Software médico y NOM-024: 8 señales de que sí cumple

“Cumplimos con la NOM-024.” Lo dice casi todo el software médico en su página. El problema es que esa frase, por sí sola, no prueba nada: cualquiera puede escribirla en un folleto. Y cuando llega una revisión seria —o cuando tu clínica necesita demostrar cumplimiento— la diferencia entre decirlo y realmente cumplirlo se vuelve muy cara.

La NOM-024-SSA3-2012 regula los Sistemas de Información de Registro Electrónico para la Salud (los ECE o expedientes clínicos electrónicos). No es una etiqueta que el proveedor se pone solo: el cumplimiento se demuestra frente a la Dirección General de Información en Salud (DGIS) mediante una verificación con criterios concretos.

Si estás evaluando un sistema —o dudando del que ya usas—, estas 8 señales te dan criterios objetivos para separar un software que de verdad cumple de uno que solo lo dice.

1. Pasó una verificación formal, no una auto-declaración

La señal más importante. Un proveedor serio no dice “cumplimos” a secas: dice ante quién y con qué alcance lo demostró. La autoridad en México es la DGIS, y el resultado es un dictamen de cumplimiento sobre una versión específica del sistema.

Qué preguntar: ¿Pasaron una verificación de la NOM-024 ante la DGIS? ¿Sobre qué versión del sistema y con qué alcance? Si la respuesta es vaga, es una bandera roja.

2. Captura datos estructurados con catálogos oficiales

La NOM-024 no se cumple guardando texto libre. Exige campos estructurados que usen los catálogos oficiales: CURP validado, CIE-10 para diagnósticos, sexo biológico, entidad de nacimiento, tipo de personal de salud, entre otros.

Qué revisar: al capturar un paciente o una consulta, ¿el sistema te obliga a usar catálogos y valida el dato, o solo tienes cajas de texto donde escribes lo que quieras? Los catálogos oficiales son la columna vertebral del cumplimiento.

3. Valida la consistencia de la información

No basta con capturar: el sistema debe validar coherencia. Que la CURP tenga el formato correcto, que un diagnóstico corresponda a la edad y al sexo del paciente, que los signos vitales estén dentro de rangos plausibles.

Esto protege la calidad del expediente y evita errores de captura. Ojo: validar consistencia normativa no es diagnosticar. El médico conserva siempre el criterio clínico; el sistema solo avisa cuando algo no cuadra con las reglas del catálogo.

4. Es un expediente clínico electrónico, no un archivero de PDFs

Aquí cae mucho software. Escanear recetas, guardar PDFs o subir fotos de notas no es un ECE que cumpla la NOM-024. Un archivo de imágenes no es información estructurada, no es interoperable y no se puede validar.

Un ECE real guarda cada dato como dato (no como imagen), lo puede exportar en el formato que la norma pide y permite darle trazabilidad. Si tu “expediente digital” es en el fondo una carpeta de archivos, no cumple.

5. Registra al prestador del servicio en cada consulta

La norma pide identificar quién atendió: nombre, CURP y tipo de personal de salud del prestador, capturados al momento de la consulta. No es un dato administrativo que se llena una vez y se olvida; forma parte del registro de cada atención.

Qué revisar: ¿el sistema deja claro qué profesional generó cada nota, y guarda sus datos como parte del expediente de esa consulta?

6. Controla el acceso por perfiles y deja bitácora

La seguridad de la información es parte del cumplimiento. Un sistema serio limita qué puede ver cada rol —recepción, enfermería, médico, dirección— bajo el principio de mínimo privilegio, y registra en una bitácora quién accedió a qué y cuándo.

Sin control de acceso por perfiles ni bitácora, no hay forma de proteger datos sensibles ni de demostrar trazabilidad. Pregunta directa: ¿Cada usuario ve solo lo que le corresponde? ¿Existe un registro de accesos y cambios?

7. Cifra la información y respalda con restauración probada

Los datos deben viajar y almacenarse cifrados, con respaldos periódicos. Y no basta con “tener respaldos”: el proveedor debe poder restaurarlos en un tiempo razonable. Un respaldo que nunca se ha probado es una promesa, no una protección.

Qué preguntar: ¿La información está cifrada? ¿Con qué frecuencia respaldan y han probado una restauración real? Un proveedor que cumple sabe responder esto con datos, no con generalidades.

8. El alcance del cumplimiento está claro y bien definido

Esta señal separa a los proveedores honestos. El cumplimiento de la NOM-024 tiene alcance: una guía específica (por ejemplo, consulta externa), un sector (privado o público) y una versión evaluada del sistema. Un proveedor serio te dice exactamente qué cubrió y qué no —y distingue entre la versión evaluada y lo que ya está desplegado.

Desconfía de quien promete que “cumple todo” sin matices. La transparencia sobre el alcance es, en sí misma, una señal de que el proceso fue real.

Cómo cumple SaludTotal estas señales

SaludTotal es un expediente clínico electrónico diseñado para el consultorio y la clínica privada en México, y las 8 señales anteriores forman parte de su base:

• Aprobó la auditoría de la NOM-024-SSA3-2012 ante la DGIS, con dictamen de cumplimiento (certificado oficial en emisión), en el alcance de consulta externa del sector privado.
• Captura datos estructurados con catálogos oficiales (CURP, CIE-10, sexo biológico, tipo de prestador) y valida consistencia sin sustituir el criterio del médico.
• Es un ECE real: la información se guarda como dato, no como PDF suelto.
• Registra al prestador de cada consulta, aplica control de acceso por roles con bitácora, y protege los datos con cifrado y respaldos con restauración probada.
• Comunica su alcance con claridad, sin sobreprometer.

Qué revisar antes de decidir

Antes de firmar con cualquier software médico, pide que te demuestren —en pantalla, no en el folleto— las 8 señales:

1. ¿Ante quién y con qué alcance demostraron el cumplimiento de la NOM-024?
2. ¿Capturan con catálogos oficiales o con texto libre?
3. ¿Validan consistencia (CURP, diagnóstico vs edad/sexo, signos vitales)?
4. ¿Es un ECE estructurado o una carpeta de PDFs?
5. ¿Registran al prestador en cada consulta?
6. ¿Hay control por roles y bitácora de accesos?
7. ¿Cifran, respaldan y han probado una restauración?
8. ¿El alcance del cumplimiento está definido con transparencia?

Si un proveedor responde estas ocho con hechos y no con adjetivos, vas por buen camino.

¿Quieres ver cómo SaludTotal cumple cada una de estas señales, en vivo y con tu propio caso? Agenda una demo sin compromiso en saludtotal.mx.