที่ต้องทำต่อเนื่อง ไม่ใช่งานครั้งเดียว

สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ ข้อมูลผู้ป่วยไหลผ่านระบบและคู่ค้าจำนวนมากกว่าที่คนทั่วไปคิด การ Audit แผนผัง Data Mapping อย่างสม่ำเสมอคือวิธีเดียวที่จะทำให้องค์กรรู้ตัวก่อนว่ามีเส้นทางใดคลาดเคลื่อนจากความจริง ก่อนที่ผู้ตรวจสอบหรือผู้ป่วยจะเป็นคนถามเข้ามาก่อน การเก็บ Evidence ของแต่ละรอบ Audit อย่างต่อเนื่องก็สำคัญไม่แพ้กัน เพราะเป็นหลักฐานว่าองค์กรดูแลข้อมูลด้วยความใส่ใจจริง อย่างไรก็ตาม ต้องเข้าใจว่าการ Audit ที่ทำได้ดีที่สุดก็เป็นเพียงเครื่องมือช่วยลดความเสี่ยง ไม่ใช่สิ่งที่ทำให้ข้อมูลผู้ป่วยปลอดภัยแบบสมบูรณ์ตลอดไป

แหล่งข้อมูลอ้างอิงสำหรับการ Audit Data Mapping

ใช้ NIST Privacy Framework เป็นกรอบอ้างอิงหลักในการออกแบบขั้นตอน Audit เพราะมีแนวทางเรื่องการระบุ ประเมิน และติดตามความเสี่ยงจากการไหลของข้อมูลที่นำมาปรับใช้กับธุรกิจสุขภาพได้ ควบคู่กับการติดตามข้อกำหนดด้านข้อมูลสุขภาพในประเทศไทยที่อาจมีรายละเอียดเฉพาะเพิ่มเติมจากกรอบสากล

ก่อน Audit แผนผัง ควรตรวจสอบก่อนว่าคลินิกมี Data Inventory ที่ครบถ้วนหรือยัง เพราะการ Audit เส้นทางข้อมูลจะแม่นยำก็ต่อเมื่อรู้ก่อนว่ามีข้อมูลประเภทใดอยู่ในระบบใดบ้าง และสำหรับคลินิกที่ยังไม่เคยวางระบบ Data Mapping มาก่อนเลย ควรเริ่มจาก คู่มือภาพรวม Data Mapping สำหรับธุรกิจสุขภาพ ก่อนแล้วจึงย้อนกลับมาใช้ขั้นตอน Audit ในบทความนี้เป็นรอบตรวจสอบต่อเนื่อง