Ämne 6.4 — Styrning och granskning

Styrning finns för att hjälpa er fatta goda, snabba, säkra beslut och för att bevisa — för er själva, er styrelse och allmänheten — att en digital tjänst drivs ansvarsfullt, så behandla den som en möjliggörare för leverans snarare än en skatt på den.

Varför detta är viktigt inom hälsa och vård#

I de flesta sektorer kostar svag styrning pengar och anseende. Inom hälsa och vård kan den kosta liv, befästa ojämlikhet och urholka det allmänna förtroende som hela systemet vilar på. En dåligt styrd ändring av ett kliniskt system kan sprida ett doseringsfel till tusentals patienter innan någon märker det; ett ostyrt dataflöde kan bryta sekretessen för de mest sårbara människor ni betjänar; en okvalitetssäkrad driftsättning kan låsa in en tjänst som i tysthet utesluter dem som mest behöver vård. Insatserna är skälet till att ”hur ni arbetar” är en fråga om klinisk säkerhet, jämlikhet och förtroende, inte bara effektivitet.

Samtidigt har styrning inom hälsa och vård ett välförtjänt rykte om att vara långsam, ritualistisk och bortkopplad från leveransen. Team sitter igenom styrelsemöten som stämplar beslut som redan fattats, fyller i mallar ingen läser och ser gula risker bli gröna veckan före en granskning bara för att misslyckas spektakulärt efteråt. Detta är paradoxen ni måste lösa. Svaret är inte mindre styrning eller mer; det är proportionerlig styrning som skalar med risk och värde, ger tydliga människor tydligt ansvar och producerar ärlig information tillräckligt snabbt för att agera på. Detta ämne visar hur man bygger det, och hur man lägger oberoende kvalitetssäkring ovanpå så att de ansvariga — och allmänheten — kan vara trygga med att kontrollerna faktiskt fungerar. Det kopplar tätt till Ämne 1.6 — Klinisk säkerhet och riskhantering, Ämne 1.7 — Informationsstyrning, dataskydd och cybersäkerhet, Ämne 5.3 — Företagsövergripande projektportföljhantering (EPPM) och Ämne 10.4 — Insyn för vd och högre chefer.

Grundläggande begrepp#

Styrning (governance) är det system av beslutsrättigheter, ansvar och tillsyn genom vilket en organisation leder och kontrollerar det den gör. Inom digital hälsa och vård förvaltar ni egentligen tre överlappande styrningsdomäner på en gång. Bolags- och organisationsstyrning (corporate governance) täcker styrelsens förvaltarskap av organisationen som helhet — ekonomi, strategi, risk och rättsliga plikter. Klinisk styrning (clinical governance) är det ramverk genom vilket hälsoorganisationer är ansvariga för att kontinuerligt förbättra vårdens kvalitet och säkerhet. Informationsstyrning täcker hur organisationen hanterar data lagligt, tryggt och etiskt. En digital tjänst berör alla tre; styr ni bara en blir ni överraskade av de andra.

Enhetligt ansvar är styrningens ryggrad. Senior Responsible Owner (SRO) är den enda namngivna individ som är personligen ansvarig för att ett program eller större projekt når sina mål och realiserar sina nyttor — en roll populariserad av brittisk förvaltning men universellt användbar. Beslutsrättigheter under SRO görs uttryckliga genom en ansvarsfördelningsmatris (responsibility assignment matrix), vanligen i formen RACI (ansvarig för genomförande, slutligt ansvarig, rådfrågad, informerad), som förhindrar de två klassiska felen ”alla trodde att någon annan ägde det” och ”alla försökte äga det”.

Kvalitetssäkring (assurance) är skild från styrning. Styrning är handlingen att leda och besluta; kvalitetssäkring är oberoende, objektiv bekräftelse att styrningen och kontrollerna faktiskt fungerar som avsett. Den dominerande mentala modellen är ”tre försvarslinjer” (three lines of defence): den första linjen är den operativa ledning som äger och förvaltar risk dag för dag; den andra linjen är tillsynsfunktioner (risk, efterlevnad, klinisk säkerhet, informationsstyrning) som sätter policy och utmanar; och den tredje linjen är internrevision, oberoende av båda och rapporterande till styrelsen. Externa tillsynsmyndigheter och revisorer utgör en de facto fjärde linje.

Två ytterligare begrepp håller ihop systemet. Riskaptit (risk appetite) är den mängd och typ av risk organisationen är villig att acceptera i jakten på sina mål; utan den är eskalering godtycklig. Och riskloggen — ofta utvidgad till en RAID-logg (risker, antaganden, problem, beroenden) byggd på samma disciplin som ett riskregister — är den löpande journal som håller en leverans ärlig. Granskningspunkter ges av stegvis kvalitetssäkring såsom en fasgrindsprocess (phase-gate process) och, i brittisk förvaltning, gateway-liknande granskningar som drivs av Infrastructure and Projects Authority (IPA). Ovanför varje enskilt projekt finns verksamhetsövergripande riskhantering (enterprise risk management), den organisationsomfattande disciplinen att identifiera och förvalta de risker som kan hindra hela företaget från att nå sina mål, snarare än att behandla digital, klinisk, finansiell, cyber- och operativ risk som separata silor.

Bästa praxis#

1. Namnge en ansvarig SRO och mena det. Utse en enda, tillräckligt senior individ som är personligen ansvarig för utfallet, har befogenhet att fatta beslut och stannar hos programmet tillräckligt länge för att kunna hållas till svars. Skriv in dennes ansvar i uppdragsbeskrivningen och i dennes mål. Motstå frestelsen att sprida ansvar över en kommitté — kommittéer rådger och beslutar kollektivt, men de kan inte vara ansvariga, eftersom delat ansvar är frånvarande ansvar.

2. Utforma styrning efter risk och värde, inte kalendern. Ett litet, lågrisks internt verktyg behöver inte samma styrelse, grindar och pappersarbete som en regionomfattande elektronisk patientjournal. Sätt nivåer så att lågrisks- och lågvärdesarbete flödar genom lättviktig styrning på teamnivå, medan högrisks- eller högvärdesarbete drar till sig formella styrelser och oberoende granskning. Publicera tröskelvärdena så att team vet vilken nivå de befinner sig i och kan själva avgöra. Proportionalitet är det som hindrar styrning från att bli en flaskhals team går runt.

3. Skriv uppdragsbeskrivningar som klargör beslutsrättigheter. Varje styrelse bör ha ett kort dokument med uppdragsbeskrivning som anger dess syfte, medlemskap, beslutförhet, vilka beslut den kan fatta, vad den bara kan rekommendera och vad som måste eskaleras ovanför den. Para detta med en RACI så att återkommande beslutstyper — arkitekturval, klinisk godkännande, budgetfrisläppning, driftsättningsgodkännande — har en namngiven ansvarig ägare. Tvetydiga beslutsrättigheter är den enskilt vanligaste orsaken till styrningsglidning, där möten förökar sig eftersom ingen är säker på vem som faktiskt kan säga ja.

4. Skilj kvalitetssäkring från styrning och använd de tre linjerna. Låt inte de som levererar ett program vara de enda som säkerställer att det är säkert. Se till att den andra linjen — kliniska säkerhetsansvariga, ansvariga för informationsstyrning, cybersäkerhet — har en oberoende röst och kan eskalera över SRO:s huvud när det behövs, och att internrevisionen periodiskt testar hela systemet. Denna åtskillnad är det som förvandlar optimistisk självrapportering till trovärdig kvalitetssäkring, och den är en regulatorisk förväntan i de flesta hälsosystem, inte en artighet.

5. Använd integrerad kvalitetssäkring och stegvisa granskningspunkter. I stället för att beställa osamordnade granskningar, planera ett integrerat kvalitetssäkrings- och godkännandeschema som anpassar klinisk säkerhet, informationsstyrning, teknisk och kommersiell granskning till samma beslutspunkter. Anta gateway-liknande granskningar vid de övergångar som spelar roll — före ni binder pengar, före bygge, före driftsättning — modellerade på IPA:s gateway-granskningar och, för publikt vända digitala tjänster, de tjänstebedömningar som Government Digital Service (GDS) var pionjär för och NHS anpassat. En god grind är en stödjande utmaning som minskar risken i nästa fas, inte ett prov att spela.

6. Gör riskaptiten uttrycklig och låt den driva eskalering. Kom överens, på styrelsenivå, om hur mycket risk ni är villiga att bära inom varje domän — patientsäkerhet, data, leverans, ekonomi, anseende — och uttryck det tillräckligt konkret för att ett team ska kunna avgöra om en given risk ligger inom eller utanför aptiten. Koppla sedan eskaleringen till aptiten: allt utanför aptiten går uppåt automatiskt, med en namngiven ägare och en beslutsfrist. Det stoppar de två felmönstren trivialiteter som sätter igen styrelsen och allvarliga risker som i tysthet sitter i ett kalkylblad.

7. Kör en levande RAID-logg och ett Board Assurance Framework. Underhåll en RAID-logg som granskas varje leveranscykel, där varje post är ägd, daterad, poängsatt och aktivt bearbetad — inte en kyrkogård av inaktuella gula poster. På organisationsnivå, underhåll ett Board Assurance Framework (BAF) som kartlägger era främsta strategiska risker mot de kontroller som finns och den kvalitetssäkring ni har för att dessa kontroller fungerar, och blottlägger glapp där ni förlitar er på hopp. BAF är det som låter en styrelse se, på en sida, om dess viktigaste mål faktiskt är skyddade.

8. Rapportera ärligt och döda styrningsteater. Insistera på uppriktig statusrapportering som lyfter dåliga nyheter tidigt, och skydda de människor som lyfter dem. Se upp för ”vattenmelonrapportering” (watermelon reporting) — grönt på utsidan, rött på insidan — där instrumentpaneler förblir gröna till stunden för haveriet; motverka den genom att låta kvalitetssäkringsfunktioner och leveransledare rapportera om samma fakta. Skär bort varje möte, mall eller rapport som inte ändrar ett beslut. Styrning som producerar dokument ingen agerar på är inte försiktighet, det är slöseri klätt som noggrannhet.

9. Förvalta risk på verksamhetsövergripande nivå, inte bara projektnivå. Håll ett riskregister på styrelsenivå och ett skriftligt uttalande om riskaptit som förbinder digital, klinisk, finansiell, cyber- och operativ risk i stället för att behandla var och en i sin egen silo. Många av de risker som faktiskt sänker digitala hälsotjänster — ett åldrande bestånd av äldre system, en cyberattack, överberoende av en enda leverantör — går tvärs genom alla projekt och ägs av inget av dem, så ge varje tvärgående risk en namngiven chef som ägare och en plats i registret. Det är skillnaden mellan att veta att era program var och ett ungefär ligger rätt och att veta om organisationen som helhet är inom sin aptit.

10. Aggregera samma risker uppåt till styrelsen utan att sanera dem. Koppla era tre försvarslinjer så att en risk sedd av ett leveransteam färdas upp till det verksamhetsövergripande registret igenkännbart, inte ompaketerad i lugnande språk i varje skikt. BAF och det verksamhetsövergripande registret är bara så ärliga som rapporteringen under dem, så skydda er mot vattenmeloneffekten där gult blir grönt på vägen till toppen, och gör det till rutin att eskalera tvärgående risker — äldre system, cyber, leverantörskoncentration — som inget enskilt projekt äger. En styrelse som bara ser aggregerade, uppmjukade tal kan inte styra de risker som spelar störst roll.

Frågor att diskutera med ditt team#

1. Var är enhetligt ansvar genuint tydligt i vårt viktigaste digitala arbete, och var är det en bekväm fiktion? Gå igenom era tre främsta initiativ och fråga, för vart och ett, vem som personligen skulle stå till svars inför styrelsen om det misslyckades. Om det ärliga svaret är ”styrelsen”, ”programmet” eller ett namn som ständigt byts har ni ett glapp. Pröva om den namngivna SRO faktiskt har den befogenhet och tid rollen kräver, eller om hen är en galjonsfigur medan verkliga beslut fattas på annat håll. Beakta om ansvaret undergrävs av en matris där SRO inte kan leda de människor som levererar. Diskutera hur kontinuitet skyddas när SRO går vidare, eftersom ansvar som nollställs vid varje omorganisation inte är något ansvar alls. Målet är inte att skylla på individer utan att se till att när något går fel äger en bemyndigad person att åtgärda det.

2. Är vår styrning proportionerlig, eller tillämpar vi tung process på lågriskarbete och tvärtom? Kartlägg era nuvarande styrelser, grindar och godkännandesteg mot den faktiska risken och värdet hos det som passerar genom dem. Leta efter den lågrisksändring som väntade sex veckor på en styrelse som möts månadsvis, och den högrisks kliniska ändring som gled igenom på ett teams eget ord. Fråga om team går runt styrningen för att den är för långsam, vilket i sig är en allvarlig risksignal. Beakta om ni har publicerat tydliga nivåer och tröskelvärden, eller om allt som standard hamnar på maximal ceremoni av försiktighet. Debattera var ni säkert kunde delegera beslut för att röra er snabbare, och var ni har varit farligt lätta. Målet är ett system där styrningens vikt synligt följer riskens vikt.

3. Hur skulle vi veta om vår rapportering talar sanning? Diskutera konkreta färska exempel där en status gick från grön till röd med liten förvarning, och fråga vilka de tidiga signalerna var och varför de inte kom upp. Utforska om leveransledare och kvalitetssäkringsfunktioner rapporterar från samma fakta eller från separata, bekvämt avvikande versioner. Beakta vad som händer, socialt och professionellt, med någon som rapporterar en röd status här — tackas de eller straffas? Fråga om er styrelse ser oberoende kvalitetssäkring vid sidan av ledningens egen redogörelse, eller bara det senare. Granska om era instrumentpaneler mäter saker som förutsäger problem eller bara saker som är lätta att göra gröna. Syftet är att bygga en kultur där ärliga dåliga nyheter färdas snabbt, eftersom ett styrningssystem som inte kan höra dåliga nyheter inte kan styra.

4. Har vi skrivit ned vår riskaptit tillräckligt konkret för att ett team kan agera på den, eller är den en slogan? Ta en levande risk i ett av era program och fråga om de människor som står närmast den utifrån er angivna aptit kan avgöra om den ligger inom eller utanför gränsen. De flesta organisationer har ett uttalande om riskaptit som läses väl och avgör ingenting — ”vi tar en balanserad ansats till risk” talar inte om för någon kliniker om en oupptäckt defekt i allergivisningen är tolerabel. Diskutera om aptiten uttrycks per domän — patientsäkerhet, data, leverans, ekonomi, anseende — eftersom ett enda globalt mått döljer att ni kan ha noll aptit för kliniska säkerhetsdefekter och verklig aptit för tidsplansglidning. Granska om eskalering faktiskt är kopplad till aptiten, så att allt utanför den stiger automatiskt med en namngiven ägare och en frist, snarare än att bero på att någon väljer att lyfta det. Beakta vem som äger aptiten och hur ofta den ses över, eftersom en aptit som sätts en gång och aldrig omprövas glider ur takt med den verkliga världen. Ett ärligt svar namnger ett färskt beslut som aptituttalandet genuint formade, och erkänner var uttalandet i dag är för vagt för att bita.

5. Har våra grindar och kvalitetssäkringsgranskningar tänder, eller seglar misslyckande program igenom dem? Se tillbaka på era senaste gateway- eller tjänstebedömningsgranskningar och fråga om någon av dem stoppade, pausade eller väsentligt omformade arbetet — om varje program har klarat varje grind är era grindar nästan säkert teater. Diskutera om granskningar behandlas som en stödjande utmaning som minskar risken i nästa fas eller som ett prov att spela, med evidenspaketet kurerat för att säkra ett godkännande. Beakta om klinisk säkerhet, informationsstyrning, teknisk och kommersiell kvalitetssäkring anländer vid samma beslutspunkter eller som en spridning av osamordnade granskningar som utmattar team utan att tillföra tillförsikt. Granska vilken befogenhet en grindgranskare faktiskt har: kan de hålla en driftsättning, och kommer de att få stöd om de gör det, eller kommer kommersiellt tryck att åsidosätta dem? Utforska om de som levererar också i praktiken är de som kvalitetssäkrar — eftersom en grind som drivs av optimisterna inte är kvalitetssäkring. Målet är en granskning ett allvarligt problem inte kunde överleva, eftersom en grind ingenting någonsin faller på är en kostnad utan kontroll bakom.

6. Vilka av de risker som faktiskt kunde sänka oss ägs av inget enskilt projekt, och vem äger dem? Lista de misslyckanden som mest sannolikt stoppar era digitala tjänster — ett åldrande bestånd av äldre system, en cyberattack, överberoende av en leverantör, en personalstyrka som inte kan hantera de nya verktygen — och fråga, för vart och ett, på vems register det ligger. Dessa tvärgående risker är farliga just därför att de tillhör alla och därmed ingen, och faller mellan stolarna i styrning på projektnivå. Diskutera om ni håller ett riskregister på styrelsenivå som förbinder digital, klinisk, finansiell, cyber- och operativ risk, eller om var och en förvaltas i sin egen silo, blind för de andra. Beakta om en risk sedd av ett leveransteam färdas upp till styrelsen igenkännbart, eller mjukas upp från röd till gul till grön i varje skikt tills styrelsen bara ser lugnande besked. Granska om varje tvärgående risk har en namngiven chef som ägare med befogenhet att agera över program. Ett ärligt svar konfronterar glappet mellan att veta att varje program ungefär ligger rätt och att veta om organisationen som helhet är inom sin aptit.

I praktiken: ett exempel från hälsa och vård#

Ett integrerat vårdsystem (ICS) rullar ut en delad vårdjournal som låter kliniker över sjukhus, allmänläkarpraktik och socialtjänst se en enhetlig bild av varje patient. Den är högvärdig och högrisk: den berör kliniska beslut, länkar känsliga data över organisationer och betjänar en befolkning med stor variation i digital åtkomst.

Tidigt är ansvaret suddigt. Tre chefer för information (CIO) känner sig var och en delvis ansvariga, en leverantör driver tidsplanen och programstyrelsen på arton personer ägnar sina möten åt att ta emot uppdateringar snarare än att besluta. Rapporteringen är grön. Sedan dyker ett tillbud upp: en läkemedelsallergi registrerad i ett system visas inte i ett annat, och en kliniker förskriver nästan ett läkemedel patienten är allergisk mot.

Verkställande direktörerna använder detta som en vändpunkt och bygger om styrningen. De utser en enda SRO — en medicinsk direktör med den senioritet som krävs för att leda programmet och den ställning som krävs för att utmana leverantören. De skriver om styrelsens uppdragsbeskrivning, skär ned den till beslutsfattarna och bifogar en RACI så att godkännande av klinisk säkerhet, godkännande av informationsstyrning och driftsättningsauktorisering var och en har en namngiven ansvarig ägare. Riskaptiten görs uttrycklig: noll aptit för oupptäckta kliniska säkerhetsdefekter, begränsad aptit för tidsplansglidning. Det enda uttalandet ordnar om allt.

Kvalitetssäkringen skiljs från leveransen. Den kliniska säkerhetsansvarige och ansvarige för informationsstyrning rapporterar oberoende och kan eskalera över SRO till verkställande direktörerna; arbetet med den delade journalen läggs till i varje partners Board Assurance Framework. Ett integrerat kvalitetssäkringsschema sätter tre grindar — före ytterligare bygge, före pilot, före full utrullning — var och en kombinerande granskningar av klinisk säkerhet, informationsstyrning, teknik och tillgänglighet, i andan av IPA:s gateway-granskningar och NHS:s tjänstebedömningar. RAID-loggen granskas varannan vecka, med allergivisningsdefekten loggad som ett rött problem ägt vid namn med ett fast lösningsdatum.

Den första grinden är obekväm: granskningsteamet finner att det kliniska säkerhetsunderlaget är tunnare än de gröna rapporterna antydde, och utrullningen pausas i fyra veckor. Det är precis vattenmelonen den gamla rapporteringen hade dolt. Eftersom pausen sker före pilot snarare än efter driftsättning skadas ingen patient, leverantören åtgärdar datamappningen och den slutliga utrullningen är långsammare att starta men långt säkrare och mer betrodd. Styrningen saktade inte ned leveransen; den förhindrade ett misslyckande som hade stoppat den helt.

Sektorperspektiv#

Startup-företag#

Ett hälsotekniskt startup-företag behöver sällan styrelser och gateway-granskningar, men det behöver det väsentliga tidigt, eftersom tillsynsmyndigheter, köpare och investerare kommer att fråga. Namnge en ansvarig grundare eller chef för klinisk säkerhet och en för dataskydd, för en lättviktig RAID-logg och skriv ned er riskaptit även om den är en enda sida. Fällan är att behandla styrning som något att klistra på senare; att eftermontera evidens för säkra, lagliga beslut över en snabbrörlig produkt är smärtsamt och ibland omöjligt. Bygg den minsta fungerande styrning som en seriös NHS-köpare skulle känna igen, och låt den växa med er snarare än att kasta sig från ingenting till byråkrati över en natt.

Småföretag#

En etablerad liten vårdgivare — en läkarpraktik, ett närapotek, ett vårdhem eller en klinik på en enda ort — bär samma lagstadgade plikter för klinisk säkerhet och dataskydd som ett stort sjukhus, men utan revisionsutskott, utan internrevision och ofta utan dedikerad IT-personal att driva dem. Styrningsdisciplinen här är radikal proportionalitet: en namngiven person ansvarig för klinisk säkerhet och en för informationsstyrning (vilket i en mycket liten organisation kan vara samma senior kliniker eller delägare), en enkelsidig riskaptit och en kort RAID-logg som genuint granskas snarare än arkiveras. Luta er mot de ramverk era tillsynsmyndigheter redan förväntar — Data Security and Protection Toolkit, CQC-krav och de kliniska säkerhetsskyldigheter era leverantörer måste möta — och låt era programvaruleverantörers kvalitetssäkring (deras DCB0129-säkerhetsunderlag, deras certifieringar) göra det arbete ni inte kan göra själva. Den realistiska fällan är inte styrningsteater utan styrningsförsummelse: säkra, lagliga beslut tagna informellt och aldrig registrerade, så att ni när en incident eller inspektion kommer inte kan visa vad ni beslutade eller varför. Håll evidensspåret lätt men verkligt, eftersom målet för ett litet företag är försvarbara beslut på en spartansk budget, inte en styrningsmaskin ni inte kan bemanna.

Storföretag#

En stor vårdgivare eller leverantör har redan styrelser, revisionsutskott och internrevision, så storföretagets risk är motsatsen till startup-företagets: för mycket styrning, dåligt integrerad, som genererar teater. Konsolidera överlappande styrelser, publicera proportionalitetsnivåer och integrera klinisk, informations-, teknisk och kommersiell kvalitetssäkring i ett enda schema så att team möter en sammanhängande uppsättning grindar snarare än ett dussin osamordnade granskningar. Se till att de tre försvarslinjerna är genuint oberoende och att internrevisionen periodiskt testar digital leverans, inte bara ekonomi. Vinsten är att förvandla en befintlig, dyr styrningsmaskin till en som faktiskt snabbar upp säkra beslut.

Staten#

Nationella och regionala organ — NHS England, ICB, förvaltningsmyndigheter — verkar under lagstadgad ansvarsskyldighet, offentliga utgiftskontroller och formella kvalitetssäkringsregimer såsom IPA:s gateway-granskningar och statens utgiftskontroll- och tjänstebedömningsprocesser. Här är SRO-rollen kodifierad och personligen ansvarig inför parlamentet eller dess motsvarigheter, och transparens är en plikt, inte ett val. Disciplinen är att göra denna föreskrivna styrning proportionerlig och att samordna de många externa kvalitetssäkringskraven så att de informerar leveransen snarare än bara granskar den i efterhand. Väl gjord är offentlig sektors styrning en modell för ansvarsskyldighet; dåligt gjord är den ursprunget till den ”styrningsteater” hela sektorn fruktar.

Vanliga felmönster#

• Ansvar genom kommitté. Ingen enskild SRO, så när det går fel pekar alla åt sidan och ingenting ägs.
• Styrningsteater. Styrelser som tar emot snarare än beslutar, mallar ingen läser och grindar som är prov att klara snarare än genuin riskminskning.
• Vattenmelonrapportering. Statusen förblir grön till stunden för haveriet därför att dåliga nyheter är oönskade och leveransrapporter förblir ifrågasatta av kvalitetssäkring.
• Samma process för allt. Tung styrning tillämpad på trivialt arbete, vilket driver team att gå runt den, medan genuint riskfyllt arbete glider igenom lätt.
• Kvalitetssäkring tillfångatagen av leverans. De som bygger tjänsten är de enda som bekräftar att den är säker, så optimism förblir okontrollerad.
• Inaktuella RAID-loggar. Risker loggade en gång och aldrig bearbetade; gula poster som i tysthet blir gröna före en granskning utan någon förändring under.
• Domänblindhet. Att styra leveransen väl men missa dimensionen klinisk säkerhet, informationsstyrning eller jämlikhet tills den blir en kris.
• Grindteater utan tänder. Granskningspunkter som aldrig faktiskt stoppar eller omformar arbete, så att misslyckande program seglar genom varje grind.

Mognadsmodell#

Checklista#

• Varje större initiativ har en namngiven, tillräckligt senior, bemyndigad SRO.
• Varje styrelse har en aktuell uppdragsbeskrivning som anger dess beslutsrättigheter, beslutförhet och eskalering.
• En RACI tilldelar en namngiven ansvarig ägare till varje återkommande beslutstyp.
• Styrningsnivåer skalar med risk och värde, och tröskelvärdena är publicerade.
• De tre försvarslinjerna finns på plats, med en oberoende röst i andra linjen som kan eskalera.
• Ett integrerat kvalitetssäkringsschema anpassar kliniska, informationsstyrnings-, tekniska och kommersiella granskningar till stegvisa grindar.
• Riskaptit är nedskriven per domän och eskalering är kopplad till den.
• En levande RAID-logg granskas varje leveranscykel, där varje post är ägd och daterad.
• Ett Board Assurance Framework kartlägger främsta risker mot kontroller och den kvalitetssäkring att dessa kontroller fungerar.
• Leverans och kvalitetssäkring rapporterar från samma fakta, och att lyfta dåliga nyheter är tryggt.
• Varje möte, mall och rapport ni behåller ändrar ett verkligt beslut.

Viktiga källor#

• Infrastructure and Projects Authority (IPA), Principles for Project Success och vägledning om gateway-/kvalitetssäkringsgranskningar — UK Cabinet Office / HM Treasury.
• NHS England, Clinical Risk Management Standards (DCB0129 och DCB0160) — för klinisk styrning av hälso-IT (se även Ämne 1.6).
• Institute of Internal Auditors (IIA), The IIA's Three Lines Model (uppdatering 2020) — den auktoritativa framställningen av ansatsen med tre linjer.
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — riskaptit, kontroller och kvalitetssäkring i brittiska offentliga organ.
• NHS England / tidigare Government Digital Service, Service Standard och vägledning om tjänstebedömningar — kvalitetssäkring av publikt vända digitala tjänster.
• UK Corporate Governance Code — Financial Reporting Council — styrelseansvar och intern kontroll.

Referenser#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management