Tema 6.4 — Gobernanza y aseguramiento

La gobernanza existe para ayudarte a tomar decisiones buenas, rápidas, y seguras y para probar —a ti mismo, a tu junta directiva, y al público— que un servicio digital se está operando responsablemente, así que trátala como un habilitador de la entrega en lugar de un impuesto sobre ella.

Por qué esto importa en la salud y la atención#

En la mayoría de los sectores, la gobernanza débil cuesta dinero y reputación. En la salud y la atención puede costar vidas, atrincherar la inequidad, y erosionar la confianza pública de la que depende todo el sistema. Un cambio mal gobernado a un sistema clínico puede propagar un error de dosificación a miles de pacientes antes de que alguien lo note; un flujo de datos no gobernado puede violar la confidencialidad de las personas más vulnerables a las que sirves; una puesta en marcha no asegurada puede bloquear un servicio que silenciosamente excluye a los que más necesitan atención. Lo que está en juego es por qué "cómo trabajas" es una cuestión de seguridad clínica, equidad, y confianza, no meramente de eficiencia.

Al mismo tiempo, la gobernanza en la salud y la atención tiene una reputación bien ganada de ser lenta, ritualista, y desconectada de la entrega. Los equipos se sientan a través de reuniones de junta directiva que aprueban automáticamente decisiones ya tomadas, completan plantillas que nadie lee, y observan riesgos ámbar volverse verdes la semana antes de una revisión solo para fallar espectacularmente después. Esta es la paradoja que debes resolver. La respuesta no es menos gobernanza ni más; es gobernanza proporcional que escala con el riesgo y el valor, da a personas claras responsabilidad clara, y produce información honesta lo suficientemente rápido para actuar. Este tema te muestra cómo construir eso, y cómo estratificar el aseguramiento independiente encima para que las personas responsables —y el público— puedan estar seguras de que los controles realmente funcionan. Se conecta estrechamente con el Tema 1.6 — Seguridad clínica y gestión de riesgos, el Tema 1.7 — Gobernanza de la información, protección de datos y ciberseguridad, el Tema 5.3 — EPPM, y el Tema 10.4 — Visibilidad para el CEO y líderes senior.

Conceptos clave#

La gobernanza es el sistema de derechos de decisión, responsabilidad, y supervisión a través del cual una organización dirige y controla lo que hace. En la salud y la atención digital realmente estás gestionando tres dominios de gobernanza superpuestos a la vez. La gobernanza corporativa cubre la administración de la junta directiva de la organización en su conjunto —finanzas, estrategia, riesgo, y deberes legales. La gobernanza clínica es el marco a través del cual las organizaciones de salud son responsables de mejorar continuamente la calidad y seguridad de la atención. La gobernanza de la información cubre cómo la organización maneja los datos legal, segura, y éticamente. Un servicio digital toca los tres; si solo gobiernas uno, serás sorprendido por los otros.

La responsabilidad de punto único es la columna vertebral de la buena gobernanza. El propietario senior responsable (SRO) es la única persona nombrada personalmente responsable de que un programa o proyecto importante alcance sus objetivos y realice sus beneficios —un rol popularizado por el gobierno del Reino Unido pero universalmente útil. Los derechos de decisión por debajo del SRO se hacen explícitos a través de una matriz de asignación de responsabilidades, comúnmente la forma RACI (responsable, aprobador, consultado, informado), que previene los dos fallos clásicos de "todos pensaron que alguien más lo poseía" y "todos trataron de poseerlo".

El aseguramiento es distinto de la gobernanza. La gobernanza es el acto de dirigir y decidir; el aseguramiento es la confirmación independiente y objetiva de que la gobernanza y los controles realmente están funcionando según lo previsto. El modelo mental dominante son las "tres líneas de defensa": la primera línea es la gestión operativa que posee y gestiona el riesgo día a día; la segunda línea son funciones de supervisión (riesgo, cumplimiento, seguridad clínica, gobernanza de la información) que establecen políticas y desafían; y la tercera línea es la auditoría interna, independiente de ambas, reportando a la junta directiva. Los reguladores y auditores externos forman una cuarta línea de facto.

Dos conceptos adicionales mantienen unido el sistema. El apetito de riesgo es la cantidad y tipo de riesgo que la organización está dispuesta a aceptar en la búsqueda de sus objetivos; sin él, la escalación es arbitraria. Y el registro de riesgo —a menudo extendido a un registro RAID (riesgos, suposiciones, incidentes, dependencias) construido sobre la misma disciplina que un registro de riesgo— es el registro de trabajo que mantiene honesta a una entrega. Los puntos de revisión se proporcionan mediante aseguramiento escalonado como un proceso de puerta de fase y, en el gobierno del Reino Unido, revisiones estilo puerta ejecutadas por la Infrastructure and Projects Authority (IPA). Por encima del nivel de cualquier proyecto individual se sitúa la gestión de riesgo empresarial, la disciplina de toda la organización de identificar y gestionar los riesgos que podrían impedir que toda la empresa alcance sus objetivos, en lugar de tratar el riesgo digital, clínico, financiero, cibernético, y operativo como silos separados.

Buenas prácticas#

1. Nombrar a un SRO responsable y hacerlo en serio. Nombra a una única persona suficientemente senior que sea personalmente responsable del resultado, tenga la autoridad para tomar decisiones, y permanezca con el programa el tiempo suficiente para ser responsabilizada. Escribe su responsabilidad en los términos de referencia y sus objetivos. Resiste la tentación de distribuir la responsabilidad a través de un comité —los comités aconsejan y deciden colectivamente, pero no pueden ser responsables, porque la responsabilidad que se comparte es responsabilidad que está ausente.

2. Diseñar la gobernanza para que se ajuste al riesgo y valor, no al calendario. Una herramienta interna pequeña y de bajo riesgo no necesita la misma junta directiva, puertas, y papeleo que una historia clínica electrónica de toda una región. Establece niveles para que el trabajo de bajo riesgo y bajo valor fluya a través de gobernanza ligera a nivel de equipo, mientras que el trabajo de alto riesgo o alto valor atraiga juntas formales y revisión independiente. Publica los umbrales para que los equipos sepan en qué nivel están y puedan autoservirse. La proporcionalidad es lo que evita que la gobernanza se convierta en un cuello de botella que los equipos evitan.

3. Escribir términos de referencia que aclaren los derechos de decisión. Cada junta debería tener un documento corto de términos de referencia que declare su propósito, membresía, quórum, qué decisiones puede tomar, qué solo puede recomendar, y qué debe escalarse por encima de ella. Empareja esto con un RACI para que los tipos de decisión recurrentes —elecciones de arquitectura, aprobación clínica, liberación de presupuesto, aprobación de puesta en marcha— tengan un propietario responsable nombrado. Los derechos de decisión ambiguos son la causa individualmente más común de deriva de gobernanza, donde las reuniones se multiplican porque nadie está seguro de quién realmente puede decir sí.

4. Separar el aseguramiento de la gobernanza y usar las tres líneas. No dejes que las personas que entregan un programa sean las únicas personas que aseguran que es seguro. Asegúrate de que la segunda línea —oficiales de seguridad clínica, líderes de gobernanza de la información, ciberseguridad— tenga una voz independiente y pueda escalar por encima del SRO cuando sea necesario, y que la auditoría interna pruebe periódicamente todo el sistema. Esta separación es lo que convierte el autorreporte optimista en aseguramiento creíble, y es una expectativa regulatoria en la mayoría de los sistemas de salud, no un detalle agradable.

5. Usar aseguramiento integrado y puntos de revisión escalonados. En lugar de encargar revisiones no coordinadas, planifica un calendario de aseguramiento y aprobación integrado que alinee las revisiones de seguridad clínica, gobernanza de la información, técnicas, y comerciales a los mismos puntos de decisión. Adopta revisiones estilo puerta en las transiciones que importan —antes de comprometer dinero, antes de construir, antes de la puesta en marcha— modeladas en las revisiones de puerta de la IPA y, para servicios digitales orientados al público, las evaluaciones de servicio pioneras del Government Digital Service (GDS) y adaptadas por el NHS. Una buena puerta es un desafío de apoyo que reduce el riesgo de la siguiente fase, no un examen a manipular.

6. Hacer explícito el apetito de riesgo y dejar que impulse la escalación. Acuerda, a nivel de junta directiva, cuánto riesgo estás dispuesto a llevar en cada dominio —seguridad del paciente, datos, entrega, finanzas, reputación— y exprésalo lo suficientemente concretamente para que un equipo pueda decir si un riesgo dado está dentro o fuera del apetito. Luego conecta la escalación al apetito: cualquier cosa fuera del apetito sube automáticamente, con un propietario nombrado y una fecha límite de decisión. Esto detiene los dos modos de fallo de trivialidades atascando la junta directiva y riesgos serios silenciosamente sentados en una hoja de cálculo.

7. Ejecutar un registro RAID vivo y un Board Assurance Framework. Mantén un registro RAID que se revise cada ciclo de entrega, con cada entrada poseída, fechada, puntuada, y trabajada activamente —no un cementerio de elementos ámbar obsoletos. A nivel organizacional, mantén un Board Assurance Framework (BAF) que mapee tus principales riesgos estratégicos a los controles vigentes y el aseguramiento que tienes de que esos controles funcionan, exponiendo brechas donde dependes de la esperanza. El BAF es lo que permite a una junta directiva ver, en una página, si sus objetivos más importantes realmente están protegidos.

8. Reportar honestamente y eliminar el teatro de gobernanza. Insiste en reportes de estado francos que saquen a la luz malas noticias temprano, y protege a las personas que las plantean. Vigila el "reporte de sandía" —verde por fuera, rojo por dentro— donde los paneles de control permanecen verdes hasta el momento del fallo; contrarresta esto haciendo que las funciones de aseguramiento y los líderes de entrega reporten sobre los mismos hechos. Corta cualquier reunión, plantilla, o reporte que no cambie una decisión. La gobernanza que produce documentos que nadie actúa no es precaución, es desperdicio disfrazado de diligencia.

9. Gestionar el riesgo a nivel empresarial, no solo a nivel de proyecto. Mantén un registro de riesgo empresarial a nivel de junta directiva y una declaración de apetito de riesgo escrita que conecten el riesgo digital, clínico, financiero, cibernético, y operativo en lugar de tratar cada uno en su propio silo. Muchos de los riesgos que realmente hunden los servicios de salud digital —un patrimonio envejecido de sistemas heredados, un ataque cibernético, sobredependencia de un solo proveedor— atraviesan cada proyecto y no son poseídos por ninguno de ellos, así que da a cada riesgo transversal un propietario ejecutivo nombrado y un lugar en el registro. Esta es la diferencia entre saber que tus programas cada uno está más o menos en camino y saber si la organización en su conjunto está dentro de su apetito.

10. Agregar los mismos riesgos hasta la junta directiva sin sanitizarlos. Conecta tus tres líneas de defensa para que un riesgo visto por un equipo de entrega viaje hasta el registro empresarial de forma reconocible, no reempaquetado en lenguaje tranquilizador en cada capa. El BAF y el registro empresarial son tan honestos como el reporte debajo de ellos, así que protégete contra el efecto sandía donde el ámbar se vuelve verde en su camino a la cima, y haz rutinario escalar los riesgos transversales —legado, ciber, concentración de proveedores— que ningún proyecto individual posee. Una junta directiva que solo ve números agregados y suavizados no puede gobernar los riesgos que más importan.

Preguntas para debatir con tu equipo#

1. ¿Dónde es genuinamente clara la responsabilidad de punto único en nuestro trabajo digital más importante, y dónde es una ficción cómoda? Recorre tus tres iniciativas principales y pregunta, para cada una, quién respondería personalmente a la junta directiva si fallara. Si la respuesta honesta es "la junta directiva", "el programa", o un nombre que sigue cambiando, tienes una brecha. Prueba si el SRO nombrado realmente tiene la autoridad y tiempo que exige el rol, o si es una figura decorativa mientras las decisiones reales suceden en otro lugar. Considera si la responsabilidad está socavada por una matriz en la que el SRO no puede dirigir a las personas que entregan. Discute cómo se protege la continuidad cuando los SRO se van, ya que la responsabilidad que se reinicia cada reorganización no es responsabilidad en absoluto. El objetivo no es culpar a individuos sino asegurarse de que cuando algo va mal, una persona facultada posea corregirlo.

2. ¿Nuestra gobernanza es proporcional, o estamos aplicando proceso pesado a trabajo de bajo riesgo y viceversa? Mapea tus juntas, puertas, y pasos de aprobación actuales contra el riesgo y valor reales de lo que pasa a través de ellos. Busca el cambio de bajo riesgo que esperó seis semanas por una junta que se reúne mensualmente, y el cambio clínico de alto riesgo que se coló solo con la palabra del propio equipo. Pregunta si los equipos están evitando la gobernanza porque es demasiado lenta, lo cual es en sí mismo una señal de riesgo seria. Considera si has publicado niveles y umbrales claros, o si todo recurre por defecto a la ceremonia máxima por precaución. Debate dónde podrías delegar decisiones de forma segura para moverte más rápido, y dónde has sido peligrosamente ligero. El objetivo es un sistema donde el peso de la gobernanza rastree visiblemente el peso del riesgo.

3. ¿Cómo sabríamos si nuestro reporte nos está diciendo la verdad? Discute ejemplos recientes concretos donde un estado pasó de verde a rojo con poca advertencia, y pregunta cuáles fueron las señales tempranas y por qué no salieron a la superficie. Explora si los líderes de entrega y las funciones de aseguramiento reportan desde los mismos hechos o desde versiones separadas y convenientemente divergentes. Considera qué le pasa, social y profesionalmente, a alguien que reporta un estado rojo aquí —¿se le agradece o se le castiga? Pregunta si tu junta directiva ve aseguramiento independiente junto al propio relato de la gestión, o solo lo último. Examina si tus paneles de control miden cosas que predicen problemas o solo cosas que son fáciles de hacer verdes. El propósito es construir una cultura donde las malas noticias honestas viajen rápido, porque un sistema de gobernanza que no puede escuchar malas noticias no puede gobernar.

4. ¿Hemos escrito nuestro apetito de riesgo lo suficientemente concretamente para que un equipo pueda actuar sobre él, o es un eslogan? Toma un riesgo en vivo en uno de tus programas y pregunta si las personas más cercanas a él podrían decir, a partir de tu apetito declarado, si está dentro o fuera de la línea. La mayoría de las organizaciones tienen una declaración de apetito de riesgo que se lee bien y no decide nada —"tomamos un enfoque equilibrado del riesgo" no le dice a ningún clínico si un defecto de visualización de alergia no detectado es tolerable. Discute si el apetito se expresa por dominio —seguridad del paciente, datos, entrega, finanzas, reputación— porque una sola cifra global oculta el hecho de que puedes tener cero apetito por defectos de seguridad clínica y apetito real por el deslizamiento de cronograma. Examina si la escalación realmente está conectada al apetito, para que cualquier cosa fuera de él suba automáticamente con un propietario nombrado y una fecha límite, en lugar de depender de que alguien elija plantearlo. Considera quién posee el apetito y con qué frecuencia se revisa, ya que un apetito establecido una vez y nunca revisado deriva fuera de sintonía con el mundo real. Una respuesta honesta nombra una decisión reciente que la declaración de apetito genuinamente dio forma, y admite dónde la declaración actualmente es demasiado vaga para morder.

5. ¿Nuestras puertas y revisiones de aseguramiento realmente tienen dientes, o los programas fallidos navegan a través de ellas? Mira hacia atrás en tus últimas revisiones de puerta o evaluación de servicio y pregunta si alguna de ellas detuvo, pausó, o remodeló materialmente el trabajo —si cada programa ha pasado cada puerta, tus puertas casi con certeza son teatro. Discute si las revisiones se tratan como un desafío de apoyo que reduce el riesgo de la siguiente fase o como un examen a manipular, con el paquete de evidencia curado para asegurar un pase. Considera si la seguridad clínica, gobernanza de la información, aseguramiento técnico y comercial llegan a los mismos puntos de decisión o como una dispersión de revisiones no coordinadas que agotan a los equipos sin añadir confianza. Examina qué autoridad tiene realmente un revisor de puerta: ¿puede detener una puesta en marcha, y será respaldado si lo hace, o la presión comercial lo anulará? Explora si las personas que entregan también son, en efecto, las personas que aseguran —porque una puerta operada por los optimistas no es aseguramiento. El objetivo es una revisión que un problema serio no podría sobrevivir, porque una puerta que nunca falla nada es un coste sin control detrás.

6. ¿Cuáles de los riesgos que realmente podrían hundirnos no son poseídos por ningún proyecto individual, y quién los posee? Lista los fallos con mayor probabilidad de detener tus servicios digitales —un patrimonio envejecido de sistemas heredados, un ataque cibernético, sobredependencia de un proveedor, una fuerza laboral que no puede operar las nuevas herramientas— y pregunta, para cada uno, en qué registro está. Estos riesgos transversales son peligrosos precisamente porque pertenecen a todos y por tanto a nadie, cayendo entre las grietas de la gobernanza a nivel de proyecto. Discute si mantienes un registro de riesgo empresarial a nivel de junta directiva que conecte el riesgo digital, clínico, financiero, cibernético, y operativo, o si cada uno se gestiona en su propio silo ciego a los demás. Considera si un riesgo visto por un equipo de entrega viaja hasta la junta directiva de forma reconocible, o se suaviza de rojo a ámbar a verde en cada capa hasta que la junta directiva solo ve tranquilidad. Examina si cada riesgo transversal tiene un propietario ejecutivo nombrado con la autoridad para actuar a través de programas. Una respuesta honesta confronta la brecha entre saber que cada programa está más o menos en camino y saber si la organización en su conjunto está dentro de su apetito.

En la práctica: un ejemplo de salud y atención#

Un sistema de atención integrada (ICS) está desplegando un registro de atención compartido que permite a los clínicos a través de hospitales, medicina general, y atención social ver una vista unificada de cada paciente. Es de alto valor y alto riesgo: toca decisiones clínicas, vincula datos sensibles a través de organizaciones, y sirve a una población con amplia variación en el acceso digital.

Al principio, la responsabilidad es turbia. Tres directores de información sienten cada uno responsabilidad parcial, un proveedor está impulsando el cronograma, y la junta de programa de dieciocho personas pasa sus reuniones recibiendo actualizaciones en lugar de decidir. El reporte es verde. Luego surge un casi-accidente: una alergia a medicamentos registrada en un sistema no se muestra en otro, y un clínico casi prescribe un fármaco al que el paciente es alérgico.

Los directores ejecutivos usan esto como un punto de inflexión y reconstruyen la gobernanza. Nombran a un SRO —un director médico jefe con la antigüedad para dirigir el programa y la posición para desafiar al proveedor. Reescriben los términos de referencia de la junta directiva, la reducen a los tomadores de decisión, y adjuntan un RACI para que la aprobación de seguridad clínica, la aprobación de gobernanza de la información, y la autorización de puesta en marcha cada una tenga un propietario responsable nombrado. El apetito de riesgo se hace explícito: cero apetito por defectos de seguridad clínica no detectados, apetito limitado por el deslizamiento de cronograma. Esa única declaración reordena todo.

El aseguramiento se separa de la entrega. El oficial de seguridad clínica y el líder de gobernanza de la información reportan independientemente y pueden escalar por encima del SRO hacia los directores ejecutivos; el trabajo del registro compartido se añade al Board Assurance Framework de cada socio. Un calendario de aseguramiento integrado establece tres puertas —antes de más construcción, antes del piloto, antes del despliegue completo— cada una combinando revisiones de seguridad clínica, gobernanza de la información, técnicas, y de accesibilidad, en el espíritu de las revisiones de puerta de la IPA y las evaluaciones de servicio del NHS. El registro RAID se revisa quincenalmente, con el defecto de visualización de alergia registrado como un incidente rojo poseído por nombre con una fecha de resolución fija.

La primera puerta es incómoda: el equipo de revisión encuentra que el caso de seguridad clínica es más delgado de lo que implicaban los reportes verdes, y el despliegue se pausa cuatro semanas. Es exactamente la sandía que el reporte antiguo había ocultado. Porque la pausa sucede antes del piloto en lugar de después de la puesta en marcha, ningún paciente resulta dañado, el proveedor corrige el mapeo de datos, y el eventual despliegue es más lento de comenzar pero mucho más seguro y confiable. La gobernanza no ralentizó la entrega; previno un fallo que la habría detenido por completo.

Perspectivas sectoriales#

Startup#

Una startup de tecnología de salud raramente necesita juntas directivas y revisiones de puerta, pero sí necesita lo esencial temprano, porque reguladores, compradores, e inversores preguntarán. Nombra a un fundador o ejecutivo responsable de la seguridad clínica y uno de la protección de datos, mantén un registro RAID ligero, y escribe tu apetito de riesgo incluso si es una sola página. La trampa es tratar la gobernanza como algo a añadir después; adaptar retroactivamente evidencia de decisiones seguras y legales a través de un producto que se mueve rápido es doloroso y a veces imposible. Construye la gobernanza mínima viable que un comprador serio del NHS reconocería, y déjala crecer contigo en lugar de saltar de nada a burocracia de la noche a la mañana.

Pequeña empresa#

Un proveedor pequeño y establecido —una consulta de médico de cabecera, una farmacia comunitaria, una residencia de cuidados, o una clínica de un solo emplazamiento— lleva los mismos deberes estatutarios por seguridad clínica y protección de datos que un gran fideicomiso, pero sin comité de auditoría, sin auditoría interna, y a menudo sin personal de TI dedicado para operarlos. La disciplina de gobernanza aquí es la proporcionalidad radical: una persona nombrada responsable de la seguridad clínica y una de la gobernanza de la información (que en una organización muy pequeña puede ser el mismo clínico senior o socio), un apetito de riesgo de una página, y un registro RAID corto que se revisa genuinamente en lugar de archivarse. Apóyate en los marcos que tus reguladores ya esperan —el Data Security and Protection Toolkit, los requisitos de la CQC, y cualquier obligación de seguridad clínica que deban cumplir tus proveedores— y haz que el aseguramiento de tus proveedores de software (sus casos de seguridad DCB0129, sus certificaciones) haga el trabajo que no puedes hacer tú mismo. La trampa realista no es el teatro de gobernanza sino el abandono de gobernanza: decisiones seguras y legales tomadas informalmente y nunca registradas, para que cuando llegue un incidente o inspección no puedas mostrar qué decidiste o por qué. Mantén el rastro de evidencia ligero pero real, porque para una pequeña empresa el objetivo son decisiones defendibles con un presupuesto ajustado, no una máquina de gobernanza que no puedes dotar de personal.

Gran organización#

Un gran proveedor o vendedor ya tiene juntas directivas, comités de auditoría, y auditoría interna, así que el riesgo de la gran organización es el opuesto al de la startup: demasiada gobernanza, mal integrada, generando teatro. Consolida juntas superpuestas, publica niveles de proporcionalidad, e integra el aseguramiento clínico, de información, técnico, y comercial en un único calendario para que los equipos enfrenten un conjunto coherente de puertas en lugar de una docena de revisiones no coordinadas. Asegúrate de que las tres líneas de defensa sean genuinamente independientes y que la auditoría interna pruebe periódicamente la entrega digital, no solo las finanzas. El premio es convertir una máquina de gobernanza existente y costosa en una que realmente acelere las decisiones seguras.

Gobierno#

Los organismos nacionales y regionales —NHS England, ICB, organismos de longitud de brazo— operan bajo responsabilidad estatutaria, controles de gasto público, y regímenes de aseguramiento formales como las revisiones de puerta de la IPA y los procesos de control de gasto y evaluación de servicio del gobierno. Aquí el rol de SRO está codificado y es personalmente responsable ante el Parlamento o sus equivalentes, y la transparencia es un deber, no una elección. La disciplina es hacer que esta gobernanza obligatoria sea proporcional y alinear las muchas demandas de aseguramiento externo para que informen la entrega en lugar de meramente auditarla después del hecho. Hecho bien, la gobernanza del sector público es un modelo de responsabilidad; hecho mal, es el origen del "teatro de gobernanza" que todo el sector teme.

Modos de fallo comunes#

• Responsabilidad por comité. Sin un solo SRO, así que cuando las cosas van mal todos señalan hacia otro lado y nada se posee.
• Teatro de gobernanza. Juntas directivas que reciben en lugar de decidir, plantillas que nadie lee, y puertas que son exámenes a pasar en lugar de reducción de riesgo genuina.
• Reporte de sandía. El estado permanece verde hasta el momento del fallo porque las malas noticias son mal recibidas y los reportes de entrega no son desafiados por el aseguramiento.
• Proceso de talla única. Gobernanza pesada aplicada a trabajo trivial, empujando a los equipos a evitarla, mientras el trabajo genuinamente riesgoso se cuela ligeramente.
• Aseguramiento capturado por la entrega. Las personas que construyen el servicio son las únicas personas que confirman que es seguro, así que el optimismo no es verificado.
• Registros RAID obsoletos. Riesgos registrados una vez y nunca trabajados; elementos ámbar que silenciosamente se vuelven verdes antes de una revisión sin cambio debajo.
• Ceguera de dominio. Gobernar bien la entrega pero perder la dimensión de seguridad clínica, gobernanza de la información, o equidad hasta que se convierte en una crisis.
• Teatro de puerta sin dientes. Puntos de revisión que nunca realmente detienen o remodelan el trabajo, así que los programas fallidos navegan a través de cada puerta.

Modelo de madurez#

Lista de verificación#

• Cada iniciativa importante tiene un SRO nombrado, suficientemente senior, y facultado.
• Cada junta directiva tiene términos de referencia actuales que declaran sus derechos de decisión, quórum, y escalación.
• Un RACI asigna un propietario responsable nombrado a cada tipo de decisión recurrente.
• Los niveles de gobernanza escalan con el riesgo y valor, y los umbrales se publican.
• Las tres líneas de defensa están en su lugar, con una voz de segunda línea independiente que puede escalar.
• Un calendario de aseguramiento integrado alinea las revisiones clínicas, de gobernanza de la información, técnicas, y comerciales a puertas escalonadas.
• El apetito de riesgo se escribe por dominio y la escalación está conectada a él.
• Un registro RAID vivo se revisa cada ciclo de entrega, con cada entrada poseída y fechada.
• Un Board Assurance Framework mapea los riesgos principales a los controles y al aseguramiento de que esos controles funcionan.
• La entrega y el aseguramiento reportan desde los mismos hechos, y plantear malas noticias es seguro.
• Cada reunión, plantilla, y reporte que mantienes cambia una decisión real.

Fuentes clave#

• Infrastructure and Projects Authority (IPA), Principles for Project Success y la orientación de revisión de puerta/aseguramiento — UK Cabinet Office / HM Treasury.
• NHS England, Clinical Risk Management Standards (DCB0129 y DCB0160) — para la gobernanza clínica de la TI de salud (véase también el Tema 1.6).
• Institute of Internal Auditors (IIA), The IIA's Three Lines Model (actualización de 2020) — la declaración autoritativa del enfoque de tres líneas.
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — apetito de riesgo, controles, y aseguramiento en organismos públicos del Reino Unido.
• NHS England / antiguo Government Digital Service, Service Standard y orientación de evaluación de servicio — aseguramiento de servicios digitales orientados al público.
• UK Corporate Governance Code — Financial Reporting Council — responsabilidad de junta directiva y control interno.

Referencias#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management