Ningún sistema de receta médica privada electrónica puede operar en el SREP sin la homologación del Consejo General de Colegios Oficiales de Médicos (CGCOM), y esa homologación descansa sobre un informe de auditoría. En Legal & Digital Auditors somos líderes en esta auditoría: hemos auditado casi todos los sistemas homologados en España. Le contamos cómo trabajamos y qué entregamos para que su sistema llegue a la homologación, o a su renovación, sin sorpresas.
Qué exige el CGCOM
El CGCOM certifica el sistema a partir de un informe de auditoría en dos fases. El artículo 14.4 del RD 1718/2010 encarga a los Consejos Generales la homologación, para que cualquier receta privada electrónica pueda dispensarse en cualquier farmacia a través de Nodofarma.
- Fase 1, documental: organización, subcontratistas, documentación y análisis de riesgos de seguridad de la información.
- Fase 2, técnica: pruebas sobre el sistema en producción, con recetas reales, prescriptor real y paciente ficticio.
- Controles a calificar: los del documento Requisitos de auditoría de certificación SREP v1.2 (diciembre de 2024): funcionales y técnicos (FT), de formalización documental (FD), de seguridad (SC), de interoperabilidad (IN) y de protección de datos (PD).
- Vigencia: la certificación dura dos años. La renovación exige una nueva auditoría completa, con un calendario estricto ante el CGCOM.
Un informe vago o sin evidencias genera requerimientos de subsanación, y el procedimiento solo admite dos. Por eso la calidad del informe decide buena parte del resultado.
Por qué somos líderes
Hemos auditado casi todos los sistemas de receta médica privada electrónica homologados en España, tanto en su certificación inicial como en sus renovaciones. Esa experiencia nos permite saber qué busca el instructor del CGCOM en cada control y cómo presentar la evidencia para que no haya dudas.
Además, hemos trabajado con los auditores del CGCOM en los criterios más exigentes del esquema: identidad del prescriptor, firma electrónica de las recetas y registro de accesos a datos de salud.
Las auditorías las firma D. Luis Vilanova Blanco, auditor CISA, auditor ISO/IEC 27001 y 27701, auditor del Esquema Nacional de Seguridad y colegiado n.º 498 del COIICV.
Auditoría semicontinua y en remoto: usted marca el ritmo
No hace falta tener todas las evidencias el primer día. Con nuestra auditoría semicontinua, el fabricante aporta evidencias a medida que las genera o corrige, y nosotros las revisamos en sucesivas iteraciones:
- Evaluamos: informe inicial con el porcentaje de cumplimiento y los controles conformes, no conformes y pendientes.
- Aporta evidencias: cuando las tiene, por un canal seguro.
- Revisamos: en remoto, en cada iteración.
- Actualizamos el informe: una nueva versión trazable, con lo superado y lo que falta.
- Presentamos: los informes de fase 1 y fase 2, firmados electrónicamente, ante el CGCOM.
Todo se hace en remoto en la medida en que lo permite el procedimiento, sin desplazamientos ni interferencias en el día a día del equipo de desarrollo. Si algo necesita más tiempo, le ayudamos a comunicarlo al CGCOM con un plan de acción y fechas de cierre.
La flexibilidad es con los tiempos, no con el rigor: los criterios del esquema y los plazos del procedimiento no cambian, y el porcentaje de cumplimiento no equivale por sí mismo a la certificación.
Plantillas y manuales para todos los controles
Además de auditar, entregamos material propio para que el fabricante prepare cada control con lo que el CGCOM espera ver:
| Material | Para qué sirve |
|---|---|
| Plantillas por control (FT, FD, SC, IN, PD) | Preparar la documentación acreditativa de cada control sin partir de cero |
| Manuales sobre identidad del prescriptor y firma de recetas | Elegir y documentar un esquema de identificación y firma que encaje en el criterio del CGCOM |
| Lista de evidencias requeridas | Saber, control a control, qué prueba revisará el auditor |
| Evaluación de riesgos de seguridad | Contar con el análisis de riesgos que se revisa en la fase 1 |
El material lo hemos elaborado a partir de nuestra experiencia en casi todos los sistemas homologados y de nuestro trabajo con los auditores del CGCOM. Las plantillas facilitan el trabajo, pero el cumplimiento lo acredita siempre la evidencia real del sistema.
Lo que más falla en las auditorías
Estos son los hallazgos que más vemos y que nuestras plantillas ayudan a prevenir:
- Habilitación del colegiado: logs sin el hash del Registro del CGCOM o sin control de la vigencia máxima de 24 horas.
- Firma de la receta: sellos de la plataforma tras un OTP sin identificación previa de nivel medio, o certificados del médico custodiados por la plataforma.
- Hoja de información al paciente: sin los identificadores exigidos o con el logo del cliente en lugar del titular de la certificación.
- Estupefacientes y psicotrópicos: modelos de datos que permiten superar los límites por receta.
- Dispensaciones parciales: cálculo erróneo de los envases pendientes tras parciales y anulaciones sucesivas.
- Registro de accesos: logs que no identifican a la persona que accedió ni permiten informar al paciente, como exige hoy la AEPD.
- Pentest: informes de más de un año o con vulnerabilidades graves sin corregir.
Hablemos de su homologación
Tanto si va a solicitar la certificación por primera vez como si tiene que renovarla, cuanto antes empecemos, más margen tendrá para corregir lo que haga falta. Cumplimente nuestro formulario
