Rekam Medis Elektronik dan Perubahan Profil Risiko
Digitalisasi rekam medis memberikan banyak manfaat. Informasi dapat tersedia lebih cepat, proses pelayanan dapat lebih terintegrasi, pencarian data menjadi lebih efisien, dan riwayat pelayanan pasien dapat ditelusuri dengan lebih mudah.
Namun digitalisasi juga mengubah profil risiko.
Dalam sistem berbasis kertas, risiko utama antara lain kehilangan dokumen, kerusakan fisik, pencatatan yang sulit dibaca, atau penyimpanan yang tidak tertata. Dalam Rekam Medis Elektronik, muncul risiko tambahan seperti akses tanpa hak, pencurian kredensial, serangan siber, perubahan data, kegagalan sistem, kebocoran basis data, kesalahan konfigurasi hak akses, dan penggunaan akun secara bersama-sama.
Karena itu, transformasi digital harus diikuti transformasi pengendalian.
Rumah sakit tidak cukup hanya membeli atau mengembangkan aplikasi Rekam Medis Elektronik. Rumah sakit perlu memastikan adanya tata kelola pengguna, autentikasi, otorisasi berdasarkan peran, pencatatan aktivitas pengguna, mekanisme backup, pemulihan data, pengendalian perubahan, serta prosedur penanganan insiden.
Setiap pengguna seharusnya memperoleh akses berdasarkan kebutuhan tugasnya. Dokter, perawat, petugas administrasi, petugas rekam medis, bagian keuangan, dan administrator teknologi informasi tidak semestinya memiliki hak akses yang sama.
Prinsip need to know dan least privilege penting diterapkan sehingga seseorang hanya dapat mengakses informasi yang memang diperlukan untuk menjalankan tugasnya.
Audit Trail sebagai Pengendalian Hukum
Salah satu komponen penting dalam Rekam Medis Elektronik adalah kemampuan sistem untuk membentuk jejak audit atau audit trail.
Sistem idealnya dapat memberikan informasi mengenai siapa yang mengakses data, kapan akses dilakukan, aktivitas apa yang dilakukan, serta perubahan apa yang terjadi.
Jejak audit mempunyai fungsi penting ketika terjadi dugaan akses tanpa kewenangan atau perubahan data.
Misalnya terdapat dugaan bahwa suatu catatan medis diubah setelah muncul pengaduan pasien. Tanpa audit trail, rumah sakit mungkin kesulitan menjelaskan kronologi perubahan tersebut. Sebaliknya, sistem yang mempunyai pencatatan aktivitas yang memadai dapat membantu proses investigasi secara objektif.
Dengan demikian, audit trail bukan hanya fitur teknologi informasi. Ia merupakan bagian dari sistem pengendalian internal dan manajemen risiko hukum.
Kerahasiaan dan Pelindungan Informasi Pasien
Salah satu area dengan tingkat risiko tinggi adalah kerahasiaan informasi pasien.
Rumah sakit mengelola sejumlah besar informasi pribadi dan informasi kesehatan. Informasi tersebut dapat mencakup identitas, riwayat penyakit, diagnosis, hasil laboratorium, radiologi, tindakan medis, penggunaan obat, sampai informasi lain yang sifatnya sangat pribadi.
Akses terhadap informasi tersebut harus dikendalikan.
Permintaan informasi dari keluarga pasien, perusahaan, perusahaan asuransi, aparat penegak hukum, pemberi kerja, maupun pihak lain tidak seharusnya dipenuhi secara otomatis. Setiap permintaan perlu diperiksa dasar kewenangan dan prosedur hukumnya.
Risiko tidak hanya berasal dari sistem komputer. Pengambilan foto layar komputer menggunakan telepon seluler, pengiriman hasil pemeriksaan melalui aplikasi percakapan pribadi, penggunaan akun bersama, atau pembicaraan mengenai kondisi pasien di tempat yang dapat didengar orang lain juga dapat menimbulkan persoalan kerahasiaan.
Oleh karena itu, keamanan rekam medis harus menggabungkan pengendalian teknologi, prosedur, dan perilaku sumber daya manusia.
Uji Kepatuhan Hukum Rekam Medis
Rumah sakit memerlukan mekanisme evaluasi berkala untuk memastikan bahwa aturan yang tertulis benar-benar diterapkan.
Salah satu pendekatan yang dapat digunakan adalah Uji Kepatuhan Hukum Rekam Medis.
Uji kepatuhan berbeda dengan sekadar pemeriksaan kelengkapan dokumen. Uji kepatuhan dilakukan dengan mengubah kewajiban hukum menjadi kriteria yang dapat diperiksa.
Setiap ketentuan dapat diterjemahkan menjadi pertanyaan kepatuhan: apa kewajibannya, siapa penanggung jawabnya, apa bukti pemenuhannya, bagaimana kondisi aktualnya, dan apakah terdapat kesenjangan antara kewajiban dengan praktik.
Ruang lingkup pemeriksaan dapat mencakup penyelenggaraan Rekam Medis Elektronik, registrasi pasien, pendistribusian data, pengisian informasi klinis, pengolahan informasi, penyimpanan, penjaminan mutu, transfer isi rekam medis, kepemilikan dan isi, keamanan dan perlindungan data, pembukaan informasi, serta tata kelola sumber daya.
Hasilnya kemudian dapat diklasifikasikan menjadi Patuh, Tidak Patuh, Patuh Sebagian, atau Tidak Relevan, sesuai metodologi yang ditetapkan rumah sakit.
Pendekatan Berbasis Risiko
Tidak semua ketidakpatuhan memiliki tingkat risiko yang sama.
Kesalahan administratif minor tentu berbeda dengan kondisi ketika seluruh tenaga menggunakan satu akun bersama untuk mengakses Rekam Medis Elektronik. Demikian pula keterlambatan tertentu dalam dokumentasi berbeda tingkat risikonya dengan pengungkapan informasi pasien kepada pihak yang tidak berwenang.
Karena itu, temuan sebaiknya dinilai berdasarkan tingkat risiko.
Rumah sakit dapat menggunakan parameter seperti kemungkinan terjadinya pelanggaran, besarnya dampak hukum, jumlah pasien yang terdampak, sensitivitas informasi, dampak terhadap keselamatan pasien, serta potensi sanksi dan kerugian reputasi.
Dari pendekatan tersebut, temuan dapat diprioritaskan menjadi risiko rendah, sedang, tinggi, atau kritis.
Temuan dengan risiko kritis dan tinggi harus memperoleh prioritas tindakan korektif.
Dari Kepatuhan Menuju Sistem Pencegahan
Tujuan akhir kepatuhan hukum bukan menghasilkan laporan yang menyatakan rumah sakit telah memenuhi sekian persen ketentuan.
Tujuan yang lebih penting adalah membangun sistem pencegahan.
Setiap hasil uji kepatuhan harus ditindaklanjuti melalui corrective action dan, jika diperlukan, preventive action. Harus ditentukan temuan, akar masalah, tindakan perbaikan, penanggung jawab, batas waktu, bukti penyelesaian, dan mekanisme verifikasi.
Jika ditemukan penggunaan akun bersama, misalnya, tindakan korektifnya tidak cukup hanya memberikan teguran. Rumah sakit perlu mengidentifikasi penyebabnya. Apakah jumlah akun tidak memadai? Apakah proses autentikasi terlalu lambat? Apakah kebijakan tidak dipahami? Atau sistem memang tidak menyediakan pengendalian yang tepat?
Pendekatan semacam ini menjadikan kepatuhan sebagai bagian dari continuous improvement.