NOM-024-SSA3-2012: qué le exige a tu sistema

Su objeto es regular los Sistemas de Información de Registro Electrónico para la Salud y establecer los mecanismos para que los prestadores de servicios de salud registren, intercambien y consoliden información.

Aquí está la diferencia que más importa al comparar proveedores: esta norma obliga a dos grupos. A los establecimientos del Sistema Nacional de Salud que adopten uno de estos sistemas, en los sectores público, social y privado. Y también a las personas físicas o morales con derechos de propiedad, uso, autoría, distribución o comercialización de esos sistemas: es decir, a quien hace y vende el software. La NOM-004 obliga al personal de salud; esta además nos obliga a nosotros.

El corazón de la norma es que los sistemas puedan intercambiar información entre sí. No fija el detalle en el texto: remite a las Guías y Formatos que coordina la Secretaría de Salud, documentos técnicos que definen el alcance, los diccionarios de variables, cómo se conforman los documentos electrónicos y los mecanismos de interconexión.

La arquitectura de referencia se apoya en estándares internacionales: HL7 CDA, HL7 V3, XML e IHE. Si un proveedor te dice que es interoperable, la pregunta concreta es contra qué guía y con qué estándar.

Los sistemas deben usar los catálogos fundamentales que publica la Dirección General de Información en Salud, y mantenerlos actualizados conforme ella los publique:

• Diagnósticos, según la Clasificación Internacional de Enfermedades (CIE).
• Procedimientos clínicos codificados.
• Medicamentos, del Cuadro Básico.
• Entidades, municipios y localidades, del INEGI.
• Material de curación, equipo médico y vías de administración, entre otros.

La palabra importante es actualizados. Un catálogo congelado el día que se instaló el sistema deja de cumplir en cuanto la DGIS publica una versión nueva.

El atributo único de identificación es la CURP validada, acompañada de los datos mínimos: nombre, apellidos, fecha de nacimiento y nacionalidad.

La norma es explícita en algo que conviene preguntarle a cualquier proveedor: los sistemas no deben autogenerar la CURP. Un sistema que la construye solo a partir del nombre y la fecha está creando un identificador que puede no coincidir con el real, y con él expedientes duplicados o cruzados.

La norma pide un Sistema de Gestión de Seguridad de la Información que asegure confidencialidad, integridad y disponibilidad. En concreto:

• Autenticación: como mínimo usuario y contraseña, y recomienda factores adicionales.
• Autorización por roles, definidos por cada institución.
• Registros estructurados e inalterables: lo que se escribió no se puede borrar sin dejar rastro.
• Cifrado y firma electrónica avanzada del profesional de la salud para los intercambios.

A diferencia de la NOM-004, esta norma sí tiene un procedimiento de evaluación de la conformidad (apartado 7). Certifica la Secretaría de Salud a través de la DGIS, o un organismo de certificación acreditado conforme a la Ley Federal sobre Metrología y Normalización; las unidades de verificación acreditadas hacen las verificaciones técnicas previas.

Se verifica el intercambio según las guías aplicables, el uso de los catálogos fundamentales, los datos mínimos de identificación y las funcionalidades de seguridad. El certificado tiene vigencia de dos años, queda sujeto a verificaciones periódicas y un cambio significativo en el sistema obliga a evaluarlo de nuevo. La respuesta a una solicitud llega en un máximo de 60 días hábiles.

Dos consecuencias prácticas al comparar proveedores. Una: aquí sí tiene sentido preguntar por un certificado, cosa que con la NOM-004 no la tiene. Dos: pide la fecha, porque un certificado de hace tres años ya venció.

Por eso la frase «software certificado en la NOM-004» no significa nada, mientras que un certificado NOM-024 sí es algo concreto que se puede pedir y fechar.

¿A quién obliga la NOM-024?

A dos grupos, y ahí está su diferencia con la NOM-004. Primero, a los establecimientos del Sistema Nacional de Salud que adopten un sistema de registro electrónico, en los sectores público, social y privado. Segundo, a las personas físicas o morales con derechos de propiedad, uso, autoría, distribución o comercialización de esos sistemas: es decir, a quien hace y vende el software.

¿Cuál es la diferencia entre la NOM-004 y la NOM-024?

La NOM-004-SSA3-2012 regula el expediente clínico: qué contiene, cómo se maneja y cuánto se conserva, en papel o en electrónico. La NOM-024-SSA3-2012 regula el sistema informático que lo guarda e intercambia: interoperabilidad, catálogos, identificación del paciente y seguridad. Una es sobre el documento; la otra, sobre el programa.

¿Un software puede estar certificado en la NOM-024?

Sí, y esta es la diferencia importante con la NOM-004. La NOM-024 tiene un procedimiento de evaluación de la conformidad (apartado 7): certifica la Secretaría de Salud a través de la DGIS, o un organismo de certificación acreditado conforme a la Ley Federal sobre Metrología y Normalización. El certificado tiene vigencia de dos años y está sujeto a verificaciones periódicas.

¿Cómo identifica al paciente un sistema conforme a la NOM-024?

Con la CURP validada como atributo único, más los datos mínimos de identificación: nombre, apellidos, fecha de nacimiento y nacionalidad. La norma es explícita en que los sistemas no deben autogenerar la CURP.

¿Qué catálogos exige?

Los catálogos fundamentales que publica la DGIS y que hay que mantener actualizados: diagnósticos según la Clasificación Internacional de Enfermedades (CIE), procedimientos, medicamentos del Cuadro Básico, y los catálogos de entidades, municipios y localidades del INEGI, entre otros.

¿La NOM-024-SSA3-2010 sigue vigente?

No. La versión de 2010 fue sustituida por la NOM-024-SSA3-2012, publicada en el Diario Oficial de la Federación el 30 de noviembre de 2012. Si encuentras documentación que cita la de 2010, está desactualizada.