ГОСТ Р 57301—2016
А.4.4 Создание и поддержание требований, на соответствие которым проводится сертификация
Большинство требований безопасности и конфиденциальность основывались на стандартах ИСО. в част
ности ИСО/МЭК 27001. ИСО/МЭК 27002 и ИСО/МЭК 15408 (все части).
Федеральный совет медицины Бразилии предоставил начальные средства в размере 100 000 долларов
США для разработки программы, притом что основная часть работы проводилась на добровольной основе груп
пой акционеров SBIS. В настоящее время часть работы все еще выполняется добровольцами, а другая часть
финансируется за счет оплаты обучающих курсов, предоставляемых SBIS. и сборов, оплачиваемых
поставщиками за проведение аудитов. Набор требований по сертификации был создан и поддерживается
рабочей группой, об разованной членами SBIS. и основан на национальных и международных стандартах, в
дополнение к правилам к национальным программам и соответствующему законодательству. Перед публикацией
набор требований подвер гался публичному рассмотрению, во время которого любое заинтересованное лицо
или специалист может оста вить комментарий или предложить внести изменения в предлагаемые тексты. После
согласования и доработки SBIS публикует требования в качестве нового издания «Руководства по сертификации».
А.4.5 Продолжительность сертификации и управление новыми версиями
Утвержденные системы получают сертификат и печать, которые могут быть использованы продавцом в ре
кламных материалах в соответствии с критериями «Руководства по сертификации» и договором между поставщи
ком и SBIS.
Каждый сертификат действителен в течение двух лет. за исключением тех случаев, когда он отменяется в
связи с любым нарушением правил программы. В течение этого периода повторные испытания не проводятся,
так как сертификат присваивается конкретной системе определенной версии и в соответствии с определенным
изданием требований. Поставщик обязан предоставить такую информацию в своих рекламных материалах и при
реализации продукции на рынке или должен четко указать имя и версию сертифицированной системы, а также год
издания требований, в котором была проведена проверка соответствия.
В случае если поставщик хочет продлить действие сертификата для новой версии системы, будут прово
диться новые испытания, и после подтверждения соответствия сертификат будет продлен для новой версии. Од
нако это действие не является обязательным, и поставщик может поддерживать старую сертифицированную вер сию
без сертификации новой.
После истечения срока действия поставщик может подвергнуть систему новому процессу аудита с последу
ющим получением в случае удачной проверки нового сертификата на нее.
А.4.6 Процесс проверки на соответствие
Испытания, используемые во время сеанса аудита, выполняются при личной встрече в офисе SBIS в г. Сан-
Паулу при участии трех аудиторов и трех специалистов поставщика, а средняя продолжительность испытания
составляет три дня для каждой оцениваемой системы. Сеансы записываются, включая запись
видеоматериала, отображаемого проверяемой системой, и запись звука в помещении на DVD-диски, которые
хранятся в SBIS. для использования при согласовании консультации в случав, если результаты спорны.
Аудит использует тестовые сценарии, определенные в «Руководстве по проведению испытаний и анализов
для сертификации EHRS». составленном SBIS вместе с «Руководством по сертификации». После запуска сцена
риев аудиторы проводят проверку соответствия системы каждому обязательному требованию из перечисленных
категорий, предоставляя конечный результат после завершения испытаний.
Для того чтобы получить сертификат, система должна продемонстрировать соответствие всем обязательным
требованиям перечисленных категорий: в ином случае сертификат не будет выдан. В случае несоответствия разработ
чик может применить дополнительный сеанс аудита (второй цикл) в течение 90 дней, считающийся «вторым шансом»,
для устранения обнаруженных неисправностей и повторного предоставления системы с необходимыми поправками.
После окончания сеанса аудита результаты, полученные аудиторами (первый уровень), предоставляются
менеджеру процесса сертификации (второй уровень), который оценивает их и передает комитету по сертификации
(третий уровень), включающий трех человек, которые следят за тем. чтобы весь процесс проводился в соответ
ствии с правилами программы. После одобрения Комитет по сертификации выдает свидетельство и печать для
системы, прошедшей оценку. В ином случав разработчик получает уведомление об отказе с указанием соответ
ствующих причин.
Учитывая, что все этапы должны быть выполнены с момента вступления системы в программу до оглашения
окончательного решения комиссии, каждый процесс занимает около 60 дней при условии, что второй цикл аудита
(описанный выше) не требуется.
А.4.7 Краткое описание текущих знаний
Теория и практика, как правило, отличаются, это. конечно, касается и оценки соответствия систем EHR. Неко
торые из первоначально разработанных требований, правил и процессов должны быть пересмотрены в процессе
реализации, иногда в отношении концепции, в других случаях — в режиме выполнения и в отношении документа
ции. Программа сформировалась и продолжает развиваться.
Несколько основных вопросов были изучены в Бразилии до настоящего времени:
- Существует возможность создания и внедрения национальной программы сертификации высокого каче
ства. даже при ограниченных ресурсах и в большой стране. Мы обнаружили несколько препятствий при данном
способе, но не было ни одного такого, которое мы не смогли преодолеть.
39