Revisión periódica de incidentes y eventos centinela internos

1. Objetivo

Establecer cómo y con qué periodicidad la organización revisa sus incidentes de forma agregada, qué hace cuando ocurre un evento de gravedad excepcional, y cómo esa revisión se convierte en decisiones con responsable y plazo.

2. Alcance

Cubre la revisión agregada y periódica de los incidentes del período, la clasificación de eventos centinela, la detección de patrones y la derivación de las decisiones que surjan.

No cubre:

• la gestión del caso individual → CAL-002, CAL-004 y CAL-005;
• el tratamiento formal de un patrón una vez decidido que lo amerita → CAL-006, que es la salida natural de este protocolo;
• los incidentes de seguridad de la información, que tienen su propio procedimiento y sus propios plazos de notificación — este protocolo los considera sólo como insumo agregado;
• la revisión por la dirección del sistema de gestión completo, que es un ejercicio más amplio y de otra periodicidad.

3. Definiciones

• Incidente: hecho registrado que se apartó de lo esperado, con o sin consecuencia. Incluye quejas, valoraciones bajas, fallas operativas e incidentes de seguridad.
• Evento centinela: incidente de baja frecuencia y consecuencia grave o potencialmente grave, que por su sola ocurrencia obliga a revisión, sin esperar la sesión periódica ni la repetición.
• Patrón: recurrencia de incidentes que comparten causa, producto, proceso, momento o responsable, y que individualmente pudieron parecer menores.
• Sesión de revisión: reunión del comité en que se examina el agregado del período.
• Período de revisión: intervalo cubierto por una sesión. Ningún período queda sin revisar ni se revisa dos veces.

4. Roles y responsables

Rol	Responsabilidad
Calidad	Es dueña del protocolo. Convoca, prepara el material y redacta el acta.
Comité de calidad	Revisa el agregado, califica la severidad y decide las derivaciones. Es un órgano humano.
Soporte	Aporta el detalle de los casos del período.
Dirección	Recibe el informe y resuelve lo que exceda al comité.
Sistema	Aporta los registros del período. No califica severidad ni detecta patrones.

5. Disparador de inicio

Dos vías, con lógicas distintas:

1. Periódica. Vencimiento del período de revisión. La sesión se realiza aunque el período haya sido tranquilo: una sesión sin hallazgos también se documenta, porque es lo que distingue un período sin incidentes de un período sin revisión.
2. Por evento centinela. Ocurrencia de un incidente de la lista de eventos centinela, que obliga a revisión dentro del plazo comprometido, sin esperar la sesión periódica.

6. Requisitos previos

• La periodicidad de revisión está definida y aprobada.
• La lista de eventos centinela está definida, aprobada y vigente.
• El comité está constituido, con integrantes nombrados.
• Las fuentes de incidentes del período están accesibles para quien prepara el material.
• Está definido el plazo máximo entre un evento centinela y su revisión.

7. Entradas

Del período que se revisa:

• Quejas y solicitudes registradas, con su estado, categoría, prioridad y tiempos.
• Valoraciones de producto bajo el umbral y los casos que abrieron.
• Incidentes de seguridad registrados.
• No conformidades abiertas y cerradas, y el estado de sus acciones correctivas.
• Compromisos pendientes de sesiones anteriores.
• Registro de auditoría del período, cuando el examen de un caso lo requiera.

8. Procedimiento paso a paso

1. Calidad convoca la sesión al vencer el período, o dentro del plazo comprometido cuando la disparó un evento centinela.
2. Calidad prepara el material: reúne los incidentes del período desde cada fuente y deja constancia de qué fuentes consultó y cuáles no pudo consultar. La cobertura declarada es parte del acta.
3. Calidad ordena los incidentes por categoría, producto, proceso y momento, y señala las recurrencias que observa.
4. El comité revisa el agregado y califica la severidad de cada incidente relevante.
5. El comité determina si alguno de los incidentes del período corresponde a la lista de eventos centinela. Si uno lo era y no disparó revisión inmediata, eso mismo se registra como hallazgo.
6. El comité identifica los patrones, fundamentando cada uno: qué comparten los casos y por qué se los considera relacionados y no coincidentes.
7. Por cada patrón, el comité decide: derivar a no conformidad según CAL-006, definir un compromiso acotado con responsable y plazo, o dejarlo en observación hasta la sesión siguiente. La decisión de dejar en observación se fundamenta y se limita: no puede repetirse indefinidamente sobre el mismo patrón.
8. El comité revisa el estado de los compromisos de sesiones anteriores y de las acciones correctivas vigentes.
9. Calidad redacta el acta: período cubierto, participantes, fuentes consultadas, incidentes considerados, patrones identificados con su fundamento, decisiones y compromisos.
10. Calidad distribuye el acta a los participantes y a Dirección.
11. Calidad actualiza los indicadores del §13 y agenda la sesión siguiente, de modo que no queden períodos sin cubrir.

Todos los pasos se ejecutan fuera del sistema, salvo la consulta de los registros del paso 2. Ver §17.

9. Puntos de control

#	Control	Momento	Naturaleza
C1	La sesión se realiza dentro del período comprometido	Paso 1	Humano
C2	Las fuentes consultadas y las no consultadas quedan declaradas	Paso 2	Humano
C3	Los períodos son contiguos, sin huecos ni solapamiento	Pasos 1 y 11	Humano
C4	Cada evento centinela del período fue identificado como tal	Paso 5	Humano
C5	Un evento centinela que no disparó revisión inmediata se registra como hallazgo	Paso 5	Humano
C6	Cada patrón queda fundamentado, no sólo enunciado	Paso 6	Humano
C7	Cada patrón termina en una decisión explícita	Paso 7	Humano
C8	La permanencia en observación tiene límite	Paso 7	Humano
C9	Los compromisos previos se revisan	Paso 8	Humano
C10	El acta se emite y se distribuye, con hallazgos o sin ellos	Pasos 9 y 10	Humano

Los diez controles son humanos. El sistema aporta material; no ejecuta ningún control de este protocolo. C2 es el más importante de todos por la razón que explica la §17: la completitud del material no está garantizada, de modo que declarar la cobertura es lo único que impide que el acta afirme más de lo que revisó.

10. Criterios de decisión

Un incidente es evento centinela cuando cumple al menos uno:

Criterio	Centinela
Hubo o pudo haber daño a la salud de una persona	Sí
Se entregó un producto sin trazabilidad verificable de su origen	Sí
Se rompió la custodia de la sustancia	Sí
Se accedió a datos de salud sin autorización	Sí
Un registro clínico o de auditoría resultó alterado o irrecuperable	Sí
Una persona recibió un producto que no correspondía a su indicación vigente	Sí
Molestia o insatisfacción sin consecuencia sobre la salud ni sobre la trazabilidad	No

Un conjunto de incidentes constituye patrón cuando comparten causa, producto, proceso, momento o responsable, y la recurrencia no se explica razonablemente por el azar dado el volumen del período.

Una sesión no puede cerrarse si: quedan patrones sin decisión; un evento centinela del período no fue calificado; o no se declaró la cobertura de fuentes.

11. Excepciones y escalamiento

• Evento centinela. Revisión dentro del plazo comprometido, sin esperar la sesión periódica. Puede derivar directamente a CAL-006 sin pasar por el comité completo si la gravedad lo exige.
• Sesión no realizada en el período. Se registra como incumplimiento del protocolo y se informa a Dirección. No se acumula silenciosamente con el período siguiente: se declara el período no revisado y el hueco queda documentado.
• Fuente no disponible al preparar el material. Se declara en el acta como cobertura faltante. El acta acota sus conclusiones al material efectivamente revisado. Si la fuente falta en dos sesiones consecutivas, se escala como problema propio.
• Patrón que involucra a una persona del equipo. La sesión la conduce alguien sin relación con el caso, y la persona involucrada no participa.
• Discrepancia en el comité sobre la severidad. Prevalece la calificación más alta y la discrepancia queda registrada en el acta.
• Volumen de incidentes que excede la capacidad de la sesión. Se prioriza por severidad, se declara el alcance revisado y se convoca sesión extraordinaria. No se declara revisado lo que no se revisó.

12. Registros generados

• Acta de sesión: período, participantes, fuentes consultadas y faltantes, incidentes considerados, patrones con fundamento, decisiones y compromisos.
• Informe de tendencias del período.
• Registro de eventos centinela, con fecha de ocurrencia y fecha de revisión.
• Compromisos con responsable, plazo y estado.
• Constancia de los períodos no revisados, si los hubo.

Todos estos registros son documentales y externos al sistema.

13. Indicadores

Indicador	Fórmula	Meta	Fuente
Sesiones realizadas	Realizadas ÷ comprometidas	100 %	Actas
Cobertura de fuentes	Fuentes consultadas ÷ fuentes definidas, por sesión	100 %	Actas
Latencia de evento centinela	Días entre ocurrencia y revisión	Dentro del plazo comprometido	Registro de centinelas
Patrones derivados	Derivados a no conformidad ÷ patrones identificados	Seguimiento	Actas
Compromisos en plazo	Cerrados en plazo ÷ vencidos	≥ 90 %	Actas
Patrones en observación arrastrados	Patrones en observación por dos sesiones o más	0	Actas

El segundo indicador es el que sostiene la credibilidad de todos los demás: una sesión con cobertura parcial produce conclusiones sobre una parte del período, no sobre el período. El sexto detecta la forma más común de eludir una decisión incómoda, que es dejar el patrón en observación indefinidamente.

Un valor sostenido de cero patrones identificados no debe leerse como ausencia de problemas: con la brecha 1 de la §17 abierta, es más probable que sea ausencia de material.

14. Riesgos y controles

Riesgo	Control	Tipo
Buena atención caso a caso y ceguera al conjunto	Disparador periódico del §5 y pasos 3 y 6	Preventivo
Evento grave único tratado como caso ordinario	Disparador 2 del §5 y criterios del §10	Preventivo
Período sin revisar que se pierde de vista	C3 y regla del §11	Detectivo
Conclusiones sobre material incompleto	C2 y el indicador de cobertura	Detectivo
Patrón enunciado sin fundamento	C6	Preventivo
Decisión postergada indefinidamente	C8 y el indicador de arrastre	Detectivo
Compromiso que vence sin que nadie lo advierta	C9. Sin alerta automática	Detectivo
Material de revisión incompleto sin que se note	Ver brechas 1 y 2 de la §17	—
Conflicto de interés en la sesión	Regla del §11	Preventivo

15. Normativa y referencias

Norma	Cláusula	Qué paso la cubre
ISO 9001:2015	§9.1, seguimiento, medición y análisis	Pasos 2 a 6 e indicadores del §13
ISO 9001:2015	§9.3, revisión por la dirección	Paso 10, entrega del informe a Dirección
ISO 9001:2015	§10.3, mejora continua	Pasos 7 y 8
ISO 26000:2010	Materia 6.7, asuntos de consumidores	Consideración agregada de quejas y valoraciones

Precisiones que acotan estas citas:

• Este protocolo alimenta la revisión por la dirección; no la reemplaza. La revisión del sistema de gestión completo es un ejercicio más amplio y de otra periodicidad.
• ISO 26000 no es certificable. Es una guía de responsabilidad social; ninguna entidad certifica su cumplimiento.
• Cobertura no es cumplimiento. Que un paso mapee a §9.1 no significa que la organización cumpla §9.1 ni que esté certificada.
• El término evento centinela se usa acá con el significado que este protocolo le da en su §3 y §10. No corresponde a una categoría definida por una autoridad sanitaria chilena ni conlleva obligación de notificación externa por sí mismo. Si un incidente activa además una obligación de notificación —por seguridad de la información o por cualquier otra vía— esa obligación corre por su propio procedimiento y con sus propios plazos, con independencia de este protocolo.
• Nada de este protocolo constituye asesoría legal ni certificación de una autoridad.

Protocolos relacionados: [[wiki/entities/dispensai/protocolos/CAL-001]], [[wiki/entities/dispensai/protocolos/CAL-002]], [[wiki/entities/dispensai/protocolos/CAL-004]], [[wiki/entities/dispensai/protocolos/CAL-005]], [[wiki/entities/dispensai/protocolos/CAL-006]].

16. Anexos y formularios vinculados

• Definición y lista vigente de eventos centinela.
• Formato de acta de sesión, con la sección de cobertura de fuentes.
• Formato de informe de tendencias.
• Registro de compromisos.

17. Implementación en el sistema

Este protocolo no está implementado en el sistema. El sistema aporta parte del material que la revisión consume; la revisión misma —convocatoria, calificación de severidad, detección de patrones, decisión y acta— es íntegramente humana, y eso es adecuado: el juicio sobre si una recurrencia es un patrón no es automatizable. Lo que sí debería aportar el sistema, y hoy no aporta completo, es el material.

Elemento del protocolo	Dónde vive
Quejas y solicitudes del período (§7)	Tickets y su mensajería, con panel propio
Valoraciones bajo el umbral (§7)	Registro de evaluaciones (CAL-001); consultable por consulta directa, sin panel
Incidentes de seguridad (§7)	Registro de incidentes de seguridad, con panel propio
Registro de auditoría del período (§7)	Bitácora de auditoría de la organización, encadenada
No conformidades y acciones correctivas (§7)	No existen en el sistema. Ver CAL-006, brecha 1
Panel de gestión de calidad	Muestra alertas de indicadores, hallazgos, matriz de riesgo y documentos desde un servicio externo
Pasos 1 a 11	Fuera del sistema

Brechas conocidas:

1. El registro de eventos del sistema está vacío, y es el insumo diseñado para esta revisión. La arquitectura contempla una bitácora de eventos de negocio pensada precisamente para el análisis agregado, con más de sesenta tipos de evento declarados. Esa bitácora dejó de vivir en la base de datos de la organización —fue eliminada junto con el resto del módulo ISO— y pasó a un servicio externo gobernado por una bandera de configuración. Se verificó el 2026-08-29 que la bandera está apagada en los seis tenants con configuración local, y que con la bandera apagada la emisión es un no-op silencioso, por diseño documentado. Consecuencia: la revisión no puede apoyarse en el registro de eventos, y debe reconstruir el período desde las tablas operativas sobrevivientes. Es la razón por la que el control C2 es el más importante del protocolo.

2. La auditoría automática asistida por modelo está detenida. El servicio externo implementa un auditor que analiza los eventos del período y produce hallazgos con severidad calificada, con las corridas y sus hallazgos almacenados y trazables. Es exactamente la capacidad que este protocolo necesitaría. Está inoperativa por dos razones acumuladas: los procesos programados que la disparaban fueron desprogramados junto con el módulo ISO —se verificó contra el planificador del tenant el 2026-08-29 que no queda ninguna tarea programada de auditoría ISO activa—, y aun si se reactivaran, analizarían un registro de eventos vacío por la brecha 1. La capacidad existe construida; no está corriendo.

3. El concepto de evento centinela no existe en el sistema. No hay campo de severidad en el registro de incidentes operativos ni marca que distinga un incidente de gravedad excepcional. La única severidad calificada que el sistema maneja vive en los hallazgos del servicio externo, que por la brecha 2 no se están generando. La lista de eventos centinela del §10 y su calificación son por completo un artefacto de este protocolo, sostenido en el criterio del comité. No hay ninguna forma automática de que un evento centinela avise. El disparador 2 del §5 depende enteramente de que una persona lo reconozca al momento de registrar el caso.

4. No hay vista agregada que reúna las fuentes. Las quejas, las valoraciones y los incidentes de seguridad viven en paneles separados, sin una vista que los cruce por período. Las valoraciones, además, no tienen panel administrativo alguno (CAL-001, brecha 4). La preparación del material del paso 2 es, por lo tanto, un trabajo manual de recolección desde fuentes distintas — que es justamente donde se pierde la cobertura que C2 obliga a declarar.

5. La integridad de la bitácora de auditoría no se verifica de forma programada. La bitácora está encadenada, y esa cadena es lo que permitiría afirmar que los registros del período no fueron alterados. No existe proceso que compruebe periódicamente que la cadena está sana ni que avise si se rompe. La comprobación, si se hace, es manual y a petición. Un antecedente del ecosistema hace que esto no sea teórico: en el servicio de respaldo de evidencia, una cadena estuvo rota durante meses mientras el registro de entrada seguía creciendo, y nadie lo advirtió. Una revisión que afirme integridad sin haberla verificado afirma más de lo que sabe.

Lo que esto significa en la práctica. El protocolo es ejecutable hoy: el comité puede sesionar, revisar el material disponible y decidir, y ese ejercicio tiene valor. Lo que no puede afirmarse es que el material esté completo, que el sistema detecte los patrones, ni que un evento centinela vaya a avisar por sí solo. Con las brechas 1 a 3 abiertas, este protocolo depende de la disciplina del comité, no del sistema, y el acta debe decirlo mediante la declaración de cobertura del control C2.

Brecha observada en auditoría 2026-08-31

• 📡 Evento audit_scheduled declarado con anotación ‘declarado en el vocabulario; sin emisor operativo — ver §17’ — verificado por ausencia de call-sites en lib/ y app/ de dispensai/. La anotación inline del frontmatter (declarado en el vocabulario; sin emisor operativo — ver §17) anticipaba la brecha; esta auditoría la confirma con verificación de código.
• 📡 Evento audit_completed declarado con anotación ‘declarado en el vocabulario; sin emisor operativo’ — verificado por ausencia de call-sites en lib/ y app/ de dispensai/. La anotación inline del frontmatter (declarado en el vocabulario; sin emisor operativo) anticipaba la brecha; esta auditoría la confirma con verificación de código.

18. Historial de versiones

Versión	Fecha	Cambio	Autor
1.0	2026-08-29	Versión inicial, levantada con el harness de protocolos sobre el sistema real	Calidad
1.0+audit-2026-08-31	2026-08-31	Detectados gaps en auditoría: audit_scheduled, audit_completed. §17 actualizada para documentar la brecha con evidencia de código. Estado documental sin cambio.	Auditoría automática