วิธี Audit Vendor Management ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

3 ใน 10 ของเหตุการณ์ข้อมูลรั่วไหลในภาคสุขภาพที่ทีม Compliance ของคลินิกเครือข่ายแห่งหนึ่งรวบรวมย้อนหลังสามปี ไม่ได้เกิดจากระบบภายในของตนเอง แต่เกิดจากผู้ให้บริการภายนอกที่เข้าถึงข้อมูลผู้ป่วยแทน เช่น ระบบจัดการนัดหมายที่ใช้ร่วมกับคลินิกเครือข่าย หรือบริษัทรับส่งผลตรวจแล็บทางออนไลน์ ตัวเลขนี้สะท้อนภาพที่พบได้ทั่วไปในธุรกิจสุขภาพ นั่นคือความเสี่ยงจากผู้ให้บริการภายนอกมักถูกมองข้ามในการตรวจสอบภายใน จนกว่าจะเกิดเหตุการณ์จริงขึ้นแล้วจึงย้อนกลับมาสำรวจว่ามีสัญญาใดที่ยังไม่ผ่านการตรวจสอบบ้าง บทความนี้วางกรอบการ Audit Vendor Management สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อมรายการ Evidence ที่ผู้ตรวจสอบควรเรียกดูในแต่ละขั้นตอน

ทำไม Vendor Management ของธุรกิจสุขภาพต้องผ่านการ Audit อย่างสม่ำเสมอ

ธุรกิจสุขภาพมีลักษณะเฉพาะที่ทำให้การ Audit Vendor Management สำคัญกว่าธุรกิจทั่วไป ประการแรก ข้อมูลที่เกี่ยวข้องเป็นข้อมูลสุขภาพซึ่งจัดเป็นข้อมูลอ่อนไหวตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล การรั่วไหลจึงมีความเสี่ยงสูงทั้งต่อผู้ป่วยและต่อองค์กร ประการที่สอง ห่วงโซ่ผู้ให้บริการในภาคสุขภาพมักซับซ้อน ตั้งแต่ระบบเวชระเบียนอิเล็กทรอนิกส์ ห้องปฏิบัติการภายนอกที่รับตรวจชิ้นเนื้อหรือตัวอย่างเลือด บริษัทประกันที่รับส่งข้อมูลเพื่อเคลมสิทธิ์ ไปจนถึงผู้ให้บริการโทรเวชกรรม (telemedicine) ที่บันทึกวิดีโอการปรึกษา แต่ละรายมีระดับความเสี่ยงต่างกัน และประการที่สาม คลินิกและโรงพยาบาลจำนวนมากมีทีม Compliance ขนาดเล็กเมื่อเทียบกับปริมาณผู้ให้บริการที่ต้องดูแล ทำให้การตรวจสอบมักไม่ทั่วถึงหากไม่มีกรอบการ Audit ที่ชัดเจนช่วยจัดลำดับความสำคัญ

ขอบเขตของการ Audit Vendor Management ที่ควรครอบคลุม

การ Audit ที่มีประสิทธิภาพควรครอบคลุมสี่มิติหลัก ได้แก่ ความครบถ้วนของ Vendor Inventory ความสมบูรณ์ของสัญญาและเงื่อนไขคุ้มครองข้อมูล ความสม่ำเสมอของการติดตามตรวจสอบระหว่างอายุสัญญา และความรัดกุมของกระบวนการ Offboarding เมื่อสัญญาสิ้นสุด ผู้ตรวจสอบควรเริ่มจากการสุ่มตัวอย่างผู้ให้บริการจากแต่ละระดับความเสี่ยง ไม่ใช่ตรวจสอบเฉพาะรายที่มีเอกสารครบถ้วนอยู่แล้ว เพราะจุดประสงค์ของการ Audit คือการค้นหาช่องว่าง ไม่ใช่การยืนยันสิ่งที่ทำถูกต้องอยู่แล้วเพียงอย่างเดียว

ขั้นตอนที่ 1: ตรวจสอบความครบถ้วนของ Vendor Inventory

ผู้ตรวจสอบควรเปรียบเทียบรายชื่อผู้ให้บริการในระบบ Vendor Inventory กับหลักฐานการชำระเงินจากฝ่ายบัญชีในช่วง 12 เดือนที่ผ่านมา หากพบว่ามีการชำระเงินให้ผู้ให้บริการรายใดที่ไม่ปรากฏใน Inventory ควรตั้งเป็นข้อสังเกตทันที เพราะอาจหมายถึงมีผู้ให้บริการที่เข้าถึงข้อมูลผู้ป่วยโดยไม่ผ่านกระบวนการประเมินความเสี่ยงเลย Evidence ที่ควรเก็บในขั้นตอนนี้ได้แก่ รายงานเปรียบเทียบระหว่าง Vendor Inventory กับรายการชำระเงิน วันที่อัปเดต Inventory ล่าสุด และรายชื่อผู้รับผิดชอบในการดูแล Inventory ให้เป็นปัจจุบัน

ขั้นตอนที่ 2: ตรวจสอบสัญญาและเงื่อนไข DPA

สำหรับผู้ให้บริการแต่ละรายในกลุ่มตัวอย่าง ผู้ตรวจสอบควรขอดูสัญญาฉบับปัจจุบันและตรวจสอบว่ามีเอกสารแนบท้ายที่ระบุเงื่อนไขคุ้มครองข้อมูลสุขภาพหรือไม่ ประเด็นที่ต้องตรวจสอบเฉพาะสำหรับภาคสุขภาพได้แก่ การจำกัดวัตถุประสงค์การใช้ข้อมูลสุขภาพให้เป็นไปเพื่อการรักษาพยาบาลหรือวัตถุประสงค์ที่ตกลงกันเท่านั้น มาตรการเข้ารหัสข้อมูลที่เข้มงวดกว่าข้อมูลทั่วไป เงื่อนไขการแจ้งเหตุการณ์ข้อมูลรั่วไหลที่มีกรอบเวลาชัดเจนเนื่องจากความอ่อนไหวของข้อมูล และเงื่อนไขเกี่ยวกับ sub-processor โดยเฉพาะห้องปฏิบัติการหรือผู้ให้บริการช่วงที่อาจรับช่วงต่อการตรวจวิเคราะห์ Evidence ที่ควรเก็บได้แก่ สำเนาสัญญาและ DPA ของทุกรายในกลุ่มตัวอย่าง บันทึกวันที่ลงนามและวันหมดอายุ และรายการช่องว่างที่พบพร้อมแผนแก้ไข

ขั้นตอนที่ 3: ตรวจสอบบันทึกการติดตามระหว่างอายุสัญญา

ผู้ตรวจสอบควรขอดูบันทึกการทบทวนความเสี่ยงของผู้ให้บริการแต่ละรายว่าเป็นไปตามรอบที่องค์กรกำหนดหรือไม่ เช่น หากองค์กรกำหนดให้ผู้ให้บริการความเสี่ยงสูงต้องทบทวนทุก 12 เดือน ผู้ตรวจสอบควรตรวจสอบวันที่ทบทวนล่าสุดของผู้ให้บริการกลุ่มนี้ทุกราย และหากพบว่ามีรายที่เลยกำหนดเวลาไปแล้ว ควรบันทึกเป็นข้อบกพร่องพร้อมประเมินความเสี่ยงที่เกิดจากความล่าช้านั้น Evidence ที่ควรเก็บได้แก่ ตารางติดตามรอบทบทวนของผู้ให้บริการทั้งหมด บันทึกผลการทบทวนแต่ละครั้งที่มีลายเซ็นหรือการอนุมัติจากผู้รับผิดชอบ และรายงานเหตุการณ์ผิดปกติของผู้ให้บริการที่เคยเกิดขึ้นในช่วงเวลาที่ตรวจสอบ

ขั้นตอนที่ 4: ตรวจสอบกระบวนการ Offboarding

สำหรับผู้ให้บริการที่ยุติสัญญาไปแล้วในช่วง 12-24 เดือนที่ผ่านมา ผู้ตรวจสอบควรขอดูหลักฐานว่าองค์กรได้ดำเนินการเพิกถอนสิทธิ์การเข้าถึงและได้รับการยืนยันการคืนหรือลบข้อมูลจากผู้ให้บริการหรือไม่ กรณีที่พบบ่อยในธุรกิจสุขภาพคือสัญญากับห้องปฏิบัติการหรือผู้ให้บริการเฉพาะทางที่ยุติไปแล้ว แต่ไม่มีหลักฐานยืนยันว่าข้อมูลผู้ป่วยที่เคยส่งไปตรวจถูกลบหรือทำลายอย่างถูกต้อง Evidence ที่ควรเก็บได้แก่ หนังสือแจ้งยุติสัญญา บันทึกการเพิกถอนสิทธิ์การเข้าถึงระบบพร้อมวันที่ และหนังสือรับรองการลบหรือคืนข้อมูลจากผู้ให้บริการ

ตัวอย่างตารางสรุปผลการ Audit

ผลการ Audit ควรถูกสรุปเป็นรายงานที่ระบุข้อบกพร่องแต่ละรายการพร้อมระดับความรุนแรงและกำหนดเวลาแก้ไข และควรเชื่อมโยงกับข้อมูลใน ทะเบียน ROPA ของธุรกิจสุขภาพ เพื่อให้แน่ใจว่ากิจกรรมการประมวลผลข้อมูลที่เกี่ยวข้องกับผู้ให้บริการภายนอกทุกรายถูกบันทึกไว้อย่างถูกต้องสอดคล้องกัน

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit Vendor Management ในธุรกิจสุขภาพ

จากประสบการณ์การตรวจสอบหลายแห่ง ข้อผิดพลาดที่พบซ้ำบ่อยที่สุดมีดังนี้ ข้อแรกคือการสุ่มตัวอย่างเฉพาะผู้ให้บริการรายใหญ่ที่มีเอกสารครบถ้วนอยู่แล้ว โดยข้ามผู้ให้บริการรายเล็กที่มักเป็นจุดอ่อนตัวจริง ข้อสองคือการตรวจสอบเฉพาะว่ามีสัญญาหรือไม่ โดยไม่อ่านเนื้อหาเงื่อนไขข้างในว่าครอบคลุมข้อมูลสุขภาพเพียงพอหรือไม่ ข้อสามคือการไม่ตรวจสอบผู้ให้บริการที่ยุติสัญญาไปแล้ว ทั้งที่ความเสี่ยงจากข้อมูลค้างอยู่ที่ผู้ให้บริการเดิมยังคงมีอยู่แม้สัญญาจะจบไปแล้ว ข้อสี่คือการไม่บันทึกช่องว่างที่พบเป็นลายลักษณ์อักษรพร้อมกำหนดเวลาแก้ไข ทำให้ปัญหาเดิมถูกพบซ้ำในการ Audit รอบถัดไปโดยไม่มีความคืบหน้า และข้อห้าคือการมอบหมายให้บุคคลที่รับผิดชอบดูแลผู้ให้บริการรายนั้นเป็นผู้ตรวจสอบตัวเอง ซึ่งขาดความเป็นอิสระที่จำเป็นสำหรับการ Audit ที่น่าเชื่อถือ

วิธีจัดลำดับความสำคัญผู้ให้บริการก่อนเริ่ม Audit

ด้วยจำนวนผู้ให้บริการที่คลินิกและโรงพยาบาลขนาดกลางถึงใหญ่มักมีอยู่หลายสิบถึงหลายร้อยราย การพยายาม Audit ทุกรายพร้อมกันในรอบเดียวมักไม่สามารถทำได้จริงด้วยทรัพยากรที่มีจำกัด แนวทางที่แนะนำคือจัดกลุ่มผู้ให้บริการตามประเภทข้อมูลที่เข้าถึงก่อนเริ่มวางแผน Audit โดยให้ความสำคัญสูงสุดกับกลุ่มที่เข้าถึงข้อมูลผลตรวจทางการแพทย์ ภาพถ่ายวินิจฉัยโรค หรือประวัติการรักษาโดยตรง รองลงมาคือกลุ่มที่เข้าถึงข้อมูลระบุตัวตนและข้อมูลการเงินของผู้ป่วย เช่น ระบบนัดหมายหรือระบบเรียกเก็บเงิน และลำดับท้ายสุดคือกลุ่มที่เข้าถึงข้อมูลทั่วไปที่ไม่เกี่ยวข้องกับสุขภาพโดยตรง เช่น ผู้ให้บริการทำความสะอาดที่อาจเห็นเอกสารบนโต๊ะทำงานเป็นครั้งคราว การจัดลำดับเช่นนี้ช่วยให้ทีม Compliance ใช้เวลาที่มีจำกัดกับความเสี่ยงที่ส่งผลกระทบสูงสุดก่อน แทนที่จะกระจายความพยายามเท่ากันในทุกกลุ่ม

นอกจากนี้ ผู้ตรวจสอบควรพิจารณาประวัติของผู้ให้บริการแต่ละรายประกอบการจัดลำดับด้วย หากผู้ให้บริการรายใดเคยมีเหตุการณ์ผิดปกติหรือเคยส่งมอบเอกสาร Due Diligence ล่าช้าในรอบก่อนหน้า ควรถูกจัดให้อยู่ในกลุ่มที่ต้อง Audit ก่อนโดยไม่คำนึงถึงระดับความเสี่ยงเดิมที่เคยประเมินไว้ เพราะพฤติกรรมในอดีตมักเป็นตัวบ่งชี้ที่ดีของความเสี่ยงในอนาคต การนำผลจากรอบ Audit ก่อนหน้ามาเป็นข้อมูลตั้งต้นเช่นนี้ ยังช่วยให้เห็นแนวโน้มว่าผู้ให้บริการรายใดมีการปรับปรุงดีขึ้นหรือแย่ลงเมื่อเทียบกับรอบก่อน ซึ่งเป็นข้อมูลสำคัญสำหรับการตัดสินใจต่อสัญญาหรือยุติความสัมพันธ์ในอนาคต

สรุป

การ Audit Vendor Management ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ ควรครอบคลุมสี่มิติหลัก คือความครบถ้วนของ Vendor Inventory ความสมบูรณ์ของสัญญาและ DPA ความสม่ำเสมอของการติดตามระหว่างอายุสัญญา และความรัดกุมของกระบวนการ Offboarding โดยผู้ตรวจสอบควรสุ่มตัวอย่างจากผู้ให้บริการทุกระดับความเสี่ยง ไม่จำกัดเฉพาะรายที่มีเอกสารครบอยู่แล้ว และเก็บ Evidence ทุกขั้นตอนไว้เป็นหลักฐาน เพื่อให้ผลการ Audit นำไปสู่การแก้ไขช่องว่างจริง ไม่ใช่เพียงรายงานที่วางอยู่บนชั้นเอกสาร การเชื่อมโยงผล Audit เข้ากับทะเบียน ROPA และภาพรวมการกำกับดูแลข้อมูลที่ หน้าหลัก Data Governance จะช่วยให้องค์กรสุขภาพมองเห็นความเสี่ยงจากผู้ให้บริการภายนอกได้ครบถ้วนยิ่งขึ้น

แหล่งข้อมูลอ้างอิง

กรอบการตรวจสอบในบทความนี้อ้างอิงแนวทางจาก NIST Privacy Framework ซึ่งให้หลักการบริหารความเสี่ยงด้านความเป็นส่วนตัวรวมถึงการติดตามตรวจสอบผู้ให้บริการภายนอก องค์กรควรศึกษาเอกสารต้นฉบับเพิ่มเติมและปรึกษาที่ปรึกษากฎหมายหรือผู้เชี่ยวชาญด้าน Compliance เฉพาะทางสุขภาพเพื่อปรับใช้ให้เหมาะสมกับข้อกำหนดเฉพาะของสถานพยาบาล