3週間もの間、誰にも気づかれなかった病院の請求システムの不具合

はじめに

中西部のある地域病院グループは、昨年の春、通常の変更プロセスを通じてスケジューリング関連のパッチを適用しました。特に目立った変更ではなく、退院時刻と請求モジュールの同期方法を更新する、ごくありふれた更新作業でした。3週間後、売掛金担当の誰かが、タイムスタンプの不一致を理由に返却される請求が相次いでいることに気づきました。IT部門が原因を突き止めた頃には、この修正の影響は400人以上の患者の保険請求に及んでいました。厳密に言えば、誰かが何か間違ったことをしたわけではありませんでした。 この更新は、チェックリスト上のすべてのテストに合格していました。ただ、それが「正しい」チェックリストではなかったのです。

この話が私の心に強く残っているのは、これが単に病院の話ではないからだ。組織のバックグラウンドで静かに稼働しているシステムが、定期的な精査を必要とする「生きたインフラ」ではなく、完成品として扱われてしまったときに何が起こるかという話を示しているのだ。

2年前に構築した自動化システムは、あなたが思っているようなものではない

多くの企業は、具体的かつ目に見える課題を解決するために、最初のワークフロー自動化を構築します。人事チームは有給休暇申請の手動処理にうんざりしています。営業オペレーション担当者は、営業担当者が都合の良い案件ばかりを選ばないように、リードの割り当てを自動化します。これらはPower Automateのような自動化ツールを使って構築されます――設定が迅速で、引き継ぐ意思のある人なら誰にでも簡単に引き継げ、一度動作し始めればほとんど目立たなくなります。

問題は、「一度動作し始めると」それが恒久的な状態になってしまうことです。誰も見直しのスケジュールを立てません。構築した担当者は部署を異動したり、退職したりします。その間にも、自動化を取り巻くビジネス環境は変化します――新しいCRMフィールドの追加、承認階層の変更、合併によって処理量が倍増し、半分の負荷を想定して構築されたシステムに過大な負荷がかかるなどです。自動化は設計通りに動作し続けますが、それこそがまさに問題なのです。それは、もはやその形では存在しない企業のために設計されたものだからです。

ある物流会社では、ベンダーがAPIのフィールド名を変更したために、例外処理の自動ルーティングフローが11ヶ月間も気づかれずに誤作動していたことが判明した。その対処法とは？ 誰かが、それが単発の出来事だと想定し、誰にも知らせずに手動で失敗したケースを再入力し続けていたのだ。これはツールの不具合ではない。誰もが安定していると想定していたものを再検討しなかった、組織的な失敗である。

病院にも同様のリスクが存在しますが、その影響ははるかに重大です

この同じパターンを病院の臨床および管理システムに当てはめると、許容される誤差の余地は激減します。病院のソフトウェア開発では、従来、適応性よりもコンプライアンスや稼働時間を優先してきました。デプロイに失敗すれば、午前2時に看護師が投薬履歴を呼び出せなくなる可能性があることを考えれば、それは理解できることです。しかし、その慎重さゆえに、レガシーシステムは本来あるべき期間をはるかに超えて稼働し続け、再構築されることなくパッチを当てられ続けることがよくあります。なぜなら、重要な機能を担うシステムを壊してしまう責任を負いたがる人は誰もいないからです。

その結果、誰がいつ決定したのか誰も覚えていないような決定が積み重なったアーキテクチャが生まれている。あるスケジューリングモジュールは、2016年に構築された統合機能を通じて請求システムと連携しているが、そのベンダーとは2019年に契約を終了している。それでも、概ねは機能している。しかし、「概ね」という言葉は、患者データに関わる場面では決して用いてはならない言葉だ。

徐々に変わりつつあるのは、医療ITにおけるレジリエンスとは変化を避けることではなく、規制が変更されたり新しいEHRモジュールが追加されたりするたびに「小さな奇跡」を必要とせずに変化を吸収できるほど柔軟なシステムを構築することである、という認識です。

なぜ「壊れていなければ問題ない」という考え方が誤りなのか

この2つのシナリオに共通する点は、システムが「壊れていなかった」ということです。設定通りに正確に動作していました。それこそが、誰もそれらに注目しなかった理由なのです。

定義上、故障したシステムには注目が集まります――誰かが苦情を言ったり、何かが停止したり、チケットが登録されたりするからです。危険なのは、表面的には問題なく稼働しているものの、組織が実際に必要としているものから静かに乖離していっているシステムです。実行はされるものの、間違った部署にルーティングされてしまうワークフローの自動化。データは送信されるものの、下流のシステムが現在依存しているフィールドを削除してしまう病院のインターフェースなどです。

監査は華やかな仕事ではありませんが、その代替案もまた同様です

解決策は、実践では面倒であっても、概念的には複雑ではありません。過去にどれほど良好に機能していたかに関わらず、無人稼働しているシステムすべてについて、定期的な見直しをスケジュールするのです。現在、誰がそのシステムを管理しているかを尋ねてください。構築以来、上流と下流で何が変わったかを尋ねてください。もし明日、そのシステムが静かに動作を停止しても、誰かがそれに気づくかどうかを尋ねてください。

多くの組織は、これを「進歩」ではなく「メンテナンス」のように感じるため、この作業を省略しがちです。メンテナンスには予算も称賛もほとんど回ってこないからです。しかし、これを省略したことで生じるコストは消えるわけではありません。それはただ、売掛金担当者が数字が合わないことに気づくその瞬間を、静かに待ち続けているだけなのです。