●肖 婷

一、公立醫(yī)院信息系統(tǒng)開展管理審計的意義

公立醫(yī)院的信息系統(tǒng)能夠提高醫(yī)院的管理效率，通過信息系統(tǒng)能夠統(tǒng)計醫(yī)院各醫(yī)生工作量、各藥品、耗材的使用信息——人們統(tǒng)稱為“統(tǒng)方”，“違規(guī)統(tǒng)方”是指通過不正當(dāng)?shù)耐緩椒欠ǐ@得醫(yī)院處方或耗材用量的統(tǒng)計信息，它是醫(yī)療信息的涉漏，通常與商業(yè)回扣相關(guān)。在醫(yī)療行業(yè)，“違規(guī)統(tǒng)方”是醫(yī)療信息系統(tǒng)的一個頑疾，不僅擾亂了正常的藥品、耗材管理秩序，也極易滋生醫(yī)藥購銷領(lǐng)域的腐敗行為。一直以來，國家衛(wèi)生部門、紀(jì)檢部門和醫(yī)院對如何科學(xué)合理地使用醫(yī)院的信息管理系統(tǒng)，防范“違規(guī)統(tǒng)方”的發(fā)生，采取了一系列防范措施，但不時仍有不法分子利用醫(yī)院的信息管理系統(tǒng)，為商業(yè)目的統(tǒng)計各種藥品、耗材的使用情況，造成“違規(guī)統(tǒng)方”和商業(yè)賄賂的發(fā)生，影響醫(yī)院的健康穩(wěn)定發(fā)展。因此，如何防范“違規(guī)統(tǒng)方”的發(fā)生，成為醫(yī)院信息管理系統(tǒng)必須解決的課題之一。本文通過對公立醫(yī)院的信息系統(tǒng)開展管理審計評價，以期發(fā)現(xiàn)醫(yī)院信息系統(tǒng)管理上存在的薄弱環(huán)節(jié)與不足，同時，從管理審計的角度提出改善建議，促使公立醫(yī)院提早采取措施堵塞漏洞，實現(xiàn)醫(yī)院既能夠科學(xué)合理地利用信息管理系統(tǒng)，為醫(yī)院合理用藥、處方點評等管理工作“統(tǒng)方”，又能防范“違規(guī)統(tǒng)方”的發(fā)生，杜絕醫(yī)務(wù)人員在利益的驅(qū)使下開大處方、收受回扣，促使醫(yī)務(wù)人員樹立以人民健康為中心，嚴(yán)格按照醫(yī)療規(guī)范開展醫(yī)療工作，對構(gòu)建和諧醫(yī)患關(guān)系，解決人民群眾身邊的“煩心事”，營造風(fēng)清氣正的醫(yī)療環(huán)境具有重要意義。

二、公立醫(yī)院信息系統(tǒng)使用上存在的不足

公立醫(yī)院信息系統(tǒng)能夠為醫(yī)院所屬各部門提供病人診療信息和行政管理信息的收集、存儲、處理、提取和數(shù)據(jù)交換等功能，實現(xiàn)整個醫(yī)院的人、財、物等各種信息的順暢流通和高度共享，為醫(yī)院的管理水平現(xiàn)代化和領(lǐng)導(dǎo)決策的科學(xué)化打下堅實的基礎(chǔ)。該系統(tǒng)包含門診診療登記、住院登記、病房醫(yī)生工作站、護士工作站、藥房管理、藥房發(fā)藥，價格管理、成本核算等子系統(tǒng)，每位患者的治療信息，包括主管醫(yī)生是誰？使用的藥品、耗材的信息都能在該信息系統(tǒng)隨機可查。建設(shè)該系統(tǒng)的目的本是將醫(yī)院各科室的信息整合起來，使其互聯(lián)互通，實現(xiàn)信息共享，提高醫(yī)院整體管理水平和工作效率，更好更便捷地服務(wù)患者。但卻有不法分子盯上該系統(tǒng)，企圖使用該系統(tǒng)為醫(yī)藥購銷領(lǐng)域的商業(yè)賄賂提供方便。為防止醫(yī)院員工為外來人員收集、泄漏醫(yī)院信息數(shù)據(jù)，進行商業(yè)統(tǒng)方，目前，各公立醫(yī)院都購買審計稽查軟件，對信息系統(tǒng)的使用進行監(jiān)督，凡使用該系統(tǒng)必須密碼登錄，未正確使用密碼登錄該系統(tǒng)的，審計稽查軟件系統(tǒng)立即發(fā)出報警信息。審計稽查軟件為醫(yī)院信息系統(tǒng)的使用發(fā)揮了很好的監(jiān)管作用，但自醫(yī)院建立信息系統(tǒng)以來，個別醫(yī)院仍發(fā)生極個別“違規(guī)統(tǒng)方”，那么，如何科學(xué)地使用醫(yī)院信息系統(tǒng)，使該系統(tǒng)既能服務(wù)處分點評、統(tǒng)計查詢數(shù)據(jù)，又能防范使用該系統(tǒng)違規(guī)為商業(yè)賄賂統(tǒng)計數(shù)據(jù)，一直困擾著各公立醫(yī)院的網(wǎng)絡(luò)信息管理人員。

三、公立醫(yī)院信息系統(tǒng)實施管理審計

為解決醫(yī)院信息系統(tǒng)在管理上存在的不足，尋找其存在的潛在風(fēng)險，以便有的放矢地采取措施加強管理，經(jīng)某醫(yī)院的領(lǐng)導(dǎo)層同意，對某醫(yī)院的信息系統(tǒng)的管理情況實施管理審計的實踐探究。受限于審計人員對醫(yī)院信息系統(tǒng)了解不專業(yè)、不夠深入，為全面了解和掌握醫(yī)院信息系統(tǒng)業(yè)務(wù)內(nèi)容與流程，筆者組織審計人員、網(wǎng)絡(luò)信息管理專家、醫(yī)院內(nèi)審人員組成審計評價小組，通過不同專業(yè)人員的組合，實現(xiàn)審計專家專業(yè)優(yōu)勢互補，既可以發(fā)揮網(wǎng)絡(luò)信息管理人員的專業(yè)優(yōu)勢，獲取更多的業(yè)務(wù)信息，又可以發(fā)揮審計人員的審計優(yōu)勢，運用管理審計的手段開展評價，一起為醫(yī)院的信息系統(tǒng)在管理業(yè)務(wù)流程與環(huán)節(jié)上把脈，開展風(fēng)險評估，診斷風(fēng)險隱患。

首先，審計組結(jié)合醫(yī)院的業(yè)務(wù)實際情況及當(dāng)前醫(yī)院信息化發(fā)展過程中常用的“統(tǒng)方”途徑進行剖析，具體如下圖所示。

接著，審計評價組結(jié)合上述的“統(tǒng)方”途徑，查閱醫(yī)院的信息系統(tǒng)使用登記資料，了解信息系統(tǒng)使用各個環(huán)節(jié)情況，并且對信息系統(tǒng)的權(quán)力流程圖每項程序的設(shè)計與實施情況進行實地檢查、比對。審計發(fā)現(xiàn)，醫(yī)院的信息管理系統(tǒng)主要是通過不同口令設(shè)置不同的使用權(quán)限，比如：醫(yī)生只能利用該系統(tǒng)撰寫病歷、開醫(yī)囑，藥學(xué)人員使用該系統(tǒng)審查藥方、發(fā)藥，口令的設(shè)置為醫(yī)院信息系統(tǒng)的使用實現(xiàn)分級管理，每位工作人員只能按權(quán)限、職責(zé)需求使用信息系統(tǒng)，對信息系統(tǒng)的管理發(fā)揮了很好的作用。但在審計調(diào)查的過程中，我們同樣發(fā)現(xiàn)了一些管理上的漏洞。第一，從醫(yī)院信息管理系統(tǒng)統(tǒng)計功能權(quán)力流程圖上看，信息系統(tǒng)未設(shè)置重要和敏感信息的查詢留痕功能，詢問相關(guān)網(wǎng)絡(luò)管理人員，實際操作也存在同樣的漏洞。第二，對通過信息系統(tǒng)查詢藥品、醫(yī)用耗材用量等信息的權(quán)限未實行嚴(yán)格的分級管理和審批程序。第三，對信息系統(tǒng)中有關(guān)藥品、醫(yī)用耗材用量等統(tǒng)計功能未實行專人負(fù)責(zé)，導(dǎo)致醫(yī)院藥房、各科室都可以以工作需要為由，利用該系統(tǒng)統(tǒng)計藥品與醫(yī)用耗材的使用情況。且因未設(shè)置重要和敏感信息查詢留痕功能，對誰使用了信息系統(tǒng)統(tǒng)計數(shù)據(jù)？統(tǒng)計了什么數(shù)據(jù)？很難查詢，很難辨別系為工作需要統(tǒng)計還是為商業(yè)賄賂統(tǒng)計，所以這給信息安全帶來很高風(fēng)險，讓不法分子有機可乘。因此，為了盡量降低信息系統(tǒng)信息安全與準(zhǔn)入的人為風(fēng)險，保證信息使用的安全，提高信息系統(tǒng)運行的效果與效率，審計評價組向醫(yī)院提出以下三方面的整改建議：

（一）建立信息統(tǒng)計與準(zhǔn)入審批權(quán)限

醫(yī)院各部門及個人通過計算機網(wǎng)絡(luò)查詢醫(yī)院信息的權(quán)限應(yīng)實行分級管理，對醫(yī)院信息系統(tǒng)中有關(guān)醫(yī)生藥品、耗材使用情況和其他不能對外提供的數(shù)據(jù)等信息實行專人負(fù)責(zé)、加密管理，嚴(yán)格統(tǒng)計權(quán)限和審批程序，任何部門及個人若需要統(tǒng)計醫(yī)生藥品、耗材使用情況和其他不能對外提供的數(shù)據(jù)等信息須逐級向上級主管領(lǐng)導(dǎo)申請報批。

（二）設(shè)置重要和敏感信息查詢留痕功能

信息管理部門要做好數(shù)據(jù)庫管理工作，制定相關(guān)數(shù)據(jù)庫管理制度，加強數(shù)據(jù)庫密碼管理，對數(shù)據(jù)庫密碼實行分段、多人管理，建立查詢?nèi)沼?，信息系統(tǒng)中要設(shè)置重要和敏感信息查詢留痕功能，定期分析，做好數(shù)據(jù)追蹤，與時俱進進行數(shù)據(jù)預(yù)判以及設(shè)置反統(tǒng)方系統(tǒng)警告語句和規(guī)則，及時發(fā)現(xiàn)異常情況。利用數(shù)據(jù)加密、查詢留痕、數(shù)據(jù)庫審計技術(shù)加強數(shù)據(jù)庫安全性和可追溯性。

（三）建立約束制度，強化責(zé)任追究

醫(yī)院紀(jì)檢監(jiān)察部門要把查處非法統(tǒng)方作為治理商業(yè)購銷領(lǐng)域賄賂犯罪行為的切入點，加強預(yù)警和正面引導(dǎo)，及時對信息系統(tǒng)的審計稽查軟件進行升級更新，監(jiān)控統(tǒng)方行為。建立約束制度，強化責(zé)任追究，要求各科室、各醫(yī)療衛(wèi)生人員要嚴(yán)格做好因工作需要統(tǒng)計的藥品、醫(yī)用耗材的信息保密管理工作，嚴(yán)格控制其使用和知曉的范圍，若發(fā)現(xiàn)因工作需要統(tǒng)計的信息被挪為他用、私自擴大知曉范圍或被用于實施違法違規(guī)行為的，必須追究相關(guān)人員的責(zé)任。

四、公立醫(yī)院信息系統(tǒng)實施管理審計取得的成效

本研究通過實施管理審計，邀請網(wǎng)絡(luò)信息管理專家的加入對某醫(yī)院信息系統(tǒng)實施審計評價，運用詢問、實地取證、審查、比對等審計方法開展評價，找出風(fēng)險隱患并提出整改對策，得到了該醫(yī)院管理層與網(wǎng)絡(luò)信息部門的充分肯定和認(rèn)同，認(rèn)為管理審計對強化醫(yī)院風(fēng)險管理，提升管理水平具有很大的幫助，取得以下幾方面的成效：

（一）防范非法統(tǒng)方的風(fēng)險力度得到提升

醫(yī)院針對審計評價過程中發(fā)現(xiàn)的問題與整改建議高度重視，先后出臺了《防范違規(guī)統(tǒng)計和泄漏信息數(shù)據(jù)的管理規(guī)定》和《關(guān)于加強醫(yī)院統(tǒng)方管理的規(guī)定》，并且要求信息管理部門加強監(jiān)督，做好數(shù)據(jù)跟蹤與分析，提高防范非法統(tǒng)方的風(fēng)險力度。通過建章立制，堵塞信息安全漏洞，用制度規(guī)范行為。

（二）防范非法統(tǒng)方的技術(shù)水平得到加強

加強信息業(yè)務(wù)管理，使用先進數(shù)據(jù)庫審計系統(tǒng)和防統(tǒng)方系統(tǒng)，同時確保技術(shù)人員熟練掌握醫(yī)院醫(yī)療數(shù)據(jù)庫審計軟件的使用與防范技術(shù)，諸如：網(wǎng)絡(luò)防火墻技術(shù)、數(shù)據(jù)交換機的操作，實現(xiàn)全方位監(jiān)控非法統(tǒng)方風(fēng)險，確保審計結(jié)果得到有效運行，實現(xiàn)強化風(fēng)險管理的目標(biāo)，著力從源頭上有效遏制和預(yù)防腐敗。

（三）醫(yī)院相關(guān)人員防范違規(guī)意識得到增強

通過建立科學(xué)、合理的約束制度，不斷完善制度機制，加強“違規(guī)統(tǒng)方”風(fēng)險預(yù)警，在醫(yī)院各部門和相關(guān)人員之間加強教育，防范意識得到提高。另外，審計人員參與到醫(yī)院的風(fēng)險管理，對強化醫(yī)院風(fēng)險管理發(fā)揮了有效的作用。

五、結(jié)論

實踐證明，對公立醫(yī)院的信息管理系統(tǒng)開展管理審計，通過審計人員聯(lián)合網(wǎng)絡(luò)管理專家組成審計小組，不僅能發(fā)現(xiàn)信息系統(tǒng)的潛在風(fēng)險，提出前瞻性的審計建議，提升醫(yī)院防范“違規(guī)統(tǒng)方”的技術(shù)水平與能力，強化“違規(guī)統(tǒng)方”風(fēng)險預(yù)警，解決了醫(yī)院一直困惑的“違規(guī)統(tǒng)方”問題，而且能夠促使醫(yī)院管理層認(rèn)識到內(nèi)部審計除了能夠?qū)︶t(yī)院的資產(chǎn)、負(fù)債、損益的真實、合法、效益進行審計監(jiān)督外，同樣能夠通過管理審計對醫(yī)院管理過程中管理機制的設(shè)計和運行的有效性提出獨立、客觀的評價，指出其管理控制上存在的不足與制度建設(shè)上存在的漏洞，為改進醫(yī)院的治理和發(fā)展提出建議，消除監(jiān)督盲區(qū)，促進醫(yī)院完善內(nèi)部控制、規(guī)范內(nèi)部管理、防范風(fēng)險發(fā)生，對強化醫(yī)院風(fēng)險管理具有重要意義。