Introducción: La inspección sorpresa como mecanismo de vigilancia sanitaria
La inspección sorpresa (también denominada visita de verificación no programada) es el acto administrativo mediante el cual una autoridad sanitaria —como la Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS) o las jurisdicciones sanitarias estatales— se presenta en un establecimiento de atención médica sin aviso previo para constatar el cumplimiento de la normatividad vigente. A diferencia de la auditoría programada, este mecanismo está diseñado precisamente para capturar el estado operativo cotidiano del establecimiento, no una versión preparada para el escrutinio.
Entender la mecánica jurídica y operativa de estas inspecciones permite a los responsables sanitarios construir un estado de cumplimiento permanente (compliance continuo), reduciendo la brecha entre el funcionamiento ordinario y el nivel de conformidad que exige la norma.
Marco normativo aplicable
El andamiaje regulatorio que rige la visita de verificación en establecimientos de salud proviene de varias fuentes concurrentes:
- Ley General de Salud (LGS): establece las facultades de verificación y control sanitario de la Secretaría de Salud y los organismos delegados, así como las sanciones administrativas derivadas de incumplimientos.
- NOM-004-SSA3-2012, Del expediente clínico: norma que regula el contenido mínimo, integración, conservación y confidencialidad del expediente clínico —conjunto de documentos escritos, gráficos e imagenológicos que registran el proceso de atención de un paciente. Su cumplimiento es uno de los ejes centrales que revisan los verificadores.
- NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud (SIRES): aplicable cuando el expediente clínico se lleva en formato digital; define los requisitos de seguridad, interoperabilidad y trazabilidad de los sistemas de registro electrónico para la salud (RES).
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP): regula el tratamiento de los datos sensibles del paciente; en la práctica, obliga al establecimiento a contar con aviso de privacidad publicado, accesible y específico para el ámbito clínico.
- Avisos y guías técnicas de COFEPRIS: lineamientos operativos que complementan las NOMs y delimitan los criterios de evaluación que usan los inspectores durante la visita.
Interpretar estas normas en términos prácticos significa que cada expediente debe estar completo, legible, firmado y fechado; que los sistemas electrónicos deben producir una bitácora de auditoría (registro automático de quién accedió o modificó un registro y cuándo); y que los datos personales de los pacientes deben tratarse con las salvaguardas que exige la LFPDPPP.
Fase preparatoria: construir el estado de compliance continuo
La preparación no comienza el día que llega el inspector; comienza con la implementación de procesos que garanticen que el establecimiento cumple la norma en todo momento. Las acciones fundamentales son:
- Auditoría interna periódica del expediente clínico: revisar muestras aleatorias de expedientes para verificar que contienen los elementos obligatorios conforme a la NOM-004-SSA3-2012 —nota de ingreso, notas de evolución, consentimiento informado, notas de referencia y contrarreferencia, entre otros— y que están debidamente firmados por el profesional responsable.
- Validación del sistema de registro electrónico: si se utiliza un RES, confirmar que cumple los requisitos de la NOM-024-SSA3-2012: cifrado de datos en tránsito y en reposo, control de acceso basado en roles, y generación de bitácora de auditoría inalterable.
- Actualización y exhibición del aviso de privacidad: el aviso debe estar redactado en lenguaje claro, especificar las finalidades del tratamiento de datos sensibles y estar colocado en lugar visible o entregado al paciente antes de la primera consulta, conforme a la LFPDPPP.
- Verificación de licencias y permisos sanitarios vigentes: licencia sanitaria, tarjetas o cedulas profesionales del personal clínico, y certificados de mantenimiento de equipos médicos deben estar vigentes, localizables y organizados en un expediente administrativo de fácil acceso.
- Capacitación continua del personal: todos los colaboradores deben conocer el protocolo de atención al inspector: a quién notificar internamente de inmediato, cómo canalizar las solicitudes de documentación y cuáles son sus derechos y obligaciones durante la visita.
- Control de insumos y cadena de frío: medicamentos, biológicos y dispositivos médicos deben almacenarse según las condiciones indicadas por el fabricante y por la normativa aplicable; los registros de temperatura son documentos auditables.
- Programa de manejo de residuos peligrosos biológico-infecciosos (RPBI): conforme a la normativa ambiental y sanitaria, debe existir un contrato vigente con empresa recolectora autorizada y bitácoras de generación y recolección.
- Plan de respuesta a emergencias: rutas de evacuación señalizadas, equipo contra incendio con fecha de recarga vigente y simulacros documentados son verificados frecuentemente.
Protocolo de actuación el día de la inspección
Cuando el inspector se presenta, la respuesta del establecimiento debe ser ordenada y profesional. El responsable sanitario —figura legalmente designada ante la autoridad para responder por el cumplimiento normativo del establecimiento— debe presentarse de inmediato y solicitar la orden de visita, documento que acredita la autorización formal de la inspección, la identidad del verificador y el alcance de la diligencia. Exigir este documento es un derecho, no una obstrucción.
Durante la diligencia, el personal debe cooperar sin obstaculizar, proporcionar únicamente los documentos solicitados en la orden, y evitar eliminar, modificar o reubicar registros. Al concluir, el inspector elaborará un acta de verificación —instrumento jurídico que documenta los hallazgos, las inconformidades detectadas y los plazos otorgados para su corrección. El responsable sanitario debe leer el acta con detenimiento antes de firmarla; tiene derecho a hacer constar sus observaciones en el propio documento.
Gestión de las no conformidades
Una no conformidad es cualquier desviación respecto a los requisitos normativos detectada durante la inspección. Clasificarlas por criticidad —aquellas que representan riesgo inmediato para el paciente versus deficiencias documentales— permite priorizar la corrección. Dentro del plazo concedido, el establecimiento debe presentar un plan de acción correctiva que incluya la causa raíz, la medida implementada y la evidencia objetiva de su aplicación. Este seguimiento formal reduce el riesgo de sanción y demuestra buena fe ante la autoridad.
Glosario
- Expediente clínico: conjunto de documentos escritos, gráficos e imagenológicos que registran cronológicamente el estado de salud y el proceso de atención de un paciente. Regulado por la NOM-004-SSA3-2012.
- Responsable sanitario: profesional de la salud designado formalmente ante la autoridad para responder del cumplimiento normativo de un establecimiento de atención médica.
- COFEPRIS: Comisión Federal para la Protección contra Riesgos Sanitarios; órgano desconcentrado de la Secretaría de Salud con facultades de regulación, control y fomento sanitario.
- Bitácora de auditoría: registro automático e inalterable que documenta los accesos, modificaciones y eliminaciones realizados sobre un sistema de información; requisito de trazabilidad conforme a la NOM-024-SSA3-2012.
- No conformidad: desviación respecto a un requisito normativo o estándar establecido, detectada durante una auditoría o verificación.
- RPBI: Residuos Peligrosos Biológico-Infecciosos; materiales generados en establecimientos de atención médica con características de peligrosidad microbiológica que requieren manejo diferenciado conforme a la normativa ambiental y sanitaria.
- Acta de verificación: instrumento jurídico levantado por el inspector al concluir la visita, que documenta los hallazgos, las no conformidades y los plazos de corrección; tiene valor probatorio en procedimientos administrativos ulteriores.
- Compliance continuo: estado operativo en el que un establecimiento mantiene el cumplimiento normativo como condición permanente de funcionamiento, no como preparación puntual ante inspecciones.
Referencias
- Secretaría de Salud. (2012). NOM-004-SSA3-2012, Del expediente clínico. Diario Oficial de la Federación. Ciudad de México, México.
- Secretaría de Salud. (2012). NOM-024-SSA3-2012, Sistemas de información de registro electrónico para la salud. Diario Oficial de la Federación. Ciudad de México, México.
- Cámara de Diputados del H. Congreso de la Unión. (2023). Ley General de Salud (última reforma publicada). Diario Oficial de la Federación. Ciudad de México, México.
- Cámara de Diputados del H. Congreso de la Unión. (2010). Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación. Ciudad de México, México.
- Comisión Federal para la Protección contra Riesgos Sanitarios (COFEPRIS). (s.f.). Guías y criterios de verificación sanitaria para establecimientos de atención médica. Recuperado del sitio oficial de COFEPRIS: www.gob.mx/cofepris