2026年病历信息安全管理三基三严培训计划

2026年病历信息安全管理三基三严培训计划一、培训目的与目标病历信息安全培训不是一项可以靠年终补签收尾的"软任务"。2026年医院面临《中华人民共和国个人信息保护法》执法检查、网络安全等级保护测评和医疗机构年度校验等多重监督，病历信息泄露事件一旦发生，除行政处罚外还将直接转化为医疗纠纷中的举证困难。本年度培训的定位，是把"三基三严"（基本理论、基本知识、基本技能；严格要求、严密组织、严谨态度）落实到病历信息管理的每一个岗位、每一个动作和每一份记录上，让每名接触病历的人员从"知道有规定"转变为"能在具体场景中按步骤做对"。1.1培训目的1.使全体培训对象掌握病历信息安全管理的法规底线、操作规范和报告路径，杜绝因无知导致的无意识泄密。2.使病案室、信息中心等重点岗位人员具备独立识别风险、处置异常事件的能力，将培训成果直接转化为每日工作的标准动作。3.满足卫生健康行政部门对医疗机构"三基三严"培训的刚性要求，建立完整的培训计划、实施记录、考核评价与档案管理体系，确保检查时留痕可溯。1.2量化目标序号指标名称目标值统计口径1培训覆盖率100%实际参训人数÷应参训人数×100%。应参训人数以2026年1月31日全院在岗名册为准2理论考核首次合格率≥90%首次考核成绩≥80分人数÷实际参考人数×100%3重点岗位实操考核合格率100%病案室、信息中心在岗人员实操考核成绩≥80分4补考后总合格率100%参加补考后全部达标5全年信息安全事件数较2025年下降50%含病历丢失、越权调阅、违规复印、账号泄露四类事件6培训档案完整率100%每场培训的通知、签到表、课件、成绩单、评估表五项齐全二、培训依据培训内容的边界由法规划定，依据清单既决定"讲什么"，也决定"考什么"。本年度课程与考核命题严格对应下列文件，不讲解、不考核超出依据范围的内容。2.1法律•《中华人民共和国民法典》人格权编中关于隐私权和个人信息保护的规定•《中华人民共和国个人信息保护法》•《中华人民共和国数据安全法》•《中华人民共和国网络安全法》•《中华人民共和国医师法》2.2行政法规与部门规章•《医疗机构病历管理规定（2013年版）》（国卫医发〔2013〕31号）•《电子病历应用管理规范（试行）》（国卫办医发〔2017〕8号）•《医疗机构投诉管理办法》（国家卫生健康委员会令第3号）•国家卫生健康委关于"三基三严"培训考核的有关要求•医院《病历管理制度》《信息安全管理制度》《员工保密协议》及2026年修订版《病历信息安全管理细则》2.3标准与规范•《信息安全技术健康医疗数据安全指南》（GB/T42484-2023）•《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）•《病历书写基本规范》（卫医政发〔2010〕11号）数据口径：以上依据版本以2026年1月1日现行有效版本为准；考核题库命题时引用具体表述，不要求学员记忆文号。三、组织架构与职责分工培训组织按"领导小组定盘子、工作组抓执行、科室负责人管人头"三层运行，防止培训通知发到全院、落实落到个别人头上的空转。各岗位职责具体到可检查的动作和产出物。3.1培训领导小组•组长：分管医疗工作的副院长•副组长：医务科主任、信息中心主任•成员：护理部主任、病案室主任、人事科科长、院办公室（保密办）主任•职责：审批年度培训计划与预算；裁决培训考核中的争议事项；每季度听取一次培训进度汇报；对培训不合格人员的岗位处理做出决定。3.2培训工作组（设在病案室）•组长：病案室主任•成员：病案室教学秘书1名、信息中心网络安全员1名、医务科干事1名、护理部干事1名•职责：◦编制课程表、讲师名单、考核方案，报领导小组审批；◦组织每场培训的通知发布、场地落实、签到考勤、课件存档；◦管理理论题库和试卷印制、密封、阅卷、成绩登记；◦组织应急演练并留存演练记录；◦每月5日前向领导小组报送上月培训执行数据。3.3科室责任分工责任部门具体职责交付物与时限病案室承担A类人员和全院借阅、复印、封存环节的培训授课；提供典型案例素材每期课程课件；案例素材库每季度更新1次信息中心承担C类人员培训；提供账号权限、日志审计、备份恢复等实操教学环境实操环境准备清单；演练方案医务科承担B类人员法规与病历书写培训；协调医师参训考勤医师参训名单；缺课补训安排护理部承担护理人员专场培训的组织与考勤护理参训名单；专场签到表人事科提供在职名册；将考核结果纳入年度考核档案2026年1月31日前提供名册；考核结果归入个人档案院办公室（保密办）监督涉密环节；参与案例分析的合规审查每季度1次培训合规性抽查记录各临床、医技科室主任督促本科室人员按时参训，安排值班替班每期开班前3日报送参训人员名单3.4讲师队伍•优先选用院内师资：病案室主任、信息中心主任、医务科资深质控医师、护理部病案质控护士各1名。•法律课程由院办法务人员或外聘执业律师授课，授课内容须经培训工作组审核备案。•每位讲师全年授课不少于2次，少于2次的由工作组在12月调整补充。四、培训对象分层与学时要求培训对象不是"全院一锅煮"，而是按接触病历的频次、深度和风险等级分为五类，分类确定学时、内容和考核标准。分类名册由人事科提供在职人员名单、科教科提供在院学员名单，病案室汇总后统一编号。4.1培训对象分类类别人员范围年度最低学时其中实操学时A类病案室全体在岗人员（含病历质控、编码、数字化扫描、复印窗口、库房管理人员）16学时≥6学时B类临床医师、护理人员、医技科室出具报告人员8学时≥2学时C类信息中心软件开发、运维、网络安全岗位人员20学时≥8学时D类保洁、保安、导诊、护工等工勤人员4学时≥1学时E类新入职职工、进修生、规培生、实习生2学时（入科前）≥1学时4.2重点科室附加要求•妇产科、精神科、感染性疾病科、肿瘤科、艾滋病抗病毒治疗门诊的病历涉及高度敏感诊疗信息，上述科室B类人员每人增加2学时专项案例课，课程由病案室会同医务科联合讲授。•手术科室增加"术中记录与术后访视中的患者隐私保护"专题1学时。4.3学时认定与考勤规则•学时按实际到课时间计算，迟到超过15分钟该次不计学时；早退等同处理。•因值班、手术、急诊抢救、外出会诊缺课的，由科室负责人签字确认后，安排至下一批次补训，不允许以"听过科室转达"替代本人参训。•各批次补训安排由培训工作组在每期开班通知中一并公布。五、培训内容体系培训内容的落脚点不是让员工"背法条"，而是让每个岗位的人在具体场景中知道"第一步做什么、第二步做什么、做错了后果是什么"。全年课程按"基本理论—基本知识—基本技能—风险场景"四个模块编排，考核命题与各模块知识点一一对应。5.1基本理论模块（全员必修，4学时）1.病历的法律属性病历是患者诊疗过程的客观记录，同时具备档案属性、证据属性与个人信息载体属性。医务人员书写、传递、保存病历的每个环节都受《中华人民共和国民法典》《中华人民共和国个人信息保护法》约束。授课重点：病历记载内容中包含的患者姓名、身份证号、住址、联系方式、诊断信息、检验结果、生物识别信息（如指纹、人脸影像）均属于法律意义上的敏感个人信息，一旦泄露或者非法使用，容易导致患者人格尊严受到侵害或者人身、财产安全受到危害。2.病历信息的分类与分级按敏感程度分为三级：级别内容泄露后果示例一级（极敏感）精神科病历、HIV/梅毒等传染病诊断、人工流产记录、性病诊疗记录、未成年人病历直接损害患者名誉、就业、婚姻，引发高额索赔二级（敏感）一般疾病诊断、手术记录、用药信息、检查报告被用于商业推销、保险拒赔，引发投诉三级（一般）住院基本信息、床位信息、出入院时间单独泄露影响较小，与其他信息关联后风险升高培训要求：每名B类及以上人员能准确判断自己经手的病历属于哪一级，并知晓对应级别的保管要求。3.信息安全三要素（CIA）◦保密性：只有授权人员在授权范围内可访问病历信息；◦完整性：病历内容不可被未授权修改，每次修改留痕可追溯；◦可用性：需要调阅时系统可用、纸质病历可查。授课重点：三个要素在病历场景的实例——"保密性"对应借阅审批；"完整性"对应电子病历修改痕迹管理；"可用性"对应数据备份与病案库房防潮防虫。4.法律责任与后果用本院及行业内真实脱敏案例讲清三类后果：◦行政责任：卫生健康行政部门可依据《中华人民共和国个人信息保护法》第六十六条对情节严重的情形处以高额罚款，并责令暂停相关业务；◦民事责任：患者依据《中华人民共和国民法典》第一千二百二十五条要求医疗机构提供查阅、复制病历，泄露方须承担侵权赔偿责任；◦内部责任：医院依据《员工手册》和保密协议给予当事人通报批评、扣发绩效、调离岗位直至解除聘用合同处理。5.2基本知识模块（分岗位必修）1.A类人员专项（6学时）◦纸质病历库房管理：温湿度标准（温度14～24℃，相对湿度45%～60%）、防虫防霉措施、架位编号规则、库房出入登记制度；◦病历数字化扫描操作规程：扫描前逐页核对页数与患者姓名、扫描中防止图像倒置缺页、扫描后原册按架位归库；◦病历复印审查要点：申请人身份核验、复印范围审核、复印页数登记、复印件加盖证明章的管理；◦病历封存与启封程序：医患双方共同在场、清点页数、双方签字、封条管理、启封时双人核对。2.B类人员专项（3学时）◦电子病历书写与修改：病历书写时限、修改须由原作者签名并保留痕迹、严禁覆盖式修改；◦权限边界：医务人员只能调阅本人主管或本科室在院患者的病历；不得以科研、教学名义调阅与本人工作无关的病历，确需调阅的须经医务科审批并做脱敏处理；◦患者隐私询问话术：在病房、门诊等公共区域询问病史时注意回避其他患者；电话答复病情只对接患者本人或其书面授权的代理人。3.C类人员专项（8学时）◦账号与权限管理：账号一人一号、密码复杂度要求（不少于10位，含大小写字母、数字和特殊字符）、90天强制更换、离岗账号禁用流程；◦日志审计：登录日志、调阅日志的留存期限不少于6个月，重点账号操作日志每月抽查1次；◦数据备份与恢复：备份策略（每日增量、每周全量）、备份介质异机或异地存放、季度恢复演练；◦网络安全等级保护：本院核心业务系统等级保护定级、测评要求及2026年度配合测评的工作清单。4.D类人员专项（2学时）执行"三不"原则：不查看（不翻阅遗留在病案室、医生办公室、护士站的病历）、不拍摄（不拍摄病历、处方、化验单及电脑屏幕）、不传播（不谈论患者病情、不转发含有患者信息的照片）。讲授重点：保洁员在清理病案室废纸时发现整页病历复印件应当交给谁、保安在门诊发现有人拍摄他人检查报告时应当如何处置。5.E类人员岗前培训（2学时）统一讲授上述四项基础内容中与本岗位相关部分，重点强化"账号不共享、密码不转告、病历不拍照"三条铁律。5.3基本技能模块（实操，纳入考核计分）1.电子病历系统操作（B/C类考）◦正确登录与退出：下班必须退出系统、离开工位超过10分钟必须锁屏；◦正确使用"会诊、转科、借阅"功能：严禁通过共享账号或代他人操作方式获取病历访问权；◦常见错误：将账号密码写在便签纸贴在显示器边框、在公共电脑上勾选"记住密码"、为图方便使用他人账号录入记录。2.纸质病历借阅操作（A/B类考）◦核对借阅人身份与授权范围；◦登记借阅事由、病历号、借出页数、约定归还时间；◦当面对册清点，双方签字确认；◦归还时逐页核对页数、检查有无涂改缺损，发现问题当场记录。风险路径讲解：借阅人将病历带离病案室后经过门诊大厅、电梯等公共区域，若病历册封面朝外且无封套，患者姓名和诊断信息即可被旁观者看到；若途中遗失，从遗失到发现通常超过30分钟，拾获者可能拍照传播。正确做法：病案室提供不透明封套，借阅人必须将病历装入封套后方可带出；借阅人中途离开病历时须将病历随身携带或锁入办公柜。3.病历复印操作（A类考）◦核验申请人身份证件原件，留存复印件并注明用途；◦患者本人复印：核对身份证与病历首页姓名一致；◦代理人复印：核验代理人身份证、患者身份证、患者签署的授权委托书；◦死亡患者病历复印：核验死亡证明、亲属关系证明、申请人身份证；◦复印后逐页加盖"病历复印专用章"，登记份数与用途。4.病历封存与启封操作（A类考）◦封存：双人清点病历页数→装入信封→填写封存记录单一式两份→医患双方签字→信封封口处粘贴封条并双方骑缝签名→登记存放位置；◦启封：双人到场→查验封条完好→拍照留证→拆封核对页数→填写启封记录。5.信息安全事件上报操作（全员考）◦口头首报：发现事件后5分钟内报告本科室负责人；涉及电子病历系统的同时报告信息中心；◦书面补报：24小时内提交书面事件经过，包含时间、地点、涉及病历范围、已采取的措施；◦常见错误：隐瞒不报、自行删除操作记录、私自联系患者私下解决。5.4重点风险场景教学（案例教学，全年不少于6个场景）每个场景按"起因→传播路径→触发条件→后果"四步讲解，配套标准处置动作：场景起因传播路径错误做法标准处置1医生为图方便使用同事账号查看检验结果账号共用共享账号→越权访问→调阅记录关联到他人名下拒绝共用账号；确需查看时请该患者主管医师操作2患者家属来电询问手术情况电话询问护士随口答复→信息传错→家属误解→投诉答复"病情请直接与主管医师沟通"，转接主管医师3保洁员在医生办公室垃圾桶发现整页出院记录纸张未销毁拾获者拍照→发至亲友群→患者隐私扩散拾起后立即交还护士站并登记；不得查看、拍摄、传播4研究人员申请调阅某病种全部病历科研需求未经审批批量导出→数据脱离监管→用于非申请用途经伦理委员会和医务科双重审批；导出数据脱敏；限定使用期限5患者本人要求复印全部住院病历行使查阅权窗口人员拒绝→患者投诉按《医疗机构病历管理规定》提供复印或查阅服务，按规定收取工本费6系统提示某离职员工账号仍有登录记录账号未禁用信息中心未与人事科同步→离职人员继续访问人事科发出离职通知当日，信息中心冻结全部账号5.5向各科室下发的培训工具•《病历信息安全口袋卡》（人手一卡，64开双面印刷）：◦正面：账号管理三条铁律、病历借阅五步流程、复印身份核验清单；◦背面：信息安全事件上报电话一览表、九类高风险动作清单（打钩自查用）。•《科室病历信息自查表》（每月末由科室质控员填写，交病案室汇总）：◦本月新进人员是否完成岗前培训并签署保密协议；◦本月有无病历带离病区未封套的情况；◦本月是否发现病历纸张散落、复印残页未销毁等问题；◦本月有无人员调岗、离职且未交回钥匙、门禁卡、账号未注销。六、培训形式与组织纪律（三严）参训人数不是培训效果的证明，考勤率、课堂纪律、考核通过率三项数据共同构成培训质量的证据链。本年度培训按"三严"要求逐一落实到过程管理。6.1培训形式形式适用对象组织要求集中授课全体分类人员每场不少于2学时；课件经培训工作组审核，须包含案例和操作步骤，不得只有条文罗列实操演练A类、C类在病案室窗口、信息中心机房现场操作；每批不超过10人，保证人人动手案例研讨B类重点科室每季度1次，由授课讲师主持，讨论不少于30分钟应急演练全院涉及全年3场专项演练，见第九章线上自学全院人员经院OA平台发布微课视频，每段不超过10分钟；学完后须完成在线测验，成绩计入平时成绩6.2严格要求——考勤与纪律•每场培训开班前3天由培训工作组在OA发布通知，明确时间、地点、批次和请假流程。•每场培训实行课前课后双点名，由培训工作组专人负责；缺勤名单于课后2小时内反馈至所在科室。•迟到超过15分钟记缺勤，缺勤人员须在下一批次补训。•培训期间手机调至静音；接诊急诊电话等特殊情况可离场，返回后须向班主任（培训工作组当日值班人员）销假。•参加线上自学的，平台记录学习时长与测验成绩，未完成者不计学时。6.3严密组织——课程与讲师管理•讲师须在授课前一周提交课件至培训工作组审核，审核要点：是否包含真实案例、是否给出标准操作步骤、是否注明各章节用时。•课件审核不通过的，退回补充修改后再次审核，审核未通过不得授课。•每场培训结束后由学员填写《培训效果评估表》（见附件三），讲师综合评分连续两次低于80分的，由培训工作组调整讲师安排。6.4严谨态度——考核与命题•理论考核命题采用双人出题制：题库由病案室主任与信息中心网络安全员分头命制，再由工作组汇总审核，避免单人命题的主观偏差。•试卷统一印制、密封，监考人员每考场不少于2人，严禁考生携带手机和纸质资料入场。•阅卷采用集体阅卷、双人复核制；成绩录入电子台账后由病案室主任复核签字。•投诉或质疑成绩的，由培训工作组在3个工作日内调卷复核，复核结果为最终成绩。七、2026年全年培训排期表全年培训按"第一季度立规矩、第二季度抓实操、第三季度练应急、第四季度考收官"四阶段推进，各科室据此提前调配值班人员，确保应训尽训。月份培训对象培训内容学时形式责任部门1月培训工作组年度计划研讨、讲师备课、题库更新、数职工名册核对—工作会议病案室2月全院A/B/C/D类基本理论模块（法规框架、病历分级、CIA三要素、法律责任）4集中授课（分4批次）医务科、病案室3月B类重点科室重点风险场景教学（场景1、2、6）、患者隐私询问话术2案例研讨医务科3月A类纸质病历库房管理、借阅操作、封存启封4实操+授课病案室4月C类账号权限管理、日志审计、密码策略4授课+实操信息中心4月B类（其余科室）电子病历书写与修改规范、权限边界3集中授课医务科5月A类病历数字化扫描、复印审查、库房管理4授课+实操病案室5月全院上半年案例警示分析（脱敏事件通报）2集中授课院办（保密办）6月全院A/B/C类上半年理论考核（闭卷）2考核培训工作组6月相关部门演练一：勒索病毒桌面推演2桌面推演信息中心7月C类数据备份与恢复操作、等级保护配合清单6授课+机房实操信息中心8月D类"三不"原则、发现遗失病历上报路径2集中授课病案室、后勤保障部8月B类重点科室重点风险场景教学（场景3、4、5）2案例研讨医务科9月A类/E类演练二：纸质病历丢失处置实操；新入职人员信息化岗前培训3实操演练病案室9月C类演练三：越权调阅处置全流程2全流程演练信息中心、人事科10月A类/C类实操技能考核（借阅、复印、封存、备份恢复）4实操考核培训工作组10月E类（新入职）岗前培训补训批次（含保密协议签订）2集中培训人事科、病案室11月全院下半年理论考核（闭卷，含全年内容）2考核培训工作组12月不合格人员补考与补训；年度总结；次年计划编制视情况考核+会议培训工作组八、考核评价与结果应用考核的定位不是"走过场的问卷"，而是与岗位权限挂钩的准入性评价——不合格者不能独立接触病历管理工作。本年度考核由理论考核和实操考核两部分构成，分别评分、分别判定。8.1理论考核•全年安排两次闭卷考核：上半年（6月）与下半年（11月）。下半年考核内容覆盖全年课程，两次成绩取最高值计入个人培训档案。•试卷满分100分，题型包括：单选题（30题×1分）、多选题（10题×2分）、判断题（20题×1分）、案例分析题（2题×15分）。•合格线为80分。•命题范围严格对应本计划第五章各模块知识点，试题难度分布为基础题60%、应用题30%、案例分析题10%。8.2实操考核考核对象考核项目考核方式合格标准A类人员借阅登记与核验、复印身份审查、封存启封全流程现场操作，考官按操作评分表逐项打分评分表得分率≥80%，且无"一票否决"项（未核验身份、封条未骑缝签名等）B类人员电子病历系统登录与退出、调阅权限范围判断、患者隐私应答话术情景模拟+系统操作同上C类人员账号禁用流程、日志导出、备份恢复操作在测试环境实际操作备份恢复在60分钟内完成且数据校验一致•实操考官由病案室主任、信息中心主任或其指定人员担任，每组不少于2人。•实操考核时间每人不少于15分钟，同一批次不超过10人。8.3不合格处理•理论考核低于80分的，于12月统一补考一次。•补考仍不合格的，暂停该人员电子病历系统账号及病历调阅权限，由所在科室安排脱产培训后于2027年1月再次考核。•实操考核不合格的A类、C类人员，暂停独立操作资格，由带教老师指导一周后重新考核。•全年考核不合格且经补训仍不达标的，由培训工作组报领导小组，按医院人事管理制度处理。•因考核不合格被暂停权限的人员，所在科室须安排替岗，确保临床工作不受影响。8.4培训效果评估采用四级评估法，每级都有明确的工具和数据：层级评估内容工具与频次数据应用第一级：反应层学员对课程内容、讲师、组织工作的满意度《培训效果评估表》（每次课后现场填写）讲师调整、课程内容优化第二级：学习层知识掌握程度理论考核成绩、实操考核评分表（每半年）判定是否达到合格线第三级：行为层日常工作行为是否改变四类监测指标：借阅登记完整率、账号禁用及时率、违规事件数、自查表填报率（每月统计）未改善的科室追加专项培训第四级：结果层事件数、投诉数、赔偿数变化年度对比统计（2026年12月）纳入科室年度质控考核九、信息安全事件应急演练专项方案演练的价值不在演得热闹，而在验证三条线：预案写得通不通、电话打得通不通、备份找得回找不回。2026年全年安排3场专项演练，每场演练结束后5个工作日内完成复盘报告并归档。9.1信息安全事件分级标准级别判定标准启动权限处置原则一级（重大）涉及≥100份病历信息泄露；系统遭勒索病毒攻击导致核心业务中断≥4小时；病历被恶意篡改影响医疗纠纷判决分管副院长立即启动全院应急预案，1小时内向院党委报告，按规定向卫生健康行政部门和公安机关报告；以"止损、取证、恢复"为序二级（较大）涉及10～99份病历信息泄露；系统中断1～4小时；越权调阅确认属实信息中心主任或病案室主任30分钟内报分管副院长，4小时内完成书面报告；冻结相关账号、保护日志、通知受影响患者三级（一般）单份病历短期失联后找回；密码泄露未造成实际访问；复印身份核验失误未造成泄露科室负责人当班处置，24小时内书面上报，纳入月度质控分析9.2演练一：勒索病毒攻击桌面推演（6月，信息中心牵头）•场景设定：某工作日14:00，信息中心值班人员接到临床科室电话，反映电子病历系统登录后显示数据库文件被加密，桌面上出现勒索提示。•参演部门：信息中心、医务科、病案室、门诊部、财务处、院办公室。•推演步骤：1.信息中心值班人员接到报告后，5分钟内电话报告信息中心主任；2.信息中心主任判断为一级事件，报告分管副院长，启动应急预案；3.信息中心实施断网隔离——只断开受感染网段，不直接关闭全院网络，避免扩大影响面；4.医务科通知各临床科室切换至手工模式：门急诊手工挂号、开具纸质处方和检查申请单，住院患者医嘱由护士双人核对后手工转录；5.病案室做好纸质病历应急调阅准备；6.信息中心启用离线备份恢复，目标在4小时内恢复核心系统只读功能，24小时内恢复全部业务；7.院办公室统一对外口径，财务处备好手工收费票据；8.推演结束，逐项复盘各环节响应时间。•演练考核点：首报时间是否≤5分钟；断网决策是否在15分钟内做出；手工流程表单是否在30分钟内到位；备份恢复演练数据是否完整。9.3演练二：纸质病历丢失处置实操（9月，病案室牵头）•场景设定：A类人员将一册住院病历从病案室送至医学科研楼复印途中，发现病历不翼而飞。•参演人员：A类全员轮流扮演当事人员，病案室主任担任现场指挥，后勤保卫人员配合。•实操步骤：1.当事人员发现病历丢失后，原地回忆行走路线，立即原路折返寻找，同时报告病案室组长；2.组长报告病案室主任，安排第二人到监控室调阅沿途监控；3.15分钟内未找到的，病案室主任宣布按三级事件处置，组织全楼广播问询；4.找到的，核对病历页数与完整性，登记事件经过，转入事件分析；5.超过4小时仍未找到的，升级为二级事件，按流程通知患者，向医务科和分管副院长书面报告；6.演练结束后，当事人员与观摩人员共同列出改进清单（如封套改进、运送路线调整、双人运送制度等）。•演练考核点：首报是否在5分钟内完成；监控调阅是否在15分钟内启动；病历找回后的页数核对是否双人执行。9.4演练三：越权调阅处置全流程（9月，信息中心、人事科牵头）•场景设定：信息中心在日常审计中发现，一名已办结离职手续的医生账号在离职后第3天仍有登录和调阅病历记录。•参演人员：信息中心审计员、人事科专员、病案室质控员、该医生原科室主任。•处置流程：1.审计员发现异常后当日冻结该账号，保留登录日志和调阅记录截图；2.信息中心通知人事科核实离职日期，人事科提供离职手续办理时间记录；3.病案室根据调阅日志核对被调阅病历范围，评估泄露风险；4.原科室主任联系离职医生本人核实登录者身份（该医生称账号曾告知过同科室同事）；5.确认为同事使用他人账号后，信息中心核实该同事在职状态，冻结操作账号并启动谈话调查；6.按事件分级认定为二级事件，报分管副院长，30日内完成整改报告。•整改靶点：人事科在离职手续清单中增加"信息中心账号禁用确认"环节，未经信息中心签字确认的，人事科不得出具离职证明。该整改措施在演练结束后2周内正式发文执行。9.5演练复盘与改进•每场演练结束后5个工作日内，牵头部门提交《应急演练记录表》（见附件四），内容包括：演练实际用时、各环节响应时间、发现的问题、整改措施、责任人与完成时限。•排查出的问题按"立即整改、限期整改、持续优化"三级分类登记，培训工作组每季度跟踪整改进展。•全年演练发现的问题整改率须达到100%，整改证据（新制度发文、流程表单更新、人员再培训记录）纳入年度总结。十、培训档案管理没有档案就没有证据，没有证据培训就等于没有发生过。本年度培训档案按"一场一档、一人一册、电子备份"三层要求建立。10.1一场一档每场培训（含演练）建立独立档案夹，按以下顺序装订：1.培训通知（发文或OA截图）；2.签到表（含课前课后两次签到）；3.授课课件打印版或电子版存档；4.考核试卷样卷及标准答案；5.成绩汇总表；6.培训效果评估表汇总；7.现场照片或影像资料（如有）。档案由培训工作组教学秘书统一编号，编号规则：PX-2026-XX（XX为培训场次序号）；档案保存期限不少于5年。10.2一人一册•为每名参训人员建立培训记录页，内容包括：各批次参训时间、学时数、两次理论考核成绩、实操考核成绩、补考记录、证书编号。•培训记录页随人事档案同步管理；人员调岗时培训记录同步转入新科室。•全院培训台账格式见附件五，2026年12月31日前汇总形成年度总台账。10.3电子化备份•所有培训档案扫描为PDF文件，上传院OA系统"培训管理"模块，设置病案室、医务科、质控科查阅权限。•电子档案与纸质档案内容一致，保存期限一致。•档案借阅须经病案室主任批准，借阅期限不超过5个工作日。十一、经费预算预算坚持"院内师资为主、以最低现金支出支撑最大培训覆盖"的原则，本年度不安排外聘讲师课酬、不采购第三方培训服务。现金支出控制在以下区间内，从医院年度职工培训经费统筹列支。序号预算科目预算区间（元）支出内容说明1课件与教学视频制作20000～40000案例动画制作、微课视频拍摄、PPT美工设计，优先由院办公室宣传人员配合制作；外包时按竞价比价确定2教材与口袋卡印刷8000～12000《病历信息安全口袋卡》人手一卡（约2000张）、培训手册500册、自查表印刷3演练物料与道具3000～6000演练场景标识牌、模拟封条、病历封套、测试用纸质病历复制册；不含信息中心测试设备采购4考场与场地布置0～5000如需借用院外场地组织集中考核时的场租；院内场地原则上免费5证书与档案耗材2000～4000培训证书印制、档案盒、装订耗材6合计33000～67000不含参训人员工资及院内讲师课酬•预算执行实行季度核销制：培训工作组于每季度第1周提交本季度用款计划，经医务科、财务处审核后按计划执行。•单项支出超过5000元的，须报分管副院长审批；超过20000元的，报院长办公会审定。十二、质量监督与持续改进培训效果的终点不是12月那场考试，而是次年1月回看全年隐私泄露事件数量是否真正下降。本年度培训质量监督按"日常监测、季度评估、年度整改"三个周期运行。12.1日常监测指标培训工作组每月5日前统计上月下列指标，报送领导小组：指标目标值数据来源借阅登记完整率≥98%病案室借阅登记簿抽查账号禁用及时率（离职/调岗后24小时内）100%信息中心账号台账与人事科离职名单比对病历复印身份核验执行率100%复印窗口监控抽查每月20例科室自查表按时填报率100%病案室每月末汇总信息安全事件数逐月下降全院事件登记簿12.2季度评估•每季度末由培训工作组召开评估会，对照培训进度表和日常监测指标核查执行情况。•覆盖率或合格率未达标的科室，科室负责人在评估会上作原因说明并提出整改措施。•评估结论写入季度培训简报，抄送院长办公会成员。12.3年度整改与2027年计划编制•2026年12月，培训工作组汇总全年数据，形成《2026年度病历信息安全培训总结与效果评估报告》。•年度总结重点回答四个问题：事件数是否下降、考核合格率是否达标、演练发现的问题是否全部整改、哪些科室和岗位仍是薄弱环节。•2027年培训计划于2026年12月31日前报领导小组审批，编制依据为年度总结中的薄弱环节清单。附件：可直接打印使用的表格与工具附件一：培训签到表（样表）培训场次编号：PX-2026-＿＿培训时间：＿＿年＿＿月＿＿日＿＿时＿＿分至＿＿时＿＿分序号姓名科室培训类别课前签到课后签退备注1＿＿＿＿＿＿A/B/C/D/E□□2＿＿＿＿＿＿A/B/C/D/E□□3＿＿＿＿＿＿A/B/C/D/E□□4＿＿＿＿＿＿A/B/C/D/E□□5＿＿＿＿＿＿A/B/C/D/E□□签到负责人：＿＿＿＿培训工作组审核人：＿＿＿＿附件二：培训考核登记表（样表）序号姓名科室类别上半年理论成绩下半年理论成绩实操考核项目实操成绩补考成绩是否合格备注1＿＿＿＿＿＿A＿＿＿＿借阅/复印/封存＿＿＿＿是/否2＿＿＿＿＿＿B＿＿＿＿系统操作/话术＿＿＿＿是/否3＿＿＿＿＿＿C＿＿＿＿备份恢复/日志审计＿＿＿＿是/否附件三：培训效果评估表（样表）培训场次编号：PX-2026-＿＿培训主题：＿＿＿＿请对本次培训逐项评分（1～5分，5分为最好）：评估项目评分（1～5）1.课程内容与本人岗位的关联度＿＿2.案例讲解的具体程度＿＿3.操作步骤的清晰程度＿＿4.讲师答