医院his系统存在漏洞违反什么财经法纪

去年冬天，医院某三甲医院信息科的统存老张被纪委叫去谈话。原因不是漏洞他收了红包，而是违反他负责维护的HIS系统里，药品库存数据跟财务账面对不上。什财差了三百多万。经法纪查了两个月，医院发现是统存收费员用默认账号登录后能直接修改已结算的处方金额——这个漏洞存在了四年，没人发现，漏洞直到一个离职员工在论坛上匿名发帖。违反

HIS系统漏洞违反的什财财经法纪，第一条就是经法纪《会计法》第九条：各单位必须根据实际发生的经济业务事项进行会计核算。漏洞导致数据可被篡改，医院账实不符，统存会计核算的漏洞原始凭证就失去了真实性。老张那家医院，收费员改一笔处方，药房发药记录不变，月底盘点时药品库存虚高，财务却按实际收款入账，差额就挂在“其他应收款”里。这不是技术故障，是人为制造了账外账。

更直接的违规是《医院财务制度》第四十三条：医院应当建立严格的内部控制制度，确保资金安全。HIS系统里收费、退费、折扣权限不分离，一个人能完成从开单到收款的全流程，这等于把出纳和会计的岗位合并了。我见过一家县级医院，医生工作站可以直接给患者打八折，不需要任何人审批。年底审计时发现，某个科室的折扣率是其他科室的三倍，查下去才知道，医生给熟人看病时顺手就改了价格。这违反的是《内部会计控制规范》里“不相容职务相互分离”的硬性要求。

还有一类漏洞更隐蔽。有些医院的HIS系统数据库密码是默认的“123456”，或者直接写在配置文件里。外部人员能通过医院WiFi连上数据库，修改药品进价。这触发的是《网络安全法》第二十一条，但财经法纪层面，它导致采购成本数据失真，进而影响药品定价和医保结算。去年西南某市医保局通报过一个案例：医院HIS系统被供应商远程操控，把一种抗生素的采购单价从12元改成18元，差价通过虚开发票套现。这已经构成《刑法》里的职务侵占和虚开发票罪了。

漏洞怎么来的？多数是历史遗留。老系统用PowerBuilder写的，当年开发的人早离职了，源码找不着。信息科只敢打补丁，不敢重构。财务科又不懂技术，每次对账只看总数，不看明细。审计来了就翻凭证，凭证是HIS打印出来的，打印之前数据有没有被改过，没人知道。这种“技术黑箱”让财经法纪的监管链条断在了最底层。

要堵住这些漏洞，光靠信息科不行。得让财务人员进系统后台，看操作日志。得把收费、退费、折扣、库存调整的权限拆开，每个人只能干一件事。得定期做数据比对，不是比总数，是比每一笔处方的金额、药品、医生、时间戳。我见过做得好的医院，把HIS日志同步到独立的审计服务器，财务科每周抽查一百条记录，发现异常直接报纪委。这比事后查账有用得多。

说到底，HIS系统漏洞不是纯技术问题。它违反的财经法纪，核心就一条：任何经济业务的发生，必须留下不可篡改的痕迹。系统做不到，人就敢乱来。老张那个案子最后给了个党内警告，调离信息科。但那个漏洞还在，只是换了个默认密码。没人再提那三百万去哪了。