Procesos de atención y la información detrás del paciente

Seguridad de la Información – Auditoría de Sistemas
Tel.(05411)153328-6859fabiandescalzo@yahoo.com.ar
1
Procesos de atención y la información
detrás del paciente
La gestión de la información como principal soporte en la
seguridad y calidad de la atención de pacientes.
La Organización Mundial de la Salud señala que a medida que el mundo enfrenta nuevas
crisis de salud, para el año 2020 y por primera vez en la historia, el número de personas
de 60 años o más será mayor que el de los niños menores de cinco años, lo que
significará demandas cada vez más apremiantes para los sistemas de cuidado de la
salud. Y cada vez más crítica la necesidad de apoyar la gestión sanitaria en la
información y su tratamiento.
Para afrontar un proceso de cambios acelerado, las instituciones de salud deben lograr y
mantener los más altos estándares de calidad y seguridad como una prioridad esencial en el
proceso de atención a pacientes, y para lograrlo, más de 800 entidades alrededor del mundo
han elegido acreditar sus procesos por JCI (Join Commission International) que evalúa la
organización de salud para determinar si satisface un conjunto de requisitos, denominados
estándares, que fueron diseñados para proporcionar un compromiso visible de una
organización para mejorar la seguridad y calidad de atención que es óptima y factible.
Desde 1999, JCI ayuda a las organizaciones ofreciendo estos
estándares para que las entidades implementen prácticas globales
avanzadas, con la guía de la “5ta. edición del manual de estándares
internacionales para hospitales de la Joint Commision
International”. Dentro de estos estándares, y fuertemente relacionado
con la tecnología de la información y los procesos informatizados, se
encuentra la “Gestión de la información (MOI)” incluido en la “Sección III: Estándares de
gestión de la organización sanitaria”. La gestión mencionada incluye 12 estándares, cuyos
procesos de gestión de la información están orientados a:
• Satisfacer la necesidad de información interna y externa
• Mantener la privacidad y confidencialidad de la información, incluyendo la integridad de
los datos, la identificación de su autor y el momento en que se ingresaron los datos en la
historia clínica
• Definir el tratamiento de las historias clínicas y la información (pérdida, destrucción,
manipulación, o el acceso o el uso no autorizado)
• Asegurar la disponibilidad de datos e información de quienes se encuentran en el
hospital o fuera de él, en tiempo y forma
• Proveer sistemas de tecnología de la información para la salud analizados y probados
en cuanto a la calidad y la seguridad del paciente
• Capacitar al personal en los principios del uso y gestión de la información
• Asignar los accesos y permisos adecuados a las personas autorizadas a ingresar datos
en los expedientes clínicos de los pacientes

2
Como se puede ver, estos estándares contienen muchos de los
controles y criterios relacionados con el gobierno y la seguridad
de la información, ya sea desde los sistemas o a través del
accesos físico, que asociados brindan un entorno seguro a las
prestaciones sanitarias referente a la información y procesos
funcionales registrados adecuadamente, por ello, el
acompañamiento de este tipo de certificaciones desde las
áreas tecnológicas debe apoyarse principalmente en estándares que pueden ser
implementados en cualquier tipo de organización y fueron elaborados por la Organización
Internacional para la Estandarización (ISO):
• ISO/IEC 20000. Orientada a una entrega efectiva de los servicios de tecnología y
sistemas de la información como base crucial para el soporte a procesos de Negocio en
las empresas, tanto si se proporciona servicios internamente a clientes como si se está
subcontratando proveedores. Es totalmente compatible con la ITIL (IT Infrastructure
Library), o guía de mejores prácticas para el proceso de Gestión de Servicios de TI
(GSTI).
• ISO/IEC 27799. Estándar para la seguridad de la información específico para la
industria de sanidad, que especifica los requisitos necesarios para establecer, implantar,
mantener y mejorar un Sistema de Gestión de la Seguridad de la Información (SGSI) de
aplicación en el ámbito de la salud, que incluyen sistemas de información sanitaria e
historias clínicas (comunicaciones y mensajes; calidad, privacidad y seguridad;
dispositivos de conexión intermitente y tarjetas sanitarias; sistemas y dispositivos; etc.)
El empleo de estos estándares ayuda a normalizar sus procesos y ordenar todas las
actividades asociadas a la integridad y disponibilidad de la información médica, permitiendo el
tratamiento adecuado de los riesgos que ponen en peligro a los pacientes en caso de fallas en
los procesos funcionales o tecnológicos que soportan al servicio médico. Una acreditación de
estas características aporta un valor agregado en el cumplimiento a
nivel legal respecto de los datos de los pacientes (Ley Nº 26.529
Derechos del Paciente, Historia Clínica y Consentimiento
Informado).
Por ello, la mejor guía para la implementación técnico-funcional en
el cumplimiento de los estándares de gestión de la información
dentro de la acreditación JCI, es tomar estos estándares e integrar
un equipo multidisciplinario, en el que se combinan profesionales médicos, tecnológicos y
administrativos de ámbitos técnicos y funcionales para cubrir en forma integral la diversidad y
amplitud de aspectos en la gestión de la información, y quienes ayudaran a la institución a
establecer importantes pautas de interpretación para la implementación de:
• Una normativa adecuada, desarrollada en forma organizada de manera sencilla para
que pueda ser interpretada por cualquier persona que intervenga en el proceso de la
gestión de información, con conocimientos informáticos o sin ellos.

3
• Políticas creadas según el contexto de aplicación, organizadas por niveles y siguiendo
un entorno de desarrollo, sobre la problemática del entorno de acreditación y aplicada
sobre los diferentes recursos o activos de la Organización.
• Niveles de cumplimiento para cada uno de los elementos medibles en la gestión de la
información, organizados y debidamente controlados para asegurar el cumplimiento
especificado en la 5ta. Edición del manual de estándares internacionales para hospitales
de la Joint Commision International
• Publicación de las políticas adoptadas, asegurando una comunicación adecuada a cada
uno de los empleados y colaboradores, quienes deben enmarcar sus esfuerzos por
cumplir todas las políticas pertinentes a su entorno de trabajo, utilización de la
información o recursos que la traten, sin importar el nivel organizacional en el que se
encuentre dentro de la institución para llevar adelante el cumplimiento de la acreditación
a obtener.
El efecto de la aplicación de este proceso estandarizado, implementado
en base a estándares reconocidos, da como resultado una mejor gestión
en la atención de pacientes y en la administración general de la
institución, ya que establece un marco sistemático que conduce a una
mejor calidad de la documentación y reduce al mínimo los riesgos sobre
la información de los pacientes, tanto de la gestión administrativa como
de la documentación clínica completa, que es crítica para el manejo
ideal del sistema de salud.
Para llevar adelante este tipo de proyectos, es necesario establecer y determinar sus
principales actividades, entre las cuales se destacan las siguientes:
• Realización de entrevistas con las áreas involucradas en el proceso
• Desarrollo e implementación funcional de Normas, políticas y procedimientos
• Desarrollo e implementación de procesos funcionales asociados a la gestión de
información
• Emisión y recopilación de registros utilizados como respaldo de las actividades
realizadas en los procesos a revisar
Estas actividades se deben encontrar distribuidas en las distintas etapas del proyecto, cuyas
principales tareas son llevadas en conjunto por todos los equipos asignados por la institución:
Preparar el proyecto
• Definición del alcance y reunión inicial.
• Designación de funciones en el proyecto y armado de equipos de trajo
• Distribución de responsabilidades
Documentación normativa
• Desarrollar la documentación obligatoria requerida por la acreditación JCI y
sus registros
Documentación de apoyo
• Redactar procedimiento o matrices para seguimiento de actividades, revisión
del proceso y plan de medidas correctivas
Capacitación y
concientización
• Ejecutar programas de concienciación para los empleados y terceros que
cumplen una función dentro del proceso de gestión de información
Implementación de procesos • Implementación de los procesos descriptos en la documentación generada

4
Evaluación de riesgos en la
gestión de información
• Desarrollar el procedimiento metodológico para la evaluación
• Implementar el proceso de gestión de riesgos
• Realizar la evaluación de riesgos y gestionar su tratamiento
Diagnóstico
• Redactar el informe sobre evaluación de la gestión de información y
tratamiento de riesgos.
• Gestionar la aceptación los riesgos residuales
• Confeccionar el plan de tratamiento del riesgo anual
Implementación de controles
• Desarrollar un plan de tratamiento de riesgos identificando los controles a
implementar, quién es responsable de la implementación, de los plazos y de
los recursos
• Implementar todos los controles definidos en el plan de tratamiento de
riesgos y mantener registros de implementación
Revisión del proceso gestión
de información
• Desarrollar el programa de revisión, ejecutarlo y emitir el informe de
resultado
Correcciones y prevenciones
• Implementar y acompañar en la aplicación de medidas correctivas según sea
necesario
Realizar la revisión por parte
de la dirección
• Preparar los resultados obtenidos desde la revisión del proceso, presentar a
la Dirección para su evaluación, y resguardar los registros
Como parte fundamental de toda certificación o acreditación, se debe obtener las evidencias
que respaldan la operación en la gestión de la información y su diagnóstico, evaluar los
controles necesarios y surgidos de las políticas, procedimientos y estándares desarrollados, y
su correspondiente aplicación y verificación de forma tal que la evaluación sea completa e
íntegra.
Conclusión: Al establecer procesos de gestión y control de la información
alineado a los estándares de JCI, las ventajas más destacables obtenidas
son:
• Optimizar los esfuerzos en la implementación del respaldo
documental y registral necesario y requerido para la certificación en
cuanto al Marco Normativo necesario para gobernar la gestión de la información y la
seguridad de la misma;
• Mejorar la registración técnica y funcional del entorno de la información médica, al
disponer de más recursos que refuerzan las actividades de relevamiento para la
certificación y que brinda información importante para la administración de las
operaciones de seguridad de la información;
• Apoyar y potenciar las actividades de control tendientes a mejorar los procesos de
gestión tecnológica y funcional de la información en el ambiente de sanidad.

5
Fabián Descalzo
fabiandescalzo@yahoo.com.ar
Gerente de Servicios y Soluciones en el área de Gobierno, Riesgo y Cumplimiento (GRC) en Cybsec Security
Systems S.A., con amplia experiencia en la implementación y cumplimiento de Leyes y Normativas
Nacionales e Internacionales en compañías de primer nivel de diferentes áreas de negocio en la
optimización y cumplimiento de la seguridad en sistemas de información, Gobierno de TI y Gobierno de
Seguridad de la Información.
Miembro del Comité Académico E-GISART 2016 de ISACA Buenos Aires Chapter, Miembro del Comité
Directivo del “Cyber Security for Critical Assets LATAM Summit” para Qatalys Global sección
Infraestructura Crítica (Gobiernos y empresas de América Latina en el sector de la energía, química,
petróleo y gas), Miembro del Comité Científico ARGENCON del IEEE (Institute of Electrical and Electronics
Engineers), Miembro del Comité Organizador CYBER 2015 de ISACA Buenos Aires Chapter, certificado en
Dirección de Seguridad de la Información (Universidad CAECE), IRCA ISMS Auditor | Lead Auditor ISO/IEC
27001, instructor certificado ITIL Fundation v3-2011 (EXIN) y auditor ISO 20000 (LSQA-Latu).
Columnista especializado en áreas de Gobierno, Seguridad y Auditoría, Informática en Salud y Compliance
en las revistas CISALUD, PERCEPCIONES (ISACA Montevideo Chapter), El Derecho Informático, CXO-
Community y MAGAZCITUM; y disertante para CXO-COMMUNITY, Consejo Profesional de Ciencias
Informáticas, ISACA Buenos Aires Chapter, ISACA Montevideo Chapter.
Profesor del módulo 27001 del curso de “IT Governance, Uso eficiente de Frameworks”, y de la
“Diplomatura en Gobierno y Gestión de Servicios de IT” del Instituto Tecnológico Buenos Aires (ITBA) y
Profesor en Sistemas de Gestión IT y Seguridad de la Información en entidades certificadoras.

Procesos de atención y la información detrás del paciente

Más contenido relacionado

La actualidad más candente (19)

Destacado (11)

Similar a Procesos de atención y la información detrás del paciente (20)

Más de Fabián Descalzo (20)

Último (9)

Procesos de atención y la información detrás del paciente