วิธี Audit Record of Processing Activities (ROPA) ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

ทะเบียน ROPA ของคลินิกที่ทำไว้เมื่อสองปีก่อนยังตรงกับความจริงอยู่หรือไม่ ระบบนัดหมายออนไลน์ที่เพิ่งเปลี่ยนผู้ให้บริการเมื่อต้นปี ถูกปรับปรุงในทะเบียนแล้วหรือยัง แผนกห้องแล็บที่เริ่มส่งผลตรวจให้พาร์ทเนอร์วิเคราะห์ข้อมูลภายนอกรายใหม่ มีบันทึกไว้ในกิจกรรมใดบ้าง คำถามเหล่านี้คือสิ่งที่การ Audit ROPA ต้องตอบให้ได้ เพราะการมีทะเบียนอยู่ไม่ได้แปลว่าทะเบียนนั้นถูกต้อง และธุรกิจสุขภาพเป็นกลุ่มที่มีการเปลี่ยนระบบ ผู้ให้บริการ และบริการใหม่บ่อยกว่าธุรกิจทั่วไปมาก

บทความนี้อธิบายขั้นตอนการ Audit ROPA ของคลินิก โรงพยาบาล และธุรกิจสุขภาพแบบเป็นระบบ ตั้งแต่การเตรียมขอบเขต การตรวจสอบรายกิจกรรม ไปจนถึง Evidence ที่ควรเก็บไว้เพื่อยืนยันว่าการ Audit เกิดขึ้นจริง หากยังไม่คุ้นกับโครงสร้างพื้นฐานของ ROPA แนะนำให้อ่าน คู่มือ ROPA สำหรับธุรกิจสุขภาพ ก่อน เพราะบทความนี้เน้นเฉพาะกระบวนการตรวจสอบ ไม่ได้อธิบายโครงสร้างฟิลด์ตั้งแต่ต้น

ทำไมธุรกิจสุขภาพต้อง Audit ROPA เป็นระยะ

ข้อมูลที่คลินิกและโรงพยาบาลประมวลผลเป็นข้อมูลสุขภาพซึ่งจัดเป็นข้อมูลอ่อนไหว การเปลี่ยนแปลงเล็กน้อยในกระบวนการ เช่น การเปิดช่องทางนัดหมายผ่านแอปใหม่ หรือการเปลี่ยนห้องแล็บที่รับส่งตัวอย่างตรวจ ล้วนเปลี่ยนหมวดข้อมูลหรือผู้รับข้อมูลในกิจกรรมนั้นทันที หาก ROPA ไม่ได้อัปเดตตาม ทะเบียนจะกลายเป็นเอกสารที่ให้ข้อมูลผิดกับทั้งผู้บริหารและผู้ตรวจสอบ

อีกเหตุผลคือธุรกิจสุขภาพมักมีผู้ให้บริการภายนอกจำนวนมากพร้อมกัน ตั้งแต่ระบบเวชระเบียนอิเล็กทรอนิกส์ ระบบชำระเงิน ไปจนถึงพาร์ทเนอร์วิจัยหรือประกันสุขภาพที่ขอข้อมูลบางส่วนไปประมวลผลต่อ การ Audit ช่วยจับได้ว่ามีผู้รับข้อมูลรายใหม่เกิดขึ้นโดยไม่มีใครแจ้งทีม Compliance หรือไม่ ซึ่งเป็นความเสี่ยงที่พบบ่อยกว่าที่คิด

ขั้นตอนการ Audit ROPA ทีละขั้น

1. กำหนดขอบเขตการ Audit เลือกว่าจะตรวจทุกกิจกรรมในทะเบียน หรือเจาะเฉพาะกิจกรรมที่มีความเสี่ยงสูง เช่น กิจกรรมที่เกี่ยวข้องกับผู้ให้บริการภายนอกใหม่ในรอบปีที่ผ่านมา
2. ดึงทะเบียน ROPA ฉบับล่าสุดมาเป็นฐาน พร้อมประวัติการแก้ไขล่าสุดของแต่ละกิจกรรม เพื่อดูว่ากิจกรรมใดไม่ถูกแตะต้องมานานผิดปกติ
3. สัมภาษณ์เจ้าของกระบวนการซ้ำ ถามคำถามเดิมที่เคยใช้ตอนจัดทำทะเบียนครั้งแรก เพื่อเทียบว่าคำตอบตรงกับที่บันทึกไว้หรือไม่ และมีอะไรเปลี่ยนไปบ้าง
4. ตรวจสอบกับระบบจริง เช่น เข้าไปดูสิทธิ์การเข้าถึงในระบบเวชระเบียน หรือรายชื่อผู้ให้บริการที่ใช้งานจริงในสัญญาปัจจุบัน แล้วเทียบกับรายชื่อในทะเบียน
5. บันทึกส่วนต่างที่พบ ระบุว่าฟิลด์ใดผิด ต้นเหตุคืออะไร และใครเป็นผู้รับผิดชอบแก้ไข
6. ปรับปรุงทะเบียนและอนุมัติซ้ำ หลังแก้ไขครบแล้ว ให้ผู้มีอำนาจอนุมัติลงนามรับทราบผลการ Audit อีกครั้ง

เกณฑ์ตรวจสอบความสมบูรณ์ของแต่ละกิจกรรม

ทีม Audit ควรใช้เกณฑ์เดียวกันทุกกิจกรรมเพื่อให้ผลตรวจเทียบกันได้ ตัวอย่างเกณฑ์ที่ใช้ได้จริงมีดังนี้

Evidence ที่ต้องเก็บระหว่างและหลัง Audit

• แผนขอบเขตการ Audit ที่ระบุว่าตรวจกิจกรรมใดบ้างและด้วยเหตุผลอะไร
• บันทึกการสัมภาษณ์ซ้ำของเจ้าของกระบวนการ พร้อมวันที่และผู้ให้ข้อมูล
• ภาพหน้าจอหรือรายงานสิทธิ์การเข้าถึงระบบที่ใช้เทียบกับทะเบียน
• ตารางส่วนต่าง (gap list) ที่ระบุฟิลด์ผิด ต้นเหตุ และผู้รับผิดชอบแก้ไข พร้อมวันครบกำหนด
• บันทึกการอนุมัติทะเบียนฉบับปรับปรุงจากผู้มีอำนาจ

เชื่อมโยงผลการ Audit กับ Data Retention และ Vendor Management

เมื่อ Audit พบว่าผู้รับข้อมูลภายนอกในทะเบียนไม่ตรงกับสัญญาจริง ควรตรวจสอบต่อว่าผู้ให้บริการรายนั้นผ่านการประเมินตาม แนวทางบริหารจัดการผู้ให้บริการภายนอกด้านข้อมูลส่วนบุคคลสำหรับธุรกิจสุขภาพ แล้วหรือยัง เพราะ ROPA เพียงบันทึกว่ามีผู้รับข้อมูลรายใด แต่การตรวจสอบความเสี่ยงของผู้ให้บริการเป็นกระบวนการแยกต่างหาก

ในทำนองเดียวกัน หากพบว่าฟิลด์ระยะเวลาการเก็บรักษาอ้างอิงตารางเวลาเก่าที่ถูกปรับปรุงไปแล้ว ควรอัปเดตให้ตรงกับ ตารางเวลาการเก็บรักษาและลบข้อมูลสำหรับธุรกิจสุขภาพ ฉบับล่าสุด แทนที่จะแก้ตัวเลขในทะเบียน ROPA เอง เพื่อให้แหล่งข้อมูลจริงยังอยู่ที่เดียว

บทบาทของทีมที่เกี่ยวข้องกับการ Audit ROPA

การ Audit ที่ได้ผลต้องอาศัยคนหลายฝ่ายทำงานร่วมกัน ไม่ใช่ภาระของทีม Compliance ทีมเดียว ทีมตรวจสอบภายในหรือทีม Compliance มีหน้าที่วางแผนขอบเขต ตั้งคำถาม และสรุปผล gap list เจ้าของกระบวนการในแต่ละแผนก เช่น หัวหน้าแผนกเวชระเบียนหรือหัวหน้าห้องแล็บ มีหน้าที่ตอบคำถามและยืนยันว่า ขั้นตอนการทำงานจริงตรงกับที่บันทึกไว้หรือไม่ ฝ่ายไอทีมีหน้าที่ยืนยันสิทธิ์การเข้าถึงระบบและรายชื่อผู้ให้บริการภายนอกที่เชื่อมต่อระบบจริง ส่วนฝ่ายจัดซื้อหรือฝ่ายกฎหมายมีหน้าที่ยืนยันว่าสัญญาที่มีผลบังคับใช้อยู่ตรงกับผู้รับข้อมูลที่ระบุในทะเบียน

คลินิกขนาดเล็กที่ไม่มีทีมตรวจสอบภายในแยกต่างหาก สามารถมอบหมายให้เจ้าหน้าที่คุ้มครองข้อมูลส่วนบุคคล หรือผู้บริหารที่รับผิดชอบด้าน Compliance ทำหน้าที่นี้แทนได้ ตราบใดที่ไม่ใช่บุคคลเดียวกับผู้กรอกทะเบียนกิจกรรมนั้น เพื่อรักษาความเป็นอิสระของการตรวจสอบ

ตัวอย่างสถานการณ์ที่ Audit ROPA ช่วยป้องกันปัญหา

คลินิกแห่งหนึ่งเปลี่ยนระบบนัดหมายจากการโทรศัพท์มาเป็นแอปพลิเคชันที่พัฒนาโดยผู้ให้บริการภายนอก ทีมไอทีดำเนินการเปลี่ยนระบบเสร็จภายในสองสัปดาห์ แต่ไม่มีใครแจ้งทีม Compliance ให้ปรับปรุงทะเบียน ROPA จนกระทั่งรอบ Audit ประจำปี ทีมตรวจพบว่ากิจกรรม "การนัดหมายผู้ป่วย" ยังระบุว่าประมวลผลเฉพาะข้อมูลชื่อและเบอร์โทร ทั้งที่แอปใหม่เก็บตำแหน่งที่ตั้งและประวัติการใช้งานเพิ่มด้วย และมีผู้ให้บริการภายนอกรายใหม่เข้าถึงข้อมูลผู้ป่วยโดยไม่เคยผ่านการประเมินความเสี่ยง

เพราะพบระหว่าง Audit ไม่ใช่ระหว่างการตรวจสอบจากหน่วยงานภายนอก ทีม Compliance จึงมีเวลาปรับปรุงทะเบียน ประสานฝ่ายจัดซื้อให้ประเมินผู้ให้บริการรายใหม่ตามกระบวนการบริหารผู้ให้บริการภายนอก และปิด gap ได้ก่อนที่จะกลายเป็นข้อบกพร่องในการตรวจสอบจริง นี่คือคุณค่าหลักของการ Audit เป็นระยะ คือทำให้องค์กรพบปัญหาด้วยตัวเองก่อนที่คนนอกจะพบแทน

รายงานผล Audit ให้ผู้บริหารเห็นภาพรวมได้เร็ว

หลังปิด gap ครบทุกข้อ ทีม Audit ควรสรุปผลเป็นรายงานสั้นให้ผู้บริหารอ่านได้ภายในไม่กี่นาที แทนที่จะส่งทะเบียนทั้งฉบับให้อ่านเอง รายงานที่ใช้ได้ผลควรมีสามส่วน คือจำนวนกิจกรรมที่ตรวจทั้งหมด จำนวนส่วนต่างที่พบแยกตามความรุนแรง และสถานะการปิด gap ณ วันที่ส่งรายงาน หากมีกิจกรรมความเสี่ยงสูงที่ยังไม่ปิด gap ควรระบุแผนและกำหนดเวลาที่ชัดเจนแนบไปด้วย เพื่อให้ผู้บริหารตัดสินใจจัดสรรทรัพยากรเพิ่มเติมได้ทันหากจำเป็น

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit ROPA

• ใช้เอกสารเดิมโดยไม่เทียบกับระบบจริง การอ่านทะเบียนอย่างเดียวโดยไม่ตรวจกับสิทธิ์เข้าถึงระบบหรือสัญญาจริง ทำให้พลาดผู้ให้บริการรายใหม่ที่ไม่เคยถูกบันทึก
• ให้เจ้าของกระบวนการตรวจทานตัวเอง โดยไม่มีคนกลางตั้งคำถาม ทำให้ส่วนต่างที่แท้จริงไม่ถูกค้นพบ
• ไม่บันทึก gap list เป็นลายลักษณ์อักษร ทำให้ Audit ครั้งถัดไปเริ่มนับหนึ่งใหม่โดยไม่รู้ว่ารอบก่อนแก้อะไรไปแล้วบ้าง
• ตรวจเฉพาะกิจกรรมใหญ่ และมองข้ามกิจกรรมของแผนกสนับสนุน เช่น ฝ่ายต้อนรับหรือฝ่ายบัญชี ที่ก็สัมผัสข้อมูลผู้ป่วยเช่นกัน
• ไม่กำหนดกำหนดเวลาปิด gap ทำให้รายการที่พบค้างอยู่โดยไม่มีใครติดตามจนถึงรอบ Audit ถัดไป

จัดลำดับความถี่การ Audit ตามระดับความเสี่ยงของกิจกรรม

ไม่ใช่ทุกกิจกรรมในทะเบียนต้องถูกตรวจสอบด้วยความถี่เท่ากัน คลินิกและโรงพยาบาลที่มีกิจกรรมจำนวนมาก ควรแบ่งกิจกรรมเป็นสามระดับความเสี่ยงเพื่อจัดสรรเวลาการ Audit ให้เหมาะสม กิจกรรมความเสี่ยงสูง เช่น กิจกรรมที่เกี่ยวข้องกับผลตรวจทางห้องแล็บหรือประวัติการรักษาที่ส่งต่อให้ผู้ให้บริการภายนอก ควร Audit ทุกปี กิจกรรมความเสี่ยงปานกลาง เช่น ระบบนัดหมายที่ไม่มีข้อมูลผลตรวจ ควร Audit ทุกสองปี ส่วนกิจกรรมความเสี่ยงต่ำ เช่น การรับสมัครงานภายใน อาจ Audit แบบสุ่มตัวอย่างทุกสามปี

วิธีจัดระดับความเสี่ยงที่ใช้ได้จริงคือพิจารณาสามปัจจัยร่วมกัน ได้แก่ ความอ่อนไหวของหมวดข้อมูล จำนวนผู้ให้บริการภายนอกที่เกี่ยวข้อง และความถี่ของการเปลี่ยนแปลงกระบวนการในรอบปีที่ผ่านมา กิจกรรมใดที่มีทั้งสามปัจจัยสูง ควรอยู่ในคิว Audit ก่อนกิจกรรมอื่นเสมอ การจัดลำดับแบบนี้ช่วยให้ทีมที่มีทรัพยากรจำกัดยังครอบคลุมความเสี่ยงสำคัญได้ครบ โดยไม่ต้องพยายาม Audit ทุกกิจกรรมพร้อมกันในรอบเดียวจนงานค้างสะสม

เมื่อวางแผนความถี่แบบนี้แล้ว ควรบันทึกไว้เป็นปฏิทินการ Audit ประจำปีที่ผู้บริหารเห็นชอบ เพื่อให้การ Audit เป็นกระบวนการที่ทำต่อเนื่อง ไม่ใช่กิจกรรมที่เกิดขึ้นเฉพาะเมื่อใกล้ถูกตรวจสอบจากภายนอกเท่านั้น

สรุป

การ Audit ROPA ของธุรกิจสุขภาพคือการตรวจว่าทะเบียนที่มีอยู่ยังสะท้อนความจริงของกิจกรรมประมวลผลข้อมูล ไม่ใช่แค่ตรวจว่าเอกสารครบทุกฟิลด์ ขั้นตอนที่ได้ผลต้องมีขอบเขตชัดเจน สัมภาษณ์ซ้ำ เทียบกับระบบและสัญญาจริง บันทึกส่วนต่างเป็นลายลักษณ์อักษร และปิด gap ให้เสร็จก่อนรอบ Audit ถัดไป การเชื่อมโยงผลตรวจเข้ากับเอกสารตารางเวลาลบข้อมูลและการบริหารผู้ให้บริการภายนอกช่วยให้ระบบเอกสารทั้งหมดขององค์กรตรงกันอยู่เสมอ

เตรียมความพร้อมก่อนรอบ Audit ครั้งถัดไป

ทีมที่ผ่านการ Audit ROPA มาแล้วอย่างน้อยหนึ่งรอบ ควรนำ gap list ของรอบก่อนหน้ามาตรวจสอบซ้ำก่อนเริ่มรอบใหม่เสมอ เพื่อยืนยันว่าประเด็นที่เคยพบได้รับการแก้ไขจริง ไม่ใช่แค่ปิดสถานะในเอกสารโดยที่กระบวนการยังไม่เปลี่ยน การทำแบบนี้ต่อเนื่องทุกปีจะทำให้จำนวนส่วนต่างที่พบในแต่ละรอบลดลงเรื่อย ๆ และเป็นหลักฐานที่แสดงว่าองค์กรมีวินัย ในการดูแลทะเบียนอย่างจริงจัง ไม่ใช่แค่ทำเอกสารให้ผ่านการตรวจครั้งเดียว

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวทางฟังก์ชัน Inventory และ Mapping จาก NIST Privacy Framework สำหรับใช้ออกแบบกระบวนการ Audit ภายในองค์กร ไม่ใช่คำแนะนำทางกฎหมาย ธุรกิจสุขภาพควรปรึกษาที่ปรึกษากฎหมายหรือเจ้าหน้าที่คุ้มครองข้อมูลของตนเองประกอบการวางแผน Audit จริง ดูภาพรวมเพิ่มเติมได้ที่ คลังความรู้ Data Governance