Durante anos, as organizações de saúde operaram sob a suposição de que se você preencher a documentação correta, seja um relatório SOC 2, uma certificação HITRUST (Health Information Trust Alliance) ou um Acordo de Associado Comercial (BAA) assinado, os dados do seu paciente estarão seguros e a partir daí o processo de verificação do fornecedor avança. Essa suposição ruiu com o escândalo Delve.
Para os não iniciados Mergulheé uma plataforma de automação de conformidade bem financiada (a empresa levantou recentemente US$ 32 milhões com uma avaliação de US$ 300 milhões) projetada para ajudar startups a se tornarem compatíveis 10 vezes mais rápido e por uma fração do custo das ferramentas existentes. Num mundo onde a velocidade muitas vezes supera a qualidade, o sucesso imediato da Delve não foi nenhuma surpresa e as suas promessas cegaram as pessoas para o que estava acontecendo nos bastidores – Mergulhe foi recentemente acusado de falsificar sistematicamente relatórios de auditoria de centenas de clientes.
Esta descoberta foi exposta por um grupo de ex-clientes chamado DeepDelverque publicou uma investigação detalhada com base em uma planilha interna vazada de 494 relatórios SOC 2. Destes, todos, exceto um, eram quase idênticos. Isso inclui parágrafos idênticos, erros gramaticais e descrições inconsistentes. Havia até relatórios de auditoria pré-escritos e procedimentos de teste incluídos no relatório antes que os clientes tivessem a oportunidade de fornecer evidências. É como responder a um questionário onde as respostas são incluídas antes mesmo de você começar.
Para as organizações de saúde, a exposição é muito real e as consequências podem ser significativas. Qualquer entidade que tenha confiado em documentação de conformidade fabricada ou inadequada do fornecedor pode ser responsabilizada pelos reguladores federais sob a pena de desrespeito intencional da HIPAA, com multas de até US$ 50.000 por violação e organizações que enfrentam potencial responsabilidade criminal.
Como chegamos aqui?
Delve é o exemplo mais visível e recente de um problema muito maior que começou com a ascensão das empresas de automação de compliance. Estas empresas prometeram rapidez e poupança, uma tendência que o mercado recompensou. Mas quando o objectivo é o relatório e não a posição de segurança por trás dele, o relatório já não reflecte a realidade. No caso do Delve, os relatos eram pura ficção. A estrutura de incentivos que permitiu isso não era exclusiva de uma empresa. Abrange todos os setores e a saúde não é exceção.
O problema do BAA
Este problema não termina na camada de certificação. Afeta toda a rede da qual as organizações de saúde dependem, começando com o Acordo de Associado Comercial (BAA) e aumentando à medida que as PHI avançam. Isso porque, em 2013, o HIPAA Omnibus estendeu a responsabilidade a todos os fornecedores e subcontratados. O problema é que as organizações de saúde têm quase zero visibilidade sobre como os dados fluem fora dos seus fornecedores diretos.
Veja como isso acontece. Um sistema de saúde assina um BAA com uma plataforma de cobrança que usa um provedor de infraestrutura em nuvem, um provedor de segurança gerenciado e uma ferramenta de análise de dados. A cada elo da cadeia, a visibilidade do sistema de saúde diminui. A BAA afirma que a obrigação segue os dados, mas, na realidade, a maioria dos sistemas de saúde não pode confirmar com segurança se as PHI estão a ser tratadas de forma segura, conforme exigido pela HIPAA.
HITRUST enfrenta a mesma erosão
O HITRUST, há muito considerado um padrão mais rigoroso, está enfrentando os mesmos problemas que o SOC 2. A pressão por velocidade, a concorrência de custos e a qualidade inconsistente estão minando o trabalho geral que tornou a certificação significativa. “HITRUST in 90 Days” tornou-se uma campanha publicitária de marketing, uma promessa de reduzir um projeto que poderia levar de 6 a 18 meses para apenas três meses ou menos. Neste processo, a profundidade com que os avaliadores examinaram as evidências variou de uma empresa para outra.
A HITRUST respondeu reforçando o seu programa e introduzindo análises de garantia de qualidade. Estas ações são uma confirmação clara de que a erosão é real. Os organismos de certificação não revisam fundamentalmente o seu controle de qualidade, a menos que a qualidade se deteriore.
Modelo mais amplo
A mesma dinâmica ocorre em todo o ecossistema. Os MSPs competem em termos de preço, e esta pressão reflete-se diretamente na profundidade com que monitorizam. Consultores de compliance vendem pacotes “HIPAA in a box” que criam documentação sem construir um programa real por trás dela. As câmaras de compensação que processam transações de PHI estão sob a mesma pressão de margem. Quando a velocidade e o preço se tornam as principais alavancas da concorrência, o trabalho essencial que tornou estes intermediários fiáveis desaparece completamente.
Mudando a exposição aos cuidados de saúde e ao EHR
Change Healthcare é o que isso parece em escala. O ataque derrubou o processamento de sinistros em grande parte do sistema de saúde dos EUA, e o provedor tinha as certificações que você esperaria. O problema não era a papelada. O problema era que ninguém a jusante tinha visibilidade real sobre se os controles por trás da documentação estavam realmente funcionando.
As integrações EHR e EMR tornam isso pior desde o início. Esses provedores têm acesso direto e em tempo real aos dados dos pacientes em tempo real. Quando o atestado de controle para um deles é fraco ou não verificado, não se trata de uma lacuna na conformidade da planilha. Esta é uma porta aberta.
O que as organizações de saúde devem fazer agora?
SOC 2, HITRUST e BAA devem ser tratados como pontos de referência e não como sinais de confiança. Eles informam o que o vendedor afirma sobre seus controles. Eles não dizem se esse controle realmente funciona hoje ou se a evidência por trás do atestado era genuína. A única questão que importa, sob risco do fornecedor, é se o fornecedor realmente faz o que sua documentação afirma e se isso pode ser verificado por evidências diretas. Na área da saúde, é o único padrão que informa se um provedor é realmente seguro para confiar os dados do paciente.
Foto: porcorex, Getty Images
Clarence Chio é cofundador e CEO da Base do telhadoa empresa líder em sourcing e risco de IA que recentemente levantou US$ 20 milhões de investidores líderes para automatizar 90% do gerenciamento de fornecedores. Anteriormente, ele foi cofundador da Unit21, uma empresa apoiada pelo Google que arrecadou US$ 92 milhões para ajudar as principais instituições financeiras a combater a fraude e a lavagem de dinheiro com IA. Ele é formado em ciência da computação e IA pela Stanford, publicou o livro Machine Learning and Security com a O’Reilly Media e ensina IA e segurança na UC Berkeley.
Esta postagem aparece em Influenciadores da MedCity programa. Qualquer pessoa pode publicar sua perspectiva sobre inovação em negócios e saúde no MedCity News por meio de Influenciadores do MedCity. Clique aqui para saber como.
