Pagsunod sa HIPAA sa Medical Billing: Ang Dapat Malaman ng Bawat Klinika

← Bumalik sa Blog

Bakit Hindi Maaaring Ipagpaliban ang HIPAA sa Medical Billing

Humahawak ang medical billing ng Protected Health Information (PHI) sa bawat yugto ng revenue cycle: demograpiko, mga code ng diagnosis at procedure, impormasyon sa insurance, at mga rekord ng bayad. Dahil dito, mataas ang panganib ng billing sa mga pagkabigo sa HIPAA. Nagpataw ang Office for Civil Rights (OCR) ng mga parusang umaabot sa milyun-milyong dolyar para sa mga paglabag sa HIPAA na may kaugnayan sa billing, at kahit maliliit na klinika ay pinagmulta dahil sa mga pagkabigong maiiwasan sana ng wastong programa sa compliance.

Ano ang Bumubuo sa PHI sa Medical Billing?

Sa billing, ang PHI ay anumang impormasyong pangkalusugan na nakakakilanlan ng indibidwal: pangalan, address, petsa ng kapanganakan, numero ng telepono, Social Security number, medical record number, insurance ID, mga code ng diagnosis at procedure, mga petsa ng paggamot, at anumang iba pang makatwirang makakakilanlan sa isang tao at may kaugnayan sa kanyang kalusugan, pangangalaga, o bayad. Dapat protektahan ang lahat ng ito.

Ang HIPAA Security Rule: Mga Teknikal na Pananggalang para sa ePHI

Itinatakda ng HIPAA Security Rule ang mga tiyak na kinakailangan sa pagprotekta sa elektronikong PHI (ePHI), ang anyong halos lahat ng datos ng billing ngayon. Kabilang sa mga kinakailangang teknikal na pananggalang ang mga access control na naglilimita sa ePHI sa mga awtorisadong user, audit control na sumusubaybay kung sino ang nag-access ng ano at kailan, integrity control na pumipigil sa hindi awtorisadong pagbabago, encryption habang ipinapadala at habang nakaimbak, at awtomatikong logoff pagkatapos ng kawalan ng aktibidad. Dapat sumunod ang bawat sistema ng billing, koneksyon sa clearinghouse, at channel ng transmisyon.

Business Associate Agreements (BAA)

Kapag nagbahagi ang isang covered entity (ang iyong klinika) ng PHI sa panlabas na organisasyon para sa mga tungkulin sa billing, tulad ng kumpanya ng billing, clearinghouse, serbisyo sa coding, o ahensya ng koleksyon, nagiging Business Associate ang organisasyong iyon sa ilalim ng HIPAA at dapat lumagda sa isang Business Associate Agreement (BAA). Inoobliga ng BAA ang Business Associate na protektahan ang PHI sa parehong pamantayan ng mga covered entity at agad na iulat ang anumang breach. Ang pagbabahagi ng PHI sa anumang vendor nang walang nilagdaang BAA ay direktang paglabag sa HIPAA, may breach man o wala.

Pinakakaraniwang Paglabag sa HIPAA sa Billing

• Pagpapadala ng mga claim sa pamamagitan ng hindi ligtas na email o hindi naka-encrypt na paglilipat ng file
• Pagbabahagi ng mga login credential sa mga kawani ng billing
• Pag-iimbak ng PHI sa mga personal na device nang walang encryption o remote wipe
• Hindi paglagda ng mga BAA sa mga vendor, clearinghouse, o ahensya ng koleksyon
• Pag-uusap tungkol sa billing ng pasyente kung saan maaaring marinig ng iba
• Pagpapadala sa koreo ng mga EOB o statement sa maling address
• Paglaktaw sa taunang pagsasanay sa HIPAA para sa mga kawani ng billing

Pagpili ng Kasosyo sa Billing na Sumusunod sa HIPAA

Kapag mag-o-outsource, tiyaking may komprehensibong pagsunod sa HIPAA ang kumpanya ng billing, kasama ang mga nilagdaang BAA, naka-encrypt na pagpapadala ng datos, dokumentadong patakaran sa seguridad, taunang pagsasanay ng kawani, at pormal na pamamaraan sa abiso ng breach. Magtanong tungkol sa mga sertipikasyon sa seguridad at paghawak ng PHI habang ipinapadala, habang nakaimbak, at sa pagtatapos ng kontrata. Maaaring umabot sa iyong klinika ang pagkabigo ng vendor sa HIPAA kung walang mga pananggalang.

Ang Tatlong Patakarang Dapat Malaman ng mga Koponan sa Billing

Pangunahing sumasailalim ang mga koponan sa billing sa tatlong pederal na patakaran ng HIPAA. Pangkalahatang edukasyon ang artikulong ito, hindi payong legal. Nakasalalay ang mga obligasyon sa iyong laki, estado at mga kontrata, kaya kumpirmahin ang mga detalye sa kwalipikadong abogado sa pangangalagang pangkalusugan.

Ang Minimum Necessary Standard sa Billing

Sa karamihan ng paggamit at pagpapahayag, inaasahan ng HIPAA na limitahan mo ang PHI sa kinakailangang minimum. Eksepsiyon ang mga pagpapahayag para sa paggamot sa pagitan ng mga provider. Sa billing:

• Magbigay sa kawani ng access na batay sa tungkulin; hindi kailangan ng nagpo-post ng bayad ang mga klinikal na tala.
• Magpadala sa mga payer ng hinihingi lamang nila, hindi ang buong chart.
• Alisin ang mga hindi kinakailangang identifier sa mga halimbawa para sa pagsasanay o pagsusuri.
• Limitahan ang mga statement ng pasyente sa nagpapaliwanag ng singil at balanse.
• I-dokumento ang access at suriin ito kapag nagbago ang mga tungkulin.

Pagsasagawa ng Security Risk Analysis

Ang dokumentado at sumasaklaw sa buong organisasyong risk analysis ay pangunahing kinakailangan ng Security Rule at madalas na natutuklasan sa mga imbestigasyon ng OCR. Ulitin at i-update ito kapag nagbago ang iyong kapaligiran.

1. Itala kung saan naroroon ang ePHIIlista ang bawat sistema, device, cloud service, koneksyon sa clearinghouse, backup at daloy ng trabaho na lumilikha, nag-iimbak o nagpapadala ng datos ng billing.
2. Tukuyin ang mga banta at kahinaanIsaalang-alang ang mga nawalang device, phishing, ransomware, maling napadalhang email, mahihinang password, software na hindi na-patch.
3. Tasahin ang posibilidad at epektoBigyan ng rating ang bawat panganib upang unahin ang pinakamataas.
4. Suriin ang mga umiiral na pananggalangTingnan ang umiiral na encryption, multi-factor authentication, logging at mga backup.
5. Bumuo ng plano sa pamamahala ng panganibMagtalaga ng mga may-ari at petsa para ayusin ang mga kakulangan, at itala ang anumang tinanggap na natitirang panganib.
6. I-dokumento at ulitinItago ang nakasulat na pagsusuri at i-update ito pagkatapos ng malalaking pagbabago tulad ng bagong sistema o vendor.

Mga Access Control at Pang-araw-araw na Pananggalang

• Natatanging user ID: sinisira ng mga shared login ang audit trail.
• Matibay na authentication: gumamit ng multi-factor authentication para sa remote access, email at mga sistema ng billing.
• Pinakamababang pribilehiyo: ibigay lamang ang kailangan ng tungkulin at agad itong alisin sa pagtatapos ng trabaho o pagbabago ng tungkulin.
• Encryption: protektahan ang ePHI habang ipinapadala at habang nakaimbak, kasama ang mga laptop, telepono at removable media.
• Mga audit log: suriin nang pana-panahon ang mga access log para sa kakaibang aktibidad.
• Ligtas na pagpapadala: gumamit ng ligtas na channel ng clearinghouse o SFTP, hindi karaniwang email.
• Mga gawi sa workstation: awtomatikong logoff, privacy screen, naka-lock na mga rekord na papel.
• Pagsasanay: sanayin ang mga bagong empleyado sa onboarding, magsagawa ng refresher nang regular, at itago ang mga rekord ng dumalo.

Checklist ng Business Associate Agreement

Dapat may BAA bago ibahagi ang PHI sa kumpanya ng billing, clearinghouse, vendor ng coding, ahensya ng koleksyon, IT provider, o cloud service na nag-iimbak nito. Karaniwang sinasaklaw ng matibay na BAA ang sumusunod; ipasuri ang pananalita sa abogado:

• Ang mga pinahihintulutang gamit at pagpapahayag ng PHI, at pagbabawal sa anumang ibang gamit
• Mga kinakailangang pananggalang, kasama ang pagsunod sa Security Rule
• Agarang pag-uulat ng mga insidente at breach sa loob ng takdang panahon
• Pagpasa ng parehong obligasyon sa mga subcontractor na humahawak ng PHI
• Suporta sa mga kahilingan ng pasyente para sa access at pagwawasto
• Pagbabalik o pagsira ng PHI sa pagtatapos ng kontrata, o patuloy na proteksyon kung hindi magagawa ang pagbabalik
• Ang iyong karapatang wakasan ang kontrata sa matinding paglabag

Kung Magkaroon ng Breach: Mga Hakbang sa Pagtugon

Ipinapalagay ng Breach Notification Rule na ang hindi pinahihintulutang paggamit o pagpapahayag ng hindi ligtas na PHI ay breach maliban kung ipinapakita ng dokumentadong pagtatasa ng panganib na mababa ang posibilidad ng pagkakompromiso.

1. Pigilan itoI-disable ang account, bawiin ang mensahe, o bawiin ang device.
2. Pangalagaan ang ebidensyaItago ang mga log at rekord. Huwag munang burahin ang mga sistema.
3. Ipaalam sa mas mataas na antas sa loobAbisuhan ang mga opisyal ng privacy at seguridad, at kung naaangkop ang abogado at ang iyong cyber insurer.
4. Tasahin ang panganibI-dokumento ang uri ng PHI, sino ang nakatanggap, kung aktuwal itong tiningnan o nakuha, at hanggang saan nabawasan ang panganib.
5. Mag-abiso ayon sa kinakailanganKung ito ay breach na dapat iulat, abisuhan ang mga apektadong indibidwal nang walang hindi makatwirang pagkaantala at hindi lalampas sa 60 araw pagkatapos matuklasan. Mag-ulat sa HHS (mga breach na nakaaapekto sa 500 o higit pang tao ay sa parehong 60-araw na takdang panahon, mas maliliit na breach ay sa loob ng 60 araw pagkatapos ng katapusan ng taon ng kalendaryo), at sa media para sa malalaking breach sa iisang estado. Dapat abisuhan ng mga business associate ang covered entity. Nagdaragdag ang ilang estado ng mas maiikling deadline.
6. Ayusin at i-dokumentoAyusin ang ugat ng problema, muling sanayin ang mga kawani, i-update ang risk analysis.

Karaniwang Pagkakamali at Solusyon

Mahahalagang Punto

• Araw-araw na nauugnay ang billing sa mga patakaran sa Privacy, Security at Breach Notification.
• Ilapat ang minimum necessary at access na batay sa tungkulin sa bawat gawain.
• Ang dokumentado at napapanahong risk analysis ang pundasyon ng pagsunod sa Security Rule.
• Lumagda ng BAA bago makakita ng PHI ang anumang vendor.
• Magkaroon ng nakasulat na plano sa pagtugon sa breach at alamin ang mga deadline ng pederal at estado.