Pwnc 1.5 — Tirwedd Rheoleiddio a Chydymffurfedd

Mewn un frawddeg: Nid ôl-ystyriaeth gyfreithiol yw cydymffurfedd mewn iechyd a gofal digidol ond map o ddyletswyddau statudol sy'n gorgyffwrdd, safonau gorfodol a sicrwydd gwirfoddol y mae'n rhaid i chi eu llywio'n fwriadol, yn gymesur â risg ac â pherchnogaeth glir — oherwydd bod ei gael yn anghywir yn fethiant o ran diogelwch, tegwch ac ymddiriedaeth y cyhoedd, nid dirwy yn unig.

Pam mae hyn yn bwysig ym maes iechyd a gofal#

Yn y rhan fwyaf o sectorau, mae rheoleiddio yn gosod llawr: ufuddhewch iddo ac osgowch gosbau. Ym maes iechyd a gofal, mae'r dirwedd reoleiddio yn ymgorffori gwersi a enillwyd drwy lafur caled ynghylch sut y mae systemau digidol yn niweidio pobl pan aiff pethau o chwith — dos wedi'i gamlabelu, cofnod a gollwyd, algorithm rhagfarnllyd, toriad data sy'n datgelu'r data mwyaf sensitif y mae unigolyn yn berchen arno. Mae cydymffurfedd yma yn ddirprwy ar gyfer a ydych wedi meddwl am y niweidiau hynny o gwbl. Mae arweinydd sy'n ei drin fel gwaith papur yn dweud wrthych nad yw wedi gwneud hynny.

Mae'r dirwedd hefyd yn wirioneddol orlawn, a dyna'r anhawster. Gall un ap sy'n wynebu cleifion fod, ar yr un pryd, yn ddyfais feddygol a reoleiddir gan un corff, yn prosesu data personol o dan gylch gwaith corff arall, yn cael ei gomisiynu dim ond os yw'n clirio asesiad cenedlaethol, yn eistedd o fewn gwasanaeth a arolygir gan reoleiddiwr gofal, ac yn cael ei adeiladu gan glinigwyr sy'n atebol i'w rheoleiddwyr proffesiynol eu hunain. Ni ysgrifennodd neb y map hwn fel cyfanwaith cydlynol; fe gronnodd. Nid eich gwaith fel arweinydd yw cofio pob rheol ond dal siâp y tir — pwy sy'n cwmpasu beth, pa offerynnau sy'n orfodol yn hytrach na chynghorol, a ble mae eich gwasanaeth penodol yn eistedd o'i fewn.

Yn olaf, arian cyhoeddus a dyletswydd statudol yw hyn. Pan fyddwch yn defnyddio system nad yw'n cydymffurfio, nid dim ond amlygu eich sefydliad i orfodaeth yr ydych; efallai eich bod yn torri dyletswyddau sy'n ddyledus i gleifion a dinasyddion, ac yn gwario arian cyhoeddus ar rywbeth na allwch ei redeg yn gyfreithlon. Dyna pam y mae'r pwnc hwn yn fframio'r pynciau manylach sy'n dilyn ar ddiogelwch clinigol (Pwnc 1.6 — Diogelwch Clinigol a Rheoli Risg), llywodraethiant gwybodaeth (Pwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch), moeseg data (Pwnc 1.8 — Moeseg Data, Caniatâd ac Ymddiriedaeth y Cyhoedd) a sicrwydd (Pwnc 6.4 — Llywodraethiant a Sicrwydd). Y pwnc hwn yw'r llywiwr; y rhai hynny yw'r siartiau manwl.

Cysyniadau craidd#

Tair haen o rwymedigaeth. Y gwahaniaeth mwyaf defnyddiol yw'r un rhwng rheoleiddio statudol, safonau gorfodol a sicrwydd gwirfoddol. Mae rheoleiddio statudol yn gyfraith — a orfodir gan reoleiddiwr â phwerau cyfreithiol, ac na ellir ei drafod (er enghraifft, cyfraith diogelu data, neu'r gofyniad i gofrestru dyfais feddygol). Mae safonau gorfodol yn ofynion cytundebol neu bolisi y mae'n rhaid i chi eu bodloni i weithredu o fewn system hyd yn oed lle nad ydynt yn ddeddfwriaeth sylfaenol — er enghraifft, offerynnau GIG cenedlaethol y mae comisiynu yn amodol arnynt. Sicrwydd gwirfoddol yw lle rydych yn dewis dangos ansawdd yn erbyn meincnod cydnabyddedig i feithrin ymddiriedaeth, ennill caffaeliadau, neu achub y blaen ar reoleiddio yn y dyfodol. Mae gwybod ym mha haen y mae gofyniad penodol yn eistedd yn dweud wrthych beth sy'n digwydd os byddwch yn ei fethu: erlyniad, cael eich eithrio o'r farchnad, neu anfantais o ran enw da.

Y Comisiwn Ansawdd Gofal (CQC). Y Comisiwn Ansawdd Gofal yw'r rheoleiddiwr annibynnol ar gyfer iechyd a gofal cymdeithasol i oedolion yn Lloegr. Mae'n cofrestru, yn arolygu ac yn graddio darparwyr yn erbyn a yw gwasanaethau'n ddiogel, yn effeithiol, yn ofalgar, yn ymatebol ac wedi'u harwain yn dda. Nid yw gwasanaethau digidol yn dianc rhagddo: lle mae technoleg yn rhan o ddarparu gofal, mae cwestiynau'r CQC am ddiogelwch ac arweinyddiaeth yn cyrraedd y systemau a redwch, ac mae ei barth "wedi'i arwain yn dda" yn holi fwyfwy am aeddfedrwydd digidol a data.

Yr MHRA a dyfeisiau meddygol. Mae'r Asiantaeth Rheoleiddio Meddyginiaethau a Chynhyrchion Gofal Iechyd (MHRA) yn rheoleiddio meddyginiaethau a dyfeisiau meddygol yn y DU. Yn hollbwysig, gall meddalwedd fod yn ddyfais feddygol: Meddalwedd fel Dyfais Feddygol (SaMD) yw meddalwedd a fwriedir at ddiben meddygol — diagnosis, atal, monitro, triniaeth — heb fod yn rhan o ddyfais caledwedd. Os yw eich ap yn cyfrifo dos, yn brysbennu symptom, neu'n dehongli delwedd, mae'n debygol iawn ei fod yn ddyfais feddygol ac mae'n rhaid ei ddosbarthu, ei gofrestru a dwyn y marc cydymffurfedd priodol cyn ei roi ar y farchnad.

Marcio cydymffurfedd: UKCA a CE. Mae angen marc UKCA (UK Conformity Assessed) ar ddyfais feddygol a roddir ar farchnad Prydain Fawr, sef cymar Prydeinig y cyfnod ar ôl Brexit i farc CE (Conformité Européenne). Am y tro, mae dyfeisiau sydd â marc CE yn dal i gael eu derbyn ym Mhrydain Fawr o dan drefniadau trosiannol, ac mae Gogledd Iwerddon yn dilyn rheolau'r UE — felly mae'r marc sydd ei angen arnoch yn dibynnu ar ble rydych yn rhoi'r ddyfais. Mae hwn yn faes byw sy'n symud; trinwch y gofyniad union fel rhywbeth i'w gadarnhau, nid ei dybio.

NICE a'r Fframwaith Safonau Tystiolaeth. Mae'r Sefydliad Cenedlaethol dros Ragoriaeth mewn Iechyd a Gofal (NICE) yn cynhyrchu canllawiau ar yr hyn sy'n gweithio a'r hyn sy'n gost-effeithiol. Mae ei Fframwaith Safonau Tystiolaeth (ESF) ar gyfer technolegau iechyd digidol yn pennu, yn gymesur â risg, y dystiolaeth y dylai cynnyrch digidol ei dangos cyn i'r system ei fabwysiadu. Nid porthor trwyddedu fel yr MHRA yw NICE, ond mae ei farnau'n llunio comisiynu'n drwm — mae pasio cofrestriad yr MHRA yn profi bod dyfais yn ddiogel i'w gwerthu; mae clirio disgwyliadau tystiolaeth sy'n cyd-fynd â NICE yn helpu i brofi ei bod yn werth ei phrynu (gweler Pwnc 1.3 — Penderfyniadau Seiliedig ar Dystiolaeth).

Swyddfa'r Comisiynydd Gwybodaeth (ICO) a chyfraith diogelu data. Swyddfa'r Comisiynydd Gwybodaeth (ICO) yw rheoleiddiwr annibynnol y DU ar gyfer diogelu data a rhyddid gwybodaeth. Mae'n gorfodi Rheoliad Cyffredinol y DU ar Ddiogelu Data (GDPR) a Deddf Diogelu Data 2018, sy'n llywodraethu sut y caniateir i chi brosesu data personol yn gyfreithlon — ac mae data iechyd yn "gategori arbennig" sy'n denu'r amddiffyniadau cryfaf. Gall yr ICO ymchwilio, gorchymyn newidiadau a gosod dirwyon sylweddol. Ymdrinnir â'r sylwedd ym Mhwnc 1.7; yma, daliwch yn syml mai'r ICO yw eich rheoleiddiwr diogelu data a bod data iechyd yn cario bar uwch.

Offerynnau GIG gorfodol. Y tu hwnt i gyfraith sylfaenol, mae'r GIG yn rhedeg ei offerynnau gorfodol ei hun. Y Pecyn Cymorth Diogelwch a Diogelu Data (DSPT) yw'r hunanasesiad blynyddol y mae'n rhaid i bob sefydliad sy'n trin data cleifion y GIG ei gwblhau i ddangos safonau diogelwch data a llywodraethiant gwybodaeth. Y Meini Prawf Asesu Technoleg Ddigidol (DTAC) yw'r llinell sylfaen y mae'n rhaid i dechnoleg iechyd digidol ei bodloni i gael ei chomisiynu gan sefydliadau'r GIG, gan gwmpasu diogelwch clinigol, diogelu data, diogelwch technegol, rhyngweithredadwyedd a defnyddioldeb. Mae'r safonau diogelwch clinigol DCB0129 (ar gyfer gweithgynhyrchwyr) a DCB0160 (ar gyfer sefydliadau sy'n eu defnyddio) yn gorchymyn proses ddogfenedig o reoli risg glinigol — cofnod peryglon, swyddog diogelwch clinigol, achos diogelwch — a nhw yw asgwrn cefn Pwnc 1.6.

Rheoleiddwyr proffesiynol. Rheoleiddir pobl, nid cynhyrchion yn unig. Mae'r Cyngor Meddygol Cyffredinol (GMC) yn cofrestru ac yn gosod safonau ar gyfer meddygon, ac mae'r Cyngor Nyrsio a Bydwreigiaeth (NMC) yn gwneud yr un peth ar gyfer nyrsys a bydwragedd. Pan fo clinigwyr yn cynllunio, yn cymeradwyo neu'n gweithredu gwasanaethau digidol, mae eu dyletswyddau proffesiynol yn teithio gyda hwy — mae swyddog diogelwch clinigol sy'n cymeradwyo system yn gweithredu o dan atebolrwydd proffesiynol, nid dim ond rôl ar siart sefydliadol.

Gorwel a chyd-destun: trefn yr UE. Hyd yn oed y tu allan i'r UE, mae'r Ddeddf Deallusrwydd Artiffisial a Rheoliad (UE) 2017/745 (Rheoliad Dyfeisiau Meddygol yr UE, MDR) yn bwysig — maent yn pennu cyfeiriad teithio, yn eich rhwymo os ydych yn gwasanaethu marchnadoedd yr UE neu Ogledd Iwerddon, ac yn aml yn rhagflaenu ble y bydd rheolau'r DU yn mynd nesaf. Mae sganio'r gorwel am newid o'r fath yn ddisgyblaeth gydymffurfedd ynddo'i hun.

Y map cydymffurfedd a'r gofrestr. Mae map cydymffurfedd yn rhestru, ar gyfer eich gwasanaeth, bob rhwymedigaeth gymwys ar draws y tair haen, ac mae cofrestr cydymffurfedd yn cofnodi'r statws, y perchennog, y dystiolaeth a'r dyddiad adolygu ar gyfer pob un. Gyda'i gilydd maent yn troi tirwedd wasgaredig yn sefyllfa a reolir y gellir ei harchwilio — y gwahaniaeth rhwng "rydym yn credu ein bod yn cydymffurfio" a "dyma'r perchennog a enwir a'r dystiolaeth gyfredol ar gyfer pob dyletswydd."

Arferion gorau#

1. Dosbarthwch eich gwasanaeth cyn dadlau ynghylch rheolaethau. Nid "a ydym yn cydymffurfio?" yw'r cwestiwn cyntaf ond "beth ydym ni, yn gyfreithiol?" Penderfynwch yn gynnar a yw eich cynnyrch yn ddyfais feddygol (a'i ddosbarth risg), a ydych yn rheolydd data neu'n brosesydd, a pha offerynnau GIG gorfodol sy'n gymwys. Mae cael y dosbarthiad yn anghywir yn gwneud pob penderfyniad dilynol yn anghywir; mae ei gael yn iawn yn dweud wrthych pa un o'r haenau a'r cyrff uchod sy'n eich rhwymo mewn gwirionedd.

2. Adeiladwch a chynhaliwch fap a chofrestr cydymffurfedd byw. Rhestrwch bob rhwymedigaeth gymwys ar gyfer y gwasanaeth ar draws rheoleiddio statudol, safonau gorfodol a sicrwydd gwirfoddol, a chofnodwch ar gyfer pob un berchennog, statws cyfredol, tystiolaeth ategol a dyddiad adolygu nesaf. Cadwch ef yn fyw, wedi'i adolygu ar amserlen, nid dogfen a ysgrifennwyd unwaith ar gyfer achos busnes ac na chaiff ei hagor byth eto. Mae cofrestr dda yn ateb, ar unrhyw ddiwrnod penodol, "pwy sy'n berchen ar y ddyletswydd hon a ble mae'r dystiolaeth?"

3. Neilltuwch atebolrwydd un enw ar gyfer pob rhwymedigaeth. Cyfrifoldeb gwasgaredig yw sut y mae cydymffurfedd yn methu: mae pawb yn tybio bod rhywun arall yn ei ddal. Rhowch berchennog a enwir i bob dyletswydd — Swyddog Diogelu Data ar gyfer diogelu data, Swyddog Diogelwch Clinigol ar gyfer DCB0129/0160, Uwch Berchennog Risg Gwybodaeth ar gyfer y DSPT — a gwnewch golofn perchnogaeth y map yn real, gyda'r awdurdod a'r amser i'w chyflawni. Nid yw atebolrwydd na chaiff ei enwi yn atebolrwydd.

4. Byddwch yn gymesur ac yn seiliedig ar risg, nid yn ticio blychau. Mae rheoleiddio'n haeddu'r un cymesuredd â thystiolaeth (gweler Pwnc 1.3): crynhowch drylwyredd lle mae'r risg i gleifion, tegwch ac ymddiriedaeth ar ei huchaf, a chadwch waith risg isel yn ysgafn. Mae cydymffurfedd ticio blychau — cwblhau'r ffurflen wrth fethu'r bwriad — yn wastraffus ac yn beryglus, oherwydd ei fod yn cynhyrchu sicrwydd ffug. Anelwch at fodloni diben pob gofyniad, sydd fel arfer hefyd yn bodloni'r llythyren.

5. Trinwch offerynnau GIG gorfodol fel mewnbynnau cynllunio, nid pyrth ymadael. Y DTAC, y DSPT a DCB0129/0160 yw'r rhai rhataf a mwyaf effeithiol pan gânt eu hadeiladu i mewn i'r gwaith darparu o'r cychwyn, nid eu hychwanegu cyn mynd yn fyw. Gall methiant DTAC a ddarganfyddir wrth lansio gostio misoedd; mae achos diogelwch clinigol a gesglir yn ôl-weithredol yn denau ac yn anghymhellol. Plygwch yr offerynnau hyn i mewn i'r cyfnod darganfod a darparu fel bod eu bodloni yn sgil-gynnyrch gweithio'n dda.

6. Sganiwch y gorwel am newid rheoleiddiol a pherchenogwch yr ymateb. Mae rheoleiddio'n symud — mae amserlenni UKCA yn newid, mae Deddf Deallusrwydd Artiffisial yr UE yn cael ei chyflwyno fesul cam, mae'r drefn meddalwedd fel dyfais feddygol yn esblygu. Neilltuwch rywun i olrhain rheoleiddwyr ac ymgynghoriadau perthnasol, cynhaliwch restr wylio "newid rheoleiddiol" yn erbyn eich map cydymffurfedd, a throwch signalau yn waith wedi'i gynllunio cyn i derfynau amser ddod yn argyfyngau. Mae cael eich synnu gan newid rheol a wyddid ymlaen llaw yn fethiant y gellir ei osgoi ac a achosir gennych chi eich hun.

7. Cadwch dystiolaeth yn barhaus, a'i gwneud yn barod ar gyfer archwilio. Mae rheoleiddwyr, comisiynwyr ac adolygwyr "wedi'i arwain yn dda" y CQC yn gofyn i chi ddangos, nid honni. Cadwch gofnodion peryglon, Asesiadau o'r Effaith ar Ddiogelu Data, cyflwyniadau DSPT a thystiolaeth DTAC yn gyfredol a'u bod ar gael yn hytrach na'u hailadeiladu dan bwysau arolygiad. Mae tystiolaeth barhaus hefyd yn rhatach na'r ymdrech gyfnodol y mae'n ei disodli.

8. Cydlynwch ar draws rheoleiddwyr yn hytrach nag mewn seilos. Gan fod un gwasanaeth yn cyffwrdd â llawer o gyrff, rhaid i'w swyddogaethau cydymffurfedd siarad â'i gilydd: dylai'r perchnogion diogelwch clinigol, llywodraethiant gwybodaeth a chynnyrch rannu un olwg ar y gwasanaeth, nid cynnal tair datgysylltiedig. Gall newid sy'n bodloni'r MHRA greu mater diogelu data; gall trwsio profiad defnyddiwr newid y proffil risg clinigol. Rhedwch gydymffurfedd fel un darlun cydlynol, wedi'i gysylltu â'ch llywodraethiant ehangach (Pwnc 6.4 — Llywodraethiant a Sicrwydd).

Cwestiynau i'w trafod gyda'ch tîm#

1. Ar gyfer ein gwasanaeth digidol blaenllaw, a allwn enwi pob rheoleiddiwr a safon orfodol sy'n gymwys, pwy sy'n berchen ar bob un, a ble mae'r dystiolaeth gyfredol yn byw — heb i neb orfod mynd i chwilio? Mae hyn yn profi a ydych mewn gwirionedd yn dal y map neu ddim ond yn credu eich bod yn cydymffurfio. Mae'n bwysig oherwydd, ym maes iechyd a gofal, mae'r rhwymedigaethau'n gorgyffwrdd yn wirioneddol — gall ap brysbennu fod yn ddyfais feddygol o dan yr MHRA, yn weithrediad prosesu data o dan yr ICO, yn dechnoleg a gomisiynir sydd angen DTAC, ac yn rhan o wasanaeth a arolygir gan y CQC i gyd ar unwaith — a gall bwlch mewn unrhyw un haen atal y gwasanaeth neu niweidio cleifion. Y tensiwn i'w ddatgelu yw rhwng cysur tybio "mae llywodraethiant gwybodaeth yn gofalu am hynny" neu "mae'r cyflenwr wedi'i reoleiddio, nid ni" ac anesmwythyd cadarnhau perchnogaeth a enwir a thystiolaeth fyw ar gyfer pob dyletswydd. Gweithiwch drwy'r gwasanaeth yn bendant: rhestrwch y cyrff, gosodwch bob rhwymedigaeth yn ei haen (statudol, gorfodol, gwirfoddol), a cheisiwch gynhyrchu'r dystiolaeth gyfredol ar gyfer tair ohonynt ar y funud. Os na allwch, rydych wedi dod o hyd i'ch bwlch cyntaf. Ateb da a gonest yw cofrestr cydymffurfedd lawn â pherchnogion a enwir a thystiolaeth wedi'i dyddio, a gonestrwydd ynghylch pa ddyletswyddau sydd ar hyn o bryd heb berchennog neu heb dystiolaeth yn hytrach na chwifio hyderus tuag at "rydym yn cydymffurfio."

2. Ble rydym yn ticio blychau cydymffurfedd — bodloni'r ffurflen wrth fethu'r pwynt — a ble rydym yn gor-beiriannu gwaith risg isel? Mae'r pwnc yn dadlau dros gydymffurfedd cymesur, yn seiliedig ar risg, ac mae'r cwestiwn hwn yn eich gorfodi i wirio'r ddau gyfeiriad methu yn onest. Mae'n bwysig oherwydd bod sicrwydd ffug yn beryglus iawn mewn lleoliad sy'n hanfodol i ddiogelwch: gall DSPT a farciwyd yn "bodloni" neu achos diogelwch clinigol a gasglwyd yr wythnos cyn mynd yn fyw edrych yn gydymffurfiol gan adael peryglon go iawn heb eu rheoli, ac yn y cyfamser mae proses sicrwydd drom sy'n tagu newid cynnwys risg isel yn gwastraffu capasiti prin ac yn magu sinigiaeth ynghylch y drefn gyfan. Y cyfnewidiad i'w drafod yw bod cymesuredd yn mynnu barn a'r hyder i'w hamddiffyn, sy'n anoddach ei weinyddu na rheol unffurf sy'n trin popeth fel risg uchel. Cymerwch ddau neu dri eitem gyfredol — un yn wirioneddol risg uchel, un yn isel — a gofynnwch a oedd y trylwyredd a gymhwyswyd gennych yn cyfateb i'r risg i gleifion, tegwch ac ymddiriedaeth, neu a gafodd ei yrru gan arfer ac ofn. Ystyriwch a yw eich gwaith DTAC a DCB0129/0160 yn llunio'r cynllun yn wirioneddol neu'n cael ei beiriannu am yn ôl i basio. Mae ateb da yn enwi enghraifft benodol o ticio blychau ac enghraifft benodol o or-beiriannu, ac yn ymrwymo i raddnodi trylwyredd i risg yn hytrach na chymhwyso un safon ddi-fflach ym mhob man.

3. Sut y byddem yn gwybod pe bai rheoliad sy'n effeithio arnom ar fin newid — a phwy sy'n gyfrifol am droi'r signal hwnnw yn waith wedi'i gynllunio? Mae hyn yn holi sganio'r gorwel, y ddisgyblaeth sy'n gwahanu sefydliadau a synnir gan derfynau amser oddi wrth y rhai sy'n cynllunio ar eu cyfer. Mae'n bwysig oherwydd bod y dirwedd yn anarferol o fyw ar hyn o bryd — amserlenni marcio UKCA a CE, y drefn meddalwedd fel dyfais feddygol, Deddf Deallusrwydd Artiffisial yr UE a gyflwynir fesul cam, offerynnau GIG sy'n esblygu — ac mae newid rheol y gwyddech ei fod yn dod ond na pharatoadoch ar ei gyfer yn glwyf hunan-achoswyd a all dynnu gwasanaeth oddi ar y farchnad. Y tensiwn yw nad oes gan sganio'r gorwel unrhyw dâl uniongyrchol, felly dyma'r peth cyntaf a ollyngir dan bwysau darparu, ac mae ei absenoldeb yn anweledig nes bod y terfyn amser yn cyrraedd. Archwiliwch pwy sy'n olrhain y rheoleiddwyr a'r ymgynghoriadau perthnasol ar hyn o bryd, a oes rhestr wylio wedi'i chysylltu â'ch map cydymffurfedd, a sut y mae signal yn dod yn docyn â pherchennog a dyddiad yn hytrach na phryder ym mewnflwch rhywun. Ystyriwch a fyddech hyd yn oed yn clywed am newid sy'n effeithio ar Ogledd Iwerddon yn unig neu rannau o'ch gwasanaeth sy'n wynebu'r UE. Mae ateb da yn enwi'r person neu'r rôl sy'n berchen ar sganio'r gorwel rheoleiddiol, yn pwyntio at restr wylio bendant, ac yn disgrifio'r tro diwethaf y troswyd newid a oedd ar y gorwel yn waith wedi'i gynllunio cyn y terfyn amser.

4. A ydym wedi dosbarthu'n onest beth ydym — dyfais feddygol ai peidio, rheolydd neu brosesydd — neu a ydym wedi dewis yn dawel y dehongliad sy'n lleihau ein baich? Mae hyn yn gorfodi'r penderfyniad mwyaf canlyniadol yn y pwnc i'r agored, oherwydd bod dosbarthu'n gyrru pob rhwymedigaeth ddilynol a dyma'r lle hawsaf i dwyllo eich hun. Mae'n bwysig oherwydd bod y cymhellion i gyd yn tynnu un ffordd: mae galw'r cynnyrch yn "ap lles" yn hytrach na Meddalwedd fel Dyfais Feddygol, neu'n "brosesydd" yn hytrach na rheolydd, yn osgoi cost, tystiolaeth a chraffu — ond os yw'r algorithm yn dehongli data i hysbysu gweithredu clinigol, neu os ydych yn penderfynu ar ddibenion y prosesu, nid yw'r dosbarthiad gonest yn ddewisol a bydd y rheoleiddiwr yn ei gymhwyso waeth beth fo'ch dewis. Y tensiwn yw bod y darlleniad rhatach yn aml yn ddigon amddiffynadwy i oroesi sgwrs fewnol ond nid ymholiad gan yr MHRA neu'r ICO, a chamddosbarthu yw'r llwybr cyflymaf at orfodaeth a phibell y GIG sydd wedi cwympo. Gweithiwch ef yn bendant: nodwch yr hyn y mae'r cynnyrch yn ei wneud mewn gwirionedd, cymerwch gyngor cyfreithiol yn hytrach na rhagdybiaeth sylfaenydd, a phrofwch a fyddai eich dosbarth datganedig yn goroesi rheoleiddiwr yn darllen yr un ffeithiau. Mae ateb da a gonest yn dangos dosbarthiad dogfenedig a gyrhaeddwyd yn gynnar gyda chyngor, yn enwi pwy a'i cymeradwyodd, ac yn onest ynghylch unrhyw benderfyniad ar y ffin a sut y caiff ei gadw dan adolygiad wrth i'r cynnyrch newid.

5. Pan fo un newid i'n gwasanaeth yn cyffwrdd â sawl rheoleiddiwr ar unwaith, a yw ein swyddogaethau cydymffurfedd yn gweld un darlun a rennir — neu dri datgysylltiedig? Mae hyn yn profi cydlynu, y methiant y mae'r pwnc yn rhybuddio yn ei erbyn pan fo diogelwch clinigol, llywodraethiant gwybodaeth a chynnyrch yn dal golwg rannol yr un. Mae'n bwysig oherwydd bod un gwasanaeth yn rhychwantu cyrff yn wirioneddol — gall newid profiad defnyddiwr i ap brysbennu newid ei broffil risg clinigol, gall trwsio sy'n bodloni'r MHRA agor cwestiwn diogelu data, a gall gofyniad DTAC dynnu ar bob un ohonynt — felly mae strwythur mewn seilos yn golygu nad oes neb yn berchen ar y sefyllfa gydymffurfedd gyfan ac mae newidiadau'n disgyn rhwng timau. Y tensiwn yw bod swyddogaethau arbenigol wedi'u trefnu yn ôl disgyblaeth am resymau da, ac eto mae'r claf yn profi'r gwasanaeth fel un peth, ac mae cysoni'r golygon hynny'n costio ymdrech gydlynu nad oes unrhyw dîm unigol wedi'i gymell i'w hariannu. Archwiliwch a oes un map cydymffurfedd a rennir fesul gwasanaeth neu sawl un preifat, a yw newid mewn un parth yn sbarduno adolygiad yn y lleill yn ddibynadwy, a sut y mae hyn yn clymu wrth lywodraethiant ar lefel bwrdd (Pwnc 6.4). Mae ateb da yn pwyntio at un olwg gydlynol o bob gwasanaeth, yn disgrifio newid diweddar a aseswyd ar draws pob rheoleiddiwr yr effeithiwyd arno gyda'i gilydd, ac yn onest ynghylch ble mae disgyblaethau'n dal i weithredu mewn seilos.

6. Lle mae ein gwasanaeth yn dibynnu ar gyflenwr trydydd parti, a ydym yn gwybod yn union pa ddyletswyddau sy'n eiddo iddynt hwy a pha rai sy'n parhau'n eiddo i ni — neu a ydym yn tybio "maent wedi'u rheoleiddio, felly rydym wedi'n cwmpasu"? Mae hyn yn dwyn i'r wyneb y bwlch cyfrifoldeb a rennir y mae camddosbarthu a pherchnogaeth wasgaredig ill dau yn ei fwydo, oherwydd nad yw prynu cydran a reoleiddir yn trosglwyddo eich dyletswyddau eich hun. Mae'n bwysig oherwydd gall cyflenwr ddal y marc cydymffurfedd dyfais feddygol tra byddwch chi, fel y sefydliad sy'n ei ddefnyddio, yn dal i fod yn rhaid i chi lunio achos diogelwch clinigol DCB0160, yn parhau'n rheolydd data ar gyfer eich cleifion, ac yn ateb i'r CQC am sut y rhedir y gwasanaeth — a'r gwythïen rhwng "eu cydymffurfedd hwy" a "eich un chi" yw'r union fan lle caiff rhwymedigaethau eu gollwng. Mae'r tensiwn yn fasnachol yn ogystal â rheoleiddiol: mae cyflenwyr yn well ganddynt gontractau sy'n awgrymu eu bod yn cario'r baich, ac mae'n demtasiwn derbyn y cysur hwnnw yn hytrach na mapio'r ffin yn fanwl gywir. Gweithiwch drwy un berthynas gyflenwr go iawn: rhestrwch yr hyn y mae'r contract a'u marc yn ei gwmpasu mewn gwirionedd, beth sy'n parhau'n ddyletswydd statudol neu orfodol i chi, ac a yw eich cofrestr yn cofnodi'r rhaniad hwnnw gyda pherchnogion a enwir ar eich ochr chi. Mae ateb da a gonest yn gwahaniaethu rhwng rhwymedigaethau'r cyflenwr a'ch rhai chi a gedwir yn ysgrifenedig, yn enwi pwy sy'n berchen ar bob dyletswydd a gedwir, ac yn gallu dangos y dystiolaeth sydd gennych yn hytrach na'r dystiolaeth rydych yn tybio bod y cyflenwr yn ei dal.

Yn ymarferol: enghraifft iechyd a gofal#

Mae system gofal integredig (ICS) yn bwriadu cyflwyno ap ffôn clyfar sy'n gadael i gleifion â chyflyrau hirdymor gofnodi symptomau, ac yn defnyddio algorithm i nodi'r rhai a all fod yn dirywio i'w hadolygu'n glinigol. Y demtasiwn yw ei drin fel "dim ond ap" a'i wthio'n fyw.

Yn hytrach, mae'r cyfarwyddwr digidol yn dechrau â dosbarthu. Gan fod yr algorithm yn dehongli data cleifion i hysbysu gweithredu clinigol, mae cyngor cyfreithiol yn cadarnhau ei fod yn Feddalwedd fel Dyfais Feddygol, felly mae trefn yr MHRA yn gymwys a rhaid i'r cyflenwr ddal y marc cydymffurfedd cywir ar gyfer marchnad Prydain Fawr — cwestiwn UKCA y mae'r tîm yn ei nodi i'w wylio wrth i drefniadau trosiannol CE esblygu. Mae'r ICS yn rheolydd data ar gyfer data'r cleifion, felly mae dyletswyddau diogelu data'r ICO yn ei rwymo, ac agorir Asesiad o'r Effaith ar Ddiogelu Data (gan fwydo i Bwnc 1.7). Oherwydd ei fod yn cael ei gomisiynu gan gyrff y GIG, mae DTAC yn gymwys, ac oherwydd ei fod yn cael ei ddefnyddio mewn defnydd clinigol, mae DCB0160 yn mynnu achos diogelwch clinigol, cofnod peryglon a Swyddog Diogelwch Clinigol a enwir (Pwnc 1.6).

Mae'r tîm yn adeiladu map cydymffurfedd: pob rhwymedigaeth wedi'i gosod yn ei haen, pob un â pherchennog a enwir — y Swyddog Diogelu Data, y Swyddog Diogelwch Clinigol, yr Uwch Berchennog Risg Gwybodaeth, arweinydd y cynnyrch — a chofrestr sy'n olrhain statws a thystiolaeth. Yn hytrach na thrin DTAC a'r achos diogelwch fel pyrth mynd yn fyw, maent yn eu plygu i mewn i'r gwaith darparu o'r cyfnod darganfod, fel bod y cofnod peryglon yn tyfu gyda'r cynllun. Mae Fframwaith Safonau Tystiolaeth NICE yn llunio'r dystiolaeth o effeithiolrwydd y maent yn ei mynnu gan y cyflenwr cyn ehangu. Mae nodyn sganio'r gorwel yn nodi bod Deddf Deallusrwydd Artiffisial yr UE yn berthnasol i ddyfodol yr algorithm ac i unrhyw uchelgais sy'n wynebu'r UE. Pan fo'r CQC yn adolygu arweinyddiaeth y gwasanaeth yn ddiweddarach, mae'r ICS yn ateb y cwestiynau "wedi'i arwain yn dda" gyda chofrestr fyw a thystiolaeth gyfredol yn hytrach na brys-ymdrech. Mae'r ap yn cael ei ryddhau'n hwyrach na'r cynllun naïf, ac yn gyfreithlon.

Golwg drwy wahanol sectorau#

Mae'r un dirwedd yn gosod beichiau gwahanol iawn yn dibynnu ar ble rydych yn eistedd.

Busnes newydd#

Mae cwmni iechyd digidol bach yn teimlo'r drefn dyfeisiau meddygol a DTAC yn fwyaf llym, oherwydd bod eu clirio'n costio arian ac amser na fydd ganddo efallai, a'r demtasiwn yw tan-ddosbarthu — mynnu mai "dim ond ap lles" yw'r cynnyrch, nid dyfais feddygol — i osgoi'r baich. Dyna'r symudiad mwyaf peryglus sydd ar gael: camddosbarthu yw'r llwybr cyflymaf at gamau gorfodi a phibell gwerthu'r GIG sydd wedi cwympo. Y llwybr disgybledig yw dosbarthu'n onest ac yn gynnar, adeiladu map cydymffurfedd ysgafn ond real, a thrin DTAC a safiad diogelu data glân fel asedau gwerthu sy'n agor marchnad y GIG yn hytrach na rhwystrau iddi. Gall perchennog a enwir ar gyfer sganio'r gorwel rheoleiddiol fod yn sylfaenydd unigol yn gwisgo het arall, ond mae angen i'r rhestr wylio fodoli o hyd.

Busnes bach#

Mae gan ddarparwr bach sefydledig — practis meddyg teulu, fferyllfa gymunedol, cartref gofal, clinig un safle, neu gyflenwr technoleg iechyd bach sydd wedi mynd heibio'r cam busnes newydd — yr un dyletswyddau statudol a gorfodol ag ymddiriedolaeth fawr ond heb Swyddog Diogelu Data, Swyddog Diogelwch Clinigol na thîm cydymffurfedd i'w cyflawni. Mae'n rhaid cwblhau'r DSPT bob blwyddyn o hyd, mae data cleifion yn dal i ddenu'r bar categori arbennig, ac mae unrhyw feddalwedd glinigol a ddefnyddir yn dal i dynnu DCB0160 i mewn, ac eto mae'r rhain fel arfer yn glanio ar reolwr practis neu berchennog sydd eisoes yn rhedeg gweithrediadau. Y symudiad realistig yw gwneud y map cydymffurfedd yn fach yn fwriadol ond yn real, pwyso ar arbenigedd a rennir neu a gomisiynir — ffederasiwn, uned cymorth comisiynu, neu ddogfennaeth diogelwch clinigol cyflenwr — yn hytrach na honni dal pob arbenigedd yn fewnol, a bod yn ofalus iawn ynghylch y dyletswyddau na ellir eu dirprwyo, fel parhau'n rheolydd data ar gyfer eich cleifion eich hun. Trin sicrwydd cyflenwr fel pe bai'n cwmpasu eich dyletswyddau a gedwir yw'r fagl nodweddiadol yma: prynwch gymorth i mewn, ond cadwch berchnogaeth a enwir ar yr hyn sy'n gyfreithiol i chi.

Menter fawr#

Mae ymddiriedolaeth GIG neu ICS mawr yn dal llawer o wasanaethau ar unwaith, felly ei her yw cydlynu ar raddfa portffolio: dwsinau o systemau, pob un yn cyffwrdd â sawl rheoleiddiwr, â rhwymedigaethau na ddylai ddisgyn rhwng timau. Y modd methu yw seilos sefydliadol — diogelwch clinigol, llywodraethiant gwybodaeth a chaffael yn dal golwg rannol yr un, fel nad oes neb yn gweld sefyllfa gydymffurfedd gyfan gwasanaeth penodol. Y gwrthgyffur yw map cydymffurfedd a rennir fesul gwasanaeth, atebolrwydd un enw wedi'i glymu wrth lywodraethiant ar lefel bwrdd (Pwnc 6.4), a thystiolaeth barhaus sy'n barod ar gyfer archwilio fel y gellir ateb adolygiad "wedi'i arwain yn dda" y CQC neu ymholiad yr ICO o safbwynt byw. Mae menter fawr ym maes iechyd-dechnoleg neu fferyllol yn dod â pheirianwaith materion rheoleiddiol aeddfed ond rhaid iddi warchod rhag ei drin fel ffatri gydymffurfedd sydd wedi'i datgysylltu oddi wrth sut yr adeiledir cynhyrchion mewn gwirionedd.

Llywodraeth#

Mae corff cenedlaethol — GIG Lloegr, yr Adran Iechyd a Gofal Cymdeithasol, yr MHRA, NICE — yn aml yn rheoleiddiwr neu awdur yr offeryn gorfodol, felly mae ei ffyrdd o weithio yn gosod y bar y mae'n rhaid i'r system gyfan ei glirio, ac mae ei benderfyniadau'n denu craffu seneddol a chyhoeddus. Yma mae gwaith cydymffurfedd yn atebolrwydd ar raddfa'r boblogaeth: mae offeryn fel DTAC neu'r ESF yn llunio marchnad gyfan, felly mae cymesuredd ac eglurder yn y safon ei hun yn ddyletswyddau, nid yn ddymunoldebau, oherwydd bod gofyniad cenedlaethol wedi'i raddnodi'n wael naill ai'n atal arloesedd defnyddiol ym mhob man neu'n pasio risg ym mhob man. Mae cyrff cenedlaethol hefyd yn cario'r cyfrifoldeb sganio'r gorwel ar gyfer y system, gan ragweld sut y dylai Deddf Deallusrwydd Artiffisial yr UE, yr MDR a threfnau marcio cydymffurfedd lunio polisi'r DU. Mae tryloywder ynghylch yr hyn y mae safon yn ei mynnu a pham yn rhan o gynnal ymddiriedaeth y cyhoedd ar raddfa.

Ffyrdd cyffredin o fethu#

• Camddosbarthu. Mynnu nad yw cynnyrch yn ddyfais feddygol, neu eich bod yn brosesydd nid rheolydd, i osgoi baich. Gwrthgyffur: dosbarthwch yn onest ac yn gynnar, gyda chyngor cyfreithiol; dosbarthiad sy'n gyrru popeth arall.
• Cydymffurfedd ticio blychau. Cwblhau'r DSPT neu achos diogelwch i basio, tra bo'r risg waelodol heb ei rheoli. Gwrthgyffur: bodlonwch y diben, nid y ffurflen yn unig; profwch a luniodd yr arteffact y cynllun mewn gwirionedd.
• Cydymffurfedd fel porth mynd yn fyw. Darganfod bylchau DTAC neu ddiogelwch clinigol wrth lansio. Gwrthgyffur: plygwch offerynnau gorfodol i mewn i'r gwaith darparu o'r cyfnod darganfod.
• Perchnogaeth wasgaredig. Tybio bod pob dyletswydd yn eiddo i rywun arall. Gwrthgyffur: atebolrwydd un enw ar gyfer pob rhwymedigaeth mewn cofrestr fyw.
• Rheoleiddwyr mewn seilos. Diogelwch clinigol, llywodraethiant gwybodaeth a chynnyrch yn dal golygon datgysylltiedig o un gwasanaeth. Gwrthgyffur: un map cydymffurfedd a rennir, llywodraethiant cydlynol.
• Dim sganio'r gorwel. Cael eich synnu gan newid rheol y gallech fod wedi'i weld yn dod. Gwrthgyffur: rhestr wylio a berchnogir wedi'i chysylltu â'r map cydymffurfedd.
• Tystiolaeth hen. Ailadeiladu cofnodion peryglon ac asesiadau dan bwysau arolygiad. Gwrthgyffur: tystiolaeth barhaus sy'n barod ar gyfer archwilio.

Model aeddfedrwydd#

Rhestr wirio#

• Mae dosbarthiad cyfreithiol y gwasanaeth (dyfais feddygol a dosbarth; rheolydd/prosesydd) wedi'i gadarnhau a'i ddogfennu.
• Mae map cydymffurfedd byw yn rhestru pob rhwymedigaeth ar draws yr haenau statudol, gorfodol a gwirfoddol.
• Mae gan bob rhwymedigaeth un perchennog a enwir â'r awdurdod a'r amser i'w chyflawni.
• Mae offerynnau GIG gorfodol (DTAC, DSPT, DCB0129/0160) wedi'u hadeiladu i mewn i'r gwaith darparu, nid eu hychwanegu wrth fynd yn fyw.
• Mae trylwyredd wedi'i raddnodi i risg i gleifion, tegwch ac ymddiriedaeth — nid ticio blychau unffurf.
• Mae tystiolaeth (cofnodion peryglon, DPIAs, DSPT, DTAC) yn gyfredol, ar gael ac yn barod ar gyfer archwilio.
• Mae perchennog a enwir yn rhedeg sganio'r gorwel rheoleiddiol yn erbyn rhestr wylio a gynhelir.
• Mae gofynion marcio cydymffurfedd (UKCA/CE) ar gyfer y farchnad berthnasol wedi'u cadarnhau, nid eu tybio.
• Mae swyddogaethau cydymffurfedd yn rhannu un olwg gydlynol o bob gwasanaeth, wedi'i chlymu wrth lywodraethiant (Pwnc 6.4).
• Caiff y gofrestr ei hadolygu ar amserlen, nid ei hysgrifennu unwaith a'i gadael.

Prif ffynonellau#

• Care Quality Commission — How CQC regulates and the single assessment framework (cqc.org.uk).
• MHRA — Medical devices: software applications (apps) and Software and AI as a Medical Device guidance (gov.uk).
• NICE — Evidence Standards Framework for digital health technologies (ESF) (nice.org.uk).
• Information Commissioner's Office — Guide to Data Protection and Guide to the UK GDPR (ico.org.uk).
• NHS England — Data Security and Protection Toolkit (DSPT) (dsptoolkit.nhs.uk).
• NHS England — Digital Technology Assessment Criteria (DTAC).
• NHS Digital / NHS England — clinical risk management standards DCB0129 and DCB0160.
• GMC — Good medical practice; NMC — The Code (professional standards).
• GOV.UK — UKCA marking and CE marking guidance for the Great Britain market.

Cyfeiriadau#

1. Regulatory compliance — Wikipedia — https://en.wikipedia.org/wiki/Regulatory_compliance
2. Care Quality Commission — Wikipedia — https://en.wikipedia.org/wiki/Care_Quality_Commission
3. Medicines and Healthcare products Regulatory Agency — Wikipedia — https://en.wikipedia.org/wiki/Medicines_and_Healthcare_products_Regulatory_Agency
4. Medical device — Wikipedia — https://en.wikipedia.org/wiki/Medical_device
5. UKCA marking — Wikipedia — https://en.wikipedia.org/wiki/UKCA_marking
6. CE marking — Wikipedia — https://en.wikipedia.org/wiki/CE_marking
7. National Institute for Health and Care Excellence — Wikipedia — https://en.wikipedia.org/wiki/National_Institute_for_Health_and_Care_Excellence
8. Information Commissioner's Office — Wikipedia — https://en.wikipedia.org/wiki/Information_Commissioner%27s_Office
9. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
10. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
11. General Medical Council — Wikipedia — https://en.wikipedia.org/wiki/General_Medical_Council
12. Nursing and Midwifery Council — Wikipedia — https://en.wikipedia.org/wiki/Nursing_and_Midwifery_Council
13. Artificial Intelligence Act — Wikipedia — https://en.wikipedia.org/wiki/Artificial_Intelligence_Act
14. Regulation (EU) 2017/745 (EU Medical Device Regulation) — Wikipedia — https://en.wikipedia.org/wiki/Regulation_(EU)_2017/745
15. How CQC regulates — Care Quality Commission — https://www.cqc.org.uk/about-us/how-we-do-our-job/how-we-regulate
16. Software and AI as a Medical Device — MHRA, GOV.UK — https://www.gov.uk/government/publications/software-and-artificial-intelligence-ai-as-a-medical-device
17. Evidence Standards Framework for digital health technologies (ESF) — NICE — https://www.nice.org.uk/about/what-we-do/digital-health
18. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
19. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
20. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
21. Clinical risk management standards DCB0129 and DCB0160 — NHS England — https://digital.nhs.uk/services/clinical-safety
22. UKCA marking guidance — GOV.UK — https://www.gov.uk/guidance/using-the-ukca-marking