Interoperabilidade em saúde: fontes de verdade, incidentes e rastreabilidade
Defina fontes de verdade, acompanhe falhas entre sistemas e organize incidentes com rastreabilidade, indicadores e um exemplo sem dados clínicos identificáveis.
Redação Tervali6 min de leitura5 fontes
Imagem ilustrativa gerada para este conteúdo.
O PONTO DE PARTIDA
A interoperabilidade depende de regras sobre quem mantém cada informação, como as mudanças circulam e quem resolve divergências. Integrações precisam de confirmação de processamento, rastreabilidade e contingência, além de conexão técnica entre aplicações.
Um cadastro corrigido no prontuário pode continuar desatualizado no laboratório. Uma alteração de prescrição pode chegar à farmácia sem aparecer na etapa seguinte. Uma orientação pode ser registrada como enviada sem que a pessoa a tenha compreendido. Esses problemas mostram por que conectar sistemas exige acompanhar o processo até seu resultado operacional.
Este roteiro aborda fontes de verdade, contratos de integração, incidentes e rastreabilidade sem apresentar dados clínicos identificáveis. As situações são genéricas e o gráfico usa dados simulados. O Ministério da Saúde define a RNDS como infraestrutura nacional para compartilhamento padronizado de informações em saúde. Essa iniciativa é uma referência de interoperabilidade, mas o funcionamento dos fluxos internos continua exigindo desenho e responsabilidades locais. [1]
Defina fontes de verdade por domínio de informação
Uma fonte de verdade é o sistema autorizado a manter determinado conjunto de informações, com responsável e regra de correção. A organização pode escolher um cadastro institucional para identificadores, a farmácia para movimentos de estoque e um registro próprio para incidentes. Essa distribuição é uma proposta de arquitetura operacional. Deve ser confirmada com os donos dos processos, sem pressupor que uma aplicação seja soberana sobre todos os dados.
Para cada domínio, registre quem cria, quem consulta, quem pode corrigir e como a alteração chega aos consumidores. Quando dois sistemas discordarem, a regra deve indicar onde investigar e qual responsável decide. Não resolva conflitos escolhendo sempre o registro que chegou por último: uma mensagem antiga pode ter ficado retida. Mantenha a versão e o instante do acontecimento separados do instante de recebimento.
Faça um contrato de integração que inclua o significado
Descreva o evento que inicia a troca, campos indispensáveis, identificadores, unidades, terminologias, estados possíveis e confirmação esperada. Acrescente versão, destino, responsável e tratamento de incompatibilidades. Uma mensagem tecnicamente bem formada ainda pode carregar um código com significado diferente do esperado. Por isso, o aceite precisa verificar conteúdo e efeito no processo, além do formato recebido.
Para evitar duplicações, uma proposta é atribuir chave estável ao evento e tornar o processamento repetido incapaz de gerar uma segunda movimentação indevida. Defina também tratamento de mensagens fora de ordem e número limitado de novas tentativas. Falhas persistentes devem ir para uma fila de análise com responsável. Essas decisões são recomendações de projeto; dependem das capacidades dos sistemas e não descrevem uma funcionalidade universal dos fornecedores.
LEIA O PROCESSO EM NÚMEROS
Estado final de um lote de integração fictício
Lote simulado de 1.000 eventos únicos no instante de corte. Categorias exclusivas: 950 concluídos na primeira tentativa, 30 após nova tentativa e 20 pendentes. Total confirmado: 980 eventos, ou 98%.
EXEMPLO DIDÁTICO · DADOS SIMULADOSExemplo didático, dados simulados; não representa uma instituição real.
Comparação por eventos únicosAltere os valores para explorar um cenário.
Acompanhe o fluxo de medicamentos até a etapa correta
No fluxo de medicamentos, diferencie prescrição registrada, versão alterada, dispensação e administração documentada. Um estado não comprova o seguinte. A integração deve permitir detectar quando uma revisão não foi propagada e encaminhar a divergência à equipe autorizada. A decisão clínica permanece com os profissionais responsáveis; o mecanismo de integração não deve reinterpretar ou completar uma prescrição para contornar uma falha técnica.
Antes de implantar, ensaie uma alteração seguida de cancelamento, indisponibilidade de um sistema e reenvio do mesmo evento. Use registros sintéticos em ambiente de teste. Defina como a equipe trabalha durante a contingência e como os registros serão reconciliados depois. A volta da conexão não basta: é necessário conferir se a sequência correta foi recuperada e se existem pendências com possível impacto na assistência.
Separe origem da informação e histórico de acesso
A especificação HL7 FHIR R4 descreve Provenance para registrar o contexto de criação ou revisão de um recurso e os agentes envolvidos. Esse recurso ajuda a investigar de onde veio uma informação. [3] Já AuditEvent tem como finalidade principal o registro de eventos para auditoria de segurança, incluindo atividades de uso dos sistemas. [4] São referências conceituais distintas e não exigências automáticas para qualquer integração interna.
Em uma trilha operacional, proponha guardar identificador do evento, sistema emissor, versão, horário, resultado e identificador de correlação. Preserve falhas e correções com controle de acesso, evitando apagar o histórico para fazer o painel parecer regular. Metadados também podem identificar pessoas ou permitir associação indireta. Por isso, restringir o conteúdo clínico não dispensa proteção, política de retenção e análise do que realmente precisa ser registrado.
Conecte o registro de incidentes à investigação e ao retorno
Uma falha de integração pode ser apenas uma ocorrência técnica ou participar de um incidente assistencial. A classificação precisa de avaliação do processo, com participação das áreas responsáveis e do Núcleo de Segurança do Paciente quando pertinente. O formulário inicial pode capturar contexto mínimo e permitir complementação posterior, para reduzir esforço sem prejudicar a investigação. Vincule o chamado técnico ao registro de segurança por referência controlada, evitando cópias desnecessárias.
A Anvisa mantém orientações de notificação, tutoriais e comunicados de atualização do módulo Assistência à Saúde do Notivisa. [5] O fluxo interno deve apoiar a avaliação e a notificação aplicável, preservando as responsabilidades institucionais. Não presuma que registrar um chamado ou integrar uma ferramenta já efetue a comunicação ao órgão. Feche o ciclo com ação corretiva, responsável, verificação e retorno à equipe que relatou o problema.
Diferencie comunicação enviada, entregue e compreendida
Para orientações a pacientes e familiares, separe elaboração, revisão, envio, entrega e confirmação de entendimento. Esses estados respondem a perguntas diferentes. Um canal pode confirmar entrega sem demonstrar que a orientação estava atualizada ou que o destinatário estava autorizado. Defina qual versão está válida e quem pode revisá-la. Mantenha canais institucionais e uma alternativa quando houver barreiras de acesso ou compreensão.
A LGPD classifica informações referentes à saúde como dados pessoais sensíveis e estabelece princípios como finalidade, necessidade e segurança. [2] No desenho proposto, use somente os dados pertinentes à finalidade, com acesso conforme função e avaliação institucional da hipótese legal aplicável. Trocar nomes por códigos não garante anonimização. Para painéis amplos, prefira agregados com avaliação de risco de reidentificação; para testes e demonstrações, utilize dados sintéticos.
Meça o desfecho da integração e teste a recuperação
No exemplo didático do gráfico, um lote fictício tem mil eventos: 950 processados com sucesso na primeira tentativa, 30 processados após nova tentativa e 20 pendentes no fechamento. As categorias são mutuamente exclusivas. O recebimento pode ter ocorrido para todos, mas apenas 980 tiveram processamento confirmado. O percentual de conclusão é 98%, com 2% ainda pendentes. Esses valores não representam desempenho real nem uma meta recomendada.
Além do percentual, acompanhe a idade da pendência mais antiga e o tempo de propagação. Eventos concluídos não revelam sozinhos o tamanho do atraso dos que continuam presos. Comece por um fluxo delimitado, com dono operacional e suporte técnico identificados. O aceite deve incluir falha, recuperação, reconciliação e demonstração do estado final no destino. Só então amplie o escopo, mantendo critérios de interrupção quando houver risco ao processo.
DA LEITURA À PRÁTICA
Checklist para discutir com a equipe
Marque os pontos que já estão definidos. Use o restante como pauta de trabalho.
O QUE ACOMPANHAR
Indicadores com definição clara
Conclusão do processamento por lote
100 × eventos únicos com processamento de negócio confirmado até o corte / eventos únicos elegíveis emitidos no lote.
Definir elegibilidade, instante de corte e confirmação. Resposta de transporte não comprova conclusão do processo.
Tempo de propagação P95
Percentil 95 do tempo entre emissão e processamento confirmado, para eventos concluídos da coorte definida; unidade: segundos ou minutos.
Informar método de percentil, sincronização dos relógios e eventos pendentes. Uma coorte só de concluídos pode ocultar falhas persistentes.
Pendências no fechamento
100 × eventos únicos elegíveis sem confirmação final no corte / eventos únicos elegíveis do lote.
Exibir quantidade absoluta, idade e criticidade. Definir regras separadas para cancelamentos e rejeições finais.
Ações corretivas verificadas
100 × ações com prazo no período e eficácia verificada / ações com prazo no período, segundo critérios definidos pelo responsável do processo.
Encerrar um chamado não demonstra eficácia. Esse indicador não substitui análise de segurança ou obrigações de notificação.
PERGUNTAS FREQUENTES
Dúvidas sobre o tema
Usar FHIR resolve qualquer divergência entre sistemas?
Não. Um padrão organiza a representação e a troca, mas ainda é preciso definir significado, versões, identificadores, responsabilidades e confirmação do processamento no fluxo local.
Um chamado técnico substitui a notificação de incidente?
Não. O chamado e o registro de segurança têm finalidades diferentes. A instituição precisa avaliar a ocorrência e seguir as orientações e responsabilidades de notificação aplicáveis. [5]
Podemos copiar dados reais para testar uma integração?
Este roteiro recomenda dados sintéticos. O tratamento de dados reais exige avaliação institucional de finalidade, hipótese legal, necessidade e medidas de proteção, especialmente para dados de saúde. [2]
Fontes e referências
Fontes primárias usadas na produção do conteúdo. As recomendações de implantação devem ser adaptadas e validadas pela instituição.
Papel da RNDS como infraestrutura nacional de interoperabilidade e compartilhamento padronizado; não comprova integrações locais ou disponibilidade de recursos específicos.
Texto oficial consultado: artigo 5º, II, dados de saúde como sensíveis; artigo 6º, princípios de finalidade, necessidade e segurança. Não constitui análise jurídica individual.
Orientações, tutoriais e comunicados de atualização do módulo Assistência à Saúde do Notivisa. O artigo não pressupõe API de notificação nem define prazos regulatórios.
Conteúdo educativo de gestão e tecnologia. Não substitui avaliação profissional, normas vigentes ou protocolos assistenciais. Não apresenta resultados de clientes nem validação clínica do Caremap.