Sidjämförelse

Det finns ingen egentlig mall för internrevisionen, eftersom den behöver se väldigt olika ut för olika organisationer. Men i och med att internrevisionen ska handla om efterlevnaden till HSA -policyn Tillitsramverk (fram till och med 2024-12-31 HSA-policy) är en bra utgångspunkt att gå igenom den senaste versionen av HSA -policyn Tillitsramverk (på https://www.inera.se/hsa/dokument under länken Stödjande dokument) samt er senast godkända HSA Tillitsdeklaration (tidigare benämnd HPT). Har HPT:n tillitsdeklarationen samma versionsnummer som nu gällande HSA -policynTillitsramverk? Följer ni alla kraven i policyn tillitsramverket som är aktuella för er? Innehåller HPT:n tillitsdeklarationen en korrekt och aktuell beskrivning av hur ni jobbar? Finns det något område som du kanske tror kan vara lite svajigt och som du borde titta närmare på?

Genomförda revisioner ska dokumenteras och dateras. Revisionsrapporten ska (minst) innehålla en beskrivning av vad revisionen omfattat, vilka som medverkat vid revisionen, resultatet av revisionen inklusive identifierade brister samt en åtgärdsplan med angivelse av tidpunkt då respektive brist ska vara åtgärdad samt vem som ansvarar för åtgärden.

Denna fråga är mångbottnad och har flera olika svar. Men vi får försöka reda ut en del i taget.

Om vi börjar med frågan om huruvida regionen alls ska hantera privata utförare (och deras eventuella underleverantörer) i regionens del av HSA så beror svaret på om det finns förutsättningar som gör att privata utförare MÅSTE finnas i regionens lokala HSA-katalog (och därmed även i regionens del av HSA). Många regioner ställer krav på att de privata utförarna ska använda regionens verksamhetssystem - och regionens verksamhetssystem förutsätter att användarna finns i den lokala HSA-katalogen. Vissa regioner/kommuner har också ett erbjudande till sina privata utförare att hantera tjänsten HSA för organisationen så länge de har ett gällande avtal med regionen/kommunen.

Därmed blir regionen också HSA-ombud för de privata utförarna och det krävs samarbetsavtal och reglering av personuppgiftshanteringen via t.ex. PuB-avtal.

OM det nu är så att den privata utföraren FINNS i regionens lokala HSA-katalog får man titta vidare på förutsättningarna för hur underleverantören anlitas av den privata utföraren.

Är det så att den privata utföraren endast “hyr in” personal av underleverantören, men fortfarande har kvar vårdgivaransvaret själv, finns två vägar att gå:

1. Om möjligheten finns i regionens lokala HSA-katalog skulle man kunna lägga de enskilda medarbetarna hos underleverantören som medlemmar i aktuella medarbetaruppdrag (vårdmedarbetaruppdrag och/eller administrativa medarbetaruppdrag) och peka ut dem där de är registrerade av sitt HSA-ombud eller sin organisation i nationella HSA. Detta i analogi med hur regionen själv kan hantera “sin egen hyrpersonal”.

2. Om regionens lokala HSA-katalog inte ger denna möjlighet kan medarbetarna hos underleverantören registreras parallellt med medarbetarna hos den privata utföraren och läggas till och tas bort på samma villkor och enligt samma rutiner som den privata utförarens egen personal. Det är dock viktigt att i detta läge INTE registrera underleverantören (företaget), utan endast de enskilda personerna.

Är det istället så att den privata utföraren anlitar underleverantören som självständig vårdgivare måste även underleverantörens organisation (vårdgivare och vårdenhet/vårdenheter samt egna medarbetaruppdrag) registreras. OM detta görs krävs det också att regionen tecknar samarbetsavtal även med underleverantören om hanteringen av informationen i HSA, och också reglerar personuppgiftshanteringen på lämpligt sätt (via PuB-avtal eller motsvarande). I HSA är det inte tillåtet med “fjärdepartanslutning” (som ju skulle bli fallet om underleverantörens anslutning till HSA gick via den tredjepartanslutna privata utföraren).