临床数据中心建设的项目风险管理

■ 俞 华 范骏翔 傅春瑜

随着医院信息化建设的深入，国内许多医院开始着手建设临床数据中心(clinic data repository，CDR)。CDR的建设是在整合现有应用系统的基础上，按照国际和国家标准进行信息数据抽取，进而标准化结构化存储，以企业服务总线（enterprise service bus，ESB）等方式实现各应用系统的数据共享。CDR项目的建设既涉及到现有运行中各信息系统的改造，又要进行集中数据中心的建设，每个系统还要对数据中心的信息进行不同方式的调阅和使用。项目建设会涉及到十几或更多家公司的参与。因此需要一套对项目进行有效监控、的完善的项目管理体系，通过该体系来规范项目经理在项目实施过程中及时识别、分析和跟踪项目的风险，对风险的及时解决提供较好的途径。本文介绍了笔者所在医院CDR项目建设过程中对项目风险的控制、归类和总结，提出了一些解决方法，希望可以对医院同类IT项目的风险管理起到借鉴作用。

1 临床数据中心建设项目风险类型

能力成熟度模型集成(capability maturity model integration，CMMI)在第3级认为软件的项目风险，是指在整个项目生命周期中可能会对项目造成潜在影响的潜在问题，尤其是对项目进度、质量等关键成果造成危害的因素。在CDR项目的建设和运行过程中，可以将风险分为以下6种类型：规划风险、需求风险、质量风险、技术风险、过程风险、外部风险。每种类型都有各自的特点，需要按CMMI对风险的规范，结合医院信息化建设的特点，针对性地制定风险解决方案[1]。

1.1 规划风险

在项目建设的规划中是否符合医院总体发展规划，医院信息系统的基础尤其是弱项系统，无法进行标准化的数据采集和CDR数据共享，需要先行升级或调整。部分用户对招标文件的建设要求过于笼统，建设的目标、采用的标准和各方的责任界定模糊，可能会对项目的建设埋下规划风险隐患。

1.2 需求风险

CDR项目的最终用户是临床医护、医技和管理者，各自从实际工作出发，对信息的需求会有很大的差距。如在建设中遇到医师提出，查房时CDR能否快速提供管辖患者各项检验检查有异常的列表，并显示与正常值偏离程度，并以颜色和图形警示。这就需要在CDR的架构设计中加以落实。因此，要求CDR成果明确交付是项目顺利完成的基础。

1.3 质量风险

项目的实施期限和参与公司的能力各异，项目的规范程度也不相同。因此，制定整个项目的开发实施规范，从设计文档、代码及注释、修改流程等按CMMI标准执行。

1.4 技术风险

CDR项目的专业性很强，对项目参与人员尤其是项目设计规划师和项目经理对相关临床业务的理解程度要求非常高。项目会涉及到各种异构的数据库和应用架构。统筹整个项目软硬件的兼容性、安全性和依赖性也是CDR项目的一个重要风险点。

1.5 过程风险

项目实施过程中，用户对项目的理解、支持，创造一个和谐的实施环境，是项目成败的重要因素。

1.6 外部风险

CDR项目建设时间一般为2年左右，期间医药卫生体制政策可能会有改革和调整，内部的规章制度也会健全和提升，这都会对CDR项目建设提出新的需求。

2 临床数据中心建设项目风险特点

CDR项目建设和一般软件项目比有其固有的特点，主要有：（1）项目管理复杂度高。项目建设参与公司多，各家公司软件研发规范等基础工作有差距，质量、进度管理相比单个公司建设单个项目存在更多的控制和协调工作。（2）CDR项目是智力和技术密集型项目，CDR项目参与人员所具备的专业素质会影响到软件项目的质量、进度。对操作系统、数据库、中间件和ESB等的技术能力也是项目顺利运行的技术保障。另外，项目团队成员间的合作也很重要。（3）项目建设目标不清晰，业主在项目规划和招标文件或合同中，可能会缺少具体详细目标的描述和想法，有些需求非常抽象，项目相关人对目标的理解也有偏差，但比较注重系统的数据共享度、响应时间和业务流程便捷。（4）用户需求变动频繁，软件项目在完成之前是不可见的，初期所做的需求分析书和系统规划、软件的指标和目标也只是进行了粗略的描述，实际运行后，用户会不断产生新的需求变更，需要系统进行修改调整甚至重新开展工作，导致项目的进度延长，质控困难，成本增加[2]。

3 CDR项目建设风险识别

在软件项目的建设中，常用的风险识别方法有检查表法、德尔菲法、头脑风暴法和场景分析法等。笔者认为比较适用的是检查表法和场景分析法，德尔菲法也可以在新的业务规划中适用。

3.1 检查表法

根据医院信息系统的建设历史经验，判断可能出现在本项目中的风险，建立一套各系统的风险条目检查表。这种方法比较快速、简单，而且可以使管理者集中识别常见类型的风险。检查表建立时要做到相对周全，将技术、流程、用户和环境方面全部罗列，尽量不要有遗漏。

3.2 德尔菲法

把需要进行风险识别的软件项目具体情况分别匿名发给多个专家，征求专家的意见，然后将这些意见进行综合和归纳，再反馈给各位专家，再次征求意见。这样反复经过几轮，逐步使专家的意见趋向一致，最后作为识别风险的依据。

3.3 场景分析法

模拟项目运行时软硬件和用户环境的全面分析，设计未来可能发生的多种情况，对发展态势做出自始至终的情景描述，基于提出的多种结果采取适当的措施防患于未然。

4 CDR项目建设风险应对措施

CMMI 3级中项目风险的管理过程包括风险管理流程、风险识别、风险定性分析、风险定量分析、风险应对计划和风险监控。笔者认为风险的管理计划、风险识别和风险应对对项目风险的有效处置至关重要。实践中发现项目的风险往往是对后来的用户各种需求变更的处置，各种技术和数据的整合度及时效性的要求，包括不同的用户对数据共享信息的依赖程度[3]。

风险管理流程在项目的建设过程中必须要有一套完整的风险流程管理。项目正式启动前，要对项目有个纵观全局的风险考虑、分析和计划，适当留有项目余地，明确风险管理方法和各项活动。可以从CDR共享信息的完整性、时效性、各系统技术耦合度、标准化符合程度和用户符合度等方面，用检查表法、德尔菲法和场景法进行识别和防范。主要措施有：改变项目计划以消灭风险或保护项目目标免受影响。这虽不可能消灭所有的风险，但对某个具体风险来说是可以避免的。某些风险可以通过需求再确认、获取更详细信息、增强沟通、增派技术或实施人员等方法得以避免。风险规避对项目参与方严格质量、进度、人员和成本制度，有定期的检查和软件质量测试。对医院方也要执行变更需求的流程规范，明确软硬件环境和用户使用培训等配合。风险承担对于临床和管理确实需要的需求变更，或国家重大政策调整，或对病员服务有重大益处的需求，在成本、质量和进度可控的前提下，承担需求变更，也可以其他模块的工作量调整换取更大的项目利益。风险转移对项目范围内确实无法解决的需求变更，可以建议再立合同，另案解决。风险缓解通过一定的技术措施，调整软硬件的架构或信息流程，使项目的风险降低。也可以依托一定的行政力量，调整医院的业务流程，化解风险的发生[4]。

在CDR项目风险处置的过程中，对总体目标不能偏离，注意把握以下两个原则：(1)目标把握的原则。任何需求的变更均要求与项目建设目标一致，与总目标偏离大的项目调整一定要与参与方协商一致，并有技术、质量和可行性保证；(2)灵活应变和沟通原则。对变更的需求首要工作是理解弄清变更产生的原因，如果项目进行调整会涉及到哪些系统，产生的工作量对整体产生的成本、进度、质量的影响，应在各方充分沟通的基础上确认是否还有其他变通的办法。

综上，从CDR项目实施过程看，不少风险是在实施过程中由潜在变成现实的，许多在运行阶段发生的技术、流程和数据等问题，其实在项目规划和开发阶段就可以发现并加以控制。风险管理就是要在各阶段风险分析的基础上拟定具体措施来发现、消除、缓解或转移风险，并避免产生新的风险。对于CDR项目这种软硬件集成度高、参与公司多的大型信息化建设项目，只有在各环节按项目管理规范，把控各种风险，才能顺利实施完成。