Topik 6.4 — Tata Kelola & Penjaminan

Tata kelola ada untuk membantu Anda membuat keputusan yang baik, cepat, dan aman serta membuktikan — kepada diri sendiri, dewan Anda, dan publik — bahwa layanan digital dijalankan secara bertanggung jawab, sehingga perlakukan ia sebagai pemungkin penyampaian, bukan pajak atasnya.

Mengapa ini penting dalam kesehatan dan perawatan#

Di kebanyakan sektor, tata kelola yang lemah berbiaya uang dan reputasi. Dalam kesehatan dan perawatan ia dapat berbiaya nyawa, mengukuhkan ketimpangan, dan mengikis kepercayaan publik yang menjadi sandaran seluruh sistem. Perubahan sistem klinis yang diatur buruk dapat merambatkan galat dosis ke ribuan pasien sebelum ada yang menyadari; aliran data tak terkelola dapat membocorkan kerahasiaan orang paling rentan yang Anda layani; go-live tanpa penjaminan dapat mengunci layanan yang diam-diam mengecualikan mereka yang paling membutuhkan perawatan. Taruhan itulah mengapa "bagaimana kita bekerja" adalah isu keselamatan klinis, kesetaraan, dan kepercayaan, bukan sekadar efisiensi.

Pada saat yang sama, tata kelola dalam kesehatan dan perawatan punya reputasi pantas sebagai lambat, ritualistik, dan terputus dari penyampaian. Tim duduk dalam rapat dewan yang menstempel keputusan yang sudah dibuat, mengisi templat yang tak dibaca siapa pun, dan menyaksikan risiko kuning berubah hijau seminggu sebelum tinjauan hanya untuk gagal spektakuler sesudahnya. Inilah paradoks yang harus Anda selesaikan. Jawabannya bukan tata kelola lebih sedikit atau lebih banyak; melainkan tata kelola proporsional yang berskala dengan risiko dan nilai, memberi orang jelas akuntabilitas jelas, dan menghasilkan informasi jujur cukup cepat untuk ditindaklanjuti. Topik ini menunjukkan cara membangunnya, dan cara melapisi penjaminan independen di atasnya agar orang yang akuntabel — dan publik — dapat yakin bahwa kendalinya benar-benar berfungsi. Ia terhubung erat dengan Topik 1.6 — Keselamatan Klinis & Manajemen Risiko, Topik 1.7 — Tata Kelola Informasi, Perlindungan Data & Keamanan Siber, Topik 5.3 — Manajemen Portofolio Proyek Perusahaan (EPPM), dan Topik 10.4 — Visibilitas bagi CEO & Pimpinan Senior.

Konsep inti#

Tata kelola adalah sistem hak keputusan, akuntabilitas, dan pengawasan yang melaluinya organisasi mengarahkan dan mengendalikan apa yang dilakukannya. Dalam kesehatan dan perawatan digital Anda sebenarnya mengelola tiga ranah tata kelola yang tumpang tindih sekaligus. Tata kelola korporat mencakup pengelolaan dewan atas organisasi secara keseluruhan — keuangan, strategi, risiko, dan kewajiban hukum. Tata kelola klinis adalah kerangka yang melaluinya organisasi kesehatan akuntabel untuk terus memperbaiki mutu dan keselamatan perawatan. Tata kelola informasi mencakup bagaimana organisasi menangani data secara sah, aman, dan etis. Layanan digital menyentuh ketiganya; jika Anda mengatur hanya satu, Anda akan terkejut oleh yang lain.

Akuntabilitas titik-tunggal adalah tulang punggung tata kelola yang baik. Pemilik Bertanggung Jawab Senior (SRO) adalah satu individu bernama yang secara pribadi akuntabel atas program atau proyek besar mencapai tujuannya dan mewujudkan manfaatnya — peran yang dipopulerkan pemerintah Inggris tetapi berguna universal. Hak keputusan di bawah SRO dibuat eksplisit melalui matriks penugasan tanggung jawab, lazim dalam bentuk RACI (responsible, accountable, consulted, informed), yang mencegah dua kegagalan klasik "semua orang mengira orang lain memilikinya" dan "semua orang mencoba memilikinya".

Penjaminan berbeda dari tata kelola. Tata kelola adalah tindakan mengarahkan dan memutuskan; penjaminan adalah konfirmasi independen dan objektif bahwa tata kelola dan kendali benar-benar berfungsi sebagaimana dimaksud. Model mental dominan adalah "tiga lini pertahanan": lini pertama adalah manajemen operasional yang memiliki dan mengelola risiko sehari-hari; lini kedua adalah fungsi pengawasan (risiko, kepatuhan, keselamatan klinis, tata kelola informasi) yang menetapkan kebijakan dan menantang; dan lini ketiga adalah audit internal, independen dari keduanya, melapor kepada dewan. Regulator dan auditor eksternal membentuk lini keempat de facto.

Dua konsep lagi menyatukan sistem. Selera risiko adalah jumlah dan jenis risiko yang bersedia diterima organisasi dalam mengejar tujuannya; tanpanya, eskalasi sewenang-wenang. Dan log risiko — sering diperluas menjadi log RAID (risiko, asumsi, isu, ketergantungan) yang dibangun di atas disiplin yang sama dengan register risiko — adalah catatan kerja yang menjaga penyampaian tetap jujur. Titik tinjauan disediakan oleh penjaminan bertahap seperti proses gerbang fase dan, dalam pemerintah Inggris, tinjauan bergaya gateway yang dijalankan Infrastructure and Projects Authority (IPA). Di atas tingkat proyek tunggal mana pun duduk manajemen risiko perusahaan, disiplin seluruh-organisasi mengidentifikasi dan mengelola risiko yang dapat menghentikan seluruh perusahaan mencapai tujuannya, alih-alih memperlakukan risiko digital, klinis, finansial, siber, dan operasional sebagai silo terpisah.

Praktik terbaik#

1. Namai satu SRO akuntabel dan bersungguh-sungguhlah. Tunjuk satu individu yang cukup senior yang secara pribadi akuntabel atas hasil, punya wewenang membuat keputusan, dan bertahan di program cukup lama untuk dimintai pertanggungjawaban. Tuliskan akuntabilitasnya dalam kerangka acuan dan sasarannya. Tahan godaan menyebar akuntabilitas ke komite — komite menasihati dan memutuskan secara kolektif, tetapi tak dapat akuntabel, karena akuntabilitas yang dibagi adalah akuntabilitas yang absen.

2. Rancang tata kelola agar sesuai dengan risiko dan nilai, bukan kalender. Alat internal kecil berisiko rendah tak butuh dewan, gerbang, dan dokumen yang sama dengan rekam pasien elektronik seluruh wilayah. Tetapkan jenjang agar kerja berisiko dan bernilai rendah mengalir melalui tata kelola tingkat-tim yang ringan, sementara kerja berisiko atau bernilai tinggi menarik dewan formal dan tinjauan independen. Publikasikan ambangnya agar tim tahu jenjang mana mereka dan dapat melayani diri. Proporsionalitas yang menjaga tata kelola agar tidak menjadi hambatan yang dikitari tim.

3. Tulis kerangka acuan yang menjernihkan hak keputusan. Setiap dewan harus punya dokumen kerangka acuan pendek yang menyatakan tujuannya, keanggotaan, kuorum, keputusan apa yang dapat dibuatnya, apa yang hanya dapat direkomendasikannya, dan apa yang harus dieskalasi di atasnya. Padukan dengan RACI agar jenis keputusan berulang — pilihan arsitektur, pengesahan klinis, pelepasan anggaran, persetujuan go-live — punya pemilik akuntabel bernama. Hak keputusan ambigu adalah penyebab paling umum penyimpangan tata kelola, di mana rapat berlipat karena tak ada yang yakin siapa yang sebenarnya dapat berkata ya.

4. Pisahkan penjaminan dari tata kelola dan pakai tiga lini. Jangan biarkan orang yang menyampaikan program menjadi satu-satunya yang menjamin ia aman. Pastikan lini kedua — petugas keselamatan klinis, pimpinan tata kelola informasi, keamanan siber — punya suara independen dan dapat mengeskalasi melewati kepala SRO bila perlu, dan bahwa audit internal secara berkala menguji seluruh sistem. Pemisahan ini yang mengubah pelaporan diri optimistis menjadi penjaminan kredibel, dan ia ekspektasi regulasi di kebanyakan sistem kesehatan, bukan sekadar kebaikan hati.

5. Pakai penjaminan terpadu dan titik tinjauan bertahap. Alih-alih mengomisikan tinjauan tak terkoordinasi, rencanakan jadwal penjaminan dan persetujuan terpadu yang menyelaraskan tinjauan keselamatan klinis, tata kelola informasi, teknis, dan komersial pada titik keputusan yang sama. Adopsi tinjauan bergaya gateway pada transisi yang penting — sebelum mengikat uang, sebelum pembangunan, sebelum go-live — dimodelkan pada tinjauan gateway IPA dan, untuk layanan digital menghadap publik, penilaian layanan yang dipelopori Government Digital Service (GDS) dan diadaptasi NHS. Gerbang yang baik adalah tantangan suportif yang mengurangi risiko fase berikutnya, bukan ujian untuk diakali.

6. Buat selera risiko eksplisit dan biarkan ia menggerakkan eskalasi. Sepakati, di tingkat dewan, seberapa banyak risiko yang bersedia Anda pikul di tiap ranah — keselamatan pasien, data, penyampaian, keuangan, reputasi — dan ungkapkan cukup konkret agar tim dapat mengatakan apakah risiko tertentu berada di dalam atau di luar selera. Lalu kabelkan eskalasi ke selera: apa pun di luar selera naik otomatis, dengan pemilik bernama dan tenggat keputusan. Ini menghentikan dua mode kegagalan hal sepele menyumbat dewan dan risiko serius diam-diam duduk di spreadsheet.

7. Jalankan log RAID hidup dan Board Assurance Framework. Pelihara log RAID yang ditinjau setiap siklus penyampaian, dengan setiap entri dimiliki, bertanggal, diberi skor, dan dikerjakan aktif — bukan kuburan butir kuning basi. Di tingkat organisasi, pelihara Board Assurance Framework (BAF) yang memetakan risiko strategis utama Anda ke kendali yang ada dan penjaminan bahwa kendali itu berfungsi, mengekspos celah di mana Anda bersandar pada harapan. BAF yang memungkinkan dewan melihat, dalam satu halaman, apakah tujuannya yang terpenting benar-benar terlindungi.

8. Laporkan dengan jujur dan bunuh teater tata kelola. Bersikeras pada pelaporan status terus terang yang memunculkan kabar buruk lebih awal, dan lindungi orang yang mengangkatnya. Waspadai "pelaporan semangka" — hijau di luar, merah di dalam — di mana dasbor tetap hijau sampai saat kegagalan; lawan dengan meminta fungsi penjaminan dan pimpinan penyampaian melaporkan fakta yang sama. Potong rapat, templat, atau laporan apa pun yang tak mengubah keputusan. Tata kelola yang menghasilkan dokumen yang tak ditindaklanjuti siapa pun bukan kehati-hatian, melainkan pemborosan yang didandani sebagai ketelitian.

9. Kelola risiko di tingkat perusahaan, bukan hanya tingkat proyek. Pegang register risiko perusahaan tingkat dewan dan pernyataan selera risiko tertulis yang menghubungkan risiko digital, klinis, finansial, siber, dan operasional alih-alih memperlakukan masing-masing di silonya. Banyak risiko yang benar-benar menenggelamkan layanan kesehatan digital — estat sistem warisan yang menua, serangan siber, ketergantungan berlebihan pada satu pemasok — melintasi setiap proyek dan tak dimiliki satu pun, jadi beri tiap risiko lintas-bidang pemilik eksekutif bernama dan tempat di register. Inilah beda antara mengetahui bahwa program Anda masing-masing kira-kira di jalur dan mengetahui apakah organisasi secara keseluruhan berada di dalam seleranya.

10. Agregasikan risiko yang sama ke dewan tanpa membersihkannya. Kabelkan tiga lini pertahanan Anda agar risiko yang dilihat tim penyampaian naik ke register perusahaan secara dapat dikenali, bukan dikemas ulang menjadi bahasa menenangkan di setiap lapisan. BAF dan register perusahaan hanya sejujur pelaporan di bawahnya, jadi jaga dari efek semangka di mana kuning menjadi hijau dalam perjalanan ke atas, dan jadikan rutin mengeskalasi risiko lintas-bidang — warisan, siber, konsentrasi pemasok — yang tak dimiliki proyek tunggal mana pun. Dewan yang hanya melihat angka teragregasi dan dilunakkan tak dapat mengatur risiko yang paling penting.

Pertanyaan untuk didiskusikan dengan tim Anda#

1. Di mana akuntabilitas titik-tunggal benar-benar jelas pada kerja digital terpenting kami, dan di mana ia fiksi yang nyaman? Telusuri tiga inisiatif teratas Anda dan tanyakan, untuk masing-masing, siapa yang secara pribadi akan menjawab kepada dewan jika gagal. Jika jawaban jujurnya "dewan", "program", atau nama yang terus berubah, Anda punya celah. Uji apakah SRO bernama benar-benar memiliki wewenang dan waktu yang dituntut peran, atau hanya figur sementara keputusan nyata terjadi di tempat lain. Pertimbangkan apakah akuntabilitas dirusak oleh matriks di mana SRO tak dapat mengarahkan orang yang menyampaikan. Diskusikan bagaimana kesinambungan dilindungi ketika SRO pindah, karena akuntabilitas yang diatur ulang tiap reorganisasi bukan akuntabilitas. Tujuannya bukan menyalahkan individu melainkan memastikan bahwa ketika ada yang salah, satu orang berdaya memiliki memperbaikinya.

2. Apakah tata kelola kami proporsional, atau kami menerapkan proses berat pada kerja berisiko rendah dan sebaliknya? Petakan dewan, gerbang, dan langkah persetujuan Anda saat ini terhadap risiko dan nilai sebenarnya dari apa yang melewatinya. Cari perubahan berisiko rendah yang menunggu enam minggu untuk dewan yang bertemu bulanan, dan perubahan klinis berisiko tinggi yang lolos atas kata tim sendiri. Tanyakan apakah tim mengitari tata kelola karena terlalu lambat, yang itu sendiri sinyal risiko serius. Pertimbangkan apakah Anda telah mempublikasikan jenjang dan ambang jelas, atau semuanya bawaan ke upacara maksimum karena hati-hati. Perdebatkan di mana Anda dapat mendelegasikan keputusan dengan aman untuk bergerak lebih cepat, dan di mana Anda berbahaya terlalu ringan. Tujuannya sistem di mana bobot tata kelola terlihat mengikuti bobot risiko.

3. Bagaimana kami akan tahu jika pelaporan kami menyampaikan kebenaran? Diskusikan contoh terkini konkret di mana status beralih dari hijau ke merah dengan sedikit peringatan, dan tanyakan apa sinyal dininya dan mengapa tidak muncul. Telusuri apakah pimpinan penyampaian dan fungsi penjaminan melapor dari fakta yang sama atau dari versi terpisah yang nyaman berbeda. Pertimbangkan apa yang terjadi, secara sosial dan profesional, pada orang yang melaporkan status merah di sini — apakah dia disyukuri atau dihukum? Tanyakan apakah dewan Anda melihat penjaminan independen di samping catatan manajemen sendiri, atau hanya yang terakhir. Telaah apakah dasbor Anda mengukur hal yang memprediksi masalah atau hanya hal yang mudah dibuat hijau. Tujuannya membangun budaya di mana kabar buruk jujur bergerak cepat, karena sistem tata kelola yang tak dapat mendengar kabar buruk tak dapat mengatur.

4. Sudahkah kami menuliskan selera risiko kami cukup konkret agar tim dapat bertindak atasnya, atau hanya slogan? Ambil risiko hidup pada satu program Anda dan tanyakan apakah orang terdekat dengannya dapat mengatakan, dari selera yang Anda nyatakan, apakah ia berada di dalam atau di luar garis. Kebanyakan organisasi punya pernyataan selera risiko yang terbaca baik dan tak memutuskan apa-apa — "kami mengambil pendekatan seimbang terhadap risiko" tak memberi tahu klinisi mana pun apakah cacat tampilan alergi yang tak terdeteksi dapat ditoleransi. Diskusikan apakah selera diungkapkan per ranah — keselamatan pasien, data, penyampaian, keuangan, reputasi — karena satu angka global menyembunyikan fakta bahwa Anda mungkin punya selera nol untuk cacat keselamatan klinis dan selera nyata untuk tergelincirnya jadwal. Telaah apakah eskalasi benar-benar terkabel ke selera, agar apa pun di luarnya naik otomatis dengan pemilik bernama dan tenggat, alih-alih bergantung pada seseorang memilih mengangkatnya. Pertimbangkan siapa yang memiliki selera dan seberapa sering ditinjau, karena selera yang ditetapkan sekali dan tak pernah ditinjau melenceng dari dunia nyata. Jawaban jujur menamai keputusan terkini yang benar-benar dibentuk pernyataan selera, dan mengakui di mana pernyataan saat ini terlalu samar untuk menggigit.

5. Apakah gerbang dan tinjauan penjaminan kami punya gigi, atau program yang gagal lolos begitu saja? Tengok beberapa tinjauan gateway atau penilaian layanan terakhir Anda dan tanyakan apakah ada yang menghentikan, menjeda, atau secara material membentuk ulang pekerjaan — jika setiap program lolos setiap gerbang, gerbang Anda hampir pasti teater. Diskusikan apakah tinjauan diperlakukan sebagai tantangan suportif yang mengurangi risiko fase berikutnya atau ujian untuk diakali, dengan paket bukti dikurasi untuk mengamankan kelulusan. Pertimbangkan apakah penjaminan keselamatan klinis, tata kelola informasi, teknis, dan komersial tiba pada titik keputusan yang sama atau sebagai sebaran tinjauan tak terkoordinasi yang menguras tim tanpa menambah keyakinan. Telaah wewenang apa yang sebenarnya dimiliki peninjau gerbang: dapatkah mereka menahan go-live, dan akankah mereka didukung jika melakukannya, atau tekanan komersial akan menimpa mereka? Jelajahi apakah orang yang menyampaikan juga, secara efektif, orang yang menjamin — karena gerbang yang dijalankan para optimis bukan penjaminan. Tujuannya tinjauan yang tak dapat dilewati masalah serius, karena gerbang yang tak pernah menggagalkan apa pun adalah biaya tanpa kendali di belakangnya.

6. Risiko mana yang dapat benar-benar menenggelamkan kami yang tak dimiliki proyek tunggal mana pun, dan siapa yang memilikinya? Daftar kegagalan yang paling mungkin menghentikan layanan digital Anda — estat sistem warisan yang menua, serangan siber, ketergantungan berlebihan pada satu pemasok, tenaga kerja yang tak dapat mengoperasikan perkakas baru — dan tanyakan, untuk masing-masing, di register siapa ia duduk. Risiko lintas-bidang ini berbahaya justru karena mereka milik semua orang dan karenanya tak ada yang punya, jatuh ke celah tata kelola tingkat proyek. Diskusikan apakah Anda memegang register risiko perusahaan tingkat dewan yang menghubungkan risiko digital, klinis, finansial, siber, dan operasional, atau masing-masing dikelola di silonya sendiri buta terhadap yang lain. Pertimbangkan apakah risiko yang dilihat tim penyampaian naik ke dewan secara dapat dikenali, atau dilunakkan dari merah ke kuning ke hijau di setiap lapisan sampai dewan hanya melihat jaminan. Telaah apakah tiap risiko lintas-bidang punya pemilik eksekutif bernama dengan wewenang bertindak lintas program. Jawaban jujur menghadapi jurang antara mengetahui setiap program kira-kira di jalur dan mengetahui apakah organisasi secara keseluruhan berada di dalam seleranya.

Dalam praktik: contoh kesehatan & perawatan#

Sebuah sistem perawatan terpadu (ICS) meluncurkan rekam perawatan bersama yang memungkinkan klinisi di rumah sakit, praktik dokter umum, dan perawatan sosial melihat pandangan terpadu tiap pasien. Ia bernilai tinggi dan berisiko tinggi: menyentuh keputusan klinis, menautkan data sensitif lintas organisasi, dan melayani populasi dengan variasi lebar dalam akses digital.

Sejak awal akuntabilitas keruh. Tiga chief information officer masing-masing merasa sebagian bertanggung jawab, pemasok menggerakkan lini masa, dan dewan program delapan belas orang menghabiskan rapatnya menerima pembaruan alih-alih memutuskan. Pelaporan hijau. Lalu nyaris-celaka muncul: alergi obat yang dicatat di satu sistem tidak tampil di sistem lain, dan klinisi nyaris meresepkan obat yang membuat pasien alergi.

Para chief executive memakai ini sebagai titik balik dan membangun ulang tata kelola. Mereka menunjuk satu SRO — chief medical officer dengan senioritas untuk mengarahkan program dan kedudukan untuk menantang pemasok. Mereka menulis ulang kerangka acuan dewan, memangkasnya menjadi pembuat keputusan, dan melampirkan RACI agar pengesahan keselamatan klinis, persetujuan tata kelola informasi, dan otorisasi go-live masing-masing punya pemilik akuntabel bernama. Selera risiko dibuat eksplisit: selera nol untuk cacat keselamatan klinis yang tak terdeteksi, selera terbatas untuk tergelincirnya jadwal. Pernyataan tunggal itu mengatur ulang segalanya.

Penjaminan dipisahkan dari penyampaian. Petugas keselamatan klinis dan pimpinan tata kelola informasi melapor secara independen dan dapat mengeskalasi melewati SRO ke para chief executive; kerja rekam bersama ditambahkan ke Board Assurance Framework tiap mitra. Jadwal penjaminan terpadu menetapkan tiga gerbang — sebelum pembangunan lebih lanjut, sebelum uji coba, sebelum peluncuran penuh — masing-masing menggabungkan tinjauan keselamatan klinis, tata kelola informasi, teknis, dan aksesibilitas, dalam semangat tinjauan gateway IPA dan penilaian layanan NHS. Log RAID ditinjau dua mingguan, dengan cacat tampilan alergi dicatat sebagai isu merah yang dimiliki atas nama dengan tanggal penyelesaian tetap.

Gerbang pertama tak nyaman: tim peninjau menemukan kasus keselamatan klinis lebih tipis daripada yang tersirat laporan hijau, dan peluncuran dijeda empat minggu. Itu persis semangka yang disembunyikan pelaporan lama. Karena jeda terjadi sebelum uji coba dan bukan setelah go-live, tak ada pasien yang dirugikan, pemasok memperbaiki pemetaan data, dan peluncuran akhirnya lebih lambat dimulai tetapi jauh lebih aman dan lebih dipercaya. Tata kelola tidak memperlambat penyampaian; ia mencegah kegagalan yang akan menghentikannya sama sekali.

Lensa sektor#

Startup#

Startup teknologi kesehatan jarang membutuhkan dewan dan tinjauan gateway, tetapi memang membutuhkan hal esensial sejak dini, karena regulator, pembeli, dan investor akan bertanya. Namai satu pendiri atau eksekutif akuntabel untuk keselamatan klinis dan satu untuk perlindungan data, jaga log RAID ringan, dan tuliskan selera risiko Anda meski satu halaman. Jebakannya memperlakukan tata kelola sebagai sesuatu untuk ditempelkan nanti; memasang bukti keputusan aman dan sah belakangan pada produk yang bergerak cepat menyakitkan dan kadang mustahil. Bangun tata kelola minimum yang layak yang akan dikenali pembeli NHS serius, dan biarkan tumbuh bersama Anda alih-alih melompat dari nol ke birokrasi dalam semalam.

Usaha kecil#

Penyedia kecil yang mapan — praktik dokter umum, apotek komunitas, panti jompo, atau klinik satu lokasi — memikul kewajiban undang-undang yang sama untuk keselamatan klinis dan perlindungan data seperti trust besar, tetapi tanpa komite audit, tanpa audit internal, dan sering tanpa staf TI khusus untuk menjalankannya. Disiplin tata kelola di sini adalah proporsionalitas radikal: satu orang bernama akuntabel untuk keselamatan klinis dan satu untuk tata kelola informasi (yang dalam organisasi sangat kecil mungkin klinisi senior atau mitra yang sama), selera risiko satu halaman, dan log RAID pendek yang benar-benar ditinjau alih-alih diarsipkan. Bersandarlah pada kerangka yang sudah diharapkan regulator Anda — Data Security and Protection Toolkit, persyaratan CQC, dan kewajiban keselamatan klinis apa pun yang harus dipenuhi pemasok Anda — dan buat penjaminan vendor perangkat lunak Anda (kasus keselamatan DCB0129 mereka, sertifikasi mereka) mengerjakan apa yang tak dapat Anda kerjakan sendiri. Jebakan realistisnya bukan teater tata kelola melainkan pengabaian tata kelola: keputusan aman dan sah diambil informal dan tak pernah dicatat, sehingga ketika insiden atau inspeksi datang Anda tak dapat menunjukkan apa yang Anda putuskan atau mengapa. Jaga jejak bukti ringan tetapi nyata, karena bagi usaha kecil tujuannya keputusan yang dapat dibela dengan anggaran mepet, bukan mesin tata kelola yang tak dapat Anda beri staf.

Perusahaan besar#

Penyedia atau pemasok besar sudah punya dewan, komite audit, dan audit internal, sehingga risiko perusahaan kebalikan risiko startup: terlalu banyak tata kelola, terintegrasi buruk, menghasilkan teater. Konsolidasikan dewan yang tumpang tindih, publikasikan jenjang proporsionalitas, dan integrasikan penjaminan klinis, informasi, teknis, dan komersial ke dalam satu jadwal agar tim menghadapi satu set gerbang koheren alih-alih selusin tinjauan tak terkoordinasi. Pastikan tiga lini pertahanan benar-benar independen dan bahwa audit internal secara berkala menguji penyampaian digital, bukan hanya keuangan. Hadiahnya mengubah mesin tata kelola mahal yang sudah ada menjadi yang benar-benar mempercepat keputusan aman.

Pemerintah#

Badan nasional dan regional — NHS England, ICB, badan jarak-tangan — beroperasi di bawah akuntabilitas undang-undang, kendali belanja publik, dan rezim penjaminan formal seperti tinjauan gateway IPA dan proses kendali belanja serta penilaian layanan pemerintah. Di sini peran SRO dikodifikasi dan akuntabel secara pribadi kepada Parlemen atau padanannya, dan transparansi adalah kewajiban, bukan pilihan. Disiplinnya adalah menjadikan tata kelola yang diamanatkan ini proporsional dan menyelaraskan banyak tuntutan penjaminan eksternal agar menginformasikan penyampaian alih-alih sekadar mengaudit setelah kejadian. Dilakukan baik, tata kelola sektor publik adalah model akuntabilitas; dilakukan buruk, ia asal "teater tata kelola" yang ditakuti seluruh sektor.

Mode kegagalan umum#

• Akuntabilitas oleh komite. Tak ada SRO tunggal, sehingga ketika ada yang salah semua orang menunjuk ke samping dan tak ada yang dimiliki.
• Teater tata kelola. Dewan yang menerima alih-alih memutuskan, templat yang tak dibaca siapa pun, dan gerbang yang merupakan ujian untuk dilewati alih-alih pengurangan risiko sejati.
• Pelaporan semangka. Status tetap hijau sampai saat kegagalan karena kabar buruk tak disambut dan laporan penyampaian tak ditantang penjaminan.
• Proses satu-ukuran-untuk-semua. Tata kelola berat diterapkan pada kerja sepele, mendorong tim mengitarinya, sementara kerja yang benar-benar berisiko lolos ringan.
• Penjaminan ditawan penyampaian. Orang yang membangun layanan adalah satu-satunya yang mengonfirmasi ia aman, sehingga optimisme tak diperiksa.
• Log RAID basi. Risiko dicatat sekali dan tak pernah dikerjakan; butir kuning yang diam-diam berubah hijau sebelum tinjauan tanpa perubahan di bawahnya.
• Kebutaan ranah. Mengatur penyampaian dengan baik tetapi melewatkan dimensi keselamatan klinis, tata kelola informasi, atau kesetaraan sampai menjadi krisis.
• Teater gerbang tanpa gigi. Titik tinjauan yang tak pernah benar-benar menghentikan atau membentuk ulang pekerjaan, sehingga program yang gagal lolos di setiap gerbang.

Model kematangan#

Daftar periksa#

• Setiap inisiatif besar memiliki satu SRO bernama, cukup senior, dan berdaya.
• Setiap dewan memiliki kerangka acuan terkini yang menyatakan hak keputusan, kuorum, dan eskalasinya.
• RACI menugaskan pemilik akuntabel bernama pada setiap jenis keputusan berulang.
• Jenjang tata kelola berskala dengan risiko dan nilai, dan ambangnya dipublikasikan.
• Tiga lini pertahanan ada, dengan suara lini kedua independen yang dapat mengeskalasi.
• Jadwal penjaminan terpadu menyelaraskan tinjauan klinis, tata kelola informasi, teknis, dan komersial pada gerbang bertahap.
• Selera risiko dituliskan per ranah dan eskalasi terkabel padanya.
• Log RAID hidup ditinjau tiap siklus penyampaian, dengan setiap entri dimiliki dan bertanggal.
• Board Assurance Framework memetakan risiko utama ke kendali dan penjaminan bahwa kendali itu berfungsi.
• Penyampaian dan penjaminan melapor dari fakta yang sama, dan mengangkat kabar buruk aman.
• Setiap rapat, templat, dan laporan yang Anda pertahankan mengubah keputusan nyata.

Sumber utama#

• Infrastructure and Projects Authority (IPA), Principles for Project Success dan panduan tinjauan gateway/penjaminan — Cabinet Office Inggris / HM Treasury.
• NHS England, Clinical Risk Management Standards (DCB0129 dan DCB0160) — untuk tata kelola klinis TI kesehatan (lihat juga Topik 1.6).
• Institute of Internal Auditors (IIA), The IIA's Three Lines Model (pembaruan 2020) — pernyataan otoritatif pendekatan tiga lini.
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — selera risiko, kendali, dan penjaminan di badan publik Inggris.
• NHS England / dahulu Government Digital Service, Service Standard dan panduan penilaian layanan — penjaminan layanan digital menghadap publik.
• UK Corporate Governance Code — Financial Reporting Council — akuntabilitas dewan dan kendali internal.

Referensi#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management