Emne 6.4 — Styring og assurance

Styring findes for at hjælpe jer med at træffe gode, hurtige, sikre beslutninger og for at bevise — over for jer selv, jeres bestyrelse og offentligheden — at en digital tjeneste drives ansvarligt, så behandl den som en muliggører af levering frem for en skat på den.

Hvorfor det er vigtigt i sundhed og pleje#

I de fleste sektorer koster svag styring penge og omdømme. I sundhed og pleje kan den koste liv, fastlåse ulighed og udhule den offentlige tillid, hele systemet afhænger af. En dårligt styret ændring af et klinisk system kan udbrede en doseringsfejl til tusindvis af patienter, før nogen bemærker det; et ustyret dataflow kan bryde fortroligheden for de mest sårbare mennesker, I tjener; en uassureret go-live kan fastlåse en tjeneste, der i det stille udelukker dem, der har mest brug for pleje. Indsatsen er grunden til, at "hvordan I arbejder" er et spørgsmål om klinisk sikkerhed, lighed og tillid, ikke blot effektivitet.

Samtidig har styring i sundhed og pleje et velfortjent ry for at være langsom, ritualistisk og afkoblet fra levering. Teams sidder igennem bestyrelsesmøder, der gummistempler beslutninger, der allerede er truffet, udfylder skabeloner, ingen læser, og ser gule risici blive grønne ugen før en gennemgang, blot for at svigte spektakulært bagefter. Det er det paradoks, I må løse. Svaret er ikke mindre styring eller mere; det er proportional styring, der skalerer med risiko og værdi, giver klare mennesker klart ansvar og producerer ærlig information hurtigt nok til at handle på den. Dette emne viser, hvordan I bygger det, og hvordan I lægger uafhængig assurance ovenpå, så de ansvarlige — og offentligheden — kan være trygge ved, at kontrollerne faktisk virker. Det hænger tæt sammen med emne 1.6 — Klinisk sikkerhed og risikostyring, emne 1.7 — Informationsstyring, databeskyttelse og cybersikkerhed, emne 5.3 — Virksomhedsdækkende projektporteføljestyring (EPPM) og emne 10.4 — Synlighed for direktionen og øvrige ledere.

Kernebegreber#

Styring (governance) er systemet af beslutningsret, ansvar og tilsyn, hvorigennem en organisation leder og kontrollerer det, den gør. I digital sundhed og pleje styrer I reelt tre overlappende styringsdomæner på én gang. Selskabsledelse dækker bestyrelsens forvaltning af organisationen som helhed — økonomi, strategi, risiko og juridiske pligter. Klinisk styring er rammen, hvorigennem sundhedsorganisationer er ansvarlige for løbende at forbedre plejens kvalitet og sikkerhed. Informationsstyring dækker, hvordan organisationen håndterer data lovligt, sikkert og etisk. En digital tjeneste berører alle tre; hvis I kun styrer én, bliver I blindsidet af de andre.

Entydigt ansvar er rygraden i god styring. Senior Responsible Owner (SRO) er den ene navngivne person, der er personligt ansvarlig for, at et program eller større projekt opnår sine mål og realiserer sine gevinster — en rolle gjort populær af den britiske stat, men universelt nyttig. Beslutningsret under SRO’en gøres eksplicit gennem en ansvarsfordelingsmatrix, almindeligvis RACI-formen (responsible, accountable, consulted, informed), som forhindrer de to klassiske svigt "alle troede, en anden ejede det" og "alle forsøgte at eje det".

Assurance er forskellig fra styring. Styring er handlingen at lede og beslutte; assurance er uafhængig, objektiv bekræftelse af, at styringen og kontrollerne faktisk virker som tilsigtet. Den dominerende mentale model er "de tre forsvarslinjer": første linje er operationel ledelse, der ejer og styrer risiko dag til dag; anden linje er tilsynsfunktioner (risiko, compliance, klinisk sikkerhed, informationsstyring), der fastsætter politik og udfordrer; og tredje linje er intern revision, uafhængig af begge og rapporterende til bestyrelsen. Eksterne regulatorer og revisorer udgør en de facto fjerde linje.

To yderligere begreber holder systemet sammen. Risikoappetit er den mængde og type risiko, organisationen er villig til at acceptere i jagten på sine mål; uden den er eskalering vilkårlig. Og risikologgen — ofte udvidet til en RAID-log (risici, antagelser, issues, afhængigheder) bygget på samme disciplin som et risikoregister — er den arbejdende registrering, der holder en levering ærlig. Gennemgangspunkter leveres af trinvis assurance som en faseportproces og, i den britiske stat, gateway-lignende reviews drevet af Infrastructure and Projects Authority (IPA). Over niveauet for ethvert enkelt projekt sidder virksomhedsrisikostyring, den organisationsdækkende disciplin at identificere og styre de risici, der kan hindre hele virksomheden i at nå sine mål, frem for at behandle digital, klinisk, finansiel, cyber- og driftsrisiko som separate siloer.

Bedste praksis#

1. Udpeg én ansvarlig SRO, og mean det. Udpeg en enkelt, tilstrækkeligt senior person, der er personligt ansvarlig for resultatet, har beføjelse til at træffe beslutninger og bliver ved programmet længe nok til at kunne holdes til regnskab. Skriv deres ansvar ind i kommissoriet og deres mål. Modstå fristelsen til at sprede ansvar over et udvalg — udvalg rådgiver og beslutter kollektivt, men de kan ikke være ansvarlige, for ansvar, der er delt, er ansvar, der er fraværende.

2. Design styringen til at passe til risiko og værdi, ikke kalenderen. Et lille, lavrisiko internt værktøj har ikke brug for den samme bestyrelse, de samme porte og det samme papirarbejde som en regionsdækkende elektronisk patientjournal. Sæt niveauer, så lavrisiko-, lavværdiarbejde flyder gennem let styring på teamniveau, mens højrisiko- eller højværdiarbejde tiltrækker formelle bestyrelser og uafhængig gennemgang. Offentliggør tærsklerne, så teams ved, hvilket niveau de er på, og kan betjene sig selv. Proportionalitet er det, der forhindrer styring i at blive en flaskehals, teams omgår.

3. Skriv kommissorier, der afklarer beslutningsret. Hver bestyrelse bør have et kort kommissoriedokument, der angiver dens formål, medlemskab, beslutningsdygtighed, hvilke beslutninger den kan træffe, hvad den kun kan anbefale, og hvad der skal eskaleres over den. Par det med en RACI, så tilbagevendende beslutningstyper — arkitekturvalg, klinisk godkendelse, budgetfrigivelse, go-live-godkendelse — har en navngiven ansvarlig ejer. Tvetydig beslutningsret er den enkelt mest almindelige årsag til styringsdrift, hvor møder formerer sig, fordi ingen er sikre på, hvem der faktisk kan sige ja.

4. Adskil assurance fra styring, og brug de tre linjer. Lad ikke de mennesker, der leverer et program, være de eneste, der sikrer, at det er sikkert. Sørg for, at anden linje — klinisk sikkerhedsansvarlige, informationsstyringsledere, cybersikkerhed — har en uafhængig stemme og kan eskalere over SRO’ens hoved, når det er nødvendigt, og at intern revision periodisk tester hele systemet. Denne adskillelse er det, der forvandler optimistisk selvrapportering til troværdig assurance, og den er en regulatorisk forventning i de fleste sundhedssystemer, ikke en pæn gestus.

5. Brug integreret assurance og trinvise gennemgangspunkter. I stedet for at bestille ukoordinerede gennemgange, planlæg en integreret assurance- og godkendelsesplan, der afstemmer kliniske sikkerheds-, informationsstyrings-, tekniske og kommercielle gennemgange til de samme beslutningspunkter. Tag gateway-lignende reviews i brug ved de overgange, der betyder noget — før penge forpligtes, før bygning, før go-live — modelleret efter IPA gateway reviews og, for offentligt vendende digitale tjenester, de servicevurderinger, Government Digital Service (GDS) var pionerer for og NHS har tilpasset. En god port er en støttende udfordring, der de-risikerer næste fase, ikke en eksamen, der skal spilles.

6. Gør risikoappetit eksplicit, og lad den drive eskalering. Aftal på bestyrelsesniveau, hvor megen risiko I er villige til at bære i hvert domæne — patientsikkerhed, data, levering, økonomi, omdømme — og udtryk det konkret nok til, at et team kan se, om en given risiko ligger inden for eller uden for appetitten. Kobl derefter eskaleringen til appetitten: alt uden for appetitten går automatisk opad, med en navngiven ejer og en beslutningsfrist. Det forhindrer de to fejlmønstre: bagateller, der tilstopper bestyrelsen, og alvorlige risici, der i det stille sidder i et regneark.

7. Kør en levende RAID-log og et Board Assurance Framework. Vedligehold en RAID-log, der gennemgås hver leveringscyklus, hvor hver post er ejet, dateret, scoret og aktivt bearbejdet — ikke en kirkegård af forældede gule poster. På organisationsniveau, vedligehold et Board Assurance Framework (BAF), der kortlægger jeres vigtigste strategiske risici til de kontroller, der er på plads, og den assurance, I har for, at disse kontroller virker, og blotlægger huller, hvor I støtter jer til håb. BAF’en er det, der lader en bestyrelse se på én side, om dens vigtigste mål faktisk er beskyttet.

8. Rapportér ærligt, og dræb styringsteater. Insistér på åben statusrapportering, der bringer dårlige nyheder frem tidligt, og beskyt de mennesker, der rejser dem. Hold øje med "vandmelonrapportering" — grøn udenpå, rød indeni — hvor dashboards forbliver grønne til øjeblikket for svigtet; modvirk den ved at lade assurancefunktioner og leveringsledere rapportere om de samme fakta. Skær ethvert møde, enhver skabelon og enhver rapport væk, der ikke ændrer en beslutning. Styring, der producerer dokumenter, ingen handler på, er ikke forsigtighed, det er spild klædt ud som omhu.

9. Styr risiko på virksomhedsniveau, ikke kun projektniveau. Hold et risikoregister for virksomheden på bestyrelsesniveau og en skriftlig risikoappetiterklæring, der forbinder digital, klinisk, finansiel, cyber- og driftsrisiko i stedet for at behandle hver i sin egen silo. Mange af de risici, der faktisk sænker digitale sundhedstjenester — et aldrende landskab af legacy-systemer, et cyberangreb, overafhængighed af en enkelt leverandør — går på tværs af hvert projekt og ejes af ingen af dem, så giv hver tværgående risiko en navngiven direktionsejer og en plads i registeret. Det er forskellen mellem at vide, at jeres programmer hver især nogenlunde er på sporet, og at vide, om organisationen som helhed er inden for sin appetit.

10. Aggreger de samme risici op til bestyrelsen uden at sanere dem. Kobl jeres tre forsvarslinjer, så en risiko set af et leveringsteam rejser op til virksomhedsregisteret genkendeligt, ikke ompakket til beroligende sprog i hvert lag. BAF’en og virksomhedsregisteret er kun så ærlige som rapporteringen nedenunder, så værn mod vandmeloneffekten, hvor gult bliver grønt på vej til toppen, og gør det rutine at eskalere tværgående risici — legacy, cyber, leverandørkoncentration — som intet enkelt projekt ejer. En bestyrelse, der kun ser aggregerede, afdæmpede tal, kan ikke styre de risici, der betyder mest.

Spørgsmål at drøfte med dit team#

1. Hvor er entydigt ansvar reelt klart på vores vigtigste digitale arbejde, og hvor er det en komfortabel fiktion? Gennemgå jeres tre øverste initiativer, og spørg for hvert, hvem der personligt ville svare over for bestyrelsen, hvis det fejlede. Hvis det ærlige svar er "bestyrelsen", "programmet" eller et navn, der bliver ved med at skifte, har I et hul. Test, om den navngivne SRO faktisk har den beføjelse og tid, rollen kræver, eller om vedkommende er et rygskjold, mens de reelle beslutninger træffes andetsteds. Overvej, om ansvaret undermineres af en matrix, hvor SRO’en ikke kan lede dem, der leverer. Drøft, hvordan kontinuitet beskyttes, når SRO’er går videre, for ansvar, der nulstilles ved hver omorganisering, er slet intet ansvar. Målet er ikke at give enkeltpersoner skylden, men at sikre, at når noget går galt, ejer én bemyndiget person at rette op.

2. Er vores styring proportional, eller anvender vi tungt proces på lavrisikoarbejde og omvendt? Kortlæg jeres nuværende bestyrelser, porte og godkendelsestrin mod den faktiske risiko og værdi af det, der passerer igennem dem. Se efter den lavrisiko-ændring, der ventede seks uger på en bestyrelse, der mødes månedligt, og den højrisiko kliniske ændring, der slap igennem på et teams egen ordre. Spørg, om teams omgår styring, fordi den er for langsom, hvilket i sig selv er et alvorligt risikosignal. Overvej, om I har offentliggjort klare niveauer og tærskler, eller om alt som standard får maksimal ceremoni af forsigtighed. Debatter, hvor I trygt kunne uddelegere beslutninger for at bevæge jer hurtigere, og hvor I har været farligt lette. Målet er et system, hvor styringens vægt synligt følger risikoens vægt.

3. Hvordan ville vi vide, om vores rapportering fortæller os sandheden? Drøft konkrete nylige eksempler, hvor en status gik fra grøn til rød med lidt varsel, og spørg, hvad de tidlige signaler var, og hvorfor de ikke kom op. Undersøg, om leveringsledere og assurancefunktioner rapporterer ud fra de samme fakta eller fra separate, belejligt divergerende versioner. Overvej, hvad der sker, socialt og professionelt, med en, der rapporterer en rød status her — bliver de takket eller straffet? Spørg, om jeres bestyrelse ser uafhængig assurance ved siden af ledelsens egen beretning eller kun det sidste. Undersøg, om jeres dashboards måler ting, der forudsiger problemer, eller kun ting, der er lette at gøre grønne. Formålet er at bygge en kultur, hvor ærlige dårlige nyheder rejser hurtigt, for et styringssystem, der ikke kan høre dårlige nyheder, kan ikke styre.

4. Har vi skrevet vores risikoappetit ned konkret nok til, at et team kan handle på den, eller er den en slogan? Tag en levende risiko på et af jeres programmer, og spørg, om de mennesker, der er tættest på den, ud fra jeres angivne appetit kunne se, om den ligger inden for eller uden for linjen. De fleste organisationer har en risikoappetiterklæring, der læses godt og afgør intet — "vi tager en afbalanceret tilgang til risiko" fortæller ingen kliniker, om en uopdaget allergivisningsfejl er tolerabel. Drøft, om appetitten udtrykkes pr. domæne — patientsikkerhed, data, levering, økonomi, omdømme — fordi et enkelt globalt tal skjuler, at I måske har nul appetit for kliniske sikkerhedsfejl og reel appetit for tidsplansskred. Undersøg, om eskaleringen faktisk er koblet til appetitten, så alt uden for den stiger automatisk med en navngiven ejer og en frist, i stedet for at afhænge af, at nogen vælger at rejse det. Overvej, hvem der ejer appetitten, og hvor ofte den gensés, for en appetit sat én gang og aldrig gensét driver ud af trit med den virkelige verden. Et ærligt svar nævner en nylig beslutning, appetiterklæringen reelt formede, og indrømmer, hvor erklæringen i dag er for vag til at bide.

5. Har vores porte og assurancegennemgange faktisk tænder, eller sejler fejlende programmer igennem dem? Se tilbage på jeres seneste gateway- eller servicevurderingsreviews, og spørg, om nogen af dem stoppede, satte på pause eller væsentligt omformede arbejdet — hvis hvert program har bestået hver port, er jeres porte næsten helt sikkert teater. Drøft, om gennemgange behandles som en støttende udfordring, der de-risikerer næste fase, eller som en eksamen, der skal spilles, med evidenspakken kurateret for at sikre en beståelse. Overvej, om klinisk sikkerheds-, informationsstyrings-, teknisk og kommerciel assurance ankommer ved de samme beslutningspunkter eller som en spredning af ukoordinerede gennemgange, der udmatter teams uden at tilføje tillid. Undersøg, hvilken beføjelse en portgennemgåer faktisk har: kan vedkommende holde en go-live, og vil vedkommende blive bakket op, hvis det sker, eller vil kommercielt pres tilsidesætte dem? Undersøg, om de, der leverer, reelt også er dem, der assurerer — for en port drevet af optimisterne er ikke assurance. Målet er en gennemgang, et alvorligt problem ikke kunne overleve, for en port, intet nogensinde dumper, er en omkostning uden nogen kontrol bag.

6. Hvilke af de risici, der reelt kunne sænke os, ejes af intet enkelt projekt, og hvem ejer dem? List de svigt, der er mest sandsynlige for at stoppe jeres digitale tjenester — et aldrende landskab af legacy-systemer, et cyberangreb, overafhængighed af én leverandør, en arbejdsstyrke der ikke kan betjene de nye værktøjer — og spørg for hver, hvis register den sidder på. Disse tværgående risici er farlige netop fordi de tilhører alle og derfor ingen og falder mellem fingrene på projektniveau-styring. Drøft, om I holder et virksomhedsrisikoregister på bestyrelsesniveau, der forbinder digital, klinisk, finansiel, cyber- og driftsrisiko, eller om hver styres i sin egen silo, blind for de andre. Overvej, om en risiko set af et leveringsteam rejser op til bestyrelsen genkendeligt eller bliver blødgjort fra rød til gul til grøn i hvert lag, til bestyrelsen kun ser beroligelse. Undersøg, om hver tværgående risiko har en navngiven direktionsejer med beføjelse til at handle på tværs af programmer. Et ærligt svar konfronterer hullet mellem at vide, at hvert program nogenlunde er på sporet, og at vide, om organisationen som helhed er inden for sin appetit.

I praksis: et eksempel fra sundhed og pleje#

Et integreret plejesystem (ICS) udruller en fælles omsorgsjournal, der lader klinikere på tværs af hospitaler, almen praksis og socialpleje se et samlet overblik over hver patient. Den er højværdi og højrisiko: den berører kliniske beslutninger, kobler følsomme data på tværs af organisationer og tjener en befolkning med stor variation i digital adgang.

Tidligt er ansvaret uklart. Tre it-direktører føler sig hver delvist ansvarlige, en leverandør driver tidsplanen, og programbestyrelsen på atten personer bruger sine møder på at modtage opdateringer frem for at beslutte. Rapporteringen er grøn. Så dukker en næsten-hændelse op: en medicinallergi registreret i ét system vises ikke i et andet, og en kliniker er nær ved at ordinere et lægemiddel, patienten er allergisk over for.

Administrerende direktører bruger det som et vendepunkt og genopbygger styringen. De udpeger én SRO — en lægefaglig direktør med den anciennitet, der skal til for at lede programmet, og den stående, der skal til for at udfordre leverandøren. De omskriver bestyrelsens kommissorium, skærer den ned til beslutningstagerne og tilføjer en RACI, så klinisk sikkerhedsgodkendelse, informationsstyringsgodkendelse og go-live-autorisation hver har en navngiven ansvarlig ejer. Risikoappetit gøres eksplicit: nul appetit for uopdagede kliniske sikkerhedsfejl, begrænset appetit for tidsplansskred. Den ene erklæring omordner alting.

Assurance adskilles fra levering. Den kliniske sikkerhedsansvarlige og informationsstyringslederen rapporterer uafhængigt og kan eskalere over SRO’en til de administrerende direktører; arbejdet med den fælles journal føjes til hver partners Board Assurance Framework. En integreret assuranceplan sætter tre porte — før yderligere bygning, før pilot, før fuld udrulning — hver kombinerende klinisk sikkerheds-, informationsstyrings-, tekniske og tilgængelighedsgennemgange i ånden fra IPA gateway reviews og NHS-servicevurderinger. RAID-loggen gennemgås hver fjortende dag, hvor allergivisningsfejlen er logget som et rødt issue ejet ved navn med en fast løsningsdato.

Den første port er ubehagelig: gennemgangsteamet finder, at den kliniske sikkerhedscase er tyndere, end de grønne rapporter antydede, og udrulningen sættes på pause i fire uger. Det er præcis den vandmelon, den gamle rapportering havde skjult. Fordi pausen sker før pilot frem for efter go-live, skades ingen patient, leverandøren retter datamappingen, og den endelige udrulning er langsommere at komme i gang, men langt sikrere og mere betroet. Styring bremsede ikke leveringen; den forhindrede et svigt, der ville have stoppet den helt.

Sektorperspektiver#

Startup#

En sundhedsteknologisk startup har sjældent brug for bestyrelser og gateway-reviews, men den har brug for det væsentlige tidligt, fordi regulatorer, købere og investorer vil spørge. Nævn én ansvarlig grundlægger eller direktør for klinisk sikkerhed og én for databeskyttelse, hold en let RAID-log, og skriv jeres risikoappetit ned, selv om det er en enkelt side. Fælden er at behandle styring som noget, der kan boltes på senere; at eftermontere evidens for sikre, lovlige beslutninger på tværs af et hurtigt bevægeligt produkt er smertefuldt og undertiden umuligt. Byg den mindst levedygtige styring, en seriøs NHS-køber ville genkende, og lad den vokse med jer frem for at vakle fra intet til bureaukrati natten over.

Lille virksomhed#

En etableret lille udbyder — en lægepraksis, et lokalt apotek, et plejehjem eller en enkelt klinik — bærer de samme lovbestemte pligter for klinisk sikkerhed og databeskyttelse som et stort hospital, men uden revisionsudvalg, uden intern revision og ofte uden dedikeret it-personale til at køre dem. Styringsdisciplinen her er radikal proportionalitet: én navngiven person ansvarlig for klinisk sikkerhed og én for informationsstyring (som i en meget lille organisation kan være den samme senior kliniker eller partner), en enkeltsides risikoappetit og en kort RAID-log, der reelt gennemgås frem for arkiveres. Støt jer til de rammeværker, jeres regulatorer allerede forventer — Data Security and Protection Toolkit, CQC-krav og alle kliniske sikkerhedsforpligtelser, jeres leverandører skal opfylde — og lad jeres softwareleverandørers assurance (deres DCB0129-sikkerhedscases, deres certificeringer) gøre arbejde, I ikke selv kan. Den realistiske fælde er ikke styringsteater, men styringsforsømmelse: sikre, lovlige beslutninger truffet uformelt og aldrig registreret, så I, når en hændelse eller inspektion kommer, ikke kan vise, hvad I besluttede eller hvorfor. Hold evidenssporet let, men reelt, for for en lille virksomhed er målet forsvarlige beslutninger på et lille budget, ikke en styringsmaskine, I ikke kan bemande.

Stor virksomhed#

En stor udbyder eller leverandør har allerede bestyrelser, revisionsudvalg og intern revision, så virksomhedens risiko er det modsatte af startuppens: for megen styring, dårligt integreret, der genererer teater. Konsolidér overlappende bestyrelser, offentliggør proportionalitetsniveauer, og integrér klinisk, informations-, teknisk og kommerciel assurance i én enkelt plan, så teams står over for ét sammenhængende sæt porte frem for et dusin ukoordinerede gennemgange. Sørg for, at de tre forsvarslinjer er reelt uafhængige, og at intern revision periodisk tester digital levering, ikke kun økonomi. Gevinsten er at forvandle en eksisterende, dyr styringsmaskine til en, der faktisk fremskynder sikre beslutninger.

Myndighed#

Nationale og regionale organer — NHS England, ICB’er, statslige organer — opererer under lovbestemt ansvar, offentlige udgiftskontroller og formelle assurance-regimer som IPA gateway reviews og statens udgiftskontrol- og servicevurderingsprocesser. Her er SRO-rollen kodificeret og personligt ansvarlig over for parlamentet eller dets ækvivalenter, og gennemsigtighed er en pligt, ikke et valg. Disciplinen er at gøre denne påbudte styring proportional og afstemme de mange eksterne assurancekrav, så de informerer leveringen frem for blot at revidere den bagefter. Gjort godt er offentlig styring et mønster på ansvarlighed; gjort dårligt er den oprindelsen til det "styringsteater", hele sektoren frygter.

Typiske fejlmønstre#

• Ansvar ved udvalg. Ingen enkelt SRO, så når tingene går galt, peger alle sidelæns, og intet er ejet.
• Styringsteater. Bestyrelser, der modtager frem for beslutter, skabeloner ingen læser, og porte, der er eksamener at bestå frem for ægte de-risikering.
• Vandmelonrapportering. Status forbliver grøn til øjeblikket for svigtet, fordi dårlige nyheder er uvelkomne, og leveringsrapporter forbliver uudfordrede af assurance.
• Én størrelse passer alle-proces. Tung styring anvendt på trivielt arbejde, hvilket driver teams til at omgå den, mens reelt risikabelt arbejde slipper let igennem.
• Assurance fanget af levering. De, der bygger tjenesten, er de eneste, der bekræfter, at den er sikker, så optimisme forbliver ukontrolleret.
• Forældede RAID-logs. Risici logget én gang og aldrig bearbejdet; gule poster, der i det stille bliver grønne før en gennemgang uden nogen ændring nedenunder.
• Domænesnæversyn. At styre leveringen godt, men overse den kliniske sikkerheds-, informationsstyrings- eller ligestillingsdimension, til den bliver en krise.
• Portteater uden tænder. Gennemgangspunkter, der aldrig faktisk stopper eller omformer arbejdet, så fejlende programmer sejler igennem hver port.

Modenhedsmodel#

Tjekliste#

• Hvert større initiativ har én navngiven, tilstrækkeligt senior, bemyndiget SRO.
• Hver bestyrelse har et aktuelt kommissorium, der angiver dens beslutningsret, beslutningsdygtighed og eskalering.
• En RACI tildeler en navngiven ansvarlig ejer til hver tilbagevendende beslutningstype.
• Styringsniveauer skalerer med risiko og værdi, og tærsklerne er offentliggjort.
• De tre forsvarslinjer er på plads, med en uafhængig anden linje-stemme, der kan eskalere.
• En integreret assuranceplan afstemmer kliniske, informationsstyrings-, tekniske og kommercielle gennemgange til trinvise porte.
• Risikoappetit er skrevet ned pr. domæne, og eskalering er koblet til den.
• En levende RAID-log gennemgås hver leveringscyklus, hvor hver post er ejet og dateret.
• Et Board Assurance Framework kortlægger principielle risici til kontroller og til den assurance, kontrollerne virker.
• Levering og assurance rapporterer ud fra de samme fakta, og det er sikkert at rejse dårlige nyheder.
• Hvert møde, hver skabelon og hver rapport, I beholder, ændrer en reel beslutning.

Centrale kilder#

• Infrastructure and Projects Authority (IPA), Principles for Project Success og vejledningen til gateway-/assurancegennemgange — UK Cabinet Office / HM Treasury.
• NHS England, Clinical Risk Management Standards (DCB0129 og DCB0160) — til klinisk styring af sundheds-it (se også emne 1.6).
• Institute of Internal Auditors (IIA), The IIA’s Three Lines Model (opdatering fra 2020) — den autoritative fremstilling af tre-linjers-tilgangen.
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — risikoappetit, kontroller og assurance i britiske offentlige organer.
• NHS England / tidligere Government Digital Service, Service Standard og vejledning til servicevurdering — assurance af offentligt vendende digitale tjenester.
• UK Corporate Governance Code — Financial Reporting Council — bestyrelsesansvar og intern kontrol.

Referencer#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management