系统、数据与权限

10.1 临床事实的权威源

HIS协调流程，EMR保存病历，LIS/PACS保存专业结果，药房保存审方与调配，医保系统保存申报结算，ERP保存采购库存与会计。系统之间通过长者、就诊、医嘱、执行和收费ID关联。任何接口不得把“发送成功”误当“临床执行成功”。

10.2 电子病历的真实性与痕迹

病历模板可以提高效率，但不能复制不适用内容。创建、签名、修改、补记、封存、复制和访问分别授权；更正保留原内容和时间。2025年国家卫生健康部门进一步要求医疗机构完善电子病历分级管理和建立、记录、修改、保存、传输全流程及权限范围。[SRC-Q03-NHC-BED-CONVERSION-2024]

10.3 最小权限与职责分离

角色	可做	不可做
医师	查看负责长者、签发医嘱、书写病历	修改收费收款或他人签名
护士	查看护理所需病历、执行医嘱、记录观察	开立医师处方
药师	审方、调配、药事干预	替医师修改诊断
收费医保	结算、申报、处理拒付	补写临床依据
系统管理员	配置账号、监控和备份	以管理员身份代写病历
运营管理	查看去标识汇总和必要明细	无目的浏览名人或员工病历

敏感操作采用再认证、双人审批或事后高优先级审计。离职、转岗、科室变更和外包结束立即撤权。共享账号、医生签名U盾交给助理、万能管理员日常办公均属于高风险做法。

10.4 数据最小化与二次使用

预约阶段只收完成预约和安全分流所需数据，照护康复阶段按医疗需要增加；营销、科研、AI训练、集团分析和第三方服务属于不同目的，应分别判断合法基础、必要性、告知同意、去标识和退出。长者拒绝营销不应影响照护康复。未成年人、生物识别、健康和遗传等敏感信息采用更严格保护。[SRC-NPC-PIPL-2021]

10.5 临床决策支持和AI

规则或模型可以提示过敏、相互作用、剂量、重复检查和风险，但最终责任和处置路径必须明确。上线前验证适用人群、数据、假阳性和漏报；上线后监测覆盖、采纳、越权和长者影响。模型输出进入病历时标记来源和使用者判断，不能自动生成虚假问诊、查体或知情沟通记录。

10.6 数据质量门禁

长者身份冲突、就诊未关闭、医嘱无签名、执行无状态、费用无执行依据、医保编码与诊断明显矛盾、危急值无接收处置、病历时间倒置和库存负数均进入阻断或高优先级队列。月底不能静默修表；每次更正有事件ID、原值、新值、原因、权限和复核。

10.7 灾备与业务复演

灾备不是数据库能启动就结束。恢复后按真实场景复演预约、建档、医嘱、给药、检验、收费、退费、医保申报和病历查询；验证恢复点内的数据是否重复或丢失。临床系统的恢复优先级由长者风险决定，不只看技术方便。

01养老机构信息团队在停机演练中切换电子病历

02药房

03检验和收费系统

04临床人员用线下单据维持长者安全并双人补录

10.8 连锁数据治理

总部只获得实现质量、经营和法定职责所需的数据。跨机构会诊、质控和长者转诊分别设置目的、角色和期限；一家门店不能默认查看另一家完整病历。指标先在源系统形成血缘，再汇总到集团数据仓库；门店不得为排名手工修改分母。