Цифровая зрелость медицинской организации: ИСО 38503 и EFQM — оценка и план трансформации

Главный врач получает на одной неделе два письма: региональное требование подключить информационную систему к обновлённой версии ЕГИСЗ и коммерческое предложение внедрить модуль поддержки принятия решений на основе ИИ. Оба нужно вписать в бюджет, но сравнить их значимость не с чем — в организации нет ни одной цифры о том, где она вообще находится в цифровой трансформации. Так выглядит типичная реактивная цифровизация: сначала подключение к ЕГИСЗ, затем внедрение медицинской информационной системы, затем автоматизация внутреннего контроля качества. Каждый шаг делается сам по себе, под конкретное требование или доступное финансирование. В итоге получается лоскутное одеяло из систем, которые не разговаривают между собой.

Объективную картину до принятия решений о следующих инвестициях даёт оценка цифровой зрелости. Главное здесь — не выбрать один инструмент вместо другого: один стандарт отвечает за управление ИТ как отдельную область, Модель Совершенства EFQM — за зрелость организации в целом, включая её применение к здравоохранению. Разница в фокусе делает инструменты не конкурентами, а взаимным дополнением, и один из практических результатов совместного применения — это общий язык между тремя группами, которые в реальности редко говорят друг с другом: руководством медицинской организации, ИТ-службой и службой качества.

Что такое ИСО/МЭК 38503:2022 и как он устроен

ИСО/МЭК 38503:2022 «Information technology — Governance of IT — Assessment of the governance of IT» — международный стандарт, опубликованный в январе 2022 года. Он входит в семейство ISO/IEC 38500 по управлению ИТ в организациях: базовый документ семейства задаёт принципы, а ИСО/МЭК 38503 — методику их оценки, опираясь на определения и модель из ИСО/МЭК 38500 и ИСО/МЭК TR 38502, а также на рекомендации по внедрению из ИСО/МЭК TS 38501.

Базовый стандарт семейства, ИСО/МЭК 38500, вышел третьим изданием в 2024 году (предыдущие издания — 2008 и 2015 годов). Редакция 2024 года не меняет ядро из шести принципов управления ИТ, а расширяет контекст: согласование с ИСО 37000, явные упоминания ИИ, облачных технологий и устойчивого развития. Сами принципы остаются прежними: ответственность (Responsibility), стратегия (Strategy), приобретение (Acquisition), производительность (Performance), соответствие (Conformance) и человеческий фактор (Human Behaviour).

Стандарт прямо указывает, что применим к организациям любого размера независимо от масштаба использования ИТ. Небольшая частная клиника и крупная многопрофильная больница используют один и тот же инструмент. Разница только в охвате оценки.

Шесть принципов ИСО/МЭК 38500 применительно к медицинской организации

Сами по себе шесть принципов сформулированы для организаций любого профиля, без привязки к здравоохранению. Дальше — авторская интерпретация того, как они читаются применительно к медицинской организации: это экспертная позиция, а не дословный текст стандарта.

Разрыв редко бывает равномерным по всем шести принципам сразу — таково наблюдение из практики сопровождения подобных оценок: чаще всего технически сильный ИТ-отдел закрывает «производительность», но проседает именно на «стратегии» и «ответственности», потому что решения об ИТ-инвестициях принимаются без участия ИТ-руководства в стратегическом планировании организации.

Модель Совершенства EFQM и её применение в здравоохранении

EFQM (European Foundation for Quality Management) — международная модель организационного совершенства, которой более 30 лет, и её применяют тысячи организаций по всему миру. Версия EFQM 2020 была представлена в ноябре 2019 года; 5 июня 2024 года на форуме EFQM в Стамбуле показали следующую итерацию, EFQM 2025. Она усиливает акцент на устойчивом развитии, технологическом лидерстве (включая ИИ и цифровую трансформацию) и управлении экосистемами.

Применительно к здравоохранению в России так называемую «медицинскую линзу» — адаптацию модели EFQM к специфике медицинских организаций — развивает подкомитет «Менеджмент организации здравоохранения» (ПК3), базирующийся во Всероссийской организации качества (официальном национальном партнёре EFQM в России с 2003 года). Подкомитет создан приказом Росстандарта № 2300 от 02.11.2023 и действует в структуре технического комитета ТК076 «Системы менеджмента» — при этом сам ТК076 не подчинён ВОК, его секретариат ведёт ФГБУ «Российский институт стандартизации», а ВОК выступает именно базовой организацией отраслевого подкомитета по здравоохранению. Важная оговорка: официально опубликованного документа EFQM под названием «Healthcare Lens» как самостоятельного стандарта не существует. Речь о развивающейся концепции применения общей модели к здравоохранению, а не о готовом продукте EFQM.

Применение EFQM в здравоохранении подтверждено в международной литературе: кейс итальянской Trento Healthcare Trust (Favaretti et al., International Journal of Health Care Quality Assurance, 2015, том 28, №2) зафиксировал рост среднего балла самооценки EFQM с 290 в 2001 году до 610 в 2008 году из 1000 возможных, а с 2006 года организация удерживает признание «Recognised for Excellence». Речь не об одной клинике: по данным систематического обзора PMC10229027, включившего этот кейс в сравнительную таблицу применений моделей делового совершенства в здравоохранении, Trento Healthcare Trust — это провинциальное объединение из 4 округов, 7 больниц, 7 клиник, 22 амбулаторных подразделений и 58 служб надомной помощи, обслуживающее около 535–540 тысяч человек.

Базовая структура EFQM 2020 организована вокруг трёх вопросов и семи критериев.

Инструмент оценки в EFQM — это матрица RADAR (Results, Approaches, Deployment, Assessment and Refinement). Логика цикличная, похожая на PDCA, но детальнее в части требований к доказательной базе — недостаточно описать подход, нужно показать его развёртывание и данные о результате.

Здесь есть нюанс, который стоит проговорить честно: оценка по RADAR — это в первую очередь самооценка, и без внешней калибровки два разных подразделения одной организации нередко присваивают схожим по факту практикам разные баллы. Официальное признание («Recognised for Excellence» и выше) требует именно внешней оценки: самооценка сама по себе не даёт формального статуса, который можно предъявить регулятору или партнёру.

Почему два инструмента лучше, чем один

ИСО/МЭК 38503:2022 и EFQM не конкуренты, а дополняющие друг друга инструменты, и у каждого есть сильные стороны и ограничения.

Этот стандарт даёт детальную картину зрелости управления ИТ, а EFQM помещает её в контекст зрелости организации в целом: это тоже экспертная позиция, основанная на сопоставлении структур обоих инструментов, а не формальное положение какого-либо из стандартов. Совместное применение отвечает сразу на два вопроса: что конкретно не так с ИТ и как это связано с тем, что происходит с организацией в целом. Если зрелость специфически интересует в части внедрения искусственного интеллекта в клинические процессы, эта общая методика задаёт рамку, а конкретные стандарты и самооценку по ИИ в медицинской организации разумнее разбирать отдельно, тема для этого достаточно объёмная.

Обязательные требования рядом с добровольной оценкой

И ИСО/МЭК 38503, и EFQM — добровольные инструменты: ни один нормативный акт не обязывает медицинскую организацию проходить оценку по ним. Но рядом с добровольной оценкой цифровой зрелости существуют обязательные требования, с которыми её не стоит путать.

Отдельная обязательная норма касается внутреннего контроля качества и безопасности медицинской деятельности (ВКК): его правовая основа — статья 90 ФЗ № 323-ФЗ, а конкретные требования к организации и проведению установлены приказом Минздрава России № 785н от 31.07.2020, действующим с 01.01.2021. Обязанность взаимодействия с ЕГИСЗ закреплена отдельно, статьёй 91.1 того же закона, а не статьёй 91 в целом: та посвящена информационному обеспечению в здравоохранении шире. Ни ИСО/МЭК 38503, ни EFQM не заменяют эти обязательные процедуры и не упрощают их формально. Связь работает в обратную сторону: организация с более зрелым управлением ИТ, как правило, проще проходит ВКК и подключение к ЕГИСЗ, потому что у неё уже есть распределённая ответственность и работающий процесс мониторинга требований.

Начать разбираться, какая из обязательных норм ближе всего к текущей ситуации конкретной организации, стоит с консультации: специалисты, работающие одновременно с добровольными международными моделями и обязательными требованиями российского здравоохранения, помогают развести эти два слоя раньше, чем организация потратит бюджет на оценку, не решающую свою прикладную задачу.

Оценка цифровой зрелости: методика для медицинской организации

Дальше — авторский алгоритм проведения оценки на основе двух инструментов: экспертная методика, а не официально утверждённый регулятором порядок.

Планирование цифровой трансформации на основе результатов оценки

Без плана действий оценка превращается в аналитику ради аналитики. Профиль зрелости показывает разрывы между текущим и желаемым состоянием по каждому принципу или критерию, но закрывать все разрывы одновременно невозможно.

От профиля зрелости — к приоритетам

Приоритизация опирается на два фактора: критичность разрыва (насколько текущий уровень создаёт реальные риски — регуляторные, клинические, операционные) и влияние на результаты (насколько устранение разрыва улучшит ключевые показатели МО). Разрыв, который одновременно повышает регуляторный риск и снижает операционную эффективность, закрывается первым; разрыв с низкой критичностью и невысоким влиянием может подождать следующего цикла оценки.

Структура плана трансформации

Десятилетний опыт применения EFQM в Trento Healthcare Trust показывает: эффективный план трансформации работает в нескольких горизонтах одновременно, а не одним рывком. Краткосрочный горизонт, до одного года: устранение критических пробелов, прежде всего связанных с нормативными требованиями и управленческими рисками. Среднесрочный, один-три года: системные изменения в управлении ИТ и организационных процессах. Долгосрочный, свыше трёх лет: целевое состояние цифровой зрелости как часть стратегии МО.

Типичная ошибка на этом этапе: пытаться закрыть все три горизонта параллельно с одинаковой интенсивностью. На практике организации, распределяющие ресурсы равномерно между краткосрочными и долгосрочными задачами, чаще теряют темп на регуляторно значимых пробелах: их откладывают ради «стратегических» инициатив, которые эффектнее выглядят в презентации для руководства, но не снимают текущий риск.

Связь плана трансформации со стратегией МО

Один из ключевых принципов ИСО/МЭК 38500 — стратегическое согласование ИТ с целями организации. План цифровой трансформации должен быть производным от стратегии МО, а не самостоятельным документом. Обратная ситуация, когда «ИТ-стратегия» существует отдельно от стратегии организации, — типичное проявление низкой зрелости управления ИТ по ИСО/МЭК 38503.

Типичные паттерны зрелости медицинских организаций

На основе экспертной практики можно выделить несколько характерных паттернов зрелости, которые встречаются в медицинских организациях разного масштаба. Это обобщённые наблюдения, а не данные формального исследования.

Где методика даёт сбой: спорные зоны самооценки

Честный разбор методики требует признать её ограничения, а не только сильные стороны.

Первое ограничение: субъективность самооценки. И модель зрелости ИСО/МЭК 38503, и RADAR в EFQM опираются на суждение оценщика о том, насколько убедительны собранные свидетельства. Формальных числовых порогов «достаточности» доказательной базы ни один из инструментов не задаёт — это профессиональное суждение, а не расчёт по формуле. Разные внутренние оценщики одной организации, а тем более оценщики из разных организаций, нередко присваивают схожим по факту практикам разные уровни.

Второе: риск подмены цели процессом. Организация, которая проходит оценку «для отчёта» перед проверкой, рискует воспроизвести паттерн «зрелость документации без практики»: собрать красиво оформленные свидетельства без реального изменения процессов. Оценка цифровой зрелости даёт ценность только тогда, когда за ней следует план действий с ресурсами, а не разовый отчёт на полке.

Третье, менее очевидное ограничение: отсутствие единой отраслевой базы для сравнения. Ни ИСО/МЭК 38503, ни EFQM не публикуют отраслевые бенчмарки конкретно по российским медицинским организациям, поэтому «средний уровень» или «высокий уровень» по итогам оценки — это внутренняя точка отсчёта организации, а не позиция в объективном рейтинге относительно других МО. Сравнивать стоит организацию с собой в динамике, а не с абстрактным средним по отрасли, которого формально не существует.

Вопросы и ответы

С чего лучше начать: с ИСО/МЭК 38503 или с EFQM?

Если острая проблема связана именно с управлением ИТ (нет ответственных за ИТ-решения, закупки хаотичны), логично начать с ИСО/МЭК 38503:2022: он даёт быстрый и предметный диагноз. Если вопрос шире и нужно понять зрелость организации в целом перед стратегической сессией, разумнее стартовать с самооценки EFQM, а детальную ИТ-диагностику подключить на втором этапе.

Обязательно ли проводить внешнюю оценку, или самооценки достаточно?

Оба инструмента прямо допускают самооценку как полноценный формат для внутренних управленческих целей. Внешняя независимая оценка нужна, если результат должен быть признан третьей стороной — например, для присвоения официального уровня признания по EFQM («Recognised for Excellence» и выше) или для подтверждения перед внешними партнёрами. Самооценка сама по себе такого формального статуса не даёт.

Нужен ли отдельный пакет документов для подключения к ЕГИСЗ, и как это соотносится с оценкой по ИСО/МЭК 38503?

Да, подтверждение соответствия информационной системы требованиям подключения к ЕГИСЗ через защищённую сеть передачи данных — это отдельная обязательная процедура по статье 91.1 ФЗ № 323-ФЗ, не зависящая от того, проводилась ли оценка по ИСО/МЭК 38503. Оценка на это подключение напрямую не влияет, но зрелое управление ИТ по принципу «Соответствие» обычно означает, что организация заранее отслеживает изменения требований к ЕГИСЗ, а не готовит документы в последний момент.

Заменяет ли высокая оценка цифровой зрелости обязательное лицензирование медицинской деятельности?

Нет. Лицензирование по Постановлению Правительства РФ № 852 от 01.06.2021 — самостоятельная обязательная процедура допуска организации к медицинской деятельности, никак не связанная с добровольной оценкой по ИСО/МЭК 38503 или EFQM. Высокий уровень цифровой зрелости не ускоряет и не упрощает получение лицензии формально, хотя упорядоченное управление ИТ снижает риск нарушений в смежных обязательных процедурах.

Можно ли получить официальное признание результатов оценки, чтобы предъявить регулятору или партнёру?

Через EFQM — да, официальное признание присваивается по итогам внешней оценки. У ИСО/МЭК 38503 иначе: стандарт не предусматривает выдачи сертификата в привычном понимании, это инструмент диагностики и модель зрелости, а не система сертификации вроде ISO 9001. Если формальный документ для регулятора или партнёра нужен обязательно, стоит уточнять, какая именно процедура признания реально существует под конкретную задачу, а не предполагать её по аналогии с сертифицируемыми стандартами.

Сколько времени занимает полная оценка цифровой зрелости по обеим методикам?

Официальных нормативов по срокам ни один из стандартов не устанавливает: длительность зависит от масштаба МО и глубины охвата. На практике сбор доказательной базы по шести принципам ИСО/МЭК 38503 и самооценка по семи критериям EFQM для организации среднего размера обычно занимают от нескольких недель до пары месяцев — если оценка проводится с реальными интервью и анализом документов, а не формально.

Подходит ли эта методика небольшой частной клинике, а не только крупной больнице?

Да. Стандарт прямо указывает, что применим к организациям любого размера — просто с разным охватом оценки. Небольшой клинике не нужно проходить все шесть принципов с максимальной глубиной: можно сосредоточиться на двух-трёх наиболее критичных направлениях, например «ответственности» и «соответствии».

Что делать, если результаты по двум инструментам расходятся — например, управление ИТ выглядит зрелым, а организация в целом нет?

Такое расхождение само по себе диагностически ценный результат, а не повод усомниться в методике. Оно обычно означает, что ИТ-функция работает хорошо локально, но не встроена в общую систему управления: сильный ИТ-отдел существует изолированно от слабого стратегического планирования. План трансформации в этом случае строится не вокруг ИТ, а вокруг того, как включить уже зрелую ИТ-функцию в общий контур принятия решений организации.

Коротко: ИСО/МЭК 38503:2022 даёт предметную оценку управления ИТ по шести принципам ИСО/МЭК 38500, EFQM — оценку организации в целом по семи критериям через матрицу RADAR; оба инструмента добровольны и не заменяют обязательные лицензирование, ВКК по 785н и подключение к ЕГИСЗ по статье 91.1 ФЗ-323, а их совместное применение даёт профиль зрелости, из которого строится приоритизированный план трансформации в трёх горизонтах.

Источники

• iso.org: официальная карточка ИСО/МЭК 38503:2022, дата публикации январь 2022, структура стандарта и Приложение A.
• iso.org: официальная карточка ИСО/МЭК 38500:2024, третье издание, шесть принципов управления ИТ.
• efqm.org: официальное описание модели EFQM, структура «3 вопроса — 7 критериев» и матрица RADAR.
• pmc.ncbi.nlm.nih.gov: систематический обзор применения моделей делового совершенства в здравоохранении, включая кейс Trento Healthcare Trust.
• emerald.com: Favaretti et al., «An EFQM excellence model for integrated healthcare governance», International Journal of Health Care Quality Assurance, 2015 — первоисточник роста баллов EFQM 290→610.
• consultant.ru: Постановление Правительства РФ № 852 от 01.06.2021 — действующая основа лицензирования медицинской деятельности.
• roszdravnadzor.gov.ru: разъяснение порядка лицензирования медицинской деятельности и разграничения с аккредитацией специалистов.