Bedömning av risker med digitala tjänster

Digitala tjänster är en central del av den förnyade servicestrukturen inom social- och hälsovården. I och med digitaliseringen blir riskerna mer komplexa och för att hantera dem behövs en tydlig och enhetlig praxis. Att identifiera risker proaktivt är nödvändigt för att kunna säkerställa tjänsternas informationssäkerhet och dataskydd, tjänsternas kontinuitet och användarvänlighet samt en tillräcklig kompetens hos personalen. Inom Siun sote märkte man att det hade gjorts en hel del arbete för att utveckla riskhanteringen kring digitala tjänster, men arbetet var oenhetligt och saknade gemensam struktur.

Siun sote medverkade i Klient- och patientsäkerhetscentrets sakkunnigarbetsgrupp som utvecklade det nationella verktyget för bedömning av risker med digitala tjänster. Det Excel-baserade verktyget baserar sig på olycksfjärilen (BowTie) och erbjuder ett enhetligt sätt att granska funktionella risker med distanstjänster och digitala tjänster samt metoder för att hantera dessa. Verktyget anpassades till Siun sotes strategiska mål och integrerades i välfärdsområdets processer.

Siun sotes riskbedömningsverktyg i Laatuportti

Siun sotes riskbedömningsverktyg utarbetades i systemet Laatuportti från Qreform. Laatuportti möjliggör riskbedömning, dokumentering, uppföljning av åtgärder och kunskapsbaserad ledning på organisationsnivå.

Den strukturerade modellen gav en tydligare ansvarsfördelning: systemägaren bedömer de tekniska riskerna, såsom informationssäkerheten, driftsäkerheten och systemstödet, medan enheten som producerar tjänsten bedömer de funktionella riskerna, såsom målet med tjänsten, målgruppens behov, personalens kompetens och det digitala stödet för kunderna.

Verktyget testades på förhand

Riskbedömningsverktyget testades vid sex enheter innan det togs i bruk. Under testperioden märkte man att den strukturerade bedömningen hjälpte enheterna att hitta delområden som de inte tidigare hade behandlat lika systematiskt.

Bland annat noterades behov av att förstärka personalens digitala kompetens, se över enheternas egen dataskyddspraxis och förtydliga de interna processerna kring digitala tjänster. Utgående från responsen gjordes flera förtydliganden i verktyget, instruktionerna preciserades och allt material samlades på ett ställe i Laatuportti.

Riskbedömning vid införandet av digitala tjänster

Inom Siun sote ska riskbedömningen bli en etablerad del av införandet av digitala tjänster. Riskbedömningen ska fyllas i direkt när enheten har beslutat att införa en digital tjänst.

Bedömningen ska vara färdig innan den nya tjänsten öppnas, och ansvarspersoner och tidsplaner ska fastställas för eventuella åtgärder. Syftet är inte att eliminera alla risker, utan att försäkra sig om att de har identifierats, hanterats och dokumenterats i organisationens interna processer.

Riskbedömningen syns också i enheternas lagstadgade planer för egenkontroll, vilket förstärker ansvaret och ökar transparensen gentemot kunderna. Genom regelbunden rapportering och bedömning blir riskbedömningen en del av den kontinuerliga förbättringen av verksamheten. Organisationen kan följa att åtgärderna genomförs, uppdatera handlingsmodellerna och försäkra sig om att de digitala tjänsterna är säkra, fungerande och tillförlitliga för användarna.