विषय 6.4 — प्रशासन और आश्वासन

प्रशासन आपको अच्छे, तेज़, सुरक्षित निर्णय लेने में मदद करने के लिए मौजूद है और खुद को, आपके बोर्ड को, और जनता को यह साबित करने के लिए कि एक डिजिटल सेवा जिम्मेदारी से चलाई जा रही है, इसलिए इसे डिलीवरी पर एक कर के बजाय इसके सक्षमकर्ता के रूप में मानें।

यह स्वास्थ्य और देखभाल में क्यों महत्वपूर्ण है#

अधिकांश क्षेत्रों में, कमज़ोर प्रशासन पैसे और प्रतिष्ठा की कीमत चुकाता है। स्वास्थ्य और देखभाल में यह जीवन की कीमत चुका सकता है, असमानता को गहरा कर सकता है, और उस सार्वजनिक विश्वास को क्षय कर सकता है जिस पर पूरा सिस्टम निर्भर करता है। एक क्लिनिकल सिस्टम में एक खराब शासित परिवर्तन किसी के ध्यान देने से पहले हज़ारों रोगियों में एक खुराक त्रुटि फैला सकता है; एक अशासित डेटा प्रवाह उन सबसे कमज़ोर लोगों की गोपनीयता का उल्लंघन कर सकता है जिनकी आप सेवा करते हैं; एक अनआश्वासित गो-लाइव एक ऐसी सेवा में बंद कर सकता है जो चुपचाप उन्हें बहिष्कृत करती है जिन्हें सबसे अधिक देखभाल की आवश्यकता है। दांव यही कारण हैं कि "आप कैसे काम करते हैं" एक क्लिनिकल-सुरक्षा, समानता, और विश्वास मुद्दा है, केवल एक दक्षता मुद्दा नहीं।

साथ ही, स्वास्थ्य और देखभाल में प्रशासन की एक अच्छी तरह से अर्जित प्रतिष्ठा है धीमा, औपचारिक, और डिलीवरी से असंबद्ध होने की। टीमें बोर्ड बैठकों में बैठती हैं जो पहले से लिए गए निर्णयों को रबर-स्टैम्प करती हैं, ऐसे टेम्पलेट पूरे करती हैं जिन्हें कोई नहीं पढ़ता, और एम्बर जोखिमों को एक समीक्षा से एक सप्ताह पहले हरे में बदलते देखती हैं केवल बाद में शानदार ढंग से विफल होने के लिए। यह वह विरोधाभास है जिसे आपको हल करना चाहिए। उत्तर कम या अधिक प्रशासन नहीं है; यह आनुपातिक प्रशासन है जो जोखिम और मूल्य के साथ स्केल करता है, स्पष्ट लोगों को स्पष्ट जवाबदेही देता है, और कार्रवाई के लिए पर्याप्त तेज़ ईमानदार जानकारी उत्पन्न करता है। यह विषय दिखाता है कि इसे कैसे बनाया जाए, और इसके ऊपर स्वतंत्र आश्वासन कैसे स्तरीकृत किया जाए ताकि जवाबदेह लोग — और जनता — आश्वस्त हो सकें कि नियंत्रण वास्तव में काम करते हैं। यह विषय 1.6 — क्लिनिकल सुरक्षा और जोखिम प्रबंधन, विषय 1.7 — सूचना प्रशासन, डेटा सुरक्षा और साइबर सुरक्षा, विषय 5.3 — EPPM, और विषय 10.4 — CEO और वरिष्ठ नेताओं के लिए दृश्यता से कसकर जुड़ता है।

मुख्य अवधारणाएं#

प्रशासन निर्णय अधिकारों, जवाबदेही, और निगरानी की प्रणाली है जिसके माध्यम से एक संगठन जो करता है उसे निर्देशित और नियंत्रित करता है। डिजिटल स्वास्थ्य और देखभाल में आप वास्तव में एक साथ तीन ओवरलैपिंग प्रशासन डोमेन प्रबंधित कर रहे हैं। कॉर्पोरेट प्रशासन समग्र रूप से संगठन के बोर्ड के प्रबंधन को कवर करता है — वित्त, रणनीति, जोखिम, और कानूनी कर्तव्य। क्लिनिकल प्रशासन वह ढांचा है जिसके माध्यम से स्वास्थ्य संगठन देखभाल की गुणवत्ता और सुरक्षा को लगातार सुधारने के लिए जवाबदेह हैं। सूचना प्रशासन कवर करता है कि संगठन डेटा को कानूनी, सुरक्षित, और नैतिक रूप से कैसे संभालता है। एक डिजिटल सेवा इन तीनों को छूती है; यदि आप केवल एक को शासित करते हैं, तो आप अन्य से अप्रत्याशित रूप से प्रभावित होंगे।

एकल-बिंदु जवाबदेही अच्छे प्रशासन की रीढ़ है। Senior Responsible Owner (SRO) वह एकल नामित व्यक्ति है जो व्यक्तिगत रूप से एक कार्यक्रम या प्रमुख परियोजना के अपने उद्देश्यों को प्राप्त करने और अपने लाभों को साकार करने के लिए जवाबदेह है — एक भूमिका जो UK सरकार द्वारा लोकप्रिय की गई लेकिन सार्वभौमिक रूप से उपयोगी है। SRO के नीचे निर्णय अधिकार एक जिम्मेदारी असाइनमेंट मैट्रिक्स के माध्यम से स्पष्ट किए जाते हैं, आमतौर पर RACI (जिम्मेदार, जवाबदेह, परामर्शित, सूचित) रूप, जो दो शास्त्रीय विफलताओं को रोकता है "सभी ने सोचा कि किसी और के पास इसका स्वामित्व है" और "सभी ने इसका स्वामित्व लेने की कोशिश की"।

आश्वासन प्रशासन से अलग है। प्रशासन निर्देशित करने और निर्णय लेने का कार्य है; आश्वासन स्वतंत्र, वस्तुनिष्ठ पुष्टि है कि प्रशासन और नियंत्रण वास्तव में इच्छानुसार काम कर रहे हैं। प्रमुख मानसिक मॉडल "रक्षा की तीन पंक्तियां" है: पहली पंक्ति परिचालन प्रबंधन है जो दिन-प्रतिदिन जोखिम का स्वामित्व और प्रबंधन करता है; दूसरी पंक्ति निगरानी फ़ंक्शन (जोखिम, अनुपालन, क्लिनिकल सुरक्षा, सूचना प्रशासन) है जो नीति निर्धारित और चुनौती देती है; और तीसरी पंक्ति दोनों से स्वतंत्र आंतरिक ऑडिट है, जो बोर्ड को रिपोर्ट करती है। बाहरी नियामक और ऑडिटर एक वास्तविक चौथी पंक्ति बनाते हैं।

दो और अवधारणाएं सिस्टम को एक साथ रखती हैं। जोखिम भूख वह जोखिम की मात्रा और प्रकार है जिसे संगठन अपने उद्देश्यों की खोज में स्वीकार करने के लिए तैयार है; इसके बिना, वृद्धि मनमानी है। और जोखिम लॉग — अक्सर एक जोखिम रजिस्टर के समान अनुशासन पर बने एक RAID लॉग (जोखिम, धारणाएं, मुद्दे, निर्भरताएं) तक विस्तारित — वह कार्यशील रिकॉर्ड है जो एक डिलीवरी को ईमानदार रखता है। समीक्षा बिंदु एक चरण-द्वार प्रक्रिया जैसे स्तरीकृत आश्वासन द्वारा और, UK सरकार में, Infrastructure and Projects Authority (IPA) द्वारा चलाई गई गेटवे-शैली समीक्षाओं द्वारा प्रदान किए जाते हैं। किसी भी एकल परियोजना के स्तर से ऊपर एंटरप्राइज़ जोखिम प्रबंधन बैठता है, उन जोखिमों की पहचान और प्रबंधन करने का संगठन-व्यापी अनुशासन जो पूरे उद्यम को अपने उद्देश्यों को प्राप्त करने से रोक सकते हैं, डिजिटल, क्लिनिकल, वित्तीय, साइबर, और परिचालन जोखिम को अलग साइलो के रूप में मानने के बजाय।

सर्वोत्तम प्रथाएं#

1. एक जवाबदेह SRO नाम दें और इसका मतलब रखें। एक एकल, पर्याप्त रूप से वरिष्ठ व्यक्ति नियुक्त करें जो परिणाम के लिए व्यक्तिगत रूप से जवाबदेह है, निर्णय लेने का अधिकार रखता है, और जवाबदेह ठहराए जाने के लिए पर्याप्त लंबे समय तक कार्यक्रम के साथ रहता है। उनकी जवाबदेही को संदर्भ की शर्तों और उनके उद्देश्यों में लिखें। एक समिति में जवाबदेही फैलाने के प्रलोभन का विरोध करें — समितियां सामूहिक रूप से सलाह देती और निर्णय लेती हैं, लेकिन वे जवाबदेह नहीं हो सकतीं, क्योंकि साझा की गई जवाबदेही अनुपस्थित जवाबदेही है।

2. प्रशासन को कैलेंडर के लिए नहीं, जोखिम और मूल्य के अनुरूप डिज़ाइन करें। एक छोटे, कम-जोखिम वाले आंतरिक उपकरण को एक क्षेत्र-व्यापी इलेक्ट्रॉनिक रोगी रिकॉर्ड के समान बोर्ड, द्वार, और कागज़ी काम की आवश्यकता नहीं है। स्तर निर्धारित करें ताकि कम-जोखिम, कम-मूल्य काम हल्के टीम-स्तरीय प्रशासन के माध्यम से बहे, जबकि उच्च-जोखिम या उच्च-मूल्य काम औपचारिक बोर्ड और स्वतंत्र समीक्षा को आकर्षित करे। थ्रेशोल्ड प्रकाशित करें ताकि टीमें जानें कि वे किस स्तर में हैं और स्वयं-सेवा कर सकें। आनुपातिकता वह है जो प्रशासन को एक बाधा बनने से रोकती है जिसके चारों ओर टीमें रूट करती हैं।

3. संदर्भ की शर्तें लिखें जो निर्णय अधिकारों को स्पष्ट करें। हर बोर्ड में एक छोटा संदर्भ-की-शर्तें दस्तावेज़ होना चाहिए जो इसका उद्देश्य, सदस्यता, कोरम, यह कौन से निर्णय ले सकता है, यह केवल क्या सिफारिश कर सकता है, और इसके ऊपर क्या बढ़ना चाहिए बताता है। इसे एक RACI के साथ जोड़ें ताकि आवर्ती निर्णय प्रकारों — आर्किटेक्चर विकल्प, क्लिनिकल साइन-ऑफ, बजट रिलीज़, गो-लाइव अनुमोदन — का एक नामित जवाबदेह स्वामी हो। अस्पष्ट निर्णय अधिकार प्रशासन बहाव का सबसे आम एकल कारण हैं, जहां बैठकें गुणा होती हैं क्योंकि कोई निश्चित नहीं है कि वास्तव में हां कौन कह सकता है।

4. आश्वासन को प्रशासन से अलग करें और तीन पंक्तियों का उपयोग करें। एक कार्यक्रम देने वाले लोगों को केवल वही लोग न बनने दें जो आश्वस्त करते हैं कि यह सुरक्षित है। सुनिश्चित करें कि दूसरी पंक्ति — क्लिनिकल सुरक्षा अधिकारी, सूचना प्रशासन नेता, साइबर सुरक्षा — के पास एक स्वतंत्र आवाज़ है और आवश्यकता होने पर SRO के सिर के ऊपर बढ़ सकती है, और आंतरिक ऑडिट समय-समय पर पूरे सिस्टम का परीक्षण करता है। यह अलगाव है जो आशावादी स्व-रिपोर्टिंग को विश्वसनीय आश्वासन में बदल देता है, और यह अधिकांश स्वास्थ्य सिस्टमों में एक नियामक अपेक्षा है, एक सुविधा नहीं।

5. एकीकृत आश्वासन और चरणबद्ध समीक्षा बिंदुओं का उपयोग करें। असंगठित समीक्षाओं को कमीशन करने के बजाय, एक एकीकृत आश्वासन और अनुमोदन समयसूची की योजना बनाएं जो क्लिनिकल सुरक्षा, सूचना प्रशासन, तकनीकी, और वाणिज्यिक समीक्षाओं को उन्हीं निर्णय बिंदुओं के साथ संरेखित करती है। उन संक्रमणों पर गेटवे-शैली समीक्षाएं अपनाएं जो मायने रखते हैं — पैसे प्रतिबद्ध करने से पहले, बिल्ड से पहले, गो-लाइव से पहले — IPA गेटवे समीक्षाओं और, सार्वजनिक-सामना करने वाली डिजिटल सेवाओं के लिए, Government Digital Service (GDS) द्वारा प्रवर्तित और NHS द्वारा अनुकूलित सेवा मूल्यांकनों के मॉडल पर। एक अच्छा द्वार एक सहायक चुनौती है जो अगले चरण का जोखिम कम करता है, गेम खेलने के लिए एक परीक्षा नहीं।

6. जोखिम भूख को स्पष्ट बनाएं और इसे वृद्धि चलाने दें। बोर्ड स्तर पर सहमत हों कि आप हर डोमेन में कितना जोखिम उठाने के लिए तैयार हैं — रोगी सुरक्षा, डेटा, डिलीवरी, वित्त, प्रतिष्ठा — और इसे इतनी ठोस रूप से व्यक्त करें कि एक टीम बता सके कि क्या एक दिया गया जोखिम भूख के अंदर या बाहर बैठता है। फिर वृद्धि को भूख से जोड़ें: भूख के बाहर कुछ भी स्वचालित रूप से ऊपर जाता है, एक नामित स्वामी और एक निर्णय समयसीमा के साथ। यह बोर्ड को अव्यवस्थित करने वाली तुच्छता और चुपचाप एक स्प्रेडशीट में बैठे गंभीर जोखिमों की दो विफलता मोड को रोकता है।

7. एक जीवित RAID लॉग और एक Board Assurance Framework चलाएं। एक RAID लॉग बनाए रखें जो हर डिलीवरी चक्र में समीक्षित होता है, हर प्रविष्टि स्वामित्व, दिनांकित, स्कोर, और सक्रिय रूप से कार्य की गई — बासी एम्बर आइटमों का एक कब्रिस्तान नहीं। संगठनात्मक स्तर पर, एक Board Assurance Framework (BAF) बनाए रखें जो आपके मुख्य रणनीतिक जोखिमों को उन नियंत्रणों से मैप करता है जो मौजूद हैं और उस आश्वासन से जो आपके पास है कि वे नियंत्रण काम करते हैं, उन अंतरालों को उजागर करते हुए जहां आप आशा पर निर्भर हैं। BAF वह है जो एक बोर्ड को एक पेज पर देखने देता है कि क्या इसके सबसे महत्वपूर्ण उद्देश्य वास्तव में संरक्षित हैं।

8. ईमानदारी से रिपोर्ट करें और प्रशासन थिएटर को खत्म करें। स्पष्ट स्थिति रिपोर्टिंग पर ज़ोर दें जो बुरी खबर को जल्दी सतह पर लाती है, और उन लोगों की रक्षा करें जो इसे उठाते हैं। "तरबूज़ रिपोर्टिंग" देखें — बाहर से हरा, अंदर से लाल — जहां डैशबोर्ड विफलता के क्षण तक हरे रहते हैं; आश्वासन फ़ंक्शनों और डिलीवरी नेताओं को उन्हीं तथ्यों पर रिपोर्ट करके इसका मुकाबला करें। किसी भी बैठक, टेम्पलेट, या रिपोर्ट को काटें जो किसी निर्णय को नहीं बदलती। प्रशासन जो ऐसे दस्तावेज़ उत्पन्न करता है जिन पर कोई कार्य नहीं करता सावधानी नहीं है, यह परिश्रम के रूप में तैयार किया गया अपव्यय है।

9. जोखिम को एंटरप्राइज़ स्तर पर प्रबंधित करें, केवल परियोजना स्तर पर नहीं। एक बोर्ड-स्तर एंटरप्राइज़ जोखिम रजिस्टर और एक लिखित जोखिम भूख वक्तव्य रखें जो डिजिटल, क्लिनिकल, वित्तीय, साइबर, और परिचालन जोखिम को जोड़ता है बजाय हर एक को अपने खुद के साइलो में मानने के। कई जोखिम जो वास्तव में डिजिटल स्वास्थ्य सेवाओं को डुबोते हैं — विरासत सिस्टमों की एक वृद्ध संपत्ति, एक साइबर हमला, एक एकल आपूर्तिकर्ता पर अति-निर्भरता — हर परियोजना को काटते हैं और उनमें से किसी का भी स्वामित्व नहीं है, इसलिए हर क्रॉस-कटिंग जोखिम को एक नामित कार्यकारी स्वामी और रजिस्टर पर एक जगह दें। यह जानने के बीच का अंतर है कि आपके कार्यक्रम प्रत्येक मोटे तौर पर ट्रैक पर हैं और यह जानने के बीच कि क्या संगठन समग्र रूप से अपनी भूख के भीतर है।

10. उन्हीं जोखिमों को स्वच्छ किए बिना बोर्ड तक एकत्र करें। अपनी रक्षा की तीन पंक्तियों को इस तरह जोड़ें कि एक डिलीवरी टीम द्वारा देखा गया एक जोखिम पहचानने योग्य रूप से एंटरप्राइज़ रजिस्टर तक यात्रा करे, हर परत पर आश्वस्त करने वाली भाषा में पुनःपैक नहीं किया गया। BAF और एंटरप्राइज़ रजिस्टर केवल उतने ही ईमानदार हैं जितनी उनके नीचे की रिपोर्टिंग, इसलिए तरबूज़ प्रभाव के खिलाफ रक्षा करें जहां शीर्ष तक जाने के रास्ते में एम्बर हरा बन जाता है, और क्रॉस-कटिंग जोखिमों — विरासत, साइबर, आपूर्तिकर्ता एकाग्रता — को बढ़ाना नियमित बनाएं जिनका कोई एक परियोजना स्वामी नहीं है। एक बोर्ड जो केवल एकत्रित, नरम की गई संख्याएं देखता है सबसे अधिक मायने रखने वाले जोखिमों को शासित नहीं कर सकता।

आपकी टीम के साथ चर्चा करने के लिए प्रश्न#

1. हमारे सबसे महत्वपूर्ण डिजिटल काम पर एकल-बिंदु जवाबदेही वास्तव में कहां स्पष्ट है, और कहां यह एक आरामदायक कल्पना है? अपनी शीर्ष तीन पहलों के माध्यम से चलें और हर एक के लिए पूछें कि यदि यह विफल होता तो व्यक्तिगत रूप से बोर्ड को कौन उत्तर देगा। यदि ईमानदार उत्तर "बोर्ड", "कार्यक्रम", या एक नाम है जो लगातार बदलता रहता है, तो आपको एक अंतराल मिला है। परखें कि क्या नामित SRO के पास वास्तव में भूमिका की मांग वाला अधिकार और समय है, या क्या वे एक मुखिया हैं जबकि वास्तविक निर्णय कहीं और होते हैं। विचार करें कि क्या जवाबदेही एक मैट्रिक्स द्वारा कमज़ोर की जाती है जिसमें SRO वितरण करने वाले लोगों को निर्देशित नहीं कर सकता। चर्चा करें कि जब SRO आगे बढ़ते हैं तो निरंतरता कैसे संरक्षित की जाती है, क्योंकि जवाबदेही जो हर पुनर्गठन के साथ रीसेट होती है बिल्कुल कोई जवाबदेही नहीं है। लक्ष्य व्यक्तियों को दोष देना नहीं बल्कि यह सुनिश्चित करना है कि जब कुछ गलत होता है, एक सशक्त व्यक्ति इसे ठीक करने का स्वामित्व लेता है।

2. क्या हमारा प्रशासन आनुपातिक है, या हम कम-जोखिम वाले काम पर भारी प्रक्रिया लागू कर रहे हैं और इसके विपरीत? अपने वर्तमान बोर्डों, द्वारों, और अनुमोदन चरणों को उनसे गुजरने वाली चीज़ों के वास्तविक जोखिम और मूल्य के विरुद्ध मैप करें। कम-जोखिम वाले परिवर्तन की तलाश करें जो एक बोर्ड के लिए छह सप्ताह इंतज़ार करता है जो मासिक मिलता है, और उच्च-जोखिम वाले क्लिनिकल परिवर्तन की जो एक टीम की अपनी बात पर फिसल गया। पूछें कि क्या टीमें प्रशासन के चारों ओर रूट कर रही हैं क्योंकि यह बहुत धीमा है, जो स्वयं एक गंभीर जोखिम संकेत है। विचार करें कि क्या आपने स्पष्ट स्तर और थ्रेशोल्ड प्रकाशित किए हैं, या क्या सावधानी के कारण हर चीज़ अधिकतम समारोह पर डिफ़ॉल्ट होती है। बहस करें कि आप कहां तेज़ी से आगे बढ़ने के लिए निर्णयों को सुरक्षित रूप से सौंप सकते थे, और कहां आप खतरनाक रूप से हल्के रहे हैं। लक्ष्य एक ऐसा सिस्टम है जहां प्रशासन का वज़न दृश्यमान रूप से जोखिम के वज़न को ट्रैक करता है।

3. हमें कैसे पता चलेगा कि हमारी रिपोर्टिंग हमें सच बता रही है? ठोस हालिया उदाहरणों पर चर्चा करें जहां एक स्थिति बिना अधिक चेतावनी के हरे से लाल में बदल गई, और पूछें कि प्रारंभिक संकेत क्या थे और वे सतह पर क्यों नहीं आए। जांचें कि क्या डिलीवरी नेता और आश्वासन फ़ंक्शन उन्हीं तथ्यों से या अलग, सुविधाजनक रूप से भिन्न संस्करणों से रिपोर्ट करते हैं। विचार करें कि यहां एक लाल स्थिति की रिपोर्ट करने वाले किसी को सामाजिक और पेशेवर रूप से क्या होता है — क्या उन्हें धन्यवाद दिया जाता है या दंडित? पूछें कि क्या आपका बोर्ड प्रबंधन के अपने खाते के साथ-साथ स्वतंत्र आश्वासन देखता है, या केवल बाद वाला। जांचें कि क्या आपके डैशबोर्ड उन चीज़ों को मापते हैं जो समस्याओं की भविष्यवाणी करती हैं या केवल उन चीज़ों को जिन्हें हरा बनाना आसान है। उद्देश्य एक ऐसी संस्कृति बनाना है जहां ईमानदार बुरी खबर तेज़ी से यात्रा करती है, क्योंकि एक प्रशासन प्रणाली जो बुरी खबर नहीं सुन सकती शासित नहीं कर सकती।

4. क्या हमने अपनी जोखिम भूख को इतनी ठोस रूप से लिख दिया है कि एक टीम इस पर कार्य कर सके, या यह एक नारा है? अपने किसी कार्यक्रम पर एक लाइव जोखिम लें और पूछें कि क्या इसके सबसे करीब के लोग आपकी बताई गई भूख से बता सकते थे कि क्या यह रेखा के अंदर या बाहर बैठता है। अधिकांश संगठनों के पास एक जोखिम भूख वक्तव्य है जो अच्छा पढ़ता है और कुछ भी तय नहीं करता — "हम जोखिम के प्रति एक संतुलित दृष्टिकोण अपनाते हैं" किसी क्लिनिशियन को नहीं बताता कि क्या एक अनजांचा एलर्जी-प्रदर्शन दोष सहनीय है। चर्चा करें कि क्या भूख प्रति डोमेन व्यक्त की गई है — रोगी सुरक्षा, डेटा, डिलीवरी, वित्त, प्रतिष्ठा — क्योंकि एक एकल वैश्विक आंकड़ा इस तथ्य को छुपाता है कि आपके पास क्लिनिकल-सुरक्षा दोषों के लिए शून्य भूख और समयसारिणी फिसलन के लिए वास्तविक भूख हो सकती है। जांचें कि क्या वृद्धि वास्तव में भूख से जुड़ी है, ताकि इसके बाहर कुछ भी एक नामित स्वामी और एक समयसीमा के साथ स्वचालित रूप से बढ़े, बजाय इसके इसे उठाने के लिए किसी के चुनने पर निर्भर करना। विचार करें कि भूख का स्वामी कौन है और इसे कितनी बार फिर से देखा जाता है, क्योंकि एक बार निर्धारित और कभी फिर से न देखी गई भूख वास्तविक दुनिया से बाहर बहती है। एक ईमानदार उत्तर एक हालिया निर्णय नाम देता है जिसे भूख वक्तव्य ने वास्तव में आकार दिया, और स्वीकार करता है कि वक्तव्य वर्तमान में कहां काटने के लिए बहुत अस्पष्ट है।

5. क्या हमारे द्वार और आश्वासन समीक्षाओं के वास्तव में दांत हैं, या असफल कार्यक्रम उनके माध्यम से सफल हो जाते हैं? अपनी पिछली कुछ गेटवे या सेवा-मूल्यांकन समीक्षाओं पर वापस देखें और पूछें कि क्या उनमें से किसी ने काम को रोका, विराम दिया, या भौतिक रूप से फिर से आकार दिया — यदि हर कार्यक्रम हर द्वार को पास कर चुका है, तो आपके द्वार लगभग निश्चित रूप से थिएटर हैं। चर्चा करें कि क्या समीक्षाओं को एक सहायक चुनौती के रूप में माना जाता है जो अगले चरण का जोखिम कम करती है या एक परीक्षा के रूप में जिसे गेम किया जाना है, साक्ष्य पैकेज को पास सुरक्षित करने के लिए क्यूरेट किया गया। विचार करें कि क्या क्लिनिकल सुरक्षा, सूचना प्रशासन, तकनीकी, और वाणिज्यिक आश्वासन उन्हीं निर्णय बिंदुओं पर पहुंचते हैं या असंगठित समीक्षाओं के एक बिखराव के रूप में जो आत्मविश्वास जोड़े बिना टीमों को थका देता है। जांचें कि एक द्वार समीक्षक के पास वास्तव में क्या अधिकार है: क्या वे एक गो-लाइव रोक सकते हैं, और यदि वे ऐसा करते हैं तो क्या उनका समर्थन किया जाएगा, या क्या वाणिज्यिक दबाव उन्हें खारिज कर देगा? जांचें कि क्या डिलीवरी करने वाले लोग वास्तव में आश्वस्त करने वाले लोग भी हैं — क्योंकि आशावादियों द्वारा चलाया गया एक द्वार आश्वासन नहीं है। लक्ष्य एक ऐसी समीक्षा है जो एक गंभीर समस्या से बच नहीं सकती, क्योंकि एक द्वार जो कभी कुछ भी विफल नहीं करता इसके पीछे कोई नियंत्रण के बिना एक लागत है।

6. वे कौन से जोखिम हैं जो वास्तव में हमें डुबो सकते हैं जिनका कोई एक परियोजना स्वामी नहीं है, और उनका स्वामी कौन है? उन विफलताओं को सूचीबद्ध करें जो आपकी डिजिटल सेवाओं को सबसे अधिक संभावना से रोकेंगी — विरासत सिस्टमों की एक वृद्ध संपत्ति, एक साइबर हमला, एक आपूर्तिकर्ता पर अति-निर्भरता, एक कार्यबल जो नए उपकरण संचालित नहीं कर सकता — और हर एक के लिए पूछें कि यह किसके रजिस्टर पर बैठता है। ये क्रॉस-कटिंग जोखिम ठीक-ठीक इसलिए खतरनाक हैं क्योंकि वे हर किसी के हैं और इसलिए किसी के नहीं, परियोजना-स्तरीय प्रशासन की दरारों के बीच गिरते हुए। चर्चा करें कि क्या आपके पास एक बोर्ड-स्तर एंटरप्राइज़ जोखिम रजिस्टर है जो डिजिटल, क्लिनिकल, वित्तीय, साइबर, और परिचालन जोखिम को जोड़ता है, या क्या हर एक अपने खुद के साइलो में प्रबंधित है दूसरों के प्रति अंधा। विचार करें कि क्या एक डिलीवरी टीम द्वारा देखा गया एक जोखिम पहचानने योग्य रूप से बोर्ड तक यात्रा करता है, या हर परत पर लाल से एम्बर से हरा नरम किया जाता है जब तक बोर्ड केवल आश्वासन नहीं देखता। जांचें कि क्या हर क्रॉस-कटिंग जोखिम के पास कार्यक्रमों में कार्य करने के अधिकार के साथ एक नामित कार्यकारी स्वामी है। एक ईमानदार उत्तर यह जानने के बीच के अंतर का सामना करता है कि हर कार्यक्रम मोटे तौर पर ट्रैक पर है और यह जानने के बीच कि क्या संगठन समग्र रूप से अपनी भूख के भीतर है।

व्यवहार में: एक स्वास्थ्य और देखभाल उदाहरण#

एक एकीकृत देखभाल प्रणाली (ICS) एक साझा देखभाल रिकॉर्ड रोल आउट कर रही है जो अस्पतालों, सामान्य प्रैक्टिस, और सामाजिक देखभाल में क्लिनिशियनों को हर रोगी का एक एकीकृत दृश्य देखने देती है। यह उच्च-मूल्य और उच्च-जोखिम है: यह क्लिनिकल निर्णयों को छूता है, संगठनों में संवेदनशील डेटा को जोड़ता है, और डिजिटल अभिगम में व्यापक भिन्नता वाली एक जनसंख्या की सेवा करता है।

शुरुआत में, जवाबदेही धुंधली है। तीन मुख्य सूचना अधिकारी प्रत्येक आंशिक रूप से जिम्मेदार महसूस करते हैं, एक आपूर्तिकर्ता समयरेखा चला रहा है, और अठारह लोगों का कार्यक्रम बोर्ड अपनी बैठकें निर्णय लेने के बजाय अपडेट प्राप्त करने में बिताता है। रिपोर्टिंग हरी है। फिर एक नज़दीकी-चूक सामने आती है: एक सिस्टम में दर्ज एक दवा एलर्जी दूसरे में प्रदर्शित नहीं होती, और एक क्लिनिशियन लगभग एक ऐसी दवा निर्धारित कर देता है जिससे रोगी को एलर्जी है।

मुख्य कार्यकारी इसे एक मोड़ बिंदु के रूप में उपयोग करते हैं और प्रशासन को फिर से बनाते हैं। वे एक SRO नियुक्त करते हैं — एक मुख्य चिकित्सा अधिकारी जिसके पास कार्यक्रम को निर्देशित करने की वरिष्ठता और आपूर्तिकर्ता को चुनौती देने की स्थिति है। वे बोर्ड की संदर्भ की शर्तें फिर से लिखते हैं, इसे निर्णय-निर्माताओं तक कम करते हैं, और एक RACI जोड़ते हैं ताकि क्लिनिकल सुरक्षा साइन-ऑफ, सूचना प्रशासन अनुमोदन, और गो-लाइव प्राधिकरण हर एक का एक नामित जवाबदेह स्वामी हो। जोखिम भूख को स्पष्ट बनाया जाता है: अनजांचे क्लिनिकल-सुरक्षा दोषों के लिए शून्य भूख, समयसारिणी फिसलन के लिए सीमित भूख। वह एकल वक्तव्य हर चीज़ को फिर से क्रमबद्ध करता है।

आश्वासन को डिलीवरी से अलग किया जाता है। क्लिनिकल सुरक्षा अधिकारी और सूचना प्रशासन नेता स्वतंत्र रूप से रिपोर्ट करते हैं और SRO से ऊपर मुख्य कार्यकारियों तक बढ़ सकते हैं; साझा-रिकॉर्ड काम को हर साझेदार के Board Assurance Framework में जोड़ा जाता है। एक एकीकृत आश्वासन समयसूची तीन द्वार निर्धारित करती है — आगे के बिल्ड से पहले, पायलट से पहले, पूर्ण रोलआउट से पहले — हर एक क्लिनिकल सुरक्षा, सूचना प्रशासन, तकनीकी, और सुगमता समीक्षाओं को जोड़ता है, IPA गेटवे समीक्षाओं और NHS सेवा मूल्यांकनों की भावना में। RAID लॉग हर पखवाड़े समीक्षित है, एलर्जी-प्रदर्शन दोष एक नाम से स्वामित्व वाले लाल मुद्दे के रूप में एक निश्चित समाधान तारीख के साथ लॉग किया गया।

पहला द्वार असुविधाजनक है: समीक्षा टीम पाती है कि क्लिनिकल-सुरक्षा मामला हरी रिपोर्टों के निहित होने से पतला है, और रोलआउट चार सप्ताह के लिए रोका जाता है। यह ठीक-ठीक वही तरबूज़ है जिसे पुरानी रिपोर्टिंग ने छुपाया था। क्योंकि विराम गो-लाइव के बाद नहीं बल्कि पायलट से पहले होता है, किसी रोगी को नुकसान नहीं होता, आपूर्तिकर्ता डेटा-मैपिंग ठीक करता है, और अंततः रोलआउट शुरू करने में धीमा है लेकिन कहीं अधिक सुरक्षित और भरोसेमंद है। प्रशासन ने डिलीवरी को धीमा नहीं किया; इसने एक विफलता को रोका जो इसे पूरी तरह रोक देती।

क्षेत्र दृष्टिकोण#

स्टार्टअप#

एक स्वास्थ्य-तकनीक स्टार्टअप को शायद ही कभी बोर्ड और गेटवे समीक्षाओं की आवश्यकता होती है, लेकिन इसे शुरुआत में आवश्यकताओं की आवश्यकता होती है, क्योंकि नियामक, खरीदार, और निवेशक पूछेंगे। क्लिनिकल सुरक्षा के लिए एक जवाबदेह संस्थापक या कार्यकारी और डेटा सुरक्षा के लिए एक को नाम दें, एक हल्का RAID लॉग रखें, और अपनी जोखिम भूख लिखें भले ही यह एक पेज हो। जाल प्रशासन को बाद में बोल्ट करने के लिए कुछ मानना है; एक तेज़ी से बढ़ते उत्पाद में सुरक्षित, कानूनी निर्णयों के साक्ष्य को रेट्रोफिट करना दर्दनाक और कभी-कभी असंभव है। न्यूनतम व्यवहार्य प्रशासन बनाएं जिसे एक गंभीर NHS खरीदार पहचानेगा, और इसे रातों-रात कुछ नहीं से नौकरशाही में लड़खड़ाने के बजाय आपके साथ बढ़ने दें।

छोटा व्यवसाय#

एक स्थापित छोटा प्रदाता — एक GP प्रैक्टिस, एक सामुदायिक फार्मेसी, एक केयर होम, या एक एकल-साइट क्लिनिक — एक बड़े ट्रस्ट के समान क्लिनिकल सुरक्षा और डेटा सुरक्षा के लिए वैधानिक कर्तव्य उठाता है, लेकिन बिना किसी ऑडिट समिति, बिना किसी आंतरिक ऑडिट, और अक्सर बिना किसी समर्पित IT स्टाफ के उन्हें चलाने के लिए। यहां प्रशासन अनुशासन कट्टरपंथी आनुपातिकता है: क्लिनिकल सुरक्षा के लिए एक नामित व्यक्ति जवाबदेह और सूचना प्रशासन के लिए एक (जो एक बहुत छोटे संगठन में वही वरिष्ठ क्लिनिशियन या साझेदार हो सकता है), एक-पेज जोखिम भूख, और एक छोटा RAID लॉग जो वास्तव में फ़ाइल किए जाने के बजाय समीक्षित है। उन ढांचों पर झुकें जिन्हें आपके नियामक पहले से अपेक्षा करते हैं — Data Security and Protection Toolkit, CQC आवश्यकताएं, और कोई भी क्लिनिकल-सुरक्षा दायित्व जिसे आपके आपूर्तिकर्ताओं को पूरा करना चाहिए — और अपने सॉफ़्टवेयर विक्रेताओं का आश्वासन (उनके DCB0129 सुरक्षा मामले, उनके प्रमाणन) वह काम करने दें जिसे आप खुद नहीं कर सकते। यथार्थवादी जाल प्रशासन थिएटर नहीं बल्कि प्रशासन उपेक्षा है: सुरक्षित, कानूनी निर्णय अनौपचारिक रूप से लिए गए और कभी रिकॉर्ड नहीं किए गए, ताकि जब एक घटना या निरीक्षण आए आप यह नहीं दिखा सकते कि आपने क्या तय किया या क्यों। साक्ष्य ट्रेल को हल्का लेकिन वास्तविक रखें, क्योंकि एक छोटे व्यवसाय के लिए लक्ष्य एक कम बजट पर बचाव योग्य निर्णय हैं, एक प्रशासन मशीन नहीं जिसे आप स्टाफ नहीं कर सकते।

बड़ा संगठन#

एक बड़े प्रदाता या आपूर्तिकर्ता के पास पहले से बोर्ड, ऑडिट समितियां, और आंतरिक ऑडिट हैं, इसलिए एंटरप्राइज़ जोखिम स्टार्टअप के विपरीत है: बहुत अधिक प्रशासन, खराब एकीकृत, थिएटर उत्पन्न करता हुआ। ओवरलैपिंग बोर्डों को समेकित करें, आनुपातिकता स्तर प्रकाशित करें, और क्लिनिकल, सूचना, तकनीकी, और वाणिज्यिक आश्वासन को एक एकल समयसूची में एकीकृत करें ताकि टीमें एक दर्जन असंगठित समीक्षाओं के बजाय एक सुसंगत द्वारों के समूह का सामना करें। सुनिश्चित करें कि रक्षा की तीन पंक्तियां वास्तव में स्वतंत्र हैं और आंतरिक ऑडिट समय-समय पर डिजिटल डिलीवरी का परीक्षण करता है, केवल वित्त नहीं। पुरस्कार एक मौजूदा, महंगी प्रशासन मशीन को एक में बदलना है जो वास्तव में सुरक्षित निर्णयों को तेज़ करती है।

सरकार#

राष्ट्रीय और क्षेत्रीय निकाय — NHS England, ICBs, आर्म्स-लेंथ निकाय — वैधानिक जवाबदेही, सार्वजनिक खर्च नियंत्रण, और IPA गेटवे समीक्षाओं और सरकार की खर्च-नियंत्रण और सेवा-मूल्यांकन प्रक्रियाओं जैसे औपचारिक आश्वासन व्यवस्थाओं के तहत संचालित होते हैं। यहां SRO भूमिका संहिताबद्ध है और संसद या इसके समकक्षों के प्रति व्यक्तिगत रूप से जवाबदेह है, और पारदर्शिता एक कर्तव्य है, एक विकल्प नहीं। अनुशासन इस अनिवार्य प्रशासन को आनुपातिक बनाना और कई बाहरी आश्वासन मांगों को संरेखित करना है ताकि वे इसे बाद में केवल ऑडिट करने के बजाय डिलीवरी को सूचित करें। अच्छी तरह से किया गया, सार्वजनिक-क्षेत्र प्रशासन जवाबदेही का एक मॉडल है; बुरी तरह से किया गया, यह "प्रशासन थिएटर" का मूल है जिससे पूरा क्षेत्र डरता है।

सामान्य विफलता मोड#

• समिति द्वारा जवाबदेही। कोई एकल SRO नहीं, इसलिए जब चीज़ें गलत होती हैं तो सभी बग़ल में इशारा करते हैं और कुछ भी स्वामित्व में नहीं होता।
• प्रशासन थिएटर। बोर्ड जो निर्णय लेने के बजाय प्राप्त करते हैं, टेम्पलेट जिन्हें कोई नहीं पढ़ता, और द्वार जो वास्तविक जोखिम कमी के बजाय पास होने वाली परीक्षाएं हैं।
• तरबूज़ रिपोर्टिंग। विफलता के क्षण तक स्थिति हरी रहती है क्योंकि बुरी खबर अस्वागत योग्य है और डिलीवरी रिपोर्ट को आश्वासन द्वारा चुनौती नहीं दी जाती।
• एक-आकार-सभी-के-लिए-फिट प्रक्रिया। भारी प्रशासन तुच्छ काम पर लागू, टीमों को इसके चारों ओर रूट करने के लिए प्रेरित करता है, जबकि वास्तव में जोखिम भरा काम हल्के से फिसल जाता है।
• डिलीवरी द्वारा कैप्चर किया गया आश्वासन। सेवा बनाने वाले लोग ही एकमात्र लोग हैं जो पुष्टि करते हैं कि यह सुरक्षित है, इसलिए आशावाद अनियंत्रित रहता है।
• बासी RAID लॉग। जोखिम एक बार लॉग किए गए और कभी काम नहीं किए गए; एम्बर आइटम जो नीचे बिना किसी परिवर्तन के समीक्षा से पहले चुपचाप हरे हो जाते हैं।
• डोमेन अंधापन। डिलीवरी को अच्छी तरह से शासित करना लेकिन क्लिनिकल-सुरक्षा, सूचना-प्रशासन, या समानता आयाम को तब तक चूकना जब तक यह एक संकट न बन जाए।
• बिना दांतों के द्वार थिएटर। समीक्षा बिंदु जो कभी वास्तव में काम को रोकते या फिर से आकार नहीं देते, इसलिए असफल कार्यक्रम हर द्वार से सफल हो जाते हैं।

परिपक्वता मॉडल#

जांच-सूची#

• हर प्रमुख पहल का एक नामित, पर्याप्त रूप से वरिष्ठ, सशक्त SRO है।
• हर बोर्ड की वर्तमान संदर्भ की शर्तें हैं जो इसके निर्णय अधिकार, कोरम, और वृद्धि बताती हैं।
• एक RACI हर आवर्ती निर्णय प्रकार को एक नामित जवाबदेह स्वामी असाइन करता है।
• प्रशासन स्तर जोखिम और मूल्य के साथ स्केल करते हैं, और थ्रेशोल्ड प्रकाशित हैं।
• रक्षा की तीन पंक्तियां जगह पर हैं, एक स्वतंत्र दूसरी-पंक्ति आवाज़ के साथ जो बढ़ सकती है।
• एक एकीकृत आश्वासन समयसूची क्लिनिकल, सूचना-प्रशासन, तकनीकी, और वाणिज्यिक समीक्षाओं को चरणबद्ध द्वारों के साथ संरेखित करती है।
• जोखिम भूख प्रति डोमेन लिखी गई है और वृद्धि इससे जुड़ी है।
• एक जीवित RAID लॉग हर डिलीवरी चक्र में समीक्षित है, हर प्रविष्टि स्वामित्व और दिनांकित।
• एक Board Assurance Framework मुख्य जोखिमों को नियंत्रणों से और उस आश्वासन से मैप करता है कि वे नियंत्रण काम करते हैं।
• डिलीवरी और आश्वासन उन्हीं तथ्यों से रिपोर्ट करते हैं, और बुरी खबर उठाना सुरक्षित है।
• आप जो भी बैठक, टेम्पलेट, और रिपोर्ट रखते हैं एक वास्तविक निर्णय बदलती है।

मुख्य स्रोत#

• Infrastructure and Projects Authority (IPA), Principles for Project Success और गेटवे/आश्वासन समीक्षा मार्गदर्शन — UK Cabinet Office / HM Treasury।
• NHS England, Clinical Risk Management Standards (DCB0129 और DCB0160) — स्वास्थ्य IT के क्लिनिकल प्रशासन के लिए (विषय 1.6 भी देखें)।
• Institute of Internal Auditors (IIA), The IIA's Three Lines Model (2020 अपडेट) — तीन-पंक्तियों दृष्टिकोण का आधिकारिक वक्तव्य।
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — UK सार्वजनिक निकायों में जोखिम भूख, नियंत्रण, और आश्वासन।
• NHS England / पूर्व Government Digital Service, Service Standard और सेवा-मूल्यांकन मार्गदर्शन — सार्वजनिक-सामना करने वाली डिजिटल सेवाओं का आश्वासन।
• UK Corporate Governance Code — Financial Reporting Council — बोर्ड जवाबदेही और आंतरिक नियंत्रण।

संदर्भ#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management