Rapport van het inspectiebezoek in het kader van het toezicht op e-health aan Thuiszorg West-
Brabant te Roosendaal op 15 juli 2021
XX
Utrecht, 15 september 2021 XXX
Pagina 2 van 14
Inhoud
Inhoud ... 2
1 Inleiding ... 3
1.1 Aanleiding en belang ... 3
1.2 Onderzoeksvragen... 3
1.3 Onderzoeksmethode en toetsingskader ... 3
2 Conclusie... 6
3 Handhaving ... 7
3.1 Maatregelen ... 7
3.2 Aanbevelingen ... 7
3.3 Vervolgacties inspectie ... 7
4 Resultaten ... 8
4.1 Goed bestuur en verantwoord innoveren... 8
4.2 Invoering en gebruik van e-health-producten en -diensten ... 9
4.3 Patiëntparticipatie ... 10
4.4 Samenwerken in het netwerk en elektronische vastleggen en uitwisselen van gegevens11 4.5 Informatiebeveiliging en continuïteit... 12
Bijlage 1: Algemene uitleg van de beoordelingen... 13
Bijlage 2: Overzicht van documenten die zijn bestudeerd ... 14
Pagina 3 van 14
1 Inleiding
De Inspectie Gezondheidszorg en Jeugd (de inspectie) bezocht op 15 juli 2021 Thuiszorg West-Brabant (TWB) te Roosendaal (hierna: de zorgaanbieder). Het onderwerp van het bezoek was de inzet van informatie- en communicatietechnologie in de zorg. Dit heet ook wel ‘e-health’ of ‘digitale zorg’.
De inspectie toetste of de zorgaanbieder bij het gebruik van e-health zorgt voor de nodige voorwaarden voor goede en veilige zorg, die volgen uit wetten, (veld)normen en richtlijnen op dit gebied.
1.1 Aanleiding en belang
Onder e-health verstaat de inspectie: de inzet van hedendaagse informatie- en communicatietechnologie (ICT), in het bijzonder internettechnologie, om de gezondheid en gezondheidszorg te ondersteunen of te verbeteren.
Voorbeelden hiervan zijn elektronische patiëntendossiers (EPD’s of ECD’s) en elektronische uitwisseling van gegevens. Met e-health bedoelt de inspectie dus ook de meer traditionele zorg-ICT. Maar ook patiëntenportalen, medische apps,
monitoring van chronische patiënten op afstand, en inzet van online behandeling of begeleiding.
De inspectie is positief over de mogelijkheden die e-health kan bieden. E-health kan de zorg minder laten afhangen van tijd en plaats. Ook kan het de communicatie tussen patiënt (of cliënt/bewoner) en zorgverlener helpen. En die tussen
zorgverleners. Dit wordt belangrijker nu de patiënt vaker te maken krijgt met een netwerk van zorgaanbieders.
Tegelijk vindt de inspectie het belangrijk dat de inzet van e-health doordacht gebeurt. Ook bij de inzet van e-health moet de zorgaanbieder de kwaliteit en veiligheid van de zorg bewaken. Vooral grote organisaties leunen steeds meer op e-health. Dat vraagt erom dat de zorgaanbieder zorgt voor goede voorwaarden in de organisatie.
De nieuwe mogelijkheden kennen helaas ook risico’s. Denk bijvoorbeeld aan de uitval van systemen, fouten ontstaan door systeemupdates of gebruikersfouten. Ook ontwikkelen de wetgeving en normering zich verder. Daarom kijkt de inspectie bij zorgaanbieders naar e-health. Daarbij toetst de inspectie of de zorgaanbieder zorgt voor de goede randvoorwaarden voor digitale zorg. In het toezicht op e-health betrekt de inspectie verschillende wetten, veldnormen en richtlijnen op het gebied van ICT in de zorg (zie 1.3).
1.2 Onderzoeksvragen
Het doel van het bezoek was om te toetsen of de zorgaanbieder bij de inzet van ICT (e-health) zorgt voor de nodige voorwaarden voor goede en veilige zorg, die volgen uit wetten, (veld)normen en richtlijnen op dit gebied.
1.3 Onderzoeksmethode en toetsingskader
Bij het bezoek gebruikte de inspectie een toetsingskader, dat is gepubliceerd op de website van de IGJ1. Een toetsingskader moet praktisch bruikbaar zijn. Daarom heeft de inspectie tijdens het bezoek gekeken naar de volgende vijf onderwerpen.
Daarin zijn de verschillende normen en richtlijnen meegenomen.
1 Zie https://www.igj.nl/documenten/toetsingskaders/2018/11/15/toetsingskader-inzet-van-e- health-door-zorgaanbieders
Pagina 4 van 14
Onderwerp Uitleg Goed bestuur en
verantwoord innoveren
Het bestuur van de zorgaanbieder moet ‘in control’ zijn, ook op het gebied van e-health. Dit vraagt om een helder en gedragen beleid. Het bestuur moet de verantwoordelijkheden goed regelen bij inzetten van technische innovaties, zoals e-health. Ook een goede inrichting van de besluitvorming hoort daarbij.
Invoering en gebruik van e-health-
producten en -diensten
De zorgaanbieder moet bij invoering en gebruik van e-health-producten en -diensten zorgen voor goede voorwaarden. De zorgaanbieder zorgt bijvoorbeeld voor duidelijke eisen aan producten en diensten. Ook moet de zorgaanbieder goed omgaan met mogelijke risico’s.
Belangrijke voorwaarden zijn verder goede training, goed testen en goed onderhoud.
Patiëntparticipatie De patiëntenzorg wordt steeds afhankelijker van e-health. Daarom is het belangrijk dat de zorgaanbieder de cliëntenraad raadpleegt over het beleid. De
zorgaanbieder kijkt hoe geschikt e-health-producten en -diensten zijn voor patiënten. Ook zorgt de
zorgaanbieder voor goede informatie en begeleiding voor patiënten.
Samenwerken in het netwerk en
elektronisch vastleggen en uitwisselen van gegevens
E-health kan andere vormen van samenwerken mogelijk maken tussen zorgverleners. Daarbij is het belangrijk dat de zorgaanbieder duidelijke afspraken maakt met andere zorgaanbieders over digitale samenwerking.
Daarbij moet de zorgaanbieder zorgen voor goede organisatorische en technische maatregelen.
Informatiebeveiliging
en continuïteit De groeiende afhankelijkheid van ICT vraagt erom dat de organisatie zorgt voor de continuïteit. Daar horen goede afspraken en maatregelen bij voor
informatiebeveiliging.
De inspectie heeft het bezoek kort van tevoren bekend gemaakt. Dit was nodig om de zorgaanbieder de mogelijkheid te geven gesprekspartners vrij te maken. Ook heeft de inspectie gevraagd om een aantal documenten ter voorbereiding op te leveren. Een overzicht staat in bijlage 2 van dit rapport.
Tijdens het bezoek heeft de inspectie met verschillende betrokkenen gesproken over de thema’s van het toetsingskader. Dit waren personen in de volgende rollen:
- Bestuurder;
- Zorgverbeteraar (innovatiemanager);
- Senior wijkverpleegkundige;
- Wijkverpleegkundige
- Urologie Continentie Stoma (UCS) verpleegkundige;
- Niveau 2 zorgverlener wijkzorg;
- Niveau 3IG zorgverlener wijkzorg;
- Voorzitter cliëntenraad;
- Secretaris cliëntenraad;
- Manager ICT;
- Applicatiebeheerder/I&A adviseur;
- Senior beleidsadviseur zorgbeleid en zorginnovatie/Functionaris Gegevensbescherming.
Pagina 5 van 14
Ook heeft de inspectie tijdens het bezoek twee e-health-toepassingen bestudeerd.
Het gaat om de volgende voorbeelden:
1. Medicatiedispenser
Cliënten kunnen een medicatiedispenser gebruiken om zelf medicatie in te nemen, zonder dat daarvoor thuiszorg medewerkers op bezoek moeten komen. De zorgaanbieder heeft na de eerste ervaringen met een medicatiedispenser een andere leverancier geselecteerd en de medicatiedispenser geïmplementeerd in de organisatie.
2. ECD ONS en cliëntportaal Caren
De zorgaanbieder gebruikt het ECD ONS van leverancier Nedap Healthcare, inclusief het cliëntportaal Caren.
De resultaten van het inspectiebezoek staan in hoofdstuk 4 van dit rapport. De beoordeling bij elk onderwerp volgt een vierpuntsschaal: afwezig, aanwezig, operationeel, geborgd. Zie bijlage 1 voor een uitleg over deze begrippen.
Pagina 6 van 14
2 Conclusie
De inspectie concludeert dat de zorgaanbieder bij de inzet van ICT in de zorg (e-health) voor het belangrijkste deel zorgt voor de juiste randvoorwaarden voor goede en veilige zorg. Met name het doordachte beleid, de aandacht voor
informatie-uitwisseling en zorgvuldige invoering van e-health vallen in positieve zin op. Verbeteringen zijn mogelijk op de onderwerpen risicoanalyse, het betrekken van cliënten en op informatiebeveiliging.
De inspectie komt tot de volgende deelconclusies:
De zorgaanbieder heeft een heldere visie en beleid op het gebied van e-health
De zorgaanbieder heeft een ICT-beleid geformuleerd, gekoppeld aan het bredere organisatiebeleid, en evalueert dit ook. De organisatie bevindt zich in een transformatie naar een servicegerichte organisatie (op ICT vlak) en voert een nieuwe projectaanpak in voor (digitale) innovaties.
De zorgaanbieder voert digitale producten en diensten zorgvuldig in, aandacht voor risico’s kan explicieter
Bij de invoering van nieuwe of gewijzigde producten en diensten geeft de
zorgaanbieder aandacht aan zaken als programma’s van eisen, testen, training en ondersteuning van gebruikers. Er is aandacht voor risico’s, maar niet altijd expliciet en gestructureerd. Dit kan in de nieuwe projectaanpak meegenomen worden.
De betrokkenheid van cliënten bij strategie en projecten op het gebied van e-health is beperkt
De zorgaanbieder informeert cliënten en de cliëntenraad over digitale producten. De betrokkenheid van cliënten beperkt zich tot een rol in pilots. Hierdoor bestaat het risico dat er geen goed beeld is van de eisen, wensen en behoeften van cliënten.
Digitale informatie-uitwisseling met ketenpartners is goed georganiseerd, inclusief aandacht voor nieuwe ontwikkelingen
De zorgaanbieder heeft diverse informatiestromen digitaal ingeregeld, neemt deel aan een regionaal samenwerkingsverband en is actief in nieuwe landelijke
ontwikkelingen. Er bestaan nog wel diverse wensen binnen de organisatie op het gebied van informatie-uitwisseling. Dit is nog niet geheel in kaart gebracht.
De effectiviteit van het informatiebeveiligingsbeleid is niet vast te stellen De zorgaanbieder heeft een informatiebeveiligingsbeleid en heeft in dat kader diverse activiteiten ondernomen. Een onafhankelijke toets van de werking en effectiviteit van dit beleid ontbreekt echter. Bij ongeplande storingen in systemen kunnen zorgmedewerkers niet terugvallen op een afgesproken en gecommuniceerde werkwijze.
Pagina 7 van 14
3 Handhaving
3.1 Maatregelen
Zorg ervoor dat de organisatie per 14 september 2022 aantoonbaar
beschikt over een managementsysteem voor informatiebeveiliging volgens NEN 7510
Voldoen aan de NEN7510 is wettelijk verplicht. Dit vereist dat een zorgaanbieder een lerend managementsysteem heeft voor informatiebeveiliging. Dit staat borg voor voortdurende evaluatie en verbetering. De zorgaanbieder moet aantonen dat dit lerende systeem in de praktijk functioneert. De zorgaanbieder kan dit aantonen met het resultaat van een onafhankelijke beoordeling van het managementsysteem voor informatiebeveiliging (zie verder paragraaf 3.3).
3.2 Aanbevelingen
De inspectie geeft de volgende punten van verbetering aan:
• Voer bij digitale projecten altijd een risicoanalyse uit en betrek daarin behalve projectrisico’s ook risico’s voor cliënten, medewerkers en data;
• Onderzoek hoe de betrokkenheid van cliënten bij digitale ontwikkelingen meer structureel en vroeger in het proces kan worden vormgegeven;
• Maak duidelijke afspraken over het handelen van medewerkers bij ongeplande storingen in systemen en communiceer dit proactief.
De inspectie verwacht dat de Raad van Bestuur de genoemde punten ter harte zal nemen.
3.3 Vervolgacties inspectie
De inspectie verwacht per 14 december 2021 de resultaten van een
onafhankelijke beoordeling zoals aangegeven in NEN 7510. Zoals aangegeven in de NEN 7510 moet deze beoordeling worden uitgevoerd door personen met een onafhankelijke positie ten opzichte van het te beoordelen gebied, bijv. door de interne auditor, een onafhankelijke manager of een externe organisatie die gespecialiseerd is in dergelijke beoordelingen. De beoordeling moet voldoende duidelijk maken wat de status is per categorie van beheersmaatregelen (zoals aangegeven in bijlage A van de NEN 7510). Als de inhoud van de beoordeling hiertoe aanleiding geeft, dan verwacht de inspectie ook een verbeterplan.
De overige aanbevelingen kunnen worden opgevolgd in het reguliere toezicht.
Pagina 8 van 14
4 Resultaten
4.1 Goed bestuur en verantwoord innoveren Getoetste normen:
- De raad van bestuur heeft de controle over de e-health-ontwikkelingen. De zorgaanbieder heeft een beleid voor e-health en heeft hierbij de mensen betrokken die er belang bij hebben. Hij heeft taken en
verantwoordelijkheden belegd in de organisatie. Hij regelt een duidelijke besluitvorming. De zorgaanbieder heeft aandacht voor risicomanagement en kwaliteitsborging van de e-health/ICT-omgeving. Het bestuur krijgt
stuurinformatie.
Afwezig Aanwezig Operationeel Geborgd Goed bestuur en verantwoord
innoveren √
Uitleg:
De zorgaanbieder ziet ICT als een belangrijke pijler in het vermogen van de organisatie om te veranderen en te innoveren. Dit vermogen is nodig om in een onder druk staande arbeidsmarkt te overleven en om aan te sluiten bij de zelfredzaamheid van cliënten door zelfzorg door cliënten te ondersteunen. De zorgaanbieder zet in op innovaties, waarvan sommigen een duidelijke
technologische of ICT-component hebben (zoals zorg op afstand). Daarbij is het van belang te werken met bewezen technologie en te zorgen voor voldoende draagvlak en acceptatie bij zorgverleners en cliënten. De zorgaanbieder geeft aan dat in de toekomst het gebruik van digitale oplossingen in specifieke situaties een voorwaarde kan worden voor het ontvangen van zorg. Dit is wel een complex vraagstuk.
De zorgaanbieder heeft een ICT-beleid, dat rechtstreeks gekoppeld is aan het organisatiebeleid. In dat ICT-beleid zet de zorgaanbieder in op vier elementen:
dienstverlening op orde, informatievoorziening op orde, digitaal werken op orde en samenwerking op orde. In dat kader is de zorgaanbieder bijvoorbeeld vrijwel geheel gemigreerd naar de cloud. De zorgaanbieder geeft aan dat de ICT-afdeling in een transformatie zit, waarbij van een beheersorganisatie naar een serviceorganisatie wordt gewerkt. In 2021 herziet de organisatie het bestaande ICT-beleid. Daarin zal de organisatie vooral verder bouwen op de gelegde basis en krijgen de onderwerpen data en ondersteuning van innovaties nadrukkelijker de aandacht.
De zorgaanbieder heeft geen specifieke e-health organisatie opgezet, maar heeft taken verdeeld tussen de afdeling ICT en andere stafmedewerkers. Medewerkers binnen de lijn, zoals zorgverleners, hebben soms een specifieke taak of
verantwoordelijkheid op het gebied van e-health. De organisatie voert daarnaast zogenaamde ‘digicoaches’ in, die medewerkers ondersteunen bij het digitale
werken. Dit is ten tijde van het bezoek nog in ontwikkeling. Bij projecten zijn breder uit de organisatie mensen vertegenwoordigd, bijvoorbeeld in een projectgroep of klankbordgroep. Dit was bijvoorbeeld het geval bij de invoering van het huidige ECD. Besluitvorming over digitale initiatieven volgt doorgaans dezelfde volgorde, namelijk vanuit de lijn, via ondersteuning door de staf en richting bestuur.
Omvangrijke, impactvolle projecten en voorstellen worden in een beslisdocument voorgelegd aan het bestuur.
Pagina 9 van 14
Voor ICT en e-health gerelateerde zaken heeft de zorgaanbieder een begroting.
Deze bestaat uit zowel de kosten voor externe leveranciers, ‘harde’ ICT- componenten, als projectwerkzaamheden nodig voor invoering, onderhoud en gebruik.
4.2 Invoering en gebruik van e-health-producten en -diensten Getoetste normen:
- De zorgaanbieder heeft een proces afgesproken voor de invoering van e-health-producten of -diensten. Hij brengt daarbij de nodige experts samen. De zorgaanbieder stelt programma’s van eisen op. De zorgaanbieder doet risicoanalyses. Hij zorgt voor training van gebruikers en testen van producten en diensten voor het in gebruik nemen. Ook regelt de
zorgaanbieder het onderhoud.
Afwezig Aanwezig Operationeel Geborgd Invoering en gebruik van e-health-
producten en -diensten √
Uitleg:
De zorgaanbieder heeft door de succesvolle invoering van de medicatiedispenser een aanpak geformuleerd voor andere projecten. Afhankelijk van de omvang en scope van deze projecten worden alle of een deel van de elementen uit deze aanpak gevolgd. Het gaat hier onder meer om zaken als probleemanalyse, opstellen eisen, testen bij de doelgroep en evaluatie. Het in deze aanpak betrekken van veel belanghebbenden uit verschillende disciplines ziet de zorgaanbieder als een randvoorwaarde voor succes.
Bij de keuze voor nieuwe producten of diensten werkt de zorgaanbieder soms met programma’s van eisen, maar niet in alle situaties. Bij de keuze voor het huidige ECD en ook het daaraan verbonden cliëntenportaal was dit niet het geval. Voor het opstellen van eisen t.a.v. de medicatiedispenser gebruikte de zorgaanbieder een scoremethodiek om eisen te prioriteren. De selectie van een leverancier van de medicatiedispenser is gebeurd met onder meer een gedetailleerde vergelijking van leveranciers aan de hand van een zogenaamd Harris-profiel. Hiermee wordt het mogelijk gestructureerd leveranciers op voor de zorgaanbieder relevante eisen te scoren en onderling te vergelijken. Bij het opstellen van eisen en prioriteren zijn meerdere personen, inclusief zorgverleners, uit de organisatie betrokken geweest.
De zorgaanbieder ziet in algemene zin risico’s op het gebied van e-health. Het gaat dan onder meer om beperkt draagvlak, het niet beschikbaar zijn van verbindingen en afhankelijkheid van andere partijen in de keten. Specifieke risico’s voor cliënten zijn niet veel aan de orde, is de algemene inschatting.
Risicoanalyses of –inventarisaties worden niet expliciet uitgevoerd, vastgelegd of gemonitord. Tijdens projecten komen wel aandachtspunten naar voren die ook worden geadresseerd.
De zorgaanbieder zorgt voor scholing en andere ondersteuning van medewerkers op digitaal vlak. Dit gebeurt bijvoorbeeld tijdens het inwerken, met uitleg over het ECD en het omgaan met de werktelefoon. Daarnaast zijn er e-learnings beschikbaar in de leeromgeving van de zorgaanbieder. Hier zijn echter niet alle zorgverleners op de hoogte van. Ook maakt de afdeling ICT filmpjes en handleidingen over het gebruik van het ECD voor zorgverleners. De zorgaanbieder heeft een actieve inbreng in het materiaal dat de leverancier hiervoor aanbiedt. Medewerkers weten goed waar ze ondersteuning kunnen krijgen bij het gebruik van digitale middelen. Voor vragen die
Pagina 10 van 14
steeds terugkomen maakt de ICT afdeling een inschatting of er extra scholing nodig is.
Voor diverse digitale producten voert de zorgaanbieder zelf testen uit. Daarbij kijkt men zowel naar toepasselijkheid (gaat men bepaalde nieuwe functionaliteit
gebruiken) als naar de vraag of het geleverde ook werkt zoals verwacht. Bij het ECD vindt dit intensief plaats, met waar mogelijk ook betrokkenheid van
zorgmedewerkers. Zo is er een testgroep bestaande uit een aantal zorgverleners die toegang krijgt tot een testomgeving voor het testen van nieuwe ECD
functionaliteiten.
De zorgaanbieder speelt een proactieve rol richting leveranciers, wat verder gaat dan regulier contractmanagement. Voor wat betreft het ECD geeft de zorgaanbieder aan zichzelf als voorloper te zien op het gebied van het gebruik, acceptatie en beheer hiervan. Men is als ontwikkelpartner actief betrokken bij de
(door)ontwikkeling van het pakket en bijvoorbeeld een app ten behoeve van wondbehandeling. Bij de medicatiedispenser heeft juist de zorgaanbieder de
leverancier kunnen helpen bij een succesvolle implementatie. Hiervoor geldt dat een kleine projectgroep nog bestaat waarin ook de leverancier participeert.
4.3 Patiëntparticipatie Getoetste normen:
De zorgaanbieder bespreekt de keuzes over e-health met
patiëntvertegenwoordigers. De zorgaanbieder kijkt wanneer en e-health-product of -dienst wel of niet geschikt is. Daarbij houdt hij rekening met de zorgbehoefte van patiënten en de eigenschappen van de e-health-dienst. Patiënten krijgen voldoende informatie. Zo kunnen zij beslissen of een e-health-product of -dienst past bij hun zorgbehoefte. Ze zijn dus ook op de hoogte van mogelijke risico’s. De zorgaanbieder maakt duidelijk hoe patiënten hulp kunnen krijgen bij e-health.
Afwezig Aanwezig Operationeel Geborgd
Patiëntparticipatie √
Uitleg:
De zorgaanbieder geeft aan dat de cliëntenraad geïnformeerd wordt over belangrijke digitale ontwikkelingen. De cliëntenraad neemt daartoe ook zelf
regelmatig het initiatief. Zo heeft men actief informatie gevraagd over de invoering van de medicatiedispenser en ontving men scholing over de ICT-omgeving van de zorgaanbieder. Het onderwerp digitalisering stelt de raad regelmatig aan de orde in een vast agendapunt (trends/ontwikkelingen). Men informeert zich actief over digitale ontwikkelingen in de maatschappij, zoals via het platform voor de informatiesamenleving (ECP) en het Huis van de Toekomst (Roosendaal).
Hoewel de cliëntenraad zeker interesse heeft in het onderwerp, is het niet zo dat de zorgaanbieder de raad actief betrekt bij de nieuwe ICT-plannen. De cliëntenraad wordt om input gevraagd nadat nieuw beleid is opgesteld. Op het niveau van e-health projecten zijn cliënten doorgaans betrokken nadat belangrijke keuzes gemaakt zijn. Zo worden cliënten betrokken bij pilots alvorens een e-health toepassing organisatiebreed wordt ingevoerd. De zorgaanbieder wil eerdere betrokkenheid wel nastreven, maar signaleert ook dat voor veel cliënten vooral de
Pagina 11 van 14
continuïteit van zorg(medewerkers) prioriteit heeft. Dat maakt betrokkenheid en het mee kunnen vormgeven van beleid niet eenvoudig volgens de zorgaanbieder.
Zorgverleners geven aandacht aan digitale middelen richting cliënten, bijvoorbeeld in gesprek over medicatiedispensers of het cliëntenportaal. Wanneer dat soort middelen voor een cliënt niet wenselijk zijn, dan wordt andere passende zorg ingezet.
De zorgaanbieder heeft voor de e-health producten informatiemateriaal beschikbaar in de vorm van folders en filmpjes. Het is cliënten duidelijk waar ze met eventuele vragen terecht kunnen. De cliëntenraad heeft de indruk dat het feitelijk gebruik van de digitale mogelijkheden van het cliëntenportaal nog beperkt is en wil dit graag onderzoeken middels een cliëntenpanel De zorgaanbieder monitort dit wel en past op basis hiervan eventuele promotie van het cliëntenportaal aan.
4.4 Samenwerken in het netwerk en elektronische vastleggen en uitwisselen van gegevens
Getoetste normen:
De zorgaanbieder kent de andere zorgaanbieders met wie hij samen zorg levert aan patiënten. Hij spreekt met hen de (zorginhoudelijke) informatie af die daarbij nodig is. Hij regelt dat de zorgverleners deze informatie kunnen uitwisselen. De
zorgaanbieder legt afspraken over elektronische uitwisseling vast. De zorgaanbieder vraagt de patiënt toestemming voor elektronische uitwisseling als dat moet. De zorgaanbieder regelt samen met de mede-zorgaanbieders in de regio de medicatieoverdracht.
Afwezig Aanwezig Operationeel Geborgd Samenwerken in het netwerk en
elektronisch uitwisselen van
gegevens √
Uitleg:
De zorgaanbieder werkt in een overzichtelijke omgeving met bekende
ketenpartners. Voor de uitwisseling van informatie met deze partners vindt op bestuurlijk, tactisch en operationeel niveau overleg plaats met die partners. De zorgaanbieder is actief lid van het Regionaal Elektronisch Netwerk (REN) West- Brabant en het regionaal platform IT. In het netwerk maakt men afspraken over uitwisseling. De samenwerking is vastgelegd in een convenant. Hierin heeft men onder andere afspraken gemaakt over informatiebeveiliging in de keten.
Voor diverse informatiestromen heeft de zorgaanbieder aansluiting bij digitale diensten georganiseerd. Men gebruikt onder meer Zorgdomein (verwijzingen), Forview (overdracht uit het ziekenhuis) en Zorgmail. Voor het digitaal aftekenen van medicatie is de zorgaanbieder bezig met de implementatie van een systeem samen met apothekers. Naast deze bestaande mogelijkheden werkt de zorgaanbieder actief aan meer nieuwe ontwikkelingen, zoals het kunnen aanbieden van informatie via zorginformatiebouwstenen (zibs) aan onder meer Persoonlijke Gezondheids Omgevingen (PGO’s).
Er leven bij zorgmedewerkers nog wel wensen op het vlak van informatie-
uitwisseling. Bijvoorbeeld het kunnen ontsluiten van informatie richting de huisarts, het beter kunnen overdragen van patiënten tussen ketenpartners en het (verder) integreren van informatie in het ECD. De zorgaanbieder heeft niet expliciet de behoeften en wensen op het gebied van zorginhoudelijke informatie-uitwisseling in kaart gebracht.
Pagina 12 van 14
4.5 Informatiebeveiliging en continuïteit Getoetste normen:
Informatiebeveiliging: het bestuur heeft gezorgd voor het inrichten, invoeren, onderhouden en aldoor verbeteren van een managementsysteem voor
informatiebeveiliging. De organisatie heeft een continuïteitsstrategie afgesproken, gedocumenteerd, ingevoerd en getest.
Afwezig Aanwezig Operationeel Geborgd Informatiebeveiliging en
continuïteit √
Uitleg:
De zorgaanbieder heeft een informatiebeveiligingsbeleid opgesteld in 2018. In het beleid geeft de zorgaanbieder aan hoe informatiebeveiliging in de organisatie is belegd, met duidelijke rollen en bijbehorende verantwoordelijkheden. In het beleid beschrijft de zorgaanbieder informatiebeveiliging als een continu proces, waarbij een PDCA-cyclus wordt aangehouden. De zorgaanbieder geeft aan de nodige acties op het vlak van informatiebeveiliging te hebben genomen. De focus is vooral gelegd bij het borgen van autorisaties en de veiligheid van de infrastructuur. Verder geeft de zorgaanbieder aan de aandacht voor informatiebeveiliging zo veel mogelijk te willen beleggen bij de leveranciers. Zo denkt de ECD leverancier bijvoorbeeld mee in het borgen van autorisaties via de mogelijkheid voor het vastleggen van
behandelrelaties in het ECD. De zorgaanbieder geeft aan dat in teamoverleggen aandacht is voor het veilig omgaan met cliëntinformatie.
De aanwezigheid en effectiviteit van het informatiebeveiligingsbeleid is niet onafhankelijk vastgesteld. De accountant van de zorgaanbieder geeft in interim-controles aandacht aan ICT en informatiebeveiligingsaspecten, zoals toegangsbeveiliging en omgang met autorisaties. Het betreft hier echter geen toets op de wettelijk verplichte NEN7510 norm.
Behalve beveiliging van informatie is ook de beschikbaarheid van informatie en systemen van belang. Hiervoor heeft de zorgaanbieder met de diverse leveranciers afspraken zoals SLA’s vastgelegd. Technische maatregelen om storingen te
voorkomen zijn genomen. Organisatorisch is er niets vastgelegd of gecommuniceerd over hoe om te gaan met ongeplande verstoringen. Medewerkers geven aan dit ad hoc op te lossen. Bijvoorbeeld door de huisarts of HAP te bellen om toch aan cliëntinformatie te komen. Of door met de hand zaken uit te schrijven, voorafgaand aan een dienst.
Pagina 13 van 14
Bijlage 1: Algemene uitleg van de beoordelingen
Niveau Uitleg
Afwezig De zorgaanbieder besteedt niet aantoonbaar aandacht aan het onderwerp en/of heeft geen herkenbaar proces. Er ligt niets vast.
Aanwezig De zorgaanbieder besteedt aantoonbaar aandacht aan het onderwerp. Er kan een gedocumenteerd proces zijn, maar in de praktijk kent niet iedereen dit. Of medewerkers volgen het niet altijd.
Operationeel De zorgaanbieder heeft een gedocumenteerd proces.
Medewerkers kennen dit en volgen het ook.
Geborgd De zorgaanbieder heeft een gedocumenteerd proces.
Medewerkers kennen dit en volgen het ook. De zorgaanbieder kijkt naar de resultaten en brengt verbeteringen aan waar mogelijk.
Pagina 14 van 14
Bijlage 2: Overzicht van documenten die zijn bestudeerd
Voor en/of tijdens het inspectiebezoek zijn de volgende documenten bestudeerd:
- Auditrapport TWB: ISO 9001:2015. Lloyd's Register, 2021;
- Beslisdocument Raad van Bestuur: medicatiedispenser. TWB, 2020;
- Convenant Regionaal Platform Verwerking Persoonsgegevens West-Brabant.
REN, 2017;
- Dashboard informatie: cliënt aanmeldingen 2021. TWB, 2021;
- Figuur Stappenplan invoering innovaties bij TWB. TWB, 2020;
- Folder Caren (cliënt). Caren/Nedap Healthcare, 2020;
- Folder Caren (mantelzorger). Caren/Nedap Healthcare, 2020;
- Folder Caren (naaste). Caren/Nedap Healthcare, 2020;
- Folder Caren (wettelijk vertegenwoordiger). Caren/Nedap Healthcare, 2020;
- Grid-analyse t.b.v. prioriteren eisen t.a.v. medicatiedispenser. TWB, datum onbekend;
- Harris-profiel t.b.v. keuze medicatiedispenser. TWB, datum onbekend;
- ICT beleid 2019-2021. TWB, 2019;
- Informatiebeveiligingsbeleid. TWB, 2018;
- Implementatie Nedap Ons: projectplan. TWB, 2016;
- Jaarverantwoording Zorginstellingen 2020. TWB, 2021;
- Langer Thuis: Beleidsplan 2021-2023. TWB, 2021;
- Management Letter Stichting Thuiszorg West-Brabant Boekjaar 2020.
Bakertilly, 2021;
- Notities i.v.m. testen / release notes. TWB, 2021;
- Website https://innovatie.dekrachtvantwb.nl/, TWB, geraadpleegd in juli 2021;
