#BusinessContinuity en servicios de salud #Healthcare - Parte III: Programa de pruebas y ejercicios

Según la JCAHO (Joint Commission on the Accreditation of Healthcare Organizations), se requiere que los proveedores de salud realicen simulacros de desastres internos y externos centrados en la atención de los pacientes. Estas pruebas forman parte de la respuesta ante emergencias dentro del plan de continuidad, e incluyen ejercicios para departamentos o unidades específicas (tales como la Sala de Emergencias, la Sala de Operaciones o los consultorios clínicos), el uso de energía eléctrica de contingencia y las luces de emergencia, pruebas del árbol de llamadas, y la adquisición de alimentos y agua.

Una prueba aparte debe hacerse sobre los sistemas de tecnología de la información (TI), es decir, una prueba de recuperación de desastres de TI (disaster recovery plan). Esta incluye los procedimientos de copias de seguridad (backups), los servicios móviles (datos/voz) y la habilitación de servidores y equipamiento de la infraestructura informática. Durante la prueba, los usuarios deben acceder a los sistemas restaurados de forma remota, para asegurarse que puedan operarlos a un nivel aceptable. Restaurar el sistema de Farmacia en un sitio de contingencia no servirá de mucho si el personal de Admisiones no puede acceder a el para llevar a cabo sus actividades clave durante un desastre. Este tipo de validaciones de accesibilidad son un requisito que el HIPAA (Health Insurance Portability and Accountability Act) considera como "auditables", es decir que la institución tiene que llevar a cabo estas pruebas o sustentar una razón para no realizarlas. Casi todos los proveedores de salud, aseguradoras, o financiadoras de servicios de salud deben realizar pruebas de recuperación de TI ante desastres.

Por último, la organización debería realizar un ejercicio integral que incluya tanto la respuesta a la emergencia, como la recuperación de desastres de TI. Al igual que con todas las pruebas, las organizaciones deberán canalizar las lecciones aprendidas para enriquecer y afinar el plan de continuidad del negocio para un ciclo de pruebas. La respuesta a emergencias debe probarse trimestralmente, mientras que los planes de recuperación de desastres de TI, anualmente. Estos ejercicios deben realizarse a nivel local/táctico, así como al más alto nivel, a nivel estratégico.

Ver los demás posts de la serie:
* Parte I: Enfoque para la planificación de continuidad
* Parte II: ¿Un plan aparte para la gripe aviar?
* Parte III: Programa de pruebas y ejercicios
* Parte IV: Desde dónde supervisar el plan de continuidad
* Parte V: La dependencia de los sistemas de información
* Parte VI: Indisponibilidad de TI
* Parte VII: Falta de historias clínicas en situaciones de emergencia
* Parte VIII: Cuán crítica es la interrupción de la atención de emergencias

Fuente:

Protiviti. (2006). Guide to Business Continuity Management: Frequently Asked Questions (2da edición). p.41-44.