Escenario: auditoría interna de la Clínica Santa Rosa

La política dice quién necesita acuerdo y cuándo un acuerdo deja de contar. Hay terceros que ven datos sin necesitarlo y otros que los ven por ser prestadores. Cruzando la tabla de terceros con la política, hay uno solo que ve datos de pacientes por cuenta de la clínica, no presta atención y no tiene ningún acuerdo firmado.

De los acuerdos que existen, la revisión de cláusulas marca los que no traen alguna de las seis obligatorias. Uno de esos huecos pesa más que los otros dos porque deja a la clínica sin enterarse de un incidente de su proveedor, y el proveedor aloja la historia clínica electrónica.

El registro de octubre mezcla accesos con asignación, accesos de urgencia con motivo escrito y accesos de soporte con su explicación. Hay un usuario de atención que abrió varias historias de pacientes que no tiene asignados y no dejó ningún motivo.

La política manda deshabilitar la cuenta el día de la baja. Talento humano informó ocho bajas, una de ellas programada para noviembre, y el sistema tiene sus cuentas. Interesan las bajas que ya ocurrieron al corte, del 22 de octubre de 2027, y cuya cuenta sigue habilitada.

La dirección médica quiere abrir el informe con lo que no puede esperar. La visita es en pocos días y el informe tiene hallazgos de papeles y de operación. Algunos pueden haber causado ya un acceso indebido a datos de pacientes y otros son brechas de procedimiento que se corrigen sin urgencia.