Estás por cambiar el archivo de papel por un sistema electrónico. Un proveedor dice que “cumple la NOM-004”; otro menciona la NOM-024; un tercero enumera respaldos, contraseñas y almacenamiento en la nube. A primera vista, todo parece hablar de lo mismo.
Pero una nota clínica bien integrada, una plataforma con medidas útiles de seguridad y un sistema certificado conforme a la NOM-024 son cosas distintas. Confundirlas puede llevarte a contratar con una expectativa que el proveedor nunca acreditó.
La pregunta correcta no es solamente si el software “maneja expedientes”. Necesitas separar qué regula cada norma, cuáles son requisitos normativos y cuáles son buenas prácticas de compra que tú debes evaluar.
La NOM-004 regula el expediente; la NOM-024 regula el sistema
La NOM-004-SSA3-2012, del expediente clínico, establece criterios para integrar, usar, manejar, archivar, conservar y proteger el expediente. Es la referencia para revisar la historia clínica, las notas de evolución, la identificación del paciente, las firmas y otros documentos derivados de la atención.
Su numeral 5.4 ordena conservar el expediente durante un mínimo de cinco años, contados desde la fecha del último acto médico. El numeral 5.10 admite firma autógrafa, electrónica o digital en las notas, mientras que el 5.11 exige redactarlas sin abreviaturas, con lenguaje técnico, letra legible y sin enmendaduras ni tachaduras.
La NOM-024-SSA3-2012 tiene otro objeto. Su numeral 1 se refiere a los sistemas de información de registro electrónico para la salud, conocidos como SIRES, y a las características necesarias para registrar, procesar, conservar, interpretar y, cuando corresponda, intercambiar información en salud.
Por eso, un software puede ayudarte a construir notas alineadas con la NOM-004 sin que eso signifique que el sistema esté certificado conforme a la NOM-024. Del mismo modo, tener contraseñas, respaldos o una bitácora son características relevantes, pero por sí solas ni demuestran todos los requisitos de la norma ni equivalen a que el sistema esté certificado.
Documentar conforme a la NOM-004 y acreditar la certificación del sistema conforme a la NOM-024 son obligaciones relacionadas, pero no intercambiables.
¿A quién aplica la NOM-024?
El numeral 2 establece su campo de aplicación nacional. Comprende a los establecimientos que prestan servicios de atención médica de los sectores público, social y privado cuando adoptan un sistema de información de registro electrónico para la salud. También alcanza a las personas físicas o morales que proporcionan esos sistemas.
Esto impide reducir la NOM-024 a hospitales públicos o grandes redes. Un establecimiento privado que adopta un SIRES entra en el campo previsto por la norma, aunque su operación sea menor que la de una institución hospitalaria.
Sin embargo, no cualquier uso de tecnología significa lo mismo. Escribir una nota en un procesador de textos, escanear hojas, guardar archivos PDF o usar una agenda digital no demuestra que se cuente con un SIRES certificado. La evaluación se refiere al sistema identificado y al alcance sometido al procedimiento correspondiente.
Qué requisitos sí provienen directamente de la NOM-024
Los numerales 5 y 6, junto con los apéndices normativos, desarrollan disposiciones generales y especificaciones que deben considerarse en los SIRES. No son una plantilla de historia clínica ni una lista breve de funciones comerciales.
La norma establece requisitos para que la información pueda manejarse de forma estructurada y con controles definidos. Entre sus ejes se encuentran la identificación de los participantes, la autenticación, la autorización de acceso, la trazabilidad de operaciones, la conservación de información y el uso de catálogos, estructuras y estándares aplicables.
Identificación y autenticación
El sistema debe poder distinguir a las personas y entidades que participan en el registro electrónico. No basta con que todo el consultorio comparta una contraseña, porque eso impide atribuir con claridad una acción al usuario que la realizó.
La autenticación responde a la pregunta de quién está entrando. La autorización determina qué puede consultar o modificar ese usuario. Son conceptos distintos: una recepcionista puede tener una cuenta propia y, al mismo tiempo, permisos limitados a la agenda y a datos administrativos.
Registro y trazabilidad de acciones
La trazabilidad permite relacionar operaciones con usuarios, fechas y eventos. Su utilidad práctica aparece cuando necesitas saber quién creó, consultó o modificó determinada información, según las funciones y registros disponibles en el sistema.
Esto no autoriza a describir cualquier bitácora como “inviolable”. Una bitácora puede aportar elementos de seguimiento e integridad, pero sus características deben revisarse técnicamente y compararse con los requisitos concretos de la norma.
Información estructurada e interoperabilidad
La NOM-024 contempla estructuras, catálogos y estándares para preservar el significado de la información y permitir su intercambio entre sistemas cuando resulte aplicable. Interoperabilidad no es simplemente descargar un PDF, mandar una receta por WhatsApp o adjuntar una imagen.
El intercambio interoperable busca que otro sistema pueda reconocer y procesar la información bajo reglas comunes. Por eso, una exportación legible para una persona puede ser útil para el médico sin constituir, por ese solo hecho, interoperabilidad normativa.
Confidencialidad y control de la información
Las especificaciones de la NOM-024 incluyen controles sobre el acceso y manejo de la información clínica. Además, el consultorio mantiene obligaciones independientes bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
La ley vigente regula el aviso de privacidad en sus artículos 14 a 17 y las medidas de seguridad en el artículo 18. También reconoce los derechos ARCO en los artículos 22 a 26. Tener un software clínico no sustituye la necesidad de definir usuarios, procedimientos internos, atención de solicitudes y medidas administrativas dentro del consultorio.
Cómo funciona la certificación sin confundir su alcance
El numeral 7 de la NOM-024 contiene el procedimiento de evaluación de la conformidad. Su finalidad es verificar si un SIRES satisface los requisitos aplicables de la norma y sus apéndices. La certificación se gestiona ante la Dirección General de Información en Salud y tiene una vigencia de dos años.
La evaluación no certifica de manera abstracta todas las actividades de una empresa ni crea la figura de un “consultorio acreditado”. El documento debe permitir identificar el sistema evaluado, su titular, la versión o alcance correspondiente y el periodo de vigencia.
En términos prácticos, el proveedor presenta el sistema para su evaluación frente a los requisitos aplicables. Si el resultado es favorable, se expide el certificado para el producto y alcance identificados. Esa certificación no debe trasladarse automáticamente a otra versión, a otro producto de la empresa o a funciones que no formen parte del alcance documentado.
Antes de aceptar una afirmación comercial sobre NOM-024, solicita y revisa:
- El certificado emitido dentro del procedimiento previsto por la norma.
- El nombre exacto del sistema y del titular.
- La versión o el alcance que aparece en el documento.
- La fecha de expedición y el final de la vigencia de dos años.
- La correspondencia entre lo certificado y la versión que realmente te ofrecen.
Una carta elaborada por el proveedor, una matriz propia de funciones, una opinión jurídica o la frase “desarrollado con base en la NOM-024” no sustituyen el certificado. Si el proveedor no exhibe un certificado vigente que corresponda al producto y versión ofrecidos, el sistema no debe anunciarse ni asumirse como certificado.
Qué revisar al comprar, aunque no sea una exigencia textual de la norma
Después de identificar los requisitos normativos, viene una evaluación diferente: saber si el software resuelve la operación cotidiana de tu consultorio. Estas recomendaciones son criterios editoriales de compra; no deben presentarse como frases textuales de la NOM-024.
Para un médico privado conviene revisar, entre otros puntos:
- Si las notas incluyen los campos clínicos que utilizas y pueden imprimirse por separado.
- Si las ediciones conservan una traza visible de quién modificó y cuándo.
- Si cada integrante del equipo tiene usuario y permisos propios.
- Si puedes exportar tus pacientes y obtener una copia legible del expediente.
- Si existen respaldos fuera de la computadora del consultorio.
- Si el proveedor explica qué ocurre con tus datos al cancelar el servicio.
- Si puedes localizar información dentro de consultas y documentos anteriores.
Estas funciones pueden ayudarte a documentar mejor, reducir archivos dispersos y mantener continuidad operativa. No prueban por sí mismas una certificación NOM-024, pero sí te permiten determinar si la herramienta se ajusta a tu práctica.
Por ejemplo, MyDoctorDiary ofrece un expediente alineado con la NOM-004, notas de evolución con traza visible de ediciones, usuarios con roles, control de sesiones, respaldo en Microsoft Azure y exportación de pacientes a Excel. MyDoctorDiary no cuenta con certificación NOM-024, por lo que esas características deben valorarse por su utilidad concreta y no presentarse como si acreditaran dicha certificación.
Si tu prioridad inmediata es integrar correctamente el contenido clínico, puedes apoyarte en la guía de la NOM-004 para el expediente clínico y en el checklist para revisar expedientes conforme a la NOM-004. Esa revisión documental sigue siendo necesaria, uses papel o un sistema electrónico.
Pasos para evaluar una afirmación sobre NOM-024
- Define qué te están prometiendo. Pregunta si hablan de funciones inspiradas en la norma, de cumplimiento declarado por el proveedor o de una certificación formal.
- Solicita el certificado. No te quedes con logotipos, presentaciones comerciales o capturas de pantalla.
- Compara producto y versión. Verifica que el documento corresponda exactamente al sistema que contratarías.
- Revisa la vigencia. La certificación prevista por la NOM-024 dura dos años; una constancia vencida no acredita vigencia actual.
- Separa las dos normas. Evalúa el contenido de tus expedientes con la NOM-004 y las afirmaciones sobre certificación del sistema con la NOM-024.
- Valora la operación real. Revisa permisos, respaldos, trazabilidad, exportación, soporte y facilidad de uso como criterios de compra, sin convertirlos en prueba automática de certificación.
Esta separación evita dos extremos: descartar funciones útiles porque no son una certificación, o asumir que una lista de funciones equivale al procedimiento formal previsto por la norma. En ambos casos, lo importante es pedir evidencia precisa y nombrar cada cosa por lo que realmente es.
