Definición y alcance de la auditoría de compliance médico
Una auditoría de compliance médico (también denominada auditoría de cumplimiento normativo en salud) es un proceso sistemático, documentado e independiente mediante el cual se evalúa si una organización de salud —hospital, clínica, laboratorio, consultorio o proveedor de tecnología sanitaria— opera conforme al conjunto de disposiciones legales, normas técnicas, políticas internas y estándares éticos que regulan su actividad. A diferencia de una auditoría financiera, cuyo objeto principal es la razonabilidad de los estados contables, la auditoría de compliance médico examina la conformidad regulatoria de los procesos clínicos, administrativos y de protección de datos en su totalidad.
El término compliance proviene del inglés to comply (cumplir) y en el contexto sanitario mexicano alude al acatamiento de un marco normativo que incluye, entre otros instrumentos, la Ley General de Salud, las Normas Oficiales Mexicanas aplicables, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y la normatividad emitida por la Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS).
Marco legal de referencia en México
Toda auditoría de compliance médico en el país debe articularse, como mínimo, alrededor de los siguientes instrumentos normativos:
- NOM-004-SSA3-2012 (Expediente Clínico): establece los criterios científicos, tecnológicos y administrativos que debe reunir el expediente clínico —ya sea en papel o en formato electrónico— en cualquier establecimiento de atención médica. En la práctica, el auditor verificará que cada expediente contenga los elementos obligatorios (historia clínica, notas de evolución, consentimiento informado, entre otros), que esté debidamente resguardado y que su acceso esté restringido a personal autorizado.
- NOM-024-SSA3-2012 (Sistemas de Información de Registro Electrónico para la Salud): regula los requisitos mínimos de los Sistemas de Información de Salud (SIS) y del Expediente Clínico Electrónico (ECE). El auditor revisará interoperabilidad, trazabilidad de accesos, mecanismos de respaldo y firma electrónica.
- Ley General de Salud: define el marco general de los derechos del paciente, la responsabilidad de los prestadores de servicios y las obligaciones de los establecimientos. Cualquier desviación de sus disposiciones puede constituir una infracción sanitaria sujeta a sanción administrativa o penal.
- LFPDPPP y su Reglamento: obliga a todo responsable del tratamiento de datos personales —incluyendo datos de salud, que son considerados datos sensibles— a implementar medidas de seguridad administrativas, físicas y técnicas. En la práctica, el auditor verificará la existencia y entrega de avisos de privacidad, la base legal del tratamiento y los procedimientos ARCO (Acceso, Rectificación, Cancelación y Oposición).
- Normatividad COFEPRIS: los establecimientos que elaboren, comercialicen o almacenen insumos para la salud (medicamentos, dispositivos médicos) deben contar con licencias sanitarias vigentes, cumplir con las Buenas Prácticas de Manufactura (BPM) o Buenas Prácticas de Almacenamiento (BPA) correspondientes y mantener actualizada su documentación ante la autoridad sanitaria.
Áreas que revisa una auditoría de compliance médico
El alcance de la auditoría varía según el tipo y tamaño del establecimiento, pero generalmente abarca las siguientes dimensiones:
- Gestión del expediente clínico: completitud, legibilidad, secuencia cronológica, consentimientos informados firmados, notas de referencia y contrarreferencia, y protocolos de resguardo conforme a la NOM-004-SSA3-2012.
- Seguridad y privacidad de datos de salud: evaluación de controles de acceso a los SIS, cifrado de bases de datos, gestión de incidentes de seguridad y cumplimiento de la LFPDPPP.
- Licencias y registros sanitarios: vigencia de la licencia sanitaria del establecimiento, Registro Sanitario de los insumos utilizados y habilitaciones del personal de salud ante los colegios y autoridades competentes.
- Procesos clínicos estandarizados: existencia y aplicación de Guías de Práctica Clínica (GPC) oficiales, protocolos de manejo del paciente y procedimientos de trazabilidad en la cadena de custodia de muestras biológicas.
- Farmacovigilancia y tecnovigilancia: sistemas de reporte de eventos adversos a COFEPRIS y cumplimiento de los programas de uso racional de medicamentos.
- Gestión de residuos peligrosos biológico-infecciosos (RPBI): clasificación, envasado, almacenamiento temporal y disposición final conforme a la normatividad ambiental y sanitaria vigente.
- Facturación y codificación clínica: congruencia entre el diagnóstico registrado en el expediente y los códigos de la Clasificación Internacional de Enfermedades (CIE) utilizados para facturación a aseguradoras o programas de salud pública.
- Capacitación y competencia del personal: evidencia documental de que el personal clínico y administrativo ha recibido formación en las normativas aplicables, incluyendo protección de datos y manejo de emergencias.
Metodología general del proceso auditor
Una auditoría de compliance médico sigue, en términos generales, cuatro fases: planeación (definición del alcance, criterios y riesgos prioritarios); ejecución (revisión documental, entrevistas y pruebas de campo); comunicación de hallazgos (informe de no conformidades, observaciones y recomendaciones); y seguimiento (verificación de la implementación de acciones correctivas dentro de plazos acordados). Los hallazgos se clasifican habitualmente como no conformidades mayores (incumplimientos que comprometen directamente la seguridad del paciente o exponen a la institución a sanciones graves), no conformidades menores (desviaciones que no representan riesgo inmediato pero que deben corregirse) y oportunidades de mejora.
Importancia estratégica del compliance médico
Más allá del imperativo legal, el compliance médico bien gestionado reduce la exposición a responsabilidad civil y penal, fortalece la confianza del paciente, mejora los indicadores de calidad asistencial y facilita la acreditación ante organismos como el Consejo de Salubridad General (CSG). En un entorno donde la digitalización del expediente clínico avanza aceleradamente, la convergencia entre la NOM-024-SSA3-2012 y la LFPDPPP convierte al compliance en un eje transversal de la gobernanza institucional en salud.
Glosario
- Auditoría de compliance médico: evaluación sistemática e independiente del cumplimiento de las disposiciones legales, normativas y éticas que rigen a una organización de salud.
- Expediente Clínico: conjunto de documentos escritos, gráficos o electrónicos que contienen los datos de identificación, antecedentes, diagnóstico y tratamiento de un paciente, regulado en México por la NOM-004-SSA3-2012.
- Dato sensible: categoría de dato personal que revela información sobre el estado de salud, origen étnico, creencias religiosas u otras esferas íntimas; su tratamiento requiere consentimiento expreso bajo la LFPDPPP.
- No conformidad: incumplimiento de un requisito normativo o de un criterio establecido en el sistema de gestión de la organización auditada.
- RPBI: Residuos Peligrosos Biológico-Infecciosos; materiales generados durante la atención médica que contienen agentes biológicos con capacidad de causar enfermedad.
- Farmacovigilancia: actividad de salud pública cuyo objetivo es la identificación, evaluación y prevención de los riesgos asociados al uso de medicamentos una vez comercializados.
- ARCO: acrónimo de los derechos de Acceso, Rectificación, Cancelación y Oposición que la LFPDPPP reconoce a los titulares de datos personales.
- Registro Sanitario: autorización expedida por COFEPRIS que acredita que un insumo para la salud cumple con los requisitos de calidad, seguridad y eficacia exigidos para su comercialización en México.
Referencias
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación.
- Secretaría de Salud. (2012). Norma Oficial Mexicana NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Intercambio de información en salud. Diario Oficial de la Federación.
- Cámara de Diputados del H. Congreso de la Unión. (vigente). Ley General de Salud. Diario Oficial de la Federación.
- Cámara de Diputados del H. Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación.
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). (vigente). Marco normativo de establecimientos de salud y buenas prácticas sanitarias. Recuperado de gob.mx/cofepris.
- Organización Mundial de la Salud. (2021). Handbook for national quality policy and strategy: A practical approach for developing policy and strategy to improve quality of care. OMS.