ซอฟต์แวร์สุขภาพทำไมมักตกม้าตายเรื่อง “การปฏิบัติตามกฎ” และไม่มีใครสังเกตเห็น?

ซอฟต์แวร์สุขภาพทำไมมักตกม้าตายเรื่อง “การปฏิบัติตามกฎ” และไม่มีใครสังเกตเห็น?

ในแต่ละปี องค์กรด้านสุขภาพทุ่มงบประมาณจำนวนมหาศาลไปกับการทำให้ระบบต่างๆ เป็นไปตามข้อกำหนดและกฎระเบียบ

ไม่ว่าจะเป็นการตรวจสอบนโยบาย การสแกนช่องโหว่ทางความปลอดภัยจากทีมไอทีผู้เชี่ยวชาญ

แต่ถึงอย่างนั้น ซอฟต์แวร์ด้านสุขภาพจำนวนมากก็ยังคงมีปัญหาเรื่องการปฏิบัติตามข้อกำหนด และที่น่าตกใจคือ หลายครั้งปัญหาเหล่านี้กลับไม่ถูกสังเกตเห็น จนกว่าจะเกิดเหตุการณ์ไม่พึงประสงค์ขึ้นมา

ปริศนาค่าใช้จ่ายมหาศาลกับการรักษาความปลอดภัยที่ไม่เพียงพอ

มันเป็นเรื่องน่าฉงน ที่แม้จะมีการลงทุนไปกับเรื่องนี้มากมาย แต่ความล้มเหลวก็ยังเกิดขึ้นบ่อยครั้ง

คำถามคือทำไม?

สาเหตุหลักๆ มักมาจากความเข้าใจที่คลาดเคลื่อนระหว่าง “การปฏิบัติตามข้อกำหนด” กับ “ความปลอดภัยที่แท้จริง” ในเชิงปฏิบัติ

หลายองค์กรมักจะมุ่งเน้นไปที่การทำตาม เช็คลิสต์ หรือ เอกสาร เพื่อให้ผ่านการตรวจสอบ

ซึ่งเป็นการมองปัญหาแบบผิวเผินและเป็นเพียงภาพ snapshot ชั่วคราว

“การปฏิบัติตามกฎ” ไม่ใช่ “ความปลอดภัย” เสมอไป

การปฏิบัติตามข้อกำหนดมักจะถูกมองเป็นการทำตามกฎที่ตายตัว เช่น การมีนโยบายที่ถูกต้อง หรือการตั้งค่าความปลอดภัยบางอย่าง

แต่ในโลกความเป็นจริง ซอฟต์แวร์มีการทำงานร่วมกับผู้คน ข้อมูล และระบบอื่นๆ ที่มีความซับซ้อนและเปลี่ยนแปลงอยู่ตลอดเวลา

ระบบที่ “ปฏิบัติตามข้อกำหนด” อาจยังคงมีช่องโหว่ด้านความปลอดภัยร้ายแรง หรือใช้งานจริงไม่ได้ผลดีนัก

ตัวอย่างเช่น ระบบอาจมีการเข้ารหัสข้อมูลตามมาตรฐาน แต่ขั้นตอนการเข้าถึงข้อมูลของผู้ใช้งานกลับไม่ปลอดภัยเพียงพอ

หลายครั้งการเน้นเรื่องเอกสารมากเกินไป ทำให้ละเลยการตรวจสอบการทำงานของซอฟต์แวร์ที่ ใช้งานจริง

นี่คือจุดที่ความปลอดภัยที่แท้จริงถูกละเลยไป เพราะมัวแต่ไล่ตามการทำเครื่องหมายในช่องสี่เหลี่ยม

ช่องว่างระหว่างคนไอทีกับผู้ใช้งานจริง

อีกหนึ่งปัจจัยสำคัญที่ทำให้ปัญหาไม่ถูกสังเกตเห็น คือ ช่องว่าง ระหว่างทีมเทคนิคและผู้ใช้งานปลายทาง

ทีมไอทีหรือทีมรักษาความปลอดภัยมักจะมองเรื่องการปฏิบัติตามข้อกำหนดจากมุมมองทางเทคนิคเป็นหลัก

ในขณะที่บุคลากรทางการแพทย์ เช่น แพทย์และพยาบาล มุ่งเน้นไปที่การใช้งานที่ง่าย รวดเร็ว และสามารถดูแลผู้ป่วยได้อย่างมีประสิทธิภาพ

ความแตกต่างของมุมมองนี้ ทำให้ความสำคัญในแต่ละด้านไม่ตรงกัน

ปัญหาที่เกี่ยวกับประสบการณ์ผู้ใช้งาน หรือความเสี่ยงที่เกิดจากการใช้งานจริงจึงมักถูกมองข้ามไป

นอกจากนี้ กฎระเบียบด้านสุขภาพมีความซับซ้อนมาก เช่น HIPAA ในต่างประเทศ

ทำให้องค์กรตีความและนำไปใช้ในลักษณะที่ “ตรงตามตัวอักษร” แต่ไม่เข้าถึง “เจตนารมณ์” ของกฎอย่างแท้จริง

การตรวจสอบมักจะเกิดขึ้นเป็นครั้งคราว ไม่ใช่การติดตามผลอย่างต่อเนื่อง

ทำให้หลังจากผ่านการตรวจสอบไปแล้ว หากเกิดปัญหาขึ้น ก็อาจไม่มีใครสังเกตเห็นจนกว่าจะสายเกินไป

ถึงเวลาเปลี่ยนมุมมอง: จากการทำตามเช็คลิสต์สู่ความปลอดภัยที่แท้จริง

เพื่อหลีกเลี่ยงความเสี่ยงจากข้อมูลรั่วไหล อันตรายต่อผู้ป่วย ค่าปรับมหาศาล และความเชื่อมั่นที่สูญเสียไป

องค์กรด้านสุขภาพต้องมองข้ามการทำตามเช็คลิสต์ไปสู่การสร้าง ความปลอดภัยที่แท้จริง

ควรจะเริ่มจากการให้ความสำคัญกับความปลอดภัยตั้งแต่เริ่มต้นการพัฒนาซอฟต์แวร์ และให้ผู้ใช้งานจริงมีส่วนร่วมในกระบวนการตั้งแต่แรก

มีการ ตรวจสอบและปรับปรุง อย่างต่อเนื่อง ไม่ใช่แค่รอการตรวจสอบประจำปี

การเปลี่ยนวัฒนธรรมองค์กรให้มองว่าการปฏิบัติตามข้อกำหนดเป็นส่วนหนึ่งที่สำคัญของการดูแลผู้ป่วยและคุณภาพบริการ

ไม่ใช่แค่ภาระหน้าที่ที่ต้องทำให้เสร็จ จะนำไปสู่ระบบสุขภาพที่ปลอดภัยและมีประสิทธิภาพอย่างยั่งยืน