EVALUATION DES SYSTEMES D INFORMATION AU LBM

Transcription

1 EVALUATION DES SYSTEMES D INFORMATION AU LBM Les grands principes en évaluation d accréditation Exemples d écarts relevés en audit

2 Les principes de l Audit d évaluation Principes de l évaluation d accréditation Rappel exigences attendues en audit

3 Accréditation : les «fondamentaux» Vittel 16 mai 2013 SMQ = Outil de Management TRANSVERSAL (organisationnel et technique) Gestion documentaire maîtrisée (contenu et diffusion pour application) Autorité, Responsabilité, Formation, Habilitation (organigramme, grille compétence) Amélioration Continue (Non Conf, Act Corr, Réc Clients, Audits, Revue de Direction) Traçabilité (enregistrements «papier», informatisés, serveurs distants, chaînes de transferts) Phase pré-analytique Correspondance [ patient / prescription / échantillons / dossier informatisé ] Intégrité de l échantillon (manuel pvt, gestion NC préana, métro si besoin, ) Renseignements importants (clinique, heure/conditions Pvt, délais avant pré traitement) Gestion du «personnel externe» (médical, paramédical, services supports / logistique) Gestion de la logistique (avant le labo, au labo, en intersites, urgences, ) Phase analytique Maîtrise technique (vérification / validation de méthodes, CQ, Doc technique, métro, ) Traçabilité (doc fournisseurs, résultats, CQ, maintenance, raccordement, pannes ) Validation techniques (critères repasses, critiques, alertes, logigrammes) Phase post-analytique Maîtrise «médicotechnique» (IM, FMC, Bases Avis / Interprétations, logigrammes ) Traçabilité (discussions pertinentes, rendu en urgence, amendements, serveurs de résultats) Gestion des échantillons et biothèques (métro si besoin) Validation Biologique = valeur ajoutée vraie si ce qui précède est maîtrisé

4 PRINCIPES GENERAUX EN EVALUATION Vérification de la formalisation du processus considéré En termes de moyens attribués (humains, matériel, formations, etc ) En termes de procédures et/ou d outils mis en place En termes d indicateurs et/ou de suivi du processus Vérif. de la mise en application des dispositions formalisées Par interview du personnel (interne et/ou externe +/- encadrement) Par traçabilités sur documents sources ou sur les systèmes info En croisant les investigations (sous différentes approches/questions/traça) Evaluation raisonnable du processus considéré Dispositions existent + application «démarrée» = OK En suivi, vérifier que l application «monte en puissance» (amélioration continue) Dispositions existent mais application peu effective = Vigilance ou écart NC Absence de dispositions et/ou absence d application = Ecart (NC ou C selon le cas) Toujours prendre en compte l argumentaire de l évalué => l objectif de l audit est d obtenir la confiance dans les capacités du laboratoire à gérer les examens sous accréditation (différent de l inspection)

5 Quelque soit le processus considéré Personnel formé et habilité => maîtrise qualification / habilitation Formation initiale et continue / «procédures» SMQ / traça dossier personnel Interview et discussions / observation techniques / traça «paillasses» Documentation à jour, diffusée, accessible, et connue Qu elle soit interne ou externe, qu elle s adresse en interne ou en externe Interview et discussions / observation techniques / traça «paillasses» Traçabilité efficace (papier ou informatisée) Opérateurs, horodatages, doc d accompagnements, renseignements collectés, paramétrage des différents outils, données brutes, stock, etc Relevé de NC existant et géré, suivi des fiches, AC et P, Gestion des urgences procéduré spécifiquement (dispo + traça) Processus dégradé et gestion des dérogations (dispo + traça) Assurer la remontée d information en validation biologique en cas d impact patient potentiel

6 Résumé des «méthodes d audit» Vittel 16 mai 2013 Evaluation = sondage => cibler les «aspects critiques» Questionnement systématique (personnel effecteur et encadrement) Observation systématique de l opérateur «en train de travailler» Traçabilités systématiques Lors du questionnement du personnel «en poste» A partir de CR de résultats (ou autre doc. => «traça transversale») A partir du relevé de NC (ciblé sur le processus évalué) Croisement des informations à l aide des types d investigations listés ci-dessus (et au sein de l équipe d audit) Questionnement croisé de différents opérateurs (ou fonctions) Traçabilité effectuées «Comportement» de l évaluateur: Factuel / Objectif / Pas de jugement Poser des questions claires et bien se faire comprendre Ecouter l argumentaire de l évalué et le prendre en compte Ne pas se substituer à l évalué (difficile car naturel) Discuter des écarts ou situations d écart «au fil de l eau» Un écart ne se relève que par rapport à une exigence

7 Exigences attendues en audit Nomination d un responsable informatique + suppléant (s) dans le LBM (fonction clé) Gestion des droits d accès dans les programmes Traçabilité des accès de la hot-line (+ clause confidentialité) Programmes protégés contre les modifications de paramétrage (inclue les tableurs utilisés pour la production des résultats, ou pour leur interprétation) Existence de procédures et modes opératoires sur le fonctionnement, l utilisation du SIL, conduite à tenir en cas de panne de serveur (=> enregistrement & traçabilité des versions) Intégration de l informatique dans la «réacto-vigilance» «Salle info» / serveurs à accès contrôlés & conditions ambiantes maîtrisées Plan de sauvegarde cohérent et garantissant l intégrité des données

8 Exigences attendues en audit Validation du paramétrage SIL avant mise en service + plan de vérifications périodiques si besoin (définir les cas +/- fréquence Mise en place d un processus d identito identito-vigilance: Procédures de vérification fiable de l identification des patients à la saisie Procédure de gestion des dossiers doublons Procédure de fusion des dossiers Transmission des résultats prenant en compte les exigences de confidentialité (conventions de preuves +++ Validation middleware & logiciels d aide à la validation (procédure fournisseur pour Valab + évaluation significativité statistique La politique de maîtrise de ses SI par le laboratoire peut reposer sur une analyse de risques +/- normalisée. il n existe pas de «grille», et la politique du LBM dépend de son besoin et de son organisations dans son environnement.

9 EXEMPLES D ECARTS RELEVES EN AUDIT COFRAC

10 Organisation / SMQ (concernant les SI) Types de constats fréquents ou critiques Absence de politique de gestion des systèmes d information Absence ou insuffisance de vérification des transferts de données informatisées Absence de contractualisation (ou de formalisation) avec un prestataire critique (gestion fournisseurs critique) Exemples de traitement de l écart / Indicateurs de suivi Formaliser une politique cohérente basée sur une analyse de processus ou de risques (+/- normalisée en fonction du besoin) Etablir un «plan de maintenance» (validation initiale et continue) Formaliser les pratiques une fois les besoins estimés Suivre le taux de NC par système, par fournisseur, client, Suivre le taux des évolutions de versions ( systèmes) Suivre les évaluations fournisseurs annuelles

11 Maîtrise des compétences (concernant les SI) Types de constats fréquents ou critiques Absence de définition des responsabilités/suppléances Absence de preuves de compétences du personnel concerné Absence ou insuffisance de gestion des droits d accès dans les SI (accès «critiques» non maîtrisés) Absence de traçabilité des accès via la hotline Exemples de traitement de l écart / Indicateurs de suivi Former et habiliter les personnes concernées (int / ext), tracer, les formations (même en interne) et la diffusion des documents internes et/ou fournisseurs, faire les organigrammes Mettre en place des codes d accès systématiques (hiérarchisés) Tracer les interventions hot line (pas simple)

12 Documentation (concernant les SI) Types de constats les plus fréquents Absence de documentation fournisseur, ou documentation fournisseur obsolète, (manuels utilisateurs ou doc en ligne, didacticiel ) Il existes plusieurs version en cours avec éventuellement des discordances (fonction des sites, des supports, manuel, didacticiel, ) Défaut d application de la doc (ex: gestion demandes en doublons) Exemples de traitement de l écart / Indicateurs de suivi Maîtriser le suivi de la documentation en termes de révisions et de diffusion contrôlée «faire la chasse» à la documentation dite «sauvage» pas vraiment d indicateur, mais plutôt mise en place d outils tels qu une GED par exemple concernant l application, suivre le taux de NC, éventuellement par opérateur

13 Documentation incomplète (le plus fréquent) Types de constats les plus fréquents Gestion des sauvegardes non formalisée Gestion des doublons non formalisée Gestion de l anonymat non formalisé Règles d arrondis et de «calculs intermédiaires» non définies Exemples de traitement de l écart / Indicateurs de suivi Reprendre les exigences et l analyse du «processus SI» afin de compléter la doc pas vraiment d indicateur de suivi

14 Dossier patient info Types de constats les plus fréquents ou critiques Création du dossier patient informatisé par recopie de code barre préimprimé non maîtrisé (avec saisie manuelle sans vérification) Traçabilité des renseignements non effectuée (on les a sur le papier qui est jeté => perdu et ne sert à rien) Pertes de traçabilité lors des remontées d archivages ou de sauvegardes Traitement de l écart / Indicateurs de suivi pour le premier écart, mettre en place une vérification de saisie manuelle, ou une lecture des CB par «douchette» pour le deuxième, expliquer reformer etc suivre le taux de dossier patients renseignés / total, ou / fiches papier, selon possibilités

15 Transmission des résultats Types de constats les plus fréquents ou critiques Absence de convention de preuves concernant la transmission des résultats sur serveur ou par mail Transmission de CR par moyen électronique non sécurisé (mail simple, serveur «non évalué», ) libération de résultats non validés par un biologiste (hors gardes) Traitement de l écart / Indicateurs de suivi Convention de preuves à formaliser dans les principaux cas (impossible d être exhaustif avec tous les «clients») Reprendre peu à peu en basculant sur des solutions sécurisées (plan sur du moyen terme) le dernier type d écart pose d énormes soucis dans certaines structures ainsi qu au niveau législatif actuellement

16 Conclusion Processus extrèmement critique donc à maîtriser +++ L ensemble de la chaine de transfert d information est concernée, pas que la dématérialisation des résultats et des CR Considéré comme du matériel de production des résultats => à procédurer et à valider / auditer solidement Harmonisation des évaluateurs => «mollo» pour l instant mais bien discuter avec le labo (process. critique +++ ( => axes d amélioration / points de vigilance / écarts non critiques Il n y a pas de «grille d audit», et la criticité voire la réalité des écarts dépends bien souvent du type d organisation, le même constat ne donnant pas forcément lieu à un écart ou à une criticité identique Les systèmes d informations étant des outils transversaux, les écarts liés à leur gestion se retrouvent dans tous les paragraphes de la norme

17 MERCI POUR VOTRE ATTENTION