Cuatro fases. Cada una termina en documentos aprobables.

Análisis documental, normativo y organizativo del centro: memorias, organigramas, cartera de servicios y normativa estatal y autonómica aplicable. Sobre nuestro modelo de tres capas —transversal, asistencial y departamental, con 104 conjuntos normativos catalogados para un centro tipo— se determina qué obliga exactamente a ese centro, y en qué estado de madurez se encuentra cada bloque de cumplimiento.

La validación no se hace en entrevistas que roban agendas: se hace mediante cuestionarios escritos por puesto, dirigidos a los responsables de cada área con preguntas cerradas sobre su realidad operativa. En nuestro último programa completo, catorce cuestionarios y 203 preguntas cubrieron la totalidad de las direcciones del centro sin interrumpir una sola consulta.

Identificación de los procesos jurídicamente sensibles del centro —nuestro modelo tipifica 31 para un hospital tipo— y valoración de cada uno: probabilidad e impacto, riesgo inherente y riesgo residual una vez considerados los controles que ya existen. El resultado se representa en matrices de calor y en perfiles de madurez por ámbito, y ordena el tratamiento en ondas: primero lo que más expone, después lo demás.

Diseño del sistema: órganos de gobernanza y su reparto de funciones, responsable de cumplimiento, controles y arquitectura documental — todo engarzado con la estructura real del centro, no duplicándola. Sobre el mapa de riesgos se redactan los protocolos operativos de la primera onda (los procesos de mayor exposición) y las fichas de medidas de control de las ondas siguientes. En nuestro último programa: ocho protocolos completos y veintitrés fichas de control, sobre materias como el consentimiento informado, los ingresos no voluntarios, las decisiones sobre pacientes menores, los accesos a la historia clínica electrónica, la seguridad de la información, la contratación menor o el canal interno de información.

Un programa que no se implanta es papel. Esta fase acompaña la puesta en marcha con instrumentos listos para firma y uso: modelos de resolución para los actos de aprobación, plan de implantación con su secuencia —incluido el cumplimiento de protección de datos del propio programa antes de activarlo—, cronograma con fechas ciertas, comunicación interna de lanzamiento, sesiones de arranque por colectivos profesionales y plantillas de verificación y evidencia. La formación se extiende a lo largo del primer año, y la evaluación inicial cierra el ciclo con indicadores de seguimiento.