La agencia y su lugar en el gobierno
El CMS es una división operativa del Departamento de Salud y Servicios Humanos de EE. UU. (HHS), con sede en Baltimore, Maryland. Se creó en 1977 como Health Care Financing Administration y cambió de nombre en 2001. A través de sus programas, el CMS es el mayor comprador individual de servicios de salud de Estados Unidos. Por eso sus reglas funcionan, en la práctica, como referencia para hospitales, médicos, aseguradoras y proveedores.
La agencia decide qué cubren sus programas, fija la política de pagos y publica las condiciones que los proveedores deben cumplir para participar. También recopila grandes volúmenes de datos de facturación y de beneficiarios. Esos datos, y las condiciones que los acompañan, son el punto en el que el CMS resulta relevante para la seguridad de los datos.
Programas que administra el CMS
El CMS se entiende mejor a través de sus programas:
| Programa | Qué cubre |
|---|---|
| Medicare | Seguro federal para mayores de 65 años y ciertas personas jóvenes con discapacidad |
| Medicaid | Programa federal y estatal conjunto para personas con ingresos limitados |
| CHIP | Cobertura para niños de familias que superan el límite de Medicaid |
| Health Insurance Marketplace | Mercado federal donde se compran seguros subsidiados |
| Programas de calidad y pago | Vinculan el pago de Medicare con la calidad y los resultados |
El CMS y los estándares administrativos de HIPAA
Más allá de los seguros, el CMS tiene un segundo mandato menos visible: la simplificación administrativa de HIPAA. La ley encargó al HHS estandarizar las transacciones electrónicas de salud, y el CMS desarrolla y mantiene esos estándares. Incluyen formatos de transacción para reclamaciones, elegibilidad y pagos, conjuntos de códigos como ICD-10 y HCPCS, que dan un vocabulario común a diagnósticos y procedimientos, y el National Provider Identifier asignado a cada proveedor cubierto.
La aplicación de la norma es otro asunto. Originalmente el CMS también era responsable de la Security Rule de HIPAA. Desde la ley HITECH de 2009, la Office for Civil Rights del HHS aplica las reglas de privacidad y seguridad, además de la notificación de brechas. El CMS sigue siendo el custodio de los estándares de transacciones y códigos. Las organizaciones que intercambian transacciones con el CMS o sus contratistas, incluidas las entidades cubiertas, deben seguir cumpliendo esos requisitos.
Requisitos que llegan a las organizaciones de salud
Las obligaciones del CMS llegan a las organizaciones por varios canales. La mayoría incluye expectativas de seguridad:
- 1
Condiciones de participación
Salvaguardas para la información de los pacientes, verificadas por auditorías
- 2
Conformidad de transacciones
Las transacciones no conformes se rechazan; es un asunto de ingresos
- 3
Acuerdos de uso de datos
Definen quién accede, dónde se almacenan y cómo se protegen
- 4
Notificación de incidentes
Pérdidas de datos de pacientes exigen avisos; incidentes del CMS, a la agencia
Expectativas de seguridad en la práctica
Para un equipo de seguridad, las obligaciones ligadas al CMS convergen en un conjunto familiar de controles. La Security Rule de HIPAA, considerada la referencia para los proveedores participantes, exige un análisis de riesgos documentado, gestión de accesos por roles, controles de auditoría sobre sistemas que manejan información de salud protegida, protección de la integridad y seguridad en la transmisión. Los acuerdos de uso de datos añaden reglas sobre la ubicación del almacenamiento, el cifrado, el registro de accesos y quién puede trabajar con los datos.
La escala importa tanto como el contenido. Las organizaciones de salud operan sistemas clínicos, plataformas de facturación y entornos de investigación, y su personal mueve datos de pacientes por correo electrónico, archivos, servicios en la nube y dispositivos portátiles. Cumplir las expectativas del CMS exige saber dónde están los datos regulados, controlar los canales por los que pueden salir y conservar registros completos para una auditoría o una investigación.
Aplicación de normas y sanciones
El CMS no solo publica normas, también las hace cumplir. La agencia puede imponer sanciones económicas civiles por infracciones que van desde no cumplir las condiciones de participación hasta el manejo indebido de datos de programas federales. Los importes se ajustan cada año por inflación. Junto con el HHS Office of Inspector General, el CMS también puede excluir a proveedores de los programas federales de salud, algo que para muchos pesa más que cualquier multa.
Las infracciones de HIPAA las sanciona la Office for Civil Rights con una escala graduada según la culpabilidad, desde infracciones no intencionadas hasta negligencia deliberada sin corregir. Los fiscales generales de los estados también pueden actuar en nombre de sus residentes. Un solo incidente de violación de datos, como una filtración de historiales de pacientes, puede activar a la vez las normas del CMS, la aplicación de HIPAA y las leyes estatales de brechas.
Por dónde empezar
Empiece por localizar dónde están los datos regulados de pacientes y beneficiarios, porque cada obligación descrita arriba depende de ellos. La clasificación de datos permite marcarlos, y después hay que identificar los canales por los que pueden salir: correo electrónico, uso compartido de archivos, servicios en la nube y dispositivos portátiles.
Los controles y los registros se derivan de ese mapa. Las políticas escritas para todo a la vez acaban bloqueando el trabajo normal y se desactivan.
Un regulador rara vez pregunta si existía una política. Pregunta adónde fueron los datos y quién pudo llegar a ellos.
Anexet Team