Według komunikatu z 22 lipca ENISA opublikowała zaktualizowane wytyczne zakupowe dla szpitali i dostawców opieki zdrowotnej. Materiał obejmuje cykl zamówienia, wymagania wobec dostawców oraz listę kontrolną łączącą środki ochrony z zagrożeniami. Polskim podmiotom leczniczym proponujemy wykorzystać go do przeglądu umów: czy pozwalają sprawdzać zabezpieczenia i utrzymanie przez cały cykl życia zakupu?
Czy przy odbiorze zamówienia wystarczy odpowiedź dostawcy, że spełnił wymagania bezpieczeństwa? Weźmy projekt umowy dotyczącej wybranego zakupu i spróbujmy wskazać, jak szpital sprawdzi tę odpowiedź. Następnie postawmy podobne pytanie o okres utrzymania: gdzie zapisano możliwość ponownej weryfikacji? Jeśli nie potrafimy znaleźć odpowiedzi, zaznaczmy miejsce do wyjaśnienia przed uzgodnieniem warunków. To proponowane ćwiczenie z lektury wytycznych ENISA, a nie opis zdarzenia w konkretnej placówce. Poniższe wskazówki są redakcyjnym rozwinięciem tezy o sprawdzalnej umowie. Zacznijmy od wybranego wymagania i prześledźmy je od opisu zakupu do sposobu sprawdzenia podczas utrzymania.
Listę kontrolną połączmy z wymaganiami umowy
Jak podaje ENISA, lista kontrolna wiąże środki ochrony z zagrożeniami. Przy przeglądzie zakupu zachowajmy to powiązanie: obok wybranego środka zapiszmy zagrożenie wskazane w materiale. Następnie odszukajmy odpowiadające mu wymaganie w projekcie umowy. Gdy nie ma takiego zapisu, przygotujmy pytanie o jego uwzględnienie, zamiast uznawać, że sama lista kończy pracę.
Do wymagania dopiszmy proponowany sposób weryfikacji. Określmy, co dostawca miałby przedstawić, kto po stronie szpitala oceni odpowiedź i którego etapu zakupu dotyczy sprawdzenie. Nie uzupełniajmy tych pól domysłem o tym, jak zwykle działa dostawca. Jeżeli warunki pozostają nieustalone, zapiszmy je jako punkt do uzgodnienia.
Zakres wytycznych ENISA obejmuje cykl zamówienia. W redakcyjnym ćwiczeniu wróćmy więc do tego samego wymagania przy planowaniu odbioru oraz utrzymania. Sprawdźmy, czy proponowany zapis pozwoli zadać pytanie o zabezpieczenie także po odebraniu zakupu. Ustalmy przy tym, jaki materiał będzie podstawą odpowiedzi na każdym z tych etapów.
Przy każdym wymaganiu bezpieczeństwa zapiszmy, jak szpital sprawdzi jego wykonanie podczas odbioru i utrzymania.
Deklarację dostawcy zestawmy z możliwością sprawdzenia
Wymagania wobec dostawców są częścią materiału ENISA. Podczas własnego przeglądu połóżmy obok siebie wymaganie z projektu umowy i proponowaną odpowiedź dostawcy. Czy odnoszą się do tego samego zakresu? Czy wiadomo, na jakiej podstawie osoba odbierająca zakup ma uznać wymaganie za spełnione? Takie pytania proponujemy postawić przed zaakceptowaniem ogólnego zapewnienia o bezpieczeństwie.
Informacja o publikacji wytycznych ENISA nie daje podstaw do oceny postępowania pracowników konkretnego szpitala. Przegląd oprzyjmy na własnej dokumentacji: przy wybranym wymaganiu odszukajmy zapis o sprawdzeniu oraz materiał, który ma je umożliwić. Oddzielmy odpowiedź otrzymaną od dostawcy od oceny tej odpowiedzi przez szpital. Jeśli procedura przewiduje weryfikację, wskażmy, gdzie w dokumentacji zakupu szpital zapisze jej wynik.
Gdy brakuje potwierdzenia, zapiszmy dokładnie, czego nie udało się ustalić. Braku dokumentu nie zamieniajmy automatycznie w twierdzenie o braku zabezpieczenia. Poprośmy o wyjaśnienie i wskażmy, jaka odpowiedź pozwoli zamknąć pytanie dotyczące odbioru lub utrzymania. Do tego czasu pozostawmy wynik weryfikacji jako nieustalony.
Zarządowi przedstawmy zakres kontroli i odpowiedzialność
Cykl zamówienia ujęty w wytycznych ENISA proponujemy wykorzystać jako porządek rozmowy o odpowiedzialności. W materiale dla zarządu wskażmy, kto przygotuje wymaganie, kto oceni odpowiedź dostawcy i kto wróci do sprawdzenia podczas utrzymania. Role przypiszmy do wybranego zakupu, bez zakładania, że samo przekazanie dokumentacji oznacza przyjęcie zadania przez kolejny zespół.
Jeżeli weryfikacja wymaga decyzji o nakładzie pracy lub koszcie, pozostawmy miejsce na oszacowanie przez odpowiedzialne osoby. Nieznanych kosztów sprawdzania zabezpieczeń nie zastępujmy obietnicą oszczędności. Przedstawmy zarządowi konkretną decyzję do podjęcia: jaki zakres sprawdzania uzgodnimy z dostawcą i kto go wykona. Do oszacowania wróćmy po ustaleniu zakresu tej pracy.
Ryzyko omówmy przez powiązanie zagrożenia i środka ochrony z listy ENISA. Przy wybranym wymaganiu pokażmy, co szpital sprawdzi, a co pozostaje do wyjaśnienia. Jeśli możliwość kontroli kończy się na odbiorze, zaznaczmy potrzebę rozmowy o utrzymaniu. Zakres przyszłej weryfikacji uzgodnijmy przed uznaniem projektu umowy za gotowy.
Umowę oceniajmy także po tym, czy pozwala wrócić do pytania o zabezpieczenia w okresie utrzymania.
Polski szpital może zacząć od wybranego zakupu
Dla polskiego szpitala lub innego podmiotu leczniczego proponujemy wspólny przegląd wymagania przez dział zakupów i osoby odpowiedzialne za bezpieczeństwo oraz utrzymanie. Jako punkt odniesienia przyjmijmy zakres opisany przez ENISA. Wybierzmy zakup, którego dokumentacja jest dostępna, i ustalmy, kto potrafi wyjaśnić zapis dotyczący zabezpieczenia oraz sposób jego sprawdzenia.
Działowi zakupów proponujemy zanotować pytania wymagające uzgodnienia z dostawcą. Osobom oceniającym bezpieczeństwo powierzmy wskazanie, jakie potwierdzenie będzie odpowiadało wybranemu wymaganiu. Przy utrzymaniu zapytajmy o możliwość ponownej oceny tego samego zabezpieczenia. To propozycja podziału pracy do dostosowania w placówce, bez przypisywania polskim szpitalom określonej organizacji czy poziomu przygotowania.
Wynik przeglądu zapiszmy przy konkretnym wymaganiu umownym. Jeżeli zespoły różnie rozumieją jego zakres, najpierw uzgodnijmy opis. Do rozmowy z dostawcą przygotujmy wspólne pytanie o sposób potwierdzenia wykonania. Odpowiedź oceńmy względem tego opisu i zapiszmy, czy dotyczy odbioru, utrzymania, czy obu etapów.
Co z tym zrobić w poniedziałek
- W ciągu 30 minut wybierz zakup i odszukaj w jego dokumentacji wymaganie bezpieczeństwa. Porównaj je z wybranym powiązaniem środka ochrony i zagrożenia z listy ENISA. Zapisz zgodność zakresu albo pytanie do wyjaśnienia.
- Poświęć 30 minut na sprawdzenie, czy przy tym wymaganiu opisano sposób odbioru. Zanotuj oczekiwane potwierdzenie od dostawcy oraz osobę, która mogłaby je ocenić. Brakujące ustalenia zapisz jako propozycje do rozmowy.
- Przeznacz 30 minut na odnalezienie zapisów dotyczących weryfikacji podczas utrzymania. Przygotuj pytanie o możliwość ponownego sprawdzenia wybranego zabezpieczenia. Wskaż, kto po stronie placówki powinien pomóc uzgodnić odpowiedź z dostawcą.
Od umowy z dostawcą wymagajmy możliwości sprawdzenia zabezpieczeń przez cały cykl życia zakupu. Przy zatwierdzaniu warunków wracajmy do pytania, jak szpital potwierdzi wykonanie wymagania także podczas utrzymania. Na tej podstawie oceniajmy gotowość zapisów dotyczących bezpieczeństwa do przyjęcia przez placówkę.
Źródła
Redakcja cyberinsight.pl.