วิธี Audit Privacy Risk Assessment ของคลินิก โรงพยาบาล และธุรกิจสุขภาพ พร้อม Evidence ที่ควรเก็บ

คลินิกแห่งหนึ่งเคยทำ Privacy Risk Assessment ไว้อย่างละเอียดเมื่อสองปีก่อนตอนเปิดระบบนัดหมายออนไลน์ แต่เมื่อทีมตรวจสอบภายในหยิบเอกสารนั้นมาเทียบกับระบบจริงในปัจจุบัน กลับพบว่าคลินิกเพิ่มระบบส่งผลตรวจทางไลน์และเชื่อมต่อกับห้องแล็บภายนอกอีกสองแห่งโดยไม่เคยปรับปรุงทะเบียนความเสี่ยงเลย นี่คือปัญหาที่พบซ้ำในธุรกิจสุขภาพจำนวนมาก คือมี Privacy Risk Assessment อยู่บนกระดาษ แต่ไม่มีใครกลับมาตรวจสอบว่าเอกสารนั้นยังสะท้อนความเสี่ยงจริงของระบบที่ใช้งานอยู่หรือไม่ บทความนี้จะอธิบายวิธี Audit Privacy Risk Assessment ของคลินิก โรงพยาบาล และธุรกิจสุขภาพอย่างเป็นขั้นตอน พร้อมตัวอย่าง Evidence ที่ผู้ตรวจสอบควรเก็บไว้เป็นหลักฐาน

ทำไมธุรกิจสุขภาพต้อง Audit Privacy Risk Assessment เป็นประจำ

ข้อมูลสุขภาพจัดเป็นข้อมูลอ่อนไหวที่มีความเสี่ยงสูงกว่าข้อมูลทั่วไปเมื่อเกิดการรั่วไหลหรือใช้งานผิดวัตถุประสงค์ คลินิกและโรงพยาบาลมักมีระบบที่เปลี่ยนแปลงบ่อย เช่น เพิ่มช่องทางนัดหมายใหม่ เชื่อมต่อระบบห้องแล็บภายนอก หรือเปลี่ยนผู้ให้บริการระบบเวชระเบียนอิเล็กทรอนิกส์ การประเมินความเสี่ยงที่ทำไว้ครั้งเดียวจึงล้าสมัยเร็วกว่าธุรกิจทั่วไป การ Audit เป็นระยะช่วยให้ทีมงานรู้ทันว่าความเสี่ยงจุดไหนเปลี่ยนไปแล้ว และมาตรการลดความเสี่ยงที่เคยวางไว้ยังใช้ได้จริงหรือไม่ในสถานการณ์ปัจจุบัน

ขอบเขตของการ Audit Privacy Risk Assessment

การ Audit ในที่นี้ไม่ได้หมายถึงการทำ Risk Assessment ใหม่ทั้งหมด แต่คือการตรวจสอบว่าทะเบียนความเสี่ยงที่มีอยู่แล้วยังครบถ้วนและมีหลักฐานรองรับหรือไม่ ขอบเขตควรครอบคลุมสามส่วนหลัก คือความครบถ้วนของรายการความเสี่ยง (มีจุดจัดเก็บข้อมูลผู้ป่วยใหม่ที่ยังไม่ถูกประเมินหรือไม่) ความสมเหตุสมผลของการให้คะแนนความเสี่ยง (คะแนนที่ให้ไว้ยังสอดคล้องกับปริมาณและความอ่อนไหวของข้อมูลจริงหรือไม่) และหลักฐานของมาตรการลดความเสี่ยง (มาตรการที่ระบุไว้ในเอกสารถูกนำไปปฏิบัติจริงหรือยังค้างอยู่ในแผน)

ขั้นตอนตรวจสอบทะเบียนความเสี่ยงเทียบกับระบบจริง

เริ่มจากดึงทะเบียนความเสี่ยงฉบับล่าสุดมาวางเทียบกับแผนที่ข้อมูล (Data Flow) ของระบบที่ใช้งานอยู่จริงในปัจจุบัน ไล่ตรวจทีละจุดว่าระบบรับข้อมูลผู้ป่วย เช่น แบบฟอร์มลงทะเบียนหน้าเว็บ ระบบนัดหมาย ระบบส่งผลตรวจ และระบบเชื่อมต่อกับห้องแล็บภายนอก ทุกจุดถูกบันทึกไว้ในทะเบียนความเสี่ยงครบหรือไม่ หากพบจุดที่ระบบจริงมีอยู่แต่ไม่ปรากฏในทะเบียน นั่นคือช่องว่างที่ต้องบันทึกไว้เป็นข้อค้นพบของการ Audit ทันที และควรระบุด้วยว่าช่องว่างนั้นเกิดจากระบบใหม่ที่เพิ่งเปิดใช้ หรือเป็นจุดที่มีอยู่เดิมแต่ตกหล่นจากการประเมินครั้งก่อน

วิธีตรวจสอบเกณฑ์ให้คะแนนความเสี่ยงว่ายังสมเหตุสมผล

สำหรับแต่ละรายการในทะเบียน ผู้ตรวจสอบควรถามว่าเกณฑ์ที่ใช้ให้คะแนนความเสี่ยง เช่น โอกาสเกิดเหตุการณ์และความรุนแรงของผลกระทบ ยังสอดคล้องกับสถานการณ์ปัจจุบันหรือไม่ ตัวอย่างเช่น หากคลินิกเพิ่งเริ่มส่งผลตรวจผ่านแอปพลิเคชันไลน์ซึ่งเป็นช่องทางที่ควบคุมการเข้าถึงได้ยากกว่าระบบภายใน คะแนนความเสี่ยงของจุดนี้ควรปรับสูงขึ้นจากเดิม หากทะเบียนยังให้คะแนนต่ำเหมือนตอนที่ยังไม่มีช่องทางนี้ ก็ถือเป็นจุดที่ต้องปรับปรุง การตรวจสอบนี้ไม่ได้ใช้เกณฑ์ตายตัวเดียว แต่ควรเทียบให้เข้ากับความเสี่ยงเฉพาะของข้อมูลสุขภาพในแต่ละบริบท

Evidence ที่ผู้ตรวจสอบควรเก็บระหว่าง Audit

หลักฐานที่ควรเก็บระหว่างการ Audit แบ่งได้เป็นหลายประเภท ได้แก่ ทะเบียนความเสี่ยงฉบับที่ใช้ตรวจสอบพร้อมวันที่ปรับปรุงล่าสุด ภาพหน้าจอหรือเอกสารแผนที่ข้อมูลของระบบจริงที่ใช้เทียบ บันทึกการประชุมหรืออีเมลที่แสดงว่าทีมงานรับทราบช่องว่างที่พบ หลักฐานการดำเนินมาตรการลดความเสี่ยง เช่น สัญญาประมวลผลข้อมูลกับห้องแล็บภายนอก หรือการตั้งค่าสิทธิ์การเข้าถึงระบบเวชระเบียน และรายงานสรุปผลการ Audit ที่ระบุข้อค้นพบพร้อมกำหนดวันแก้ไข การเก็บ Evidence เหล่านี้ไว้เป็นระบบช่วยให้ตรวจสอบย้อนหลังได้เมื่อต้องอธิบายกระบวนการทำงานให้ผู้บริหารหรือหน่วยงานที่เกี่ยวข้องรับทราบ

วิธีสุ่มตรวจ (Sampling) ให้ครอบคลุมโดยไม่ต้องตรวจทุกจุด

โรงพยาบาลขนาดใหญ่มักมีจุดจัดเก็บข้อมูลผู้ป่วยหลายสิบจุด การตรวจทุกจุดในรอบเดียวอาจไม่คุ้มเวลา วิธีที่ใช้ได้จริงคือจัดลำดับความสำคัญตามคะแนนความเสี่ยงในทะเบียน แล้วสุ่มตรวจให้ครอบคลุมทั้งจุดที่มีคะแนนความเสี่ยงสูงทุกจุด และสุ่มตัวอย่างบางส่วนจากจุดที่มีคะแนนความเสี่ยงปานกลางถึงต่ำ เพื่อให้มั่นใจว่าการประเมินเดิมยังแม่นยำในภาพรวม ไม่ใช่ตรวจเฉพาะจุดที่รู้อยู่แล้วว่ามีปัญหา วิธีนี้ช่วยให้ทีมงานขนาดเล็กสามารถ Audit ได้ครบวงจรความเสี่ยงโดยไม่ต้องใช้ทรัพยากรมากเกินจำเป็น

การประเมินมาตรการลดความเสี่ยงที่มีอยู่

สำหรับแต่ละความเสี่ยงที่เคยระบุมาตรการลดความเสี่ยงไว้ ผู้ตรวจสอบควรตรวจว่ามาตรการนั้นถูกนำไปปฏิบัติจริงหรือยังค้างอยู่ในแผน เช่น หากทะเบียนระบุว่าจะเข้ารหัสข้อมูลผลตรวจก่อนส่งออกนอกระบบ ต้องตรวจสอบว่าการเข้ารหัสนั้นถูกตั้งค่าใช้งานจริงหรือไม่ หรือหากระบุว่าจะจำกัดสิทธิ์การเข้าถึงเวชระเบียนตามหน้าที่งาน ต้องตรวจสอบรายชื่อผู้มีสิทธิ์เข้าถึงจริงว่าตรงกับที่ควรจะเป็นหรือไม่ มาตรการที่ยังไม่ได้ดำเนินการควรถูกบันทึกเป็นความเสี่ยงที่ยังเปิดอยู่ ไม่ใช่ปิดเรื่องว่าได้ลดความเสี่ยงแล้วทั้งที่ยังไม่ได้ทำจริง แนวทางนี้ช่วยลดความเสี่ยงของข้อมูลผู้ป่วยได้ตามลำดับความสำคัญ แม้จะไม่สามารถขจัดความเสี่ยงให้หมดไปโดยสิ้นเชิงก็ตาม

รูปแบบรายงานผล Audit ที่ใช้สื่อสารกับผู้บริหาร

รายงานผล Audit ที่มีประโยชน์ควรสรุปเป็นตารางเทียบระหว่างสถานะเดิมในทะเบียนกับสิ่งที่พบจริง ระบุระดับความรุนแรงของแต่ละช่องว่างที่พบ พร้อมข้อเสนอแนะและกำหนดเวลาที่ควรแก้ไข การนำเสนอในรูปแบบนี้ช่วยให้ผู้บริหารที่ไม่ได้ลงรายละเอียดเทคนิคเข้าใจภาพรวมได้เร็ว และสามารถตัดสินใจจัดสรรทรัพยากรแก้ไขจุดที่มีความเสี่ยงสูงก่อนได้อย่างมีเหตุผล รายงานควรเก็บไว้เป็นเอกสารอ้างอิงสำหรับการ Audit รอบถัดไปด้วย เพื่อติดตามว่าช่องว่างที่เคยพบได้รับการแก้ไขแล้วหรือยังคงค้างอยู่

ตัวอย่างสถานการณ์ที่มักพบระหว่างการ Audit จริง

ในทางปฏิบัติ ทีมตรวจสอบมักเจอสถานการณ์ซ้ำ ๆ กันหลายแบบ เช่น โรงพยาบาลที่เปิดบริการปรึกษาแพทย์ทางไกลเพิ่มเติมระหว่างปี แต่ไม่มีใครแจ้งทีมที่ดูแลทะเบียนความเสี่ยงให้ทราบ ทำให้ระบบวิดีโอคอลและการส่งไฟล์แนบทางการแพทย์กลายเป็นจุดเสี่ยงที่ไม่เคยถูกประเมินเลย อีกกรณีที่พบบ่อยคือคลินิกเครือข่ายที่มีหลายสาขา แต่ละสาขาใช้ระบบบันทึกข้อมูลคนไข้ที่ต่างกันเล็กน้อย ทำให้ทะเบียนความเสี่ยงส่วนกลางไม่ครอบคลุมความแตกต่างของแต่ละสาขา และบางสาขามีความเสี่ยงสูงกว่าที่ทะเบียนกลางระบุไว้มาก การ Audit ที่ดีจึงต้องสัมภาษณ์ผู้ปฏิบัติงานหน้างานควบคู่กับการอ่านเอกสาร เพราะเอกสารส่วนกลางมักตามหลังการเปลี่ยนแปลงจริงในสาขาเสมอ

เครื่องมือและวิธีจัดระเบียบงาน Audit ให้มีประสิทธิภาพ

ธุรกิจสุขภาพไม่จำเป็นต้องใช้ซอฟต์แวร์เฉพาะทางราคาแพงในการ Audit เสมอไป ทีมขนาดเล็กสามารถเริ่มจากตารางในสเปรดชีตที่มีคอลัมน์ระบุจุดจัดเก็บข้อมูล ระดับความเสี่ยงเดิม สถานะการตรวจสอบล่าสุด และผู้รับผิดชอบติดตามแก้ไข สิ่งสำคัญกว่าตัวเครื่องมือคือการกำหนดรอบเวลาตรวจที่แน่นอน เช่น ทุกไตรมาสสำหรับจุดที่มีความเสี่ยงสูง และทุกครึ่งปีสำหรับจุดที่มีความเสี่ยงปานกลาง พร้อมกำหนดว่าใครเป็นเจ้าของกระบวนการนี้อย่างชัดเจน ไม่ปล่อยให้เป็นงานที่ไม่มีเจ้าภาพ เพราะในหลายกรณี Privacy Risk Assessment ถูกทำไว้ครั้งแรกอย่างดีโดยที่ปรึกษาภายนอก แต่ไม่มีใครในองค์กรรับหน้าที่ดูแลต่อ ทำให้เอกสารกลายเป็นของตายภายในเวลาไม่ถึงหนึ่งปี

การจัดลำดับความสำคัญของช่องว่างที่พบหลัง Audit

เมื่อ Audit เสร็จแล้วมักพบช่องว่างมากกว่าหนึ่งจุดพร้อมกัน สิ่งที่ทีมงานต้องทำต่อคือจัดลำดับว่าจุดไหนควรแก้ไขก่อน โดยพิจารณาจากทั้งความรุนแรงของผลกระทบหากเกิดปัญหาจริง และความง่ายในการแก้ไข จุดที่มีความเสี่ยงสูงและแก้ไขได้เร็ว เช่น การตั้งรหัสผ่านให้รัดกุมขึ้นหรือปิดสิทธิ์การเข้าถึงของพนักงานที่ลาออกไปแล้ว ควรดำเนินการทันทีโดยไม่ต้องรอรอบ Audit ถัดไป ส่วนจุดที่มีความเสี่ยงสูงแต่ต้องใช้เวลาแก้ไขนาน เช่น การเปลี่ยนระบบเวชระเบียนทั้งหมด ควรถูกบันทึกเป็นแผนระยะยาวพร้อมเป้าหมายที่วัดผลได้ และรายงานความคืบหน้าให้ผู้บริหารรับทราบเป็นระยะ แทนที่จะปล่อยให้ค้างอยู่ในรายงานโดยไม่มีการติดตามต่อ

เนื้อหาที่เกี่ยวข้องในหมวด Privacy Risk Assessment สำหรับธุรกิจสุขภาพ

คู่มือนี้เป็นส่วนหนึ่งของชุดเนื้อหา Privacy Risk Assessment สำหรับคลินิก โรงพยาบาล และธุรกิจสุขภาพ หากยังไม่เคยวางระบบประเมินความเสี่ยงมาก่อน แนะนำให้เริ่มจาก คู่มือภาพรวม Privacy Risk Assessment สำหรับธุรกิจสุขภาพ เพื่อเข้าใจหลักการก่อน จากนั้นดู วิธีทำ Privacy Risk Assessment แบบเป็นขั้นตอน สำหรับการเริ่มต้นทำทะเบียนความเสี่ยงตั้งแต่ศูนย์ และใช้ เช็กลิสต์ Privacy Risk Assessment สำหรับธุรกิจสุขภาพ ประกอบระหว่างการ Audit ดูภาพรวมหมวดสิทธิและความเสี่ยงทั้งหมดได้ที่ ศูนย์ความรู้ด้าน Rights, Incidents & Risk

ข้อผิดพลาดที่พบบ่อยเมื่อ Audit Privacy Risk Assessment ของธุรกิจสุขภาพ

ข้อผิดพลาดที่พบบ่อยที่สุดคือใช้ทะเบียนความเสี่ยงเดิมโดยไม่เทียบกับระบบจริงก่อน ทำให้ตรวจแล้วดูเหมือนครบถ้วนทั้งที่ระบบเปลี่ยนไปมากแล้ว อีกข้อคือให้คะแนนความเสี่ยงแบบเดิมซ้ำทุกปีโดยไม่ทบทวนบริบทที่เปลี่ยนไป เช่น ช่องทางส่งข้อมูลใหม่ที่ควบคุมยากกว่าเดิม นอกจากนี้หลายทีมยังปิดเรื่องมาตรการลดความเสี่ยงว่า "ดำเนินการแล้ว" ทั้งที่ยังไม่ได้ตรวจสอบว่าถูกตั้งค่าใช้งานจริง และบางองค์กรไม่เก็บ Evidence ระหว่าง Audit ไว้เลย ทำให้เมื่อต้องอธิบายกระบวนการย้อนหลังไม่มีเอกสารรองรับ

สรุป: Audit สม่ำเสมอช่วยให้ทะเบียนความเสี่ยงสะท้อนความจริงเสมอ

การ Audit Privacy Risk Assessment ของธุรกิจสุขภาพไม่ใช่การทำเอกสารซ้ำ แต่คือการตรวจสอบว่าทะเบียนความเสี่ยงที่มีอยู่ยังตรงกับระบบจัดเก็บข้อมูลผู้ป่วยจริง มีหลักฐานรองรับการให้คะแนนและมาตรการลดความเสี่ยง เมื่อทำเป็นประจำและสุ่มตรวจอย่างมีระบบ ธุรกิจสุขภาพจะลดความเสี่ยงของข้อมูลผู้ป่วยได้อย่างต่อเนื่อง แม้ระบบงานจะเปลี่ยนแปลงบ่อยตามการขยายบริการก็ตาม

แหล่งข้อมูลอ้างอิง

เนื้อหานี้อ้างอิงแนวคิดการประเมินและบริหารความเสี่ยงด้านความเป็นส่วนตัวจาก NIST Privacy Framework ธุรกิจสุขภาพควรตรวจสอบรายละเอียดเพิ่มเติมจากแหล่งข้อมูลทางการ และปรับใช้ให้เหมาะกับข้อกำหนดเฉพาะของหน่วยงานกำกับดูแลในประเทศไทยที่เกี่ยวข้องกับข้อมูลสุขภาพประกอบกัน