De vez em quando surge um fornecedor de tecnologia prometendo uma “solução completa para a NOM-024-SSA3”. A realidade é mais complexa: nenhum produto B2B — nem mesmo o HIS mais caro do mercado, nem o ECM mais sofisticado — abrange, por si só, todos os componentes exigidos pela norma. A NOM-024 é um marco regulatório que abrange múltiplas áreas técnicas ao mesmo tempo. O que existe, de fato, são camadas que abrangem componentes específicos, e uma pilha de sistemas bem projetada integra várias delas.

Este post não é um guia exaustivo da norma. Trata-se de uma análise honesta sobre quais controles operacionais uma pilha documental B2B (gestão documental, captura inteligente, gestão de impressão) pode suportar sem alegações falsas — e em que casos é necessário integrar com um HIS, com um PSC autorizado ou com a própria infraestrutura do hospital.

O que é a NOM-024-SSA3, em resumo

NOM-024-SSA3-2010 — “Sistemas de informação de registro eletrônico para a saúde. Intercâmbio de informações em saúde” — é a norma oficial mexicana que regulamenta os sistemas de informação clínica nos setores público e privado da saúde. Seu objetivo principal é garantir a interoperabilidade e a integridade do prontuário clínico eletrônico (PCE) entre diferentes prestadores de serviços de saúde, sistemas de informação hospitalar (HIS), laboratórios, farmácias e outros componentes do ecossistema.

A norma estabelece requisitos em várias dimensões: estrutura do prontuário, identificação inequívoca do paciente, semântica clínica (catálogos, códigos CIE), segurança (controle de acesso, integridade, confidencialidade), interoperabilidade (formatos de intercâmbio HL7, CDA), retenção e conservação. Abrange tanto o sistema que gera os dados quanto aquele que os recebe e arquiva.

A NOM-024-SSA3 coexiste com outras normas e leis que o CIO de um hospital deve coordenar: a Lei Federal de Proteção de Dados Pessoais em Posse de Particulares (LFPDPPP), a NOM-035-SSA3 sobre critérios de operação do ECE, as diretrizes do CONAMED, e — caso a instituição atenda pacientes estrangeiros ou faça intercâmbio com sistemas internacionais — as equivalências com a HIPAA, o GDPR ou a LGPD.

Componentes exigidos pela norma NOM-024 para o ECE

Sem pretender ser exaustivos, os sete blocos que a norma exige que constem no prontuário clínico eletrônico são:

1. Identificação inequívoca do paciente. Cada paciente deve ter um identificador institucional único, vinculado ao CURP quando aplicável, e rastreável ao longo dos episódios e serviços.
2. Estrutura clínica documentada. Episódios, anotações, prescrições, resultados laboratoriais, imagens, receitas — cada um com metadados obrigatórios e semântica controlada.
3. Integridade do registro. Mecanismos que garantam que um dado gravado não seja alterado sem aviso prévio. Controle de versões, trilha de auditoria e carimbos de data e hora em eventos críticos.
4. Controle de acesso granular. Cada profissional deve ter acesso apenas ao que sua função e sua relação com o paciente permitem. Registros de acesso mantidos.
5. Confidencialidade. Criptografia em trânsito e em repouso. Procedimentos para situações de emergência (break-the-glass) com justificativa auditável.
6. Interoperabilidade. Capacidade de trocar informações clínicas com outras instituições em formatos padronizados (HL7 v2/v3, CDA).
7. Retenção. O prontuário clínico deve ser mantido pelo prazo estabelecido pela legislação aplicável, estando disponível mediante solicitação autorizada.

Cada bloco tem seu próprio nível de complexidade e seu próprio “responsável técnico” na arquitetura de um hospital. Nenhum deles pode ser “adquirido em um único pacote”.

O que uma pilha de documentos B2B realmente suporta

Uma pilha documental como a da DOQSOFT (Docuo + Chronoscan + Gespage) não substitui o HIS. O HIS é o sistema clínico transacional — é nele que residem os episódios, as indicações e os códigos CIE — e deve continuar sendo assim. O que uma pilha documental oferece é a camada que envolve o HIS: a digitalização dos registros legados em papel, o repositório de documentos associados ao prontuário que o HIS não gerencia nativamente e a proteção das informações de saúde protegidas (PHI) que são impressas fisicamente.

Mais especificamente:

Camada de digitalização clínica (Chronoscan)

Chronoscan oferece captura de documentos clínicos antigos com OCR + IA. Hospitais que acumulam décadas de documentos em papel — prontuários, fichas de enfermagem, resultados — precisam digitalizar esse acervo para poder integrá-lo ao ECE. O Chronoscan processa os documentos sem a necessidade de modelos específicos, extrai metadados (número de folha, paciente, data, tipo de documento) e os entrega indexados.

Isso abrange parcialmente o bloco 2 (estrutura clínica documentada) para os documentos que já existem em papel. Não abrange a criação nativa de notas clínicas — isso fica no HIS.

Camada de repositório documental (Docuo)

Docuo é um ECM com RBAC granular, registro de auditoria imutável, retenção configurável e criptografia AES-256 + TLS 1.3. Funciona como repositório de documentos associados ao prontuário que o HIS não gerencia nativamente: consentimentos assinados, formulários administrativos, anexos clínicos, documentos de admissão e alta, cópias de documentos de identificação.

Isso abrange parcialmente os blocos 4 (controle de acesso granular), 5 (confidencialidade — criptografia, segregação de locatários) e 7 (retenção configurável por tipo de documento). O bloco 3 (integridade) é suportado por meio de um log de auditoria imutável e versionado.

Camada de segurança do PHI em papel (Gespage + Hardware)

Embora o ECE seja eletrônico, cada hospital continua imprimindo informações de saúde protegidas (PHI) todos os dias: prontuários, receitas, prescrições e documentos para reuniões médicas. A Gespage com pull printing (liberação da impressão somente quando o usuário se autentica no dispositivo com crachá RFID), marca d’água de identificação em cada folha e expiração automática de trabalhos não liberados, aborda o risco do papel esquecido nas bandejas — um dos vetores mais comuns de vazamento de PHI.

Isso abrange parcialmente o bloco 5 (confidencialidade operacional) no domínio físico — um domínio que muitos projetos de ECE puramente digitais ignoram e onde ocorre boa parte dos incidentes reais.

"

Embora o ECE seja eletrônico, cada hospital continua imprimindo PHI todos os dias — e é aí que ocorre boa parte dos incidentes reais.

O que está fora do escopo da pilha e requer integração

Existem componentes exigidos pela NOM-024 que uma documentação, por si só, não pode fornecer. É importante mencioná-los para que não haja falsas expectativas:

1. O HIS (Sistema de Informação Hospitalar) clínico. Elaborar notas, registrar episódios clínicos, gerar indicações, gerenciar a prescrição eletrônica — tudo isso ocorre no HIS. O Docuo se integra ao HIS, não o substitui.
2. Interoperabilidade HL7/CDA. A troca formal de informações clínicas com outras instituições requer conectores HL7 v2/v3, CDA ou FHIR. Esses conectores podem ser integrados por meio de middleware ou mecanismos de interoperabilidade — não são funcionalidades nativas de um ECM.
3. Assinatura eletrônica com valor probatório NOM-151. Quando um documento clínico exige assinatura com carimbo de data e hora NOM-151-SCFI-2016 (por exemplo, certos consentimentos informados ou altas hospitalares), o Docuo oferece suporte à assinatura eletrônica nativa eIDAS (válida na UE e por reciprocidade), mas a NOM-151 nativa requer integração com um Prestador de Serviços de Certificação autorizado pela Secretaria da Economia. Isso é honestidade: não afirmamos o que não fazemos.
4. Vigilância epidemiológica. Os relatórios obrigatórios à Secretaria de Saúde federal ou estadual são mantidos no HIS e nos sistemas SUIVE, e não em um repositório documental.
5. Carimbo de data e hora confiável. Além do registro de auditoria do Docuo, certos eventos críticos do ECE podem exigir um carimbo de data e hora emitido por um PSC. Assim como a NOM-151, isso é integrado externamente.

Lista de verificação prática para o CIO de um hospital

Se você estiver planejando ou auditando a conformidade da sua instituição com a norma NOM-024-SSA3, aqui estão oito perguntas específicas que vale a pena responder antes da próxima auditoria:

1. Que parte do prontuário clínico dos seus pacientes ativos ainda está em papel? Se a resposta for “não sabemos exatamente”, essa é a primeira indicação de que ainda há uma digitalização a ser feita.
2. O seu HIS gera os documentos nos formatos padronizados que a norma NOM-024 aceita para intercâmbio? No mínimo, HL7 v2; v3/CDA para integração formal com outras instituições.
3. O registro de auditoria do seu HIS e do seu repositório documental é realmente imutável, ou pode ser editado com privilégios elevados? Isso é fundamental em caso de auditoria.
4. Quantos minutos um médico credenciado leva para localizar um documento clínico antigo específico de 5 anos atrás? Se a resposta for horas ou dias, você já tem parte do caso de negócios pronto.
5. Qual é a política de retenção que você tem em vigor por tipo de documento clínico? A retenção de um relatório de evolução não é a mesma coisa que a retenção de um termo de consentimento informado.
6. O seu hospital imprime informações de saúde protegidas (PHI) em impressoras compartilhadas sem o recurso de “pull printing”? Se sim, você tem um risco de vazamento de dados que não aparece no discurso sobre o “ECE digital”.
7. Quem pode acionar o alarme de emergência e quais evidências ficam registradas? É nas situações de emergência que a rastreabilidade se torna mais crítica.
8. Quando foi a sua última simulação de auditoria NOM-024? Se a resposta for “nunca” ou “há mais de dois anos”, a próxima já deveria estar agendada na sua agenda.

"

Nenhum produto B2B, por si só, abrange todos os componentes exigidos pela norma NOM-024. O que existe, sim, são camadas que abrangem componentes específicos — e uma pilha bem projetada integra várias delas.

Conclusão

A NOM-024-SSA3 não é uma lista de verificação que se assina uma única vez. É um marco que faz parte do dia a dia do hospital e que abrange o HIS, o ECM, o gerenciamento de impressão, o middleware de interoperabilidade e a sala de auditoria. Uma pilha documental robusta abrange componentes específicos — digitalização clínica com o Chronoscan, repositório com o Docuo, proteção das informações de saúde protegidas (PHI) físicas com o Gespage — sem substituir o HIS e sem alegar cobertura total.

Se você está avaliando fornecedores que prometem “conformidade total com a norma NOM-024 em uma única solução”, a pergunta certa é : quais módulos específicos o seu produto abrange e quais módulos exigem integração com quais sistemas? A resposta honesta a essa pergunta distingue os fornecedores que realmente entendem de conformidade hospitalar daqueles que apenas mencionam o assunto em suas apresentações de vendas.

Na DOQSOFT, trabalhamos com hospitais e redes clínicas no México, nos EUA e na América Latina. A página “Saúde” apresenta os cenários específicos por tipo de instituição, e os produtos individuais —Docuo, Chronoscan e Gespage —detalham o que cada um faz, sem generalizações.