电子病历权限分级管理制度

电子病历权限分级管理制度总则权限管理不是单纯的IT技术管控，而是医疗质量与患者隐私安全的核心防线。为规范电子病历（EMR）系统的访问与操作行为，防止越权访问、数据篡改与隐私泄露，保障医疗数据全生命周期合规，特制定本制度。本制度适用于全院所有涉及电子病历系统（EMR）、医院信息系统（HIS）、影像归档和通信系统（PACS）、实验室信息系统（LIS）操作及访问的医务人员、行政管理人员、实习生、进修生及第三方驻场运维人员。电子病历权限管理必须遵循“最小可用、业务分离、痕迹可溯、分级负责”四项核心原则。任何账号必须绑定唯一自然人，严禁使用公共账号；任何调阅与修改操作必须留存操作日志，日志保存时间必须≥30组织架构与职责划分电子病历权限管理涉及医疗业务合规与信息技术支撑，必须打破“信息科统管一切”的误区，建立医务、信息、临床三方制衡的权责体系。医务科：负责对临床人员的执业资质进行审核，确认其业务范围与权限等级是否匹配，拥有病历解锁、超时限修改等特殊业务权限的最终审批权。信息科：负责在EMR系统中配置角色与权限矩阵，执行账号开通、停用与密码重置，负责操作日志的定期抽取与异常行为监控。临床科室：科室主任为本科室电子病历权限管理第一责任人，负责本科室人员权限申请的初审，每日核查本科室病历书写与提交进度，对轮转、进修人员权限的时效性负监管责任。权限分级体系（基于RBAC模型）系统权限必须基于角色访问控制（RBAC）模型进行设计，严禁直接给具体用户单独授权。根据医务人员执业资格、所在科室及业务场景，将权限分为四级。权限等级适用角色核心权限范围严格禁止的行为L1基础书写权注册医师、规培生、进修生创建本科室患者病历、书写日常病程、开具医嘱修改他人书写的已签名记录、跨科室调阅L2审核与修改权主治医师及以上、科主任审核下级医师病历、痕迹化修改未归档病历、解除本科室病历锁定越权审核其他科室病历、删除已归档病历内容L3全院只读调阅权门急诊医师、会诊医师、质控专员调阅全院患者病历资料（仅限诊疗需要）、打印医学证明导出病历数据至外部存储、批量下载患者信息L4系统管理与归档权病案室专员、信息科管理员病历归档管理、逾期病历强制质控锁解、系统参数配置书写临床病历内容、直接接触生产数据库底层结构禁忌三件套管控：严禁医师在无数字证书（UKey）物理插入状态下进行病历归档与签名操作（会导致签名失效，发生医疗纠纷时无法证明病历真实性）→必须使用个人专属UKey并输入PIN码双重认证→若UKey遗失，必须立即向信息科报失并在2小时内冻结账号，重新补发期间使用纸质签名作为过渡，系统恢复后48小时内完成电子补签。权限申请、审批与变更闭环权限的开通与流转必须形成PDCA闭环，杜绝“人走权留”、“岗变权不变”的僵尸账号风险。权限发起与审批新入职员工或轮转人员需在入职/轮转前3个工作日，通过OA系统发起《EMR权限申请流程》，必须上传《医师执业证书》或护士执业证扫描件。审批流转：科室主任初审（核查执业范围与科室匹配度，24小时内完成）→医务科复审（核查资质真伪与处方权，24小时内完成）→信息科执行系统授权（4小时内完成）。若审批超时48小时未处理，系统自动向医务科科长推送预警短信。权限变更与回收轮转人员离开科室、员工离职或调岗时，必须触发权限变更与回收。流程：人力资源科在HR系统发起离职/调岗工单的瞬间，EMR系统通过接口自动接收状态变更信号，在员工离岗生效当日的0点准时冻结其EMR登录权限。若遇紧急开除或突发离职，人力资源科必须以电话形式直接通知信息科值班人员，信息科必须在接到电话后15分钟内完成账号强制停用，并填写《紧急账号停用登记表》备查。定期核查与改进（Check与Act）信息科必须每季度末月25日导出全院EMR活跃账号清单，与人力资源科当月在职花名册进行交叉比对。发现不一致账号（如已离职但账号仍处于激活状态）超过3个，必须启动内部问责流程，信息科与相关科室主任须在3个工作日内提交整改报告，完善系统对接漏洞。临床场景权限应用规范临床场景中的权限应用是防范医疗纠纷与核心数据泄露的最前线，必须严格区分书写、修改、调阅的物理边界与时间红线。病历书写与三级查房修改书写与审核机制：下级医师（L1）书写日常病程记录后，必须点击“保存并提交审核”。上级医师（L2）登录系统后，在“待审核病历”模块中进行审核。上级医师修改下级医师病历必须使用“痕迹保留”功能，系统自动用红色字体标注修改人、修改时间（精确到秒）及修改内容，严禁采用覆盖原内容的方式修改（导致病历原始记录灭失，违反《病历书写基本规范》及等保三级要求）。若上级医师认为下级医师书写存在重大逻辑错误需重写，必须由原书写者本人登录账号进行删除与重写，上级医师严禁直接代为删除。抢救记录补记场景：抢救记录必须在抢救结束后6小时内完成补记。抢救期间因紧急情况无法登录系统时，必须先在纸质《抢救记录单》上记录。补记时，医师必须在EMR系统中选择“抢救补记”模块，系统会自动抓取当前时间作为补录时间戳，并在病历文本首行强制插入“本记录为抢救结束后补记，实际抢救时间为X年X月X日X时X分”的声明。严禁通过修改系统时钟或倒填日期来规避超时判定（构成伪造病历，将面临吊销执业医师资格的法律风险）。跨科室调阅与会诊日常诊疗调阅：门急诊医师接诊患者时，可通过刷就诊卡自动调出该患者在院内的历史病历。但若调阅非当前接诊患者（如查阅亲友、同事病历），必须走“特殊调阅申请”流程。会诊场景：院内会诊医师需调阅邀请科室患者病历时，必须由邀请方科室在系统中发起“电子会诊邀请”，受邀医师通过邀请单链接进入病历界面。系统将授予受邀医师该患者病历的72小时限时只读权限。超过72小时后，权限自动回收，严禁会诊医师将病历内容截图或拍照外传（引发患者隐私泄露，违反《中华人民共和国个人信息保护法》）。电子病历封存与提取发生医疗纠纷时，病历的封存与提取是界定责任的关键证据保全环节。怎么做：医患双方发生争议时，医务科必须在接到投诉后的2小时内，在EMR系统中对该患者在院期间的所有病历记录下达“封存指令”。封存后，病历转为只读状态，任何人均无法修改或删除。提取时必须由医务科专员（L4）与患者或其代理人共同在场，通过专用打印机输出纸质版并双签字确认，或导出为不可篡改的PDF格式并附加医院电子印章及哈希校验值。出问题怎么办：若系统因底层故障无法执行封存指令，信息科必须在30分钟内切断该病历所在数据库的写入权限，物理隔离该服务器网口，并启用应急备份服务器，确保原始数据不被覆盖或篡改。应急与特殊情况处理突发系统宕机或网络中断时，不能以“系统坏了”为由中断医疗行为或延迟病历书写。断网与系统宕机应急响应：若EMR系统瘫痪超过15分钟，必须立即启动纸质病历预案。医师必须在纸质病历上书写医嘱与病程。严禁在系统恢复后直接将纸质病历内容批量复制粘贴入电子病历（破坏时间戳逻辑），必须按时间顺序逐条录入，并在每条记录后注明“因系统故障手工补录”。分级响应与判定标准：Ⅲ级响应（局部故障）：单个科室或楼层无法登录EMR，但其他区域正常。信息科应在30分钟内排查网络交换机或端口故障，期间该科室启用纸质病历。Ⅱ级响应（全院应用故障）：全院无法书写或保存病程记录，但数据库服务器正常。信息科应在1小时内重启应用中间件或切换至备用应用节点，医务科通知全院启用纸质病历。Ⅰ级响应（核心数据灾难）：数据库宕机或遭遇勒索病毒攻击。立即切断医院外网连接，物理阻断内网横向传播途径，按需启动异地容灾备份接管。数据恢复时间目标（RTO）必须≤4小时，恢复点目标（RPO）必须≤监督审计与违规处罚权限管理的威慑力不在于制度写在纸上，而在于日志审计的精准度与违规处罚的穿透力。信息科必须每日8:00前自动生成《前日EMR系统异常操作日志报告》，重点筛查以下指标：单个账号1小时内调阅患者数量>50非工作时间（00:00-06:00）的病历修改行为。同一账号在不同IP或MAC地址短时间内频繁切换。对于违规行为，按严重程度实施分级处罚：一级违规（轻度违规）：如未及时退出登录导致他人使用其账号开具医嘱。判定标准为操作日志的IP/MAC地址与日常登录习惯明显不符。处罚：全院通报批评，涉事账号冻结48小时，当事人重新进行EMR权限培训并考核合格后方可解冻。二级违规（严重违规）：如未经审批跨科室调阅非亲非故患者病历，或通过拍照方式泄露患者隐私。判定标准为后台调阅日志无业务关联依据。处罚：暂停处方权1至3个月，扣发当月绩效奖金，医务科记过一次。三级违规（极度严重违规）：如盗用他人UKey签名、伪造病历时间戳、批量导出患者信息用于商业目的。判定标准为数字证书使用日志与实际考勤打卡记录交叉比对异常。处罚：立即停职检查，注销所有系统权限，移交纪检监察室或公安机关依法追究刑事及民事责任。附则本制度自发布之日起执行。原有关电子病历权限管理规定与本制度不符的，以本制度为准。本制度由医务科与信息科共同负责解释与修订。附件附件一：EMR权限申请表（样表）字段填写内容申请人姓名张某某工号10012申请科室心血管内科申请权限等级L1基础书写权执业证书编号11044030000XXXXXX申请事由新入职，需管床书写病程科室主任审批