Провалы перезагрузки EHR стали для VA и Oracle Health проверкой подотчётности за безопасность пациентов

Краткое резюме

• В апреле 2023 года VA (Министерство по делам ветеранов США) не приостанавливала плановую установку ПО. Она остановила большинство будущих развёртываний после того, как врачи и ветераны сообщили, что новая EHR не оправдывает ожиданий. К тому моменту официальные документы уже связывали систему с пропажей клинических назначений, проблемами с данными о лекарствах и аллергиях, сбоями планирования приёмов, повторяющимися инцидентами производительности, обходными решениями и низкой удовлетворённостью пользователей.
• Самый надёжный независимый реестр инцидентов —аудит Управления генерального инспектора Министерства по делам ветеранов за сентябрь 2024 года. Он насчитал 826 крупных инцидентов производительности, за которые отвечают VA или Oracle Health, за период с 24 октября 2020 года по 31 марта 2024 года, с суммарными 1909 часами и 26 минутами, в течение которых система была затронута. Эти цифры — не число пострадавших пациентов, и не все инциденты были полными отключениями. Они показывают масштаб, продолжительность и необходимость дисциплинированного управления инцидентами.
• Подтверждённые доказательства угроз безопасности пациентов более конкретны.Проверка OIG «неизвестной очереди»показала, что тысячи назначений уходили в необнаруживаемое место, а проверки VHA выявили 149 событий с вредом для пациентов.Отдельная инспекция OIG по планированию приёмовустановила, что ошибка EHR помешала пропущенному психиатрическому приёму попасть в очередь и, вместе с неадекватной помощью, способствовала смерти пациента. Системная ошибка была одним из факторов, а не единственной причиной.
• У VA и Oracle Health есть доказательства исправления ситуации. VA пересогласовала контракт на ежегодные опционные периоды, ввела пороги производительности и возможные зачёты по счетам, сообщила об устойчивых улучшениях надёжности, закрыла большинство рекомендаций по аудиту крупных инцидентов и возобновила развёртывание в восьми медицинских центрах в Мичигане, Огайо и Кентукки в апреле и июне 2026 года.
• Исправление ещё не означает закрытие вопроса. В записи о готовности GAO за декабрь 2025 года сказано, что VA не полностью выполнила 16 из 18 ранее данных рекомендаций GAO. По состоянию на 15 июля 2026 года две из девяти рекомендаций по аудиту крупных инцидентов OIG оставались открытыми, включая обмен данными об инцидентах в реальном времени и эффективные показатели уведомления и устранения, которые действуют независимо от владельца инцидента. В публичном реестре, на который ссылается эта статья, пока также нет независимой долгосрочной оценки безопасности пациентов для восьми площадок, развёрнутых в 2026 году.
• Поэтому устойчивая подотчётность требует большего, чем аптайм и успешные выходные переключения. Нужны проверяемые связи каждого значимого инцидента с клиническими последствиями, названные владельцы контрольных мер, протестированные процедуры простоя и сверки, применимые меры воздействия на подрядчика, результаты для пользователей и пациентов, независимая проверка и публичное раскрытие того, что остаётся нерешённым.

Что означает провал перезагрузки EHR

Слово «reset» в данном случае имеет два значения, которые не следует путать. Оно может описывать перезапуск или восстановление системы после технического сбоя. Но, что важнее, VA использовала «Reset» как название общепрограммной меры, объявленной в апреле 2023 года: будущие развёртывания должны были остановиться, пока министерство и его подрядчик устраняют проблемы с надёжностью, удобством использования, рабочими процессами, управлением и безопасностью пациентов на пяти площадках, где тогда уже использовалась новая EHR.

В этой статье «провалы перезагрузки» означают сбои, достаточно серьёзные, чтобы вынудить эту программную перезагрузку, а также провалы в доказательствах и контрольных механизмах, призванных сделать перезагрузку заслуживающей доверия.

Это не означает, что каждый инцидент был вызван буквальной перезагрузкой системы.

Цель модернизации была оправданной. Вмае 2018 года VA подписала контракт с Cernerс предельной суммой 10 миллиардов долларов на десять лет. Цель состояла в том, чтобы заменить локально различающиеся экземпляры архитектуры Veterans Health Information Systems and Technology Architecture, или VistA, той же базовой платформой, которую использует Министерство обороны. Общая продольная запись должна была сократить ручной обмен и сверку данных при переходе военнослужащих в систему помощи ветеранам, а также улучшить доступ к записям от сторонних поставщиков медицинских услуг.

Эта цель не отвечает на вопрос о подотчётности. Платформа может обещать совместимость и при этом вносить небезопасную маршрутизацию назначений, запутанные виды лекарственных данных, пробелы в планировании, дефекты интерфейсов или нагрузку при простоях в конкретной реализации. У VA уникальные клинические процессы, система управления, кадровая структура, локальные интеграции, контингент пациентов и юридические обязанности.

Поэтому единица анализа — это работающая система оказания помощи: программное обеспечение, конфигурация, интерфейсы, данные, политика, обучение, персонал, управление инцидентами, локальная адаптация и работа подрядчика вместе.

Перезагрузка была необходима, потому что разрыв между обещанной общей записью и реально работающей записью стал слишком велик, чтобы считать его обычным трением при внедрении. Вобъявлении о перезагрузке от 21 апреля 2023 годаVA сообщила, что новая EHR не оправдывает ожидания ветеранов и врачей. Были установлены тесты готовности по опыту врачей и ветеранов, устойчиво высокой производительности и надёжности, а также восстановленной продуктивности. Там также говорилось, что VA и Oracle Cerner работают над поправкой к контракту, которая повысит подотчётность подрядчика. Это были обещания представить доказательства, а не заявления о том, что основные проблемы уже решены.

Проверяемая хронология: от контракта до возобновлённого развёртывания

Эта хронология намеренно консервативна. Она не предполагает скрытых инцидентов между публичными датами и не считает закрытие надзорной рекомендации доказательством того, что связанный риск не повторится. Она показывает, когда заявления о контрольных механизмах попали в публичный реестр и какие доказательства нужны для их проверки.

Контроль был распределён, но не был бесхозным

Министр VA и заместитель министра контролировали стратегическое продолжение программы, темп развёртывания, высшее руководство, контрактные опционы и стандарт объявления готовности. Они могли остановить развёртывание, предписать перезагрузку, централизовать принятие решений, требовать доказательств производительности и решать, оправдывают ли заявленные выгоды дальнейшее масштабирование. Эти полномочия создают ответственность за шлюз развёртывания.

Они не делают старших руководителей операторами каждой клинической очереди или базы данных, но возлагают на них ответственность за то, чтобы люди, которые действительно управляют этими контрольными механизмами, имели полномочия, ресурсы и измеримые обязательства.

Офис интеграции модернизации EHR контролировал интеграцию программы. В его обязанности входили перевод клинических и операционных требований в конфигурационные и контрактные работы, координация национальных и местных заинтересованных сторон, отслеживание запросов на изменения, управление подготовкой к развёртыванию, проверка уровней обслуживания подрядчика и объединение доказательств из поддержки, безопасности и операционной деятельности. Аудит OIG по крупным инцидентам здесь особенно важен, поскольку он показал, что VA полагалась на отчётность Oracle Health и не имела формальной процедуры проверки некоторых показателей и зачётов подрядчика.

По состоянию на 15 июля 2026 года OIG отметило процедуру проверки показателей и связанных зачётов как закрытую, но по-прежнему считает открытой рекомендацию о контрактно закреплённом обмене данными об инцидентах в реальном времени.

Администрация здравоохранения ветеранов (VHA) контролировала клиническую политику, процессы безопасности пациентов, кадровые ожидания, процедуры простоев, требования к сверке лекарств, уведомление пациентов и стандарты, применяемые при сбоях цифровых рабочих процессов. Эта граница контроля важна, потому что ПО не решало, сколько попыток последующего контакта требуется после пропущенного психиатрического приёма, как фармацевты должны проверять данные о лекарствах в разных системах или как учреждения должны сверять бумажные записи после простоя.

VHA не могла сама исправить код Oracle, но могла установить обязательные клинические защитные меры, контролировать их соблюдение и отказываться считать импровизированные обходные решения постоянной моделью работы.

Oracle Health контролировала значительную часть технологической и сервисной операции: код, принадлежащий вендору, поведение базы данных, хостинг и производительность платформы, устранение дефектов, тикеты вендора, операционный анализ и поставку по контракту. Cerner занимала эту роль, когда появились первые развёртывания и проблема «неизвестной очереди»; Oracle приобрела Cerner в июне 2022 года и унаследовала контракт и текущие обязательства по исправлению. Вобъявлении Oracle о продлении контрактаутверждалось, что платформа была укреплена, Lovell превзошла ожидания и та же базовая система обслуживает Министерство обороны в больших масштабах. Это релевантные заявления вендора.

Они не заменяют аудиторские доказательства по конкретной системе VA, потому что конфигурация, интеграции, управление и рабочие процессы различаются.

Руководители местных медицинских центров контролировали подготовку к запуску на своих объектах, распределение ролей, посещаемость обучения, местное кадровое обеспечение, эскалацию, рабочие группы по простоям, практики сверки и немедленную реакцию на проблемы безопасности. Их полномочия были реальными, но ограниченными. Директор учреждения мог приказать персоналу перестать полагаться на сомнительные электронные данные, как это произошло во время одного инцидента, рассмотренного OIG, но не мог в одиночку исправить общенациональный дефект кода или переписать контракт.

Поэтому местную подотчётность следует оценивать по готовности, эскалации, смягчению последствий и честной отчётности, а не по тому, поглотило ли учреждение каждый национальный дефект без жалоб.

Врачи, фармацевты, администраторы расписания, сотрудники по медицинской информации и вспомогательный персонал контролировали отдельные действия в рамках утверждённых рабочих процессов. Они могли сообщать об инцидентах, отслеживать очереди, проводить проверки лекарств, использовать формы для простоев, сверять записи и эскалировать аномалии. Они должны нести ответственность за профессиональные обязанности, которые могли разумно выполнять. Они не должны становиться молчаливым поглотителем ответственности за конструкцию, которая бесконечно зависит от бдительности, двойного ввода, ручных поисков или локальной памяти.

Обходное решение — это доказательство того, что персонал защищал пациентов в ограниченных условиях; это не доказательство адекватности вышестоящего контрольного механизма.

Конгресс, GAO и OIG контролировали надзорные инструменты, а не клиническую деятельность. Конгресс мог требовать отчёты, обусловливать финансирование, проводить слушания и принимать законы о раскрытии информации. GAO могло проверять управление программой на соответствие передовым практикам и отслеживать рекомендации. OIG могло расследовать контрольные механизмы безопасности и контрактов, публиковать выводы и закрывать рекомендации, когда VA предоставляла достаточные доказательства. Ни один из этих органов не мог управлять EHR за VA, но их отчёты определяли доказательства, которые VA и Oracle не могли честно заменить рекламными заявлениями.

Ветераны и лица, ухаживающие за ними, почти не контролировали архитектуру системы. Они могли позвонить, вернуться за помощью, воспользоваться порталом, исправить замеченную информацию или пожаловаться после задержки. Они не выбирали поведение очередей, сопоставление данных о лекарствах, тесты интерфейсов, реакцию на сбои, кадровое обеспечение или темп развёртывания. Поэтому подотчётность должна следовать за участниками, имеющими практический контроль над предотвращением, обнаружением, смягчением, раскрытием и исправлением, а не за людьми, которых просят обнаружить институциональный сбой со стороны пациента.

Реестр причинённого вреда состоит из нескольких отдельных уровней

«Неизвестная очередь» — самый ясный подтверждённый пример того, как отказ контрольного механизма превращается во вред для пациентов. OIG установило, что новая EHR отправляла тысячи назначений медицинской помощи в необнаруживаемое место вместо предполагаемого получателя. Клинические проверки VHA выявили 149 событий с вредом для пациентов, связанных с назначениями, уходившими в эту очередь. OIG также установило, что Oracle Cerner не сообщила конечным пользователям VA об очереди, переложив бремя смягчения на VHA. К маю 2022 года в ней, несмотря на меры, всё ещё находилось более 200 назначений.

Публичный реестр не называет каждого пациента, тип назначения, тяжесть или долгосрочные последствия, и эта статья не выдумывает эти детали.

Сбой очереди показывает, почему одна лишь доступность — неполный показатель безопасности. Врач мог войти в систему и ввести назначение, пока система оставалась «работающей», но нужная служба могла так и не получить заказ. Релевантная цепочка контроля включала проверку назначений, маршрутизацию, видимость исключений, владельца очереди, мониторинг, эскалацию, клиническую проверку и раскрытие информации. Высокий процент аптайма не обнаружил бы тихо перенаправленное назначение. Поэтому устойчивое исправление требует доказательств завершения на уровне транзакций и ответственного владельца для каждой очереди исключений.

Запись о смерти, связанной с планированием, требует такой же точности. OIG рассмотрело случай пациента, умершего от случайной передозировки ингалянта примерно через семь недель после пропущенного приёма. Было установлено, что ошибка EHR помешала пропущенному приёму попасть в очередь, которая запустила бы попытки переназначить визит. Были также выявлены неадекватная психиатрическая помощь, меньшее число обязательных попыток контакта на площадках с новой EHR, чем на унаследованных, неполная оценка и супервизия, а также сбои в заботливой коммуникации. Вывод отчёта был о способствовании смерти и о многофакторности.

Он не поддерживает упрощённое утверждение, что смерть вызвало только ПО.

Но он подтверждает вывод, что дефект планирования может приобрести клинические последствия, когда одновременно отказывают политика, последующее наблюдение, супервизия и контроль эскалации.

Фармацевтическая запись показывает другой класс рисков.Инспекция OIG по аптечной безопасности в марте 2024 годаустановила, что ошибка в коде ПО передавала неточные данные о лекарствах и аллергиях с площадок новой EHR на унаследованные площадки. В отчёте сообщалось, что затронутые пациенты на момент проверки не были уведомлены о риске, а рекомендованные меры для поставщиков описывались как неустойчивые. OIG также связало операционную неэффективность с дополнительным кадровым обеспечением аптек, обходными решениями, учебными материалами, выгоранием, неудовлетворённостью работой и снижением морального духа. Все девять рекомендаций позднее были закрыты, последние — в 2025 году.

Закрытие — это материальное доказательство исправления, но устойчивый тест — остаются ли точность данных о лекарствах между системами и кадровые возможности в безопасных пределах по мере роста числа площадок EHR.

Проблемы планирования выходили за рамки одного неблагоприятного исхода.Консультативная записка OIG по планированиюописывала проблемы с очередью смещённых приёмов, неточную информацию о пациентах, трудности с изменением типа приёма, проблемы коммуникации между поставщиками и администраторами расписания, невозможность автоматизировать часть напоминаний и необходимость дополнительного персонала и сверхурочных, чтобы достичь уровня приёмов, существовавшего до развёртывания. Это не всё выводы о вреде пациентам. Это пути риска: каждый из них может привести к задержке, дублированию работы, пропущенному наблюдению или неопределённости, если контролируемый механизм не замкнёт цикл.

Миграция данных создала ещё один уровень. Обзор управления данными GAO за 2022 год выявил ошибки в данных об аллергиях, лекарствах и иммунизации и потребовал ввести показатели и цели качества мигрированных данных. Миграцию данных часто описывают как разовую техническую задачу, но в национальной системе здравоохранения это программа клинической сверки. Точность, полнота, происхождение, обработка дубликатов, идентификация пациентов и рабочие процессы исправления должны оставаться проверяемыми, когда записи пересекают границы VA, Министерства обороны, сообщества, унаследованных и новых систем.

Прерывание работы системы — самый широкий уровень. Набор данных OIG по крупным инцидентам насчитал 826 инцидентов, за которые отвечали VA или Oracle Health, с первого запуска по 31 марта 2024 года: 172 отнесены к VA и 654 — к Oracle Health. Суммарный период, в течение которого система была затронута, составил 1909 часов 26 минут, а отдельные инциденты длились от одной минуты до 27 часов семи минут. Некоторые инциденты классифицировались более чем одним способом, и общий итог включает деградацию производительности и неполную функциональность, а не только отключения.

Поэтому было бы ошибкой переводить 1909 часов в равное число часов полной остановки клинической работы или умножать их на предположительное число пациентов.

Даже с учётом этой оговорки масштаб воздействия был значительным. Во время одного инцидента с изменением системы OIG сообщило, что директор Mann-Grandstaff приказал персоналу прекратить использование EHR и считать электронные данные пациентов повреждёнными или неточными, и многие приёмы пришлось перенести. OIG также установило, что учреждения использовали непоследовательные процедуры простоев и не имели полностью эффективной совместимой резервной копии только для чтения.

Если врачи не могут доверять текущим электронным данным, безопасность пациентов зависит от того, насколько быстро объявлена проблема, какие достоверные данные остаются доступными, может ли продолжаться деятельность по лекарствам и назначениям и как каждая бумажная или временная запись сверяется после восстановления.

Меморандум о проблемах учреждений за сентябрь 2024 годапоказывает, что вред и издержки накапливались и в рабочих системах. Руководители и сотрудники в Уолла-Уолла и Южном Орегоне описали сохраняющиеся проблемы с эффективностью, продуктивностью, кадровым обеспечением, финансами и безопасностью пациентов. Эти интервью не измеряют всю национальную программу количественно, и их не следует обобщать за пределами их доказательств. Но они показывают, что тенденция технической надёжности может улучшаться, в то время как клинический труд и местные финансовые последствия остаются нерешёнными.

Издержки не только понесли, но и переложили

Публичные данные о расходах содержат числа, относящиеся к разным вещам. Первоначальный контракт 2018 года имел предельную сумму почти 10 млрд долларов на десять лет. Оценка VA полной стоимости жизненного цикла за январь 2019 года составляла около 16,1 млрд долларов с учётом контракта, готовности инфраструктуры и поддержки управления программой. В 2022 году Institute for Defense Analyses подготовил независимую оценку жизненного цикла в 49,8 млрд долларов: 32,7 млрд на тринадцать лет внедрения и 17,1 млрд на пятнадцать лет сопровождения. Эти цифры не взаимозаменяемы, и ни одна из них не является окончательным счётом.

В показаниях о готовности за декабрь 2025 годаGAO сообщило, что VA приняла обязательства примерно на 13,84 млрд долларов с 2018 финансового года по второй квартал 2025 финансового года. Эта сумма разбивается примерно на 5,85 млрд на контракт по EHR, 3,35 млрд на ИТ-инфраструктуру, 1,48 млрд на управление программой, 2,85 млрд на VHA и 324 млн на Управление информации и технологий VA. По состоянию на декабрь 2025 года GAO заявило, что VA так и не предоставила обновлённую оценку общей стоимости жизненного цикла, а программа не представила детальные документы по графику, достаточные для оценки графика на соответствие передовым практикам.

Прямые расходы программы — лишь одна категория издержек. Клинический персонал тратил время на мониторинг очередей, проверку данных о лекарствах, освоение новых рабочих процессов, ввод и сканирование записей о простоях, обработку заявок в поддержку, перенос приёмов и восстановление продуктивности. Учреждения использовали сверхурочные и дополнительный аптечный персонал. Ветераны несли ожидание, переносы, повторные контакты, неопределённость по поводу того, дошло ли назначение, и риск того, что неточные данные следовали за ними между системами.

Публичный реестр не даёт надёжного национального денежного итога по этим нагрузкам, поэтому об издержках следует говорить, не делая вид, что они полностью монетизированы.

Зависимость от поставщика — ещё одна издержка. Как только данные, интерфейсы, обучение, рабочие процессы, порталы и совместимость с Министерством обороны начинают зависеть от общей платформы, смена направления становится дороже, даже если производительность разочаровывает. Это не делает продолжение иррациональным. Это делает решения о ежегодных опционах более значимыми. VA должна сравнить дополнительные издержки и безопасность исправления и масштабирования Oracle Health с издержками и безопасностью расширения VistA, параллельной эксплуатации сред или закупки замены.

Рассмотренный публичный реестр не содержит актуальной полной сравнительной оценки этих альтернатив.

Правовой и надзорный реестр изменил структуру подотчётности

Программа EHR регулируется не только пресс-релизами.Закон VA Electronic Health Record Transparency Act 2021 года, принятый как Public Law 117-154 в июне 2022 года, требует периодических отчётов комитетам по делам ветеранов Палаты представителей и Сената о расходах программы, показателях производительности и результатах. Требуемый реестр результатов включает показатели качества, производительности, безопасности и ценности, подтверждающие данные, изменения этих показателей, а также перечни отчётов о безопасности пациентов, инцидентов, предупреждений или раскрытий по каждому внедрённому учреждению.

Этот закон превратил прозрачность из практики по усмотрению в повторяющуюся законодательную обязанность до сертификации полного внедрения.

Конгресс добавил рычаг финансирования вPublic Law 118-42, закон об ассигнованиях на 2024 год. Он поставил доступность средств на модернизацию в зависимость от отчётов о причинах задержки развёртывания в апреле 2023 года, о показателях и прогрессе перезагрузки, о клинической и продуктовой стандартизации, о производительности относительно базовых уровней до развёртывания, а также от письменной сертификации того, стабильна ли система, готова ли она и оптимизирована ли для дальнейшего развёртывания. Это не сделало Конгресс оператором системы. Это установило, что готовность к развёртыванию имеет финансовые и отчётные последствия.

Контракт стал более принудительным во время перезагрузки. Вобъявлении VA о втором опционе в июне 2024 годаговорилось, что соглашение делает упор на финансовую и исполнительскую подотчётность, и описывался переход от пятилетнего срока к пяти годовым срокам. Изменение мая 2023 года повысило целевой показатель времени без отключений с 99,9 до 99,95 процента, добавило показатель работы без инцидентов и усилило потенциальные финансовые зачёты. Вобъявлении о третьем опционе в мае 2025 годапродолжилась модель ежегодного пересмотра, и говорилось, что переговоры сосредоточены на эффективности затрат и оптимизации.

Принудимость по-прежнему зависит от доказательств. GAO установило, что пороги отключений и инцидентов могут запускать зачёты по счетам, тогда как некоторые пороги по срокам решения заявок в проверяемый период не имели финансовых последствий. OIG установило, что VA нужна собственная процедура проверки, операционные данные в реальном времени, последовательная приоритизация, нейтральные к владельцу показатели реагирования и полная отчётность после устранения. К моменту отсечения рекомендации по процедуре проверки, приоритизации и отчётности после устранения были закрыты.

Обмен данными в реальном времени и эффективные показатели уведомления и устранения остались открытыми.

Рассмотренный здесь публичный реестр не устанавливает окончательного судебного решения о распределении гражданско-правовой ответственности между VA и Oracle Health за эти сбои, а также не содержит уголовных выводов против какой-либо из этих организаций. Рекомендации OIG, рекомендации GAO, предусмотренные законом отчёты, условия ассигнований и контрактные средства защиты — это иные механизмы, чем судебное решение о возмещении ущерба. Их важность практическая: они могут требовать раскрытия информации, задерживать средства, менять экономику контракта и принуждать к предоставлению доказательств до того, как суд распределит убытки.

Доказательства исправления реальны, но их сила различна

Оценка перезагрузки GAO за март 2025 годазафиксировала значимое улучшение и сохраняющиеся слабости. К июню 2024 года VA внедрила более 1500 изменений конфигурации. По состоянию на июль 2024 года руководители программы сообщили, что девять из четырнадцати запросов на улучшение безопасности пациентов с наивысшим приоритетом закрыты. Шесть из семи выявленных аптечных улучшений были реализованы. VA также создала пороги уровня обслуживания для сроков решения заявок, времени без отключений и времени без инцидентов.

Тот же отчёт не позволяет слишком благоприятного прочтения. По состоянию на февраль 2025 года около 1800 сложных запросов на изменение конфигурации оставались нерешёнными. На конец 2024 года два из пяти оставшихся приоритетных улучшений безопасности пациентов ожидали закрытия, а три не были полностью решены. В сентябре 2024 года 75 процентов опрошенных пользователей не согласились или решительно не согласились с тем, что EHR делает их максимально эффективными. Только 23 процента согласились или решительно согласились, что система обеспечивает качественную помощь, что ниже целевого показателя перезагрузки VA в 27 процентов.

Четыре из пяти первоначальных площадок по состоянию на август 2024 года оставались ниже своих базовых уровней продуктивности до запуска.

Показатели надёжности улучшились, но сначала выполнялись не каждый месяц. GAO установило, что целевой показатель времени без отключений выше 99,95 процента выполнялся в пятнадцати из восемнадцати месяцев с апреля 2023 года по сентябрь 2024 года. Целевой показатель 95 процентов времени без инцидентов выполнялся в тринадцати из восемнадцати месяцев. Руководители VA объясняли инциденты ошибками баз данных, дефектами кода, задержками обработки и атакой, затронувшей партнёра по обмену данными. Эти показатели полезны, потому что они определены и связаны с контрактом.

Они по-прежнему требуют независимой проверки и клинического контекста: процент времени без инцидентов не доказывает, что каждое назначение, лекарство, результат или приём достигли правильного получателя.

В релизе VA о планировании перезапуска за декабрь 2024 годасообщалось о более сильных результатах. Там говорилось, что показатели доверия ветеранов выросли на всех действующих площадках, отключения сократились, средние перерывы в работе пользователей приблизились к нулю, а удовлетворённость врачей улучшилась. Это показатели, сообщённые самой стороной, хотя VA заявляла, что цифры доверия получены из опросов ветеранов. Они считаются доказательством исправления, но их следует сверять с определениями, знаменателями, вариациями по площадкам и независимыми выводами о удовлетворённости пользователей в отчёте GAO.

Ещё более сильное заявление о надёжности VA сделала вмарте 2026 года. Заместитель министра сообщил, что система достигала целевого показателя времени без отключений в 27 из 31 месяца с июня 2023 года по декабрь 2025 года, выполняла цели по управлению заявками 30 месяцев подряд и достигала времени без инцидентов каждый месяц с марта 2024 года по декабрь 2025 года. В заявлении также описывались единый управляющий совет, стандартизированный базовый уровень, более тесное участие старшего руководства и визиты на локальные площадки. Эти утверждения достаточно конкретны, чтобы их можно было проверить.

Устойчивый вопрос — доступны ли VA и независимым проверяющим базовые данные об инцидентах, правила исключений, назначение владельцев и связи с клиническими последствиями.

Закрытие рекомендаций OIG даёт ещё один сигнал об исправлении. К 15 июля 2026 года семь из девяти рекомендаций по аудиту крупных инцидентов 2024 года были отмечены как закрытые и выполненные. Закрытая работа включала проверку показателей и зачётов, приоритизацию инцидентов, информацию после устранения, ознакомление с национальной процедурой простоев, обучение работе с резервной системой, рассмотрение выявленных отчётов о безопасности пациентов и механизм связи крупных инцидентов с негативными исходами для пациентов.

Две открытые рекомендации важны, потому что находятся на границе между вендором и правительством: обмен данными об инцидентах в реальном времени и эффективные показатели уведомления и устранения, действующие независимо от того, кому принадлежит инцидент.

Lovell даёт смешанный внутренний тест.Меморандум OIG об интерфейсах за сентябрь 2025 годаподтвердил, что VA и Oracle Health провели корректные тесты и применимые повторные тесты для 24 проверенных интерфейсов. В нём также выявлены недостаточная документация, противоречивые пометки «не выполнялось» и «пройдено» для четырёх интерфейсов и отсутствующая функциональность в двух интерфейсах VA–Министерство обороны, где тестировщики не учли совместные рабочие процессы. Это ни вердикт о провале развёртывания, ни полное оправдание. Это показывает, что тестирование может проводиться, в то время как аудиторский след остаётся слишком слабым, чтобы доказать, что именно было протестировано и принято.

Само развёртывание возобновилось. VA сообщила, чточетыре центра в Мичигане начали работу 11 апреля 2026 годаи чточетыре центра в южном Огайо и северном Кентукки — 6 июня. В последнем релизе описывались поддержка коллег, более ранняя активация командных операций и централизованный мониторинг.К 26 июня VA заявила, что система активнав 14 медицинских центрах и 75 клиниках, обслуживающих более 515 000 ветеранов, и что ранняя версия в Спокане не имела 13 000 обновлений, которые теперь включены.

Эти развёртывания — операционное доказательство того, что VA смогла переключить несколько площадок после перезагрузки. Но это ещё не устойчивое доказательство безопасности пациентов. Ещё пять площадок были запланированы на август и октябрь 2026 года, после даты отсечения этой статьи. Цитируемый публичный реестр пока не включает независимое многомесячное сравнение отчётов о безопасности, сверки лекарств, завершения приёмов, закрытия назначений, сверки после простоев, продуктивности, кадрового обеспечения и опыта пациентов на восьми площадках 2026 года. Ранний успех следует фиксировать как ранний успех, а не превращать в окончательный вердикт.

Снимок GAO за декабрь 2025 года добавляет самое сильное предостережение. В нём сказано, что шестнадцать из восемнадцати рекомендаций по пяти крупным проверкам EHR не были полностью выполнены, включая двенадцать приоритетных рекомендаций. VA закрыла рекомендацию установить базовые уровни и цели для всех девяти показателей перезагрузки, но рекомендации по стоимости, графику, управлению изменениями, удовлетворённости пользователей, своевременности заявок, независимой операционной оценке, качеству данных, тестированию и участию заинтересованных сторон остались открытыми или частично выполненными.

GAO заявило, что планирует наблюдать за устойчивым устранением значимых результатов тестирования в развёртываниях 2026 года.

Это запланированное наблюдение — часть отсутствующего на 15 июля реестра проверки.

Самый свежий независимый контекст по планированию также предостерегает от предположения, что одна платформа устраняет фрагментацию. Впоказаниях GAO по планированию за июнь 2026 годаописаны десятки систем и инструментов планирования VA, отмечено, что развёртывание Oracle Health задерживалось из-за технических и эксплуатационных проблем, и обсуждалась текущая работа по стандартизации самостоятельной записи на приём на унаследованных площадках и площадках Oracle Health. Общая EHR со временем может снизить фрагментацию, но сам переходный период содержит множество порталов, правил планирования, интерфейсов и состояний площадок, которыми нужно управлять.

Контрфактические сравнения проясняют, что означал бы успех

Первый контрфактический сценарий — продолжение графика развёртывания до перезагрузки. Если бы VA продолжала добавлять площадки в 2023 году, пока оставались нерешёнными проблемы «неизвестной очереди», аптек, планирования, реагирования на инциденты, удовлетворённости пользователей и продуктивности, больше ветеранов и сотрудников попали бы в периметр воздействия до стандартизации контрольных механизмов. Пауза принесла задержку и переходные издержки, но официальный реестр поддерживает вывод, что она ограничила радиус поражения. Неизвестно, сколько событий пауза предотвратила; ни один открытый источник не может дать это число.

Второй сценарий — отношение к VistA как к безрисковому запасному варианту. Это не так. VA пошла на модернизацию, потому что локально различающиеся унаследованные экземпляры создавали ограничения по совместимости, обслуживанию, безопасности и продольной записи. Бессрочное сохранение VistA сохранило бы привычные рабочие процессы для многих пользователей, но также сохранило бы фрагментацию и потребовало бы постоянных инвестиций. Ответственное сравнение — не «новое плохо, старое хорошо».

Вопрос в том, даёт ли поэтапный переход на Федеральную EHR, длительное гибридное состояние, пересмотренная закупка или продолжение модернизации унаследованной системы лучший проверенный клинический результат на доллар и на единицу нарушения работы.

Третье сравнение — развёртывание той же базовой коммерческой платформы Министерством обороны. В заявлении Oracle за 2024 год говорилось, что система работает на 3890 объектах гарнизонов Министерства обороны, где более 197 200 пользователей обслуживают свыше 9,5 миллиона бенефициаров. Такой масштаб — доказательство того, что базовый продукт может работать в крупной федеральной среде. Это не доказательство того, что внедрение VA было безопасным в каждой точке.

VA и Министерство обороны различаются по конфигурации, интеграциям, управлению, кадровому обеспечению, клиническим путям, демографии пациентов, унаследованным данным и локальным моделям работы.

Сравнение смещает вопрос с того, может ли продукт вообще масштабироваться, на то, почему специфическая для VA социотехническая система дала задокументированные сбои и были ли устранены их причины.

Четвёртое сравнение — Lovell против первых пяти площадок. Lovell начала работу во время перезагрузки, не имела зарегистрированных критических или высокосерьёзных результатов тестирования на момент запуска и была представлена VA и Oracle как более сильное развёртывание. OIG позднее подтвердило надлежащее тестирование выборочных интерфейсов, но выявило недостатки документации и функциональности. Урок не в том, что Lovell добилась успеха или провалилась в бинарном смысле. Урок в том, что даже лучшее развёртывание может оставить пробелы в доказательствах, и эти пробелы следует устранять до того, как метод будет тиражирован на более крупные волны.

Пятый контрфактический сценарий — более строгий шлюз развёртывания. VA могла бы потребовать закрытия всех приоритетных рекомендаций GAO, обеих оставшихся рекомендаций OIG по крупным инцидентам, независимой операционной оценки, актуальной стоимости жизненного цикла и интегрированного графика, а также многомесячных доказательств результатов по площадкам до ускорения. Такой подход мог бы снизить неопределённость, но продлил бы гибридную среду, увеличил бы издержки задержки и отложил бы выгоды совместимости.

Защитимое решение может допускать незакрытую работу только при условии, что каждое исключение имеет названного владельца, ограниченный риск, компенсирующий контроль, срок и прозрачное обоснование. «Открыто» никогда не должно означать «без владельца».

Подтверждённые факты, обоснованные выводы и неизвестное

Подтверждённые факты.В мае 2018 года VA заключила с Cerner десятилетний контракт на EHR, впервые развернула систему в Спокане в октябре 2020 года, расширила её на ещё четыре площадки в 2022 году и остановила большинство будущих развёртываний в апреле 2023 года. Oracle приобрела Cerner в июне 2022 года и взяла на себя роль подрядчика. VA продолжила с Lovell в марте 2024 года, начала планирование более широкого перезапуска в декабре 2024 года и развернула систему ещё в восьми медицинских центрах в апреле и июне 2026 года.

К подтверждённым фактам относится вывод OIG о том, что тысячи клинических назначений направлялись в «неизвестную очередь», и вывод о том, что проверки VHA выявили 149 событий с вредом для пациентов. К подтверждённым фактам относится вывод инспекции по планированию о том, что ошибка EHR и неадекватная психиатрическая помощь способствовали смерти пациента. К подтверждённым фактам относится вывод фармацевтического отчёта о том, что ошибка в коде передавала неточные данные о лекарствах и аллергиях между площадками новой и унаследованной EHR, а также его выводы об обходных решениях, кадровом обеспечении и нагрузке на персонал.

К подтверждённым фактам относится подсчёт OIG: 826 крупных инцидентов производительности, за которые отвечали VA или Oracle Health, по состоянию на 31 марта 2024 года, и суммарные 1909 часов 26 минут, в течение которых система была затронута. К подтверждённым фактам относятся выводы GAO о том, что VA внедрила более 1500 изменений конфигурации к июню 2024 года, имела около 1800 нерешённых сложных запросов на изменения по состоянию на февраль 2025 года и по-прежнему сталкивалась со значительной неудовлетворённостью пользователей в сентябре 2024 года.

К подтверждённым фактам относится и позднейшая публикация VA улучшенных показателей надёжности, хотя это показатели, сообщённые самой VA, а не независимые выводы.

К подтверждённым юридическим и управленческим фактам относятся установленные законом ежеквартальные отчётные обязанности, условия ассигнований 2024 года, структура ежегодных контрактных опционов, контрактные пороги производительности, закрытые рекомендации OIG и открытые рекомендации. К подтверждённым фактам о расходах относятся первоначальная предельная сумма контракта, различные оценки жизненного цикла и заявленные обязательства VA по второй квартал 2025 финансового года. Каждая цифра измеряет свой объём.

Обоснованные выводы.Сбои были социотехническими, а не исключительно дефектами ПО или исключительно ошибками пользователей. Взаимодействовали поведение продукта, конфигурация, перенос данных, интерфейсы, конструкция контракта, информация об инцидентах, клиническая политика, обучение, кадровое обеспечение, локальные рабочие процессы и последующее наблюдение. Этот вывод обоснован, потому что надзорный реестр выявляет слабости во всех этих слоях и потому что разные инциденты пересекали более одной границы контроля.

Также обоснован вывод, что перезагрузка 2023 года снизила немедленное воздействие, отложив расширение, пока VA и Oracle вносили изменения. Обоснован вывод, что ежегодные опционы и зачёты по SLA усиливают рычаги только тогда, когда VA может независимо проверять данные и применять меры. Обоснован вывод, что более высокий аптайм сам по себе не доказывает завершение назначений, точность данных о лекарствах, безопасное планирование или эффективную сверку после простоев.

РуководстваSAFER 2025 года от ONCподдерживают этот более широкий стандарт, рассматривая безопасность EHR как сочетание организационной ответственности, планирования на случай непредвиденных обстоятельств, управления системой, ввода назначений, отслеживания результатов, идентификации пациентов и коммуникации врачей.

Обоснован вывод, что восемь запусков 2026 года — значимое, но неполное доказательство исправления. Работа нескольких площадок без немедленного публичного кризиса значима. Устойчивый вывод требует достаточно времени и данных, чтобы обнаружить редкий вред, обходные решения, задержки последующего наблюдения, эффекты на продуктивность и повторение проблем с очередями исключений или межсистемных проблем.

Неизвестное.Публичный реестр не раскрывает полные журналы инцидентов, всю телеметрию вендора, каждое решение об управлении изменениями, все анализы первопричин, все отчёты о безопасности пациентов, каждого затронутого пациента или полное распределение по тяжести для 149 событий с вредом, связанных с «неизвестной очередью». Он не устанавливает полный причинный вклад EHR в каждый перенесённый приём, кадровую проблему, неблагоприятное событие или клинический исход.

Текущий реестр не даёт полной и независимо подтверждённой оценки стоимости жизненного цикла с учётом перезагрузки и ускоренного графика. Он не содержит полных сумм зачётов по счетам, публичного сопоставления каждого нарушения SLA с мерой воздействия или полного коммерческого распределения убытков между VA и Oracle Health. Он не раскрывает все внутренние обсуждения за решениями о ежегодных опционах и развёртывании.

Цитируемый здесь реестр пока не даёт многомесячных независимых сравнений результатов для развёртываний в Мичигане и южном Огайо/Кентукки, полных доказательств по пяти площадкам, запланированным на более поздний период 2026 года, или доказательств того, что каждая закрытая рекомендация сохраняет эффективность при большей нагрузке. Он не устанавливает, что модернизация завершена, что каждый прежний дефект устранён или что будущих инцидентов не будет. Эти неизвестные должны оставаться видимыми, а не заполняться предположениями о мотивах, компетентности или скрытом вреде.

Устойчивый тест подотчётности для следующей волны развёртывания

Первый тест —завершение клинических транзакций. VA и Oracle должны иметь возможность показать, что назначения, направления, результаты анализов, рецепты, сообщения и приёмы достигают ответственного получателя. Очереди исключений должны быть видимыми, обеспеченными персоналом, отслеживаемыми по возрасту и сверяемыми. Транзакция не должна считаться успешной только потому, что исходный экран её принял. Показатели безопасности должны сообщать о завершении, задержке, перенаправлении и ручном вмешательстве по площадкам и клиническому риску.

Второй тест —связь инцидента с исходом. Каждый крупный инцидент должен иметь общий идентификатор в системах заявок VA и Oracle, точное время начала и окончания, затронутые функции, площадки, пользователей, клинические рабочие процессы, обходные решения и корректирующие действия. Система безопасности пациентов VA должна связывать неблагоприятные события и почти случившиеся инциденты с этим идентификатором без ручного поиска по ключевым словам. Две оставшиеся рекомендации OIG должны закрываться только тогда, когда доступ к данным в реальном времени и нейтральные к владельцу показатели реально работают, а не просто спроектированы.

Третий тест —непрерывность работы и сверка при простоях. Каждая площадка должна продемонстрировать, что врачи могут получить доступ к достоверной записи только для чтения, использовать стандартизированные формы, продолжать процессы с высокорискованными лекарствами и назначениями, определять, что изменилось во время простоя, и сверять каждую временную запись после восстановления. Учения должны охватывать как частичную деградацию, так и полное отключение, потому что медленная, неполная или вызывающая недоверие EHR может быть более неоднозначной, чем явно недоступная.

Четвёртый тест —целостность лекарственных данных и идентичности на границах систем. VA должна постоянно выборочно проверять данные о лекарствах, аллергиях, иммунизации, демографии и идентичности пациентов при их перемещении между Министерством обороны, Oracle Health, VistA, сторонней помощью, аптечными модулями и порталами пациентов. Усреднённых значений недостаточно для полей с высокими последствиями. Системе нужны пороги, разбор исключений, правила уведомления пациентов и доказательства того, что исправление распространяется всюду, где нужно, не затирая авторитетные данные.

Пятый тест —человеческая нагрузка. Готовность должна включать кадровое обеспечение, сверхурочные, время в EHR на одного пациента, задержку очередей, нагрузку заявок, текучесть кадров, индикаторы выгорания и локальную продуктивность. Рабочий процесс, который безопасен только потому, что фармацевты, администраторы расписания или медсёстры постоянно выполняют ручные проверки, не был полностью исправлен. Кадровое обеспечение может быть допустимым компенсирующим контролем на время перехода, но его стоимость, срок и условие выхода должны быть явными.

Шестой тест —независимая операционная проверка. VA должна опубликовать или предоставить надзорным органам независимую оценку площадок 2026 года после достаточного времени работы, чтобы наблюдать обычные и пиковые условия. Этот обзор должен сверять заявления VA о надёжности с исходными определениями, исключёнными инцидентами, принадлежностью инцидентов вендором, отчётами о безопасности пациентов и результатами по площадкам. Он должен проверять, действительно ли используется стандартизированный национальный базовый уровень и управляется ли необходимая локальная вариативность, а не скрывается.

Седьмой тест —контрактные последствия. Ежегодные опционы должны раскрывать, какие доказательства производительности оправдали продолжение, какие пороги были нарушены, какие зачёты или другие меры применялись, какие дефекты остаются принятыми и кто одобрил каждое исключение. Соглашение об уровне обслуживания без проверенных данных и предсказуемого принуждения — это отчётная конвенция, а не подотчётность. Контрактная мера также не должна подменять клиническое исправление; зачёт по счету не может исправить пропущенное назначение.

Восьмой тест —правда о расходах и графике. VA нужна актуальная независимая оценка жизненного цикла и интегрированный график, включающий гибридный период, подготовку площадок, инфраструктуру, клинический персонал, сопровождение, будущие закупки после текущих опционов и вывод из эксплуатации унаследованных систем. Лица, принимающие решения, должны видеть диапазоны и неопределённость, а не одно заглавное число. Более быстрое развёртывание может сократить годы расходов на двойную систему, но может и умножить расходы на исправление, если предположения о готовности ошибочны.

Девятый тест —прозрачные шлюзы развёртывания. Перед каждой волной VA должна публиковать показатели, пороги, нерешённые вопросы, компенсирующие контрольные механизмы, ответственных руководителей и независимые доказательства, использованные для одобрения запуска. После каждой волны она должна публиковать те же показатели относительно базовых уровней до развёртывания. Если порог отменяется, отмена должна указывать клиническое обоснование, срок действия и путь эскалации.

Финальный тест —соответствие контроля и бремени. VA владеет общественной миссией, клинической политикой, закупками и решением о развёртывании. Oracle Health владеет контрактными технологическими и сервисными обязательствами. Учреждения владеют локальным исполнением в рамках национальных контрольных механизмов. Врачи владеют профессиональными действиями, которые могут разумно выполнять. Конгресс и независимые аудиторы владеют надзором. Ветераны не владеют ни одним из скрытых механизмов системы. Устойчивый режим подотчётности не позволяет последней группе платить за сбои, контролируемые другими, через задержанную помощь или неопределённость.

По состоянию на 15 июля 2026 года доказательства поддерживают сбалансированный вывод. Ранняя программа привела к подтверждённому вреда пациентам, серьёзным сбоям управления инцидентами, большим государственным расходам и перезагрузке, которая была оправдана. Она также принесла измеримые улучшения, более сильную контрактную структуру, закрытие рекомендаций и восемь новых запусков 2026 года. Не доказанной остаётся устойчивость в национальном масштабе.

VA и Oracle Health пройдут тест подотчётности только тогда, когда каждое новое развёртывание будет добавлять не просто пользователей и площадки, а независимо проверяемые доказательства того, что клинические транзакции завершаются, инциденты связаны с исходами, персонал может безопасно восстанавливать работу, меры применяются, а нерешённые риски остаются видимыми, пока их действительно не возьмут под контроль.