In 2019 startte een ziekenhuis in Brabant met een project voor het opschonen van de autorisaties in xCare van NEXUS, de EPD-software van het ziekenhuis. Het project is onderdeel van een groter programma om de informatiebeveiliging op orde te brengen, en heeft als doel medewerkers enkel toegang te geven tot de voor hun functie noodzakelijke medische patiëntinformatie, iedere medewerker met dezelfde functie dezelfde rechten te geven en optimaal aan te sluiten bij de vigerende wetgeving. Een opdracht waar het autorisatieteam van Furore graag ja tegen zei. De CMIO (Chief Medical Information Officer) en voorzitter van de autorisatiecommissie van het Brabantse ziekenhuis blikt samen met Furore’s projectleider Sara Adriaanse terug op een succesvol project.
Sara schreef het projectplan voor de opschoning van de autorisaties en schetst in grote lijnen de aanpak. “We zijn helemaal opnieuw begonnen en hebben op basis van interviews met gebruikers per functie onderzocht welke informatie de betreffende medewerkers moeten inzien en wijzigen in xCare. Door de jaren heen was de autorisatiestructuur in xCare volgelopen met inmiddels verouderde autorisatiegroepen en hadden gebruikers met dezelfde functie allemaal verschillende rechten verzameld. Daarnaast kwamen in het HR-systeem veel functies dubbel voor. Daarmee was overzicht aanbrengen in die enorme berg aan informatie in het begin een echte uitdaging. We besloten toen alle functies op een logische manier in te delen in groepen of ‘batches’ (zoals paramedici, kliniek en specialisten), en hebben een planning gemaakt om per batch de autorisaties te inventariseren, bouwen, testen en live te zetten. We zijn bewust gestart met een overzichtelijke kleine functiegroep (paramedici), en gebruikten de opgedane ervaring om bij complexere groepen, bijvoorbeeld de specialisten, de meest voorkomende issues op voorhand op te lossen. De nieuwgebouwde autorisaties werden getest door onszelf en door een testgebruiker. Vervolgens ging een van de testgebruikers met de nieuwe rechten werken om alle laatste kinderziektes eruit te halen.
Samenwerking met de commissie
Het ziekenhuis uit Brabant stelde voor het project een autorisatiecommissie samen, die de uiteindelijke beslissingen nam over de rechten per functie. De CMIO: “De autorisatiecommissie is samengesteld op basis van een doorsnede van de diverse disciplines uit het ziekenhuis: naast de privacy officer en functionaris gegevensbescherming, zaten er een vertegenwoordiger van de medische staf, de poli en de kliniek in. Waar nodig werden medewerkers uitgenodigd bij een vergadering om uitleg te geven over hun benodigde rechten.” Sara: “De commissie vergaderde 1,5 uur per week en het was de taak van het projectteam ervoor te zorgen dat de commissieleden zo effectief mogelijk hun werk konden doen. Wij haalden de informatie over de benodigde rechten op bij de gebruikers en zorgden ervoor dat deze op een ‘commissievriendelijke’ manier werd vertaald. Ook communiceerden wij de beslissingen van de commissie weer terug naar de organisatie.” De CMIO vult aan: “Naarmate de tijd vorderde, werd het projectteam meer ervaren en legde ons alleen nog de “spannende” items voor. Ook vingen zij de eerste reacties op van medewerkers die niet begrepen waarom zij andere toegangsrechten kregen. Het zou de commissie een veelvoud aan tijd gekost hebben als het projectteam ons niet zo goed had ondersteund en ontzorgd.”
Meer dan een vinkje aanzetten
De CMIO benadrukt hoe belangrijk het is om te werken met een ICT-partner als Furore, die veel kennis heeft over de ziekenhuisorganisatie. “Een ziekenhuis is een groot en ingewikkeld bedrijf, met veel verschillende organisatieprocessen en werkwijzen. Al vroeg in het project werd de omvang ervan duidelijk. Het inrichten van autorisaties gaat veel verder dan het aanzetten van vinkjes in het systeem. Het gaat om processen begrijpen en op elkaar afstemmen. Het Brabantse ziekenhuis heeft 20 verschillende poliklinieken, die vanuit het verleden niet altijd op een uniforme wijze werken. In ons streven om dezelfde functies gelijke rechten te geven, ontstaan er dan hier en daar discussiepunten. In dat geval bepaalde de commissie of er gekozen werd voor een workaround in het systeem, of dat het werkproces in de organisatie aangepast moest worden. Hoewel het mandaat van de commissie niet altijd toereikend was, is het in sommige gevallen toch gelukt om bepaalde werkprocessen te verbeteren. Dat was een mooie bijvangst.”
