ذكاء الامتثال في الرعاية الصحية لمعايير ISO والضوابط الداخلية.

عادةً ما يتعثّر الإعداد للتدقيق لأن الأدلّة مبعثرة عبر الفرق والمجلّدات والأدوات والبريد الإلكتروني.

يمكن لطبقة الامتثال أن تساعد الفرق على

• ربط المتطلّبات بالملّاك والأدلّة.
• البحث في السياسات وإجراءات التشغيل القياسية والضوابط والمواد التدقيقية السابقة.
• صياغة ملخّصات الأدلّة مع مراجع المصادر.
• تحديد الوثائق الناقصة أو القديمة.
• إعداد حزم التدقيق الداخلي للمراجعة.

صُمّم هذا لتقليل ضغط التدقيق في اللحظات الأخيرة وتحسين الاتّساق.

ولنظام يتابع الضوابط والأدلة طوال العام، اطّلع على أنظمة إدارة الامتثال.

ينبغي أن يتمكّن الموظّفون من طرح أسئلة مُحكمة على المواد الداخلية المعتمدة.

أمثلة على الأسئلة

• أي إجراء تشغيل قياسي ينطبق على هذا النوع من الحوادث؟
• ما الأدلّة المطلوبة لهذا الضابط؟
• أي مالك سياسة ينبغي أن يراجع هذا الاستثناء؟
• ما الذي تغيّر بين السياسة الحالية والنسخة السابقة؟
• أي مهام معالجة مفتوحة تؤثّر في هذا القسم؟

يمكن تقييد الإجابات حسب الدور ودعمها بروابط المصادر.

امتثال الرعاية الصحية ليس بحثًا فحسب. إنه متابعة حتى النهاية.

يمكن لـ Lenouar ربط مساندة الذكاء الاصطناعي بملاحظات الحوادث ومسودّات CAPA وطلبات الأدلّة وملّاك المعالجة وخطوات الموافقة. يمكن للنظام إعداد العمل، لكن يبقى البشر مسؤولين عن القرارات والاعتماد النهائي.

مخرجات مفيدة لمسار العمل

• مسودّة CAPA مع سياق المصدر.
• قائمة تحقّق للمعالجة.
• قائمة مهام لمالك الضابط.
• ملخّص لطلب الأدلّة.
• ملاحظة لتقارير الإدارة.

يمكن تشغيل عمليات نشر الرعاية الصحية على عقدة خاصة أو سحابة خاصة أو خادم على خزانة أو نموذج هجين.

يمكن للطبقة المحلية أن تتولّى الاسترجاع والتضمينات والفهرسة والتنقيح وتسجيل التدقيق ومهام الذكاء الاصطناعي الروتينية. وإذا سُمح بتوجيه نماذج خارجية أو مستضافة في الإمارات، يمكن لـ Lenouar فرض قواعد التوجيه بحيث تُعالَج البيانات الحسّاسة وفق السياسة المتّفق عليها.

معظم البرمجيات التي يشتريها مقدّم رعاية مرخَّص من دائرة الصحة لم تُكتب بمعيار ADHICS في الحسبان، والفجوة تظهر عند التقييم لا عند الشراء.

نبني أنظمة مخصّصة لمقدّمي الرعاية الصحية في أبوظبي بضوابط مُصمَّمة من البداية، لا مُضافة بعد ظهور ملاحظة.

ما يعنيه ذلك في البناء

• ضبط وصول يتبع صلاحيات النظام المصدر، فلا يستطيع أي مستخدم الوصول إلى سجل لم يكن مخوَّلاً بالاطلاع عليه.
• تسجيل تدقيق لكل استعلام مرتبط بهوية موثَّقة، محفوظ مدةً تكفي لإعادة بناء الحادثة.
• تشفير البيانات أثناء الحفظ والنقل يغطي المنظومة كاملة، بما فيها الذاكرة المؤقتة والفهارس ومخازن السجلات، لا قاعدة البيانات الأساسية وحدها.
• ضبط تغييرات على كل إصدار، كي يمكن تتبّع أي مُخرَج إلى النسخة التي أنتجته.
• أثر أدلة مُصمَّم حول ما يطلبه المقيّم، مُتحقَّق منه قبل التسليم.

نربط كل ضابط بكتالوج دائرة الصحة الحالي لا بملخّص من جهة أخرى. فالملخّصات المنشورة لمعيار ADHICS الإصدار الثاني تتباين في عدد نطاقات الضوابط وأسمائها، والمقيّم يتحقق من المراجع الحقيقية.

يُلزم معيار ADHICS الإصدار الثاني جهات الرعاية الصحية بتنفيذ تدريب دوري للتوعية بأمن المعلومات لموظفيها. وهو من أسهل الضوابط في الإخفاق، لأنه يحتاج دليلاً على التنفيذ لا على النيّة.

نقدّم هذا التدريب بالعربية والإنجليزية، ونسلّمك سجلات الحضور والإتمام التي سيطلب المقيّم رؤيتها.

الجلسات مبنية على طريقة عمل موظفيك فعلاً

• التعامل مع بيانات المرضى في الأنظمة التي تستخدمها فرقك يومياً.
• التصيّد والهندسة الاجتماعية الموجَّهة إلى الكوادر السريرية والإدارية.
• التعرّف على الحوادث والتزام الإبلاغ خلال 24 ساعة.
• الاستخدام الآمن لأدوات الذكاء الاصطناعي، ولماذا يُعدّ لصق سجلات المرضى في روبوت محادثة عام حادثةً واجبة الإبلاغ.
• جلسات مخصّصة بحسب الدور للأطباء والإداريين وتقنية المعلومات والإدارة.

تُشغّل دائرة الصحة أيضاً برنامجها الخاص للتعلّم السيبراني في القطاع الصحي. وتدريبنا مبنيّ ليكون إلى جانبه وليغطي الأجزاء الخاصة بأنظمتك وعمليات النشر لديك، لا ليحلّ محله.

يُقدَّم التدريب عبر الإنترنت بالعربية والإنجليزية مع شهادة لكل مشارك، وتجد تفاصيله في التدريب المؤسسي.

جدولة الكوادر السريرية نشاط امتثال لا نشاط تشغيلي فحسب. فمعيار ADHICS يتعامل مع الكوادر كعائلة ضوابط، والرخصة على الحائط صالحة فقط ما دام المؤهّل الذي خلفها صالحاً.

ما نبنيه

• جدولة سريرية تراعي مزيج المهارات، فلا تُغطّى نوبة بشخص غير مؤهَّل لها.
• تتبّع انتهاء الرخص والمؤهلات لكل طبيب، بتصعيد قبل التاريخ لا بعده.
• سير عمل للانضمام والنقل والمغادرة، فتُمنح الصلاحيات في اليوم الأول وتُسحب يوم مغادرة الشخص.
• تتبّع إتمام التدريب والتوعية لكل فرد، وهو ما يطلبه المقيّم.
• الإجازات والتغطية والعمل الإضافي ظاهرة مقابل الجدول، لا مُستعادة من الرسائل.

حالة المغادرة هي التي تُسقط التقييمات. فحساب يبقى نشطاً بعد مغادرة صاحبه ملاحظة في ضبط الوصول، وهو في الغالب فجوة إجراءات لا فجوة تقنية.

يضع معيار ADHICS أمن الأطراف الثالثة في النطاق، والمورّد الذي يعالج بيانات المرضى بالنيابة عنك هو تعرّضك أنت لا تعرّضه هو.

ما يحفظه النظام

• سجل بكل مورّد وخدمة تلامس بيانات المرضى، بما فيها ما تمّ توريده خارج إدارة تقنية المعلومات.
• ما يصل إليه كل منها، وبموجب أي اتفاقية، ولمدة كم.
• حالة التقييم الأمني لكل مورّد، بتاريخ مراجعة لا باستبيان لمرة واحدة.
• شروط العقد ومعالجة البيانات مرفقة بسجل المورّد، كي يكون الالتزام قابلاً للإيجاد عند الحاجة.
• صلاحيات مورّد تنتهي، وتُمنح لكل تكليف لا بشكل دائم.

الملاحظة الشائعة هي مورّد يملك وصولاً دائماً إلى الإنتاج من مشروع أُغلق منذ سنتين. نجعل ذلك ظاهراً، ثم نجعله ينتهي.

ومخاطر الموردين جزء من تقييم أوسع لمخاطر الأمن السيبراني وسجل المخاطر.

إدارة الأصول هي الضابط الذي يعتمد عليه كل ما سواه. فلا يمكن لضابط أن يرتبط بأصل لم يسجّله أحد.

ما نتتبّعه

• سجل أصول يغطي تقنية المعلومات والأنظمة السريرية والأجهزة الطبية المتصلة، لكل منها مالك مُسمّى وتصنيف.
• الأجهزة الطبية المتصلة وإنترنت الأشياء الطبية، وهي مجال يتوسّع فيه الإصدار الثاني من المعيار أكثر من الأول.
• موضع كل أصل، وما يحتويه، ومن يستطيع الوصول إليه.
• دورة الحياة: التوريد، والنشر، والصيانة، والإخراج من الخدمة بدليل على إزالة البيانات.
• الأصول التي تبقى عادةً غير مسجَّلة: مخازن المتجهات، وسجلات المطالبات، وطوابير المراجعة، ومستخرجات التقارير.

السطر الأخير هو ما يُسقط عمليات نشر الذكاء الاصطناعي في تقييم ADHICS. فالمنطق السريري يُدقَّق فيه، أما البنية المحيطة به فقد أُقيمت خلال تجربة ولم تعد إلى عملية الحوكمة قط.

ينبغي أن يركّز أول نشر عملي على مجال امتثال واحد.

نقاط انطلاق موصى بها

1. خريطة أدلّة الجاهزية التنظيمية.
2. مساعد للسياسات الداخلية وإجراءات التشغيل القياسية.
3. مسار صياغة الحوادث وإجراءات CAPA.
4. متتبّع أدلّة ضوابط ISO.
5. إعداد حزمة تدقيق لقسم واحد.

ينبغي أن تقيس التجربة جودة الإجابات وجودة الأدلّة والوقت المُوفَّر ومدى تبنّي الموظّفين.