Wir machen dann mal IKS.das ist Gesetz!!

Größe: px

Ab Seite anzeigen:

Download "Wir machen dann mal IKS.das ist Gesetz!!"

Heiko Hase
vor 8 Jahren
Abrufe

1 Wir machen dann mal IKS.das ist Gesetz!! Henrik Pfahler, Leiter Professionelle Codierung/ Ärztliche Direktion

3 Was ist IKS? IKS steht für Internes Kontrollsystem ist nach Obligationenrecht verpflichtend seit PWC, PriceWaterhouseCoopers

4 Wer ist betroffen? Alle Unternehmen die den Prinzipien der ordentlichen Revision unterliegen Gemäss dem unveränderten Art. 716a Ziff. 3 OR hat der Verwaltungsrat einer Aktiengesellschaft die unübertragbare und unentziehbare Aufgabe zur Ausgestaltung des Rechnungswesensund der Finanzkontrolle. Daraus ist die Verpflichtung zur Schaffung eines IKS abzuleiten. PWC,PriceWaterhouseCoopers

5 Warum IKS in der ProCod? ProCod ist ein wichtiger Teil der Erlössicherungskette Stellt somit ein Unternehmensrisiko dar ca. 650 Millionen CHF werden jährlich fakturiert Ca. 2.5 Mill.CHF/Tag

6 ..und dann kamen die Prüfer..

7 Der Fakturierungsprozess und seine Kontrollen

8 Prozesse, Risiken, Kontrollen.. Name Codierer (1) beschafft Austrittsberichte und/oder OP-Berichte Kategorie administrativer Prozess ITAC-K9 Das Modul "Medplaus" überprüft die Eingabe der Daten im Hintergrund. Prüfungsregel ist das Plausibilisierungskonzept gemäss Bundesamt für Statistik. PROCOD-K1 Die Firma Freudiger führt anhand der "Administrationsstatistik SAP" und "Statistik MedStat" eine Vollständigkeitsüberprüfung durch. Codierer (1) nimmt Codierung vor Codierer generiert eine Austrittsliste in MedStat Ein weiterer Codierer (2) archiviert Fall administrativer Prozess administrativer Prozess administrativer Prozess PROCOD-K2 PROCOD-K3 Codierer (1) überprüft anhand der Austrittsliste die Vollständigkeit der Austrittsberichte und OP- Berichte. Ein weiterer Codierer (2) überprüft die Eingaben der Datensätze im Vieraugen-Prinzip auf Vollständigkeit. Generierung DRG in MedStat administrativer Prozess PROCOD-K4 Ein weiterer Codierer (2) überprüft im Kurzverfahren die Eingaben auf Plausibilität. Nummer Beschreibung ITAC-R6 PROCOD-R1 PROCOD-R2 PROCOD-R3 PROCOD-R4 Es besteht die Gefahr, dass die Datensätze nicht richtig übermittelt werden. Es besteht die Gefahr, dass die Datensätze unvollständig in MedStat importiert werden. Es besteht die Gefahr, dass die zur Codierung benötigten Austrittsberichte und OP-Berichte nicht vollständig vorhanden sind. Es besteht die Gefahr, dass die Datensätze zur Generierung einer DRG nicht vollständig erfasst sind. Es besteht die Gefahr, dass die erfassten Datensätze zur Generierung einer DRG nicht korrekt sind.

Prüfungsregel ist das Plausibilisierungskonzept gemäss Bundesamt für Statistik.

9 Sag mal: Wie regeln wir das mit der Passwortvergabe im MedStat??? Wieso? Wir haben doch alle das gleiche!!

10 Und so passierte es dann.

13 Applikationsschema Stationäre Leistungsabrechnung

14 Change Management 1. Changes are authorized. Umsetzung Kommentar E&Y: Es stehen keine Change- Request Formulare zur Verfügung.

15 Change Management 2. Changes are tested Umsetzung Kommentar E&Y: Es stehen keine Vorlagen/Testcases zum Usertesting zur Verfügung. Die Testresultate werden nicht formell dokumentiert. Das Testing wird auf einem TestApplikationsServer in Verbindung mit der produktiven Datenbank durchgeführt.

16 Change Management 3. Changes are approved Umsetzung Kommentar E&Y: Keine Nachvollziehbarkeit durch fehlende Formulare. (Genehmigung wird mündlich erteilt)

17 Change Management 4. Changes are monitored Umsetzung Kommentar E&Y: Es sind keine Überprüfungsmechanismen im Changeprozess implementiert.

18 Change Management 5. Segregation of incompatible duties exists within the manage change environment. Kommentar E&Y: Ausschliesslich der Hersteller Freudiger verfügt über Vollzugriff auf der Produktivumgebung und Testumgebung. Grundsätzlich wird die Entwicklung durch Freudiger vorgenommen und nach Ansprache mit den Applikationsverantwortlichen durch Freudiger in die Produktion überführt. Seitens Insel werden die Freudiger-Aktivitäten auf dem System nicht überwacht. So besteht das Risiko, dass Freudiger unautorisierte Änderungen am System durchführt. Changes werden teilweise eingenmächtig vom Hersteller ohne Absprache durchgeführt. Umsetzung Systemebene: die neue Clients werden nur nach RFC-Unterzichnung eingespielt. Applikationsebene: eine LOG-Datei mit allen Events (Save, Read, Code, Force, etc.) und User-ID wird automatisch gespeichert und regelmässig analysiert.

Grundsätzlich wird die Entwicklung durch Freudiger vorgenommen und nach Ansprache mit den Applikationsverantwortlichen durch Freudiger in die Produktion überführt.

19 Logical Access 2. Passwort settings are appropriate Umsetzung Kommentar E&Y: Alle Benutzer verwenden das gleiche Passwort. Die Anforderungen an die Komplexität, Mindestlänge und das Passwortwechselintervall ist nicht systemtechnisch durchgesetzt. Eine Sperrung des Benutzers nach x erfolglosen Loginversuchen ist nicht gegeben. Es besteht eine Weisung diesbezüglich: Weisung Nr. 5_04_G über die Nutzung von IT-Mitteln am Inselspital. Kapitel 3.9 macht verbindliche Vorgaben zu der Handhabung der Passwörter. Die Einhaltung dieser Weisung wird jedoch weder überprüft noch systemtechnisch realisiert.

Eine Sperrung des Benutzers nach x erfolglosen Loginversuchen ist nicht gegeben. Es besteht eine Weisung diesbezüglich: Weisung Nr.

20 Logical Access 5. User access is authorized and appropriately established. Umsetzung Kommentar E&Y: Eine Nachvollziehbarkeit ist nicht gegeben da keine Formulare bestehen.

21 Logical Access 6. User Access Termination & Change of job responsibilities Umsetzung Kommentar E&Y: Keine aktive Überprüfung auf Personalabgänge in der Benutzergruppe WebGui. Keine Formulare vorhanden.

22 Logical Access 8. Logical access process is monitored. Umsetzung Kommentar E&Y: Es sind keine stetigen Kontrollen definiert und implementiert.

23 Other ITGC 1. Financial data has been backed-up und is recoverable Umsetzung Kommentar E&Y: Ein Recovery-Test wurde bisher nicht durchgeführt. T-Systems ist verpflichtet täglich eine recovery data zu erstellen. Ein Recovery-Test wurde durchgeführt. T-Systems wird die Datei in die Medstat Test-Datenbank einspielen.

24 Other ITGC 2. Deviations from scheduled processing are identified and resolved in a timely manner. Umsetzung Kommentar E&Y: Es findet keine aktive Log- File Kontrolle bei Schnittstellen-Batchjobs statt. Es besteht auch keine aktive Alarmierungsfunktion bei Fehlern.

25 Walk-through und Bericht am 13. Februar 2009

26 Walk-through und Bericht am 13. Februar 2009

Ähnliche Dokumente

Anti-Botnet-Beratungszentrum. Windows XP in fünf Schritten absichern

Anti-Botnet-Beratungszentrum. Windows XP in fünf Schritten absichern Windows XP in fünf Schritten absichern Inhalt: 1. Firewall Aktivierung 2. Anwendung eines Anti-Virus Scanner 3. Aktivierung der automatischen Updates 4. Erstellen eines Backup 5. Setzen von sicheren Passwörtern