Implementação do Oracle Cerner pela VA gera governança auditável

Resumo

A VA iniciou o programa de modernização do prontuário eletrônico de saúde em 2017 e concedeu um contrato à Cerner em maio de 2018. O primeiro local entrou em operação em outubro de 2020. Em 2023, cinco locais usavam o sistema, e a VA pausou novas implantações enquanto resolvia problemas de confiabilidade, fluxo de trabalho e usuários.
Relatórios do GAO documentaram descobertas de teste críticas ou de alta gravidade não resolvidas, problemas com dados migrados, medidas de satisfação fracas, grandes acúmulos de tickets e configurações, estimativas de ciclo de vida incompletas e recomendações que permaneceram abertas anos após o início do programa.
A reinicialização de abril de 2023 da VA foi uma decisão de governança: novas implantações aguardariam até que os locais existentes atendessem aos critérios de prontidão. Anúncios posteriores da VA descreveram melhorias no serviço e um plano para retomar a implantação em 2026, com a meta de concluir a implementação federal em 2031.
A responsabilização do fornecedor e a responsabilização da agência são relacionadas, mas não intercambiáveis. Oracle Health controla a engenharia da plataforma e o serviço contratado; a VA controla a política clínica, a prontidão do local, as prioridades de configuração, as evidências de aceitação, o financiamento e a decisão de implantar.
Um modelo de governança pronto para lançamento conectaria cada alegação de segurança ou operacional a um problema datado, proprietário responsável, impacto clínico, correção testada, validação do usuário, risco residual e gate de implantação. A atividade do programa e médias de melhoria não podem substituir essas evidências.

Esta foi uma decisão de modelo operacional clínico

Um prontuário eletrônico de saúde é frequentemente descrito como um banco de dados e uma interface. Em um sistema de saúde do tamanho da VA, ele se aproxima de um sistema operacional clínico. Ele determina como os médicos veem alergias, reconciliam medicamentos, inserem pedidos, encaminham resultados laboratoriais, documentam consultas, gerenciam encaminhamentos, dispensam prescrições e trocam informações com outros prestadores. Ele também estrutura o trabalho de agendadores, farmacêuticos, equipes de faturamento, administradores e funcionários de tecnologia.

Alterá-lo modifica a prestação de cuidados mesmo quando a política médica em si não mudou.

Isso torna o programa Federal de Prontuário Eletrônico de Saúde diferente de uma migração comum de software empresarial. Um relatório financeiro atrasado pode ser grave; uma alergia ausente ou difícil de encontrar, um fluxo de prescrição interrompido ou um pedido que chega na fila errada podem criar um risco clínico imediato. O padrão de governança correto não é, portanto, simplesmente se o aplicativo está online, dentro do orçamento ou instalado. O padrão é se todo o sistema sociotécnico suporta um trabalho seguro, inteligível e recuperável.

O programa também buscou interoperabilidade com o Departamento de Defesa. Um registro compartilhado prometia continuidade à medida que militares se tornavam veteranos e recebiam atendimento em instalações federais. Esse objetivo estratégico é importante, mas não anula a responsabilidade da VA de testar como uma plataforma padronizada se comporta em diferentes hospitais e clínicas. A interoperabilidade pode melhorar a continuidade das informações enquanto um fluxo de trabalho específico permanece difícil. A padronização pode reduzir a variação enquanto um defeito compartilhado aumenta a exposição de modo comum.

A responsabilização começa nomeando essas camadas. Oracle Health fornece e opera elementos importantes da plataforma sob contrato. A VA é responsável pela missão, pelas políticas clínicas, pela decisão de aceitação e pelas consequências para os veteranos. A equipe local traz conhecimento essencial do fluxo de trabalho, mas não pode redesenhar a arquitetura do fornecedor por conta própria. O Congresso financia e supervisiona o programa; o GAO e outros órgãos de supervisão avaliam as evidências. Os veteranos usam o serviço resultante, mas não controlam nenhum gate de implantação.

Tratar todos esses atores como um único “programa” esconde o controle prático necessário para corrigir um risco.

A linha do tempo é evidência, não contexto

A VA iniciou o esforço de modernização em 2017 e concedeu um contrato à Cerner em maio de 2018, com um valor máximo declarado de quase US$ 10 bilhões em dez anos. A primeira implantação ocorreu no VA Medical Center Mann-Grandstaff, em Spokane, Washington, em outubro de 2020. Outros locais se seguiram. Quando a VA anunciou uma reinicialização completa em abril de 2023, o sistema havia sido implantado em cinco instalações, e a agência disse que pausaria novos go-lives enquanto priorizava melhorias nesses locais.

A sequência importa porque cada implantação gerou mais evidências operacionais. Os primeiros locais não foram apenas marcos em um cronograma nacional. Eles foram testes de dados migrados, configuração, treinamento, capacidade de help desk, integração de farmácia, resposta a interrupções e adaptação do usuário. Um programa que trata esses sinais como inconveniência local perde o principal benefício da implantação em etapas. Um programa que os converte em gates nacionais de lançamento transforma a dificuldade inicial em aprendizado institucional.

A VA posteriormente implantou no Captain James A. Lovell Federal Health Care Center (VA-DoD) em 2024. Em dezembro de 2024, a agência anunciou o planejamento inicial para quatro locais em Michigan em meados de 2026. Em março de 2025, informou que nove locais adicionais se juntariam à sequência de 2026, totalizando treze implantações planejadas para aquele ano. A VA também identificou 2031 como a meta para concluir a implantação em toda a empresa.

Esses anúncios descrevem decisões e planos da agência, não a prova de que todas as condições estão satisfeitas. A revisão do GAO de dezembro de 2025 disse que a VA tinha um cronograma nominal, mas carecia de documentação de suporte suficiente e não tinha uma estimativa de custo do ciclo de vida completa e atualizada. Seu relatório também disse que dezesseis das dezoito recomendações em seu corpo de trabalho não haviam sido totalmente implementadas até aquele ponto. A tensão entre a ambição de um lançamento mais rápido e as evidências incompletas do programa é a questão central de governança para o reinício.

A partir de um FAQ da VA atualizado em julho de 2026, o registro federal estava operando em quatorze centros médicos da VA, cinquenta e cinco clínicas associadas e 116 locais remotos ou outros de serviço. Essa pegada operacional atual é significativa. Ela dá à VA mais evidências do mundo real do que tinha durante os primeiros go-lives. Também aumenta o custo de um defeito comum e o número de usuários cuja experiência deve ser medida. Escala é tanto progresso quanto exposição.

Testes tinham que provar consequência clínica, não conclusão de software

A revisão do GAO de 2021 examinou os testes da VA antes da primeira implantação. Relatou que a agência havia identificado descobertas críticas e de alta gravidade e recomendou adiar a implantação em novos locais até que tais descobertas fossem encerradas ou adiadas adequadamente. Essa recomendação captura uma distinção essencial: uma lista de defeitos não é uma decisão de prontidão.

Nem todo problema em aberto deve bloquear um local. Sistemas clínicos nunca estão livres de defeitos, solicitações de melhoria ou reclamações de usabilidade. A governança deve classificá-los por dano provável, população afetada, detectabilidade, confiabilidade de soluções alternativas e tempo de recuperação. Um problema cosmético pode ser aceito. Uma falha que pode esconder uma alergia, atrasar uma prescrição ou interromper a conclusão de um pedido requer um ônus de prova diferente. “Adiado” deve significar uma aceitação autorizada de risco com um proprietário e data de validade, não um rótulo que permite que o cronograma prossiga.

A cobertura do teste também deve refletir o trabalho real, não scripts ideais. Um caminho de entrada de pedidos tecnicamente válido pode falhar quando um médico está cobrindo outro serviço, quando um paciente tem registros de várias instalações, quando um farmacêutico precisa resolver uma medicação conflitante ou quando ocorre uma interrupção de rede no meio da tarefa. O teste deve incluir turnos noturnos, condições de emergência, encaminhamentos incomuns, períodos de alta demanda na farmácia, registros externos, correções e recuperação de interrupções.

Para cada descoberta grave, o registro de evidências deve mostrar o cenário original, o comportamento esperado, o resultado observado, a consequência clínica, a configuração afetada, o controle provisório, a versão da correção, o resultado da regressão e a validação do usuário local. Se os líderes não conseguirem reconstruir essa cadeia, não podem distinguir entre um risco permanentemente fechado e um ticket que desapareceu em uma nova categoria.

A decisão de implantação deve então ser tomada contra limites explícitos. Um local deve saber quais descobertas são bloqueadoras nacionalmente, quais exigem remediação local, quais podem ser monitoradas após o go-live e quem tem autoridade para interromper o lançamento. Uma data de cronograma deve ser o resultado das evidências de prontidão. Não deve se tornar a entrada que reclassifica os riscos até que a data pareça alcançável.

Migração de dados foi um controle de segurança do paciente

O trabalho do GAO em 2022 identificou problemas que afetavam informações migradas de alergia, medicação e imunização. Essa categoria de risco é fácil de subestimar porque os dados podem existir tecnicamente, mas permanecem incompletos, duplicados, codificados inconsistentemente ou difíceis de encontrar pelo médico. Disponibilidade na camada de armazenamento não é o mesmo que disponibilidade segura durante o atendimento.

A governança da migração começa com a proveniência. Um fato clínico deve reter sua fonte, data, status, autoridade e histórico de transformação. Se dois sistemas usam códigos ou regras de confiança diferentes, o mapeamento deve ser explícito. Se uma entrada de alergia antiga não pode ser convertida de forma confiável, precisa de um caminho de exceção visível, e não de omissão silenciosa. Se surgirem registros duplicados de medicamentos, o sistema deve ajudar um médico autorizado a reconciliá-los sem apagar a trilha de auditoria.

A responsabilidade é compartilhada, mas separável. Oracle Health controla as ferramentas de conversão e representações importantes da plataforma. A VA controla a qualidade dos dados de origem, definições clínicas, critérios de aceitação e a decisão de confiar no registro migrado. Os médicos locais podem identificar resultados surpreendentes, mas não devem ser os únicos responsáveis por descobrir falhas sistemáticas de conversão durante o atendimento ao vivo.

As evidências de prontidão para migração devem incluir integridade por domínio de dados, taxas de exceção, discrepâncias clinicamente significativas, tempo de reconciliação, populações não resolvidas e monitoramento pós-go-live. Um único status “migração concluída” esconde a distribuição que importa. O conselho e o Congresso precisam saber se a incerteza restante está concentrada em dados administrativos de baixo risco ou em informações usadas para diagnóstico e medicação.

Solicitações de configuração revelaram um problema de propriedade

Registros eletrônicos comerciais são fortemente configurados. Modelos, alertas, conjuntos de pedidos, funções, regras de roteamento, lógica de farmácia e visualizações de relatórios devem refletir a política clínica e as operações locais. A configuração não é, portanto, puramente trabalho do fornecedor nem uma coleção de preferências do usuário. É uma tradução controlada entre uma plataforma nacional e a prestação de cuidados.

O GAO relatou em março de 2025 que a VA e a Oracle haviam feito mais de 1.500 mudanças até junho de 2024, enquanto aproximadamente 1.800 solicitações de configuração permaneciam pendentes em fevereiro de 2025. Os números mostram atividade substancial e uma fila substancial. Nenhum dos números, isoladamente, mostra se o risco está diminuindo.

Um backlog de solicitações combina coisas diferentes: defeitos de segurança do paciente, requisitos regulatórios, correções de fluxo de trabalho, melhorias de usabilidade, preferências locais e solicitações duplicadas. A governança deve classificar e desduplicar a fila, conectar cada item a um proprietário clínico e expor o envelhecimento por consequência. Caso contrário, um programa pode comemorar o fechamento de muitas solicitações simples enquanto um conjunto menor de problemas de farmácia ou segurança permanece sem solução.

A padronização nacional cria uma tensão adicional. A VA está certa em evitar milhares de variantes locais não suportadas. Uma linha de base comum pode melhorar treinamento, atualizações, análises e portabilidade. Mas “padrão” não pode significar que um fluxo de trabalho projetado em torno das premissas de uma instalação seja imposto onde cria soluções inseguras. A variação deve exigir evidências, mas a própria linha de base deve permanecer questionável.

Um conselho de configuração maduro inclui especialistas em clínica, farmácia, enfermagem, informática, operações, segurança, acessibilidade e fornecedor. Ele registra por que uma solicitação foi aceita, rejeitada, mesclada ou adiada. Testa interações com outras configurações e publica a decisão em linguagem que as equipes locais possam usar. Mudanças de segurança emergenciais precisam de uma rota acelerada sem se tornarem um desvio descontrolado.

O principal controle é a rastreabilidade do problema relatado ao estado de produção. Para uma solicitação descrita como fechada, a VA deve poder mostrar os locais afetados, o design aprovado, a versão, os resultados dos testes, a data de implantação, a validação do usuário e o monitoramento. Se uma solução alternativa permanecer, deve ter um proprietário e um critério de descontinuação. Um backlog em queda só é útil quando o fechamento preserva essas evidências.

Risco de farmácia precisava de seu próprio gate de lançamento

A farmácia aparece repetidamente no registro público de supervisão porque os fluxos de trabalho de medicação combinam julgamento clínico, inventário, prescrição, verificação, dispensação e comunicação com o paciente. Um defeito pode atravessar várias equipes antes que seu efeito se torne visível. Isso torna a farmácia um gate de lançamento independente apropriado, em vez de uma corrente de trabalho dentro de uma pontuação de prontidão combinada.

O relatório do GAO de 2025 discutiu solicitações de configuração prioritárias relacionadas à segurança do paciente e farmácia e observou que itens importantes permaneciam não resolvidos nas datas que revisou. A leitura correta é datada e específica. Não prova que cada problema listado permaneceu em aberto posteriormente, e não deve ser convertido em uma alegação de que o sistema era uniformemente inseguro. Mostra que as evidências de fechamento para itens de alta consequência mereciam mais visibilidade do que uma declaração agregada de melhoria.

Um gate de farmácia deve testar casos de ponta a ponta: novas prescrições, renovações, descontinuações, alergias, interações, substituições, substâncias controladas, preenchimentos parciais, entrega pelos correios, transição de paciente internado para ambulatorial, prescrições externas e recuperação de interrupções. Deve incluir as filas e handoffs onde uma ação de tela aparentemente bem-sucedida pode falhar em produzir o trabalho downstream pretendido.

O gate também precisa de medidas de capacidade operacional. Um fluxo de trabalho pode estar tecnicamente correto, mas criar um backlog que atrasa o atendimento. A VA deve monitorar prescrições antigas, tarefas abandonadas, reentrada manual, volume de chamadas, horas extras, correção de erros e tempo para alcançar um farmacêutico. Essas medidas devem ser segmentadas por instalação e classe de risco; uma média corporativa pode esconder um local com dificuldades.

Médicos e farmacêuticos precisam de canais de denúncia protegidos. Se levantar um defeito é lento, repetitivo ou percebido como fútil, a contagem formal de tickets subestima o risco. Quase acidentes e soluções alternativas são evidências valiosas. Relatá-los não deve punir a pessoa que evitou o dano. Deve desencadear triagem, detecção de padrões e uma resposta visível ao denunciante.

Os níveis de serviço do fornecedor devem então se conectar ao impacto clínico. Percentuais de disponibilidade e tempos de resposta importam, mas um contrato deve distinguir um defeito cosmético de uma falha que interrompe o trabalho de medicação. Créditos sozinhos não restauram o cuidado. O objetivo da responsabilização é uma correção verificada, um processo provisório seguro e aprendizado que evita recorrências.

Tempo de atividade foi necessário e insuficiente

Audiências no Congresso examinaram a disponibilidade do sistema e a forma como VA e Oracle descreveram as interrupções. O registro contém perspectivas concorrentes sobre melhorias, interrupções e medição. Essas declarações devem ser atribuídas a suas testemunhas, não consolidadas em um fato incontestável. A lição de controle mais ampla é clara: a definição de tempo de atividade determina o que os líderes podem ver.

Uma plataforma pode estar acessível enquanto uma função crítica está degradada. Um médico pode fazer login, mas não conseguir recuperar um resultado, concluir um pedido ou usar um serviço de farmácia conectado. Por outro lado, uma janela de manutenção planejada pode diminuir uma porcentagem simples de tempo de atividade, mesmo quando a contingência clínica é bem controlada. Um número não pode representar todas as formas de disponibilidade.

A VA precisa de um mapa de serviços que vincule componentes técnicos a capacidades clínicas. Para cada incidente, o registro deve identificar hora de início, fonte de detecção, funções e locais afetados, efeito voltado ao paciente, solução alternativa, restauração, reconciliação de dados e risco de recorrência. A telemetria do fornecedor deve ser comparada com relatos de usuários e medidas operacionais locais. Discordância é um sinal para investigar a métrica, não uma razão para escolher o painel mais favorável.

Planos de continuidade devem ser testados, não apenas documentados. A equipe deve ensaiar como acessar informações essenciais, emitir pedidos, gerenciar medicamentos, registrar ações e reconciliar dados quando o sistema retornar. Fluxos de trabalho em papel ou offline podem proteger o cuidado por um curto período, mas criam riscos posteriores de transcrição e duplicação. A recuperação não está completa até que o trabalho adiado seja reconciliado.

O objetivo de disponibilidade mais forte é baseado em capacidade. Ele pergunta se uma instalação pode entregar serviços críticos definidos dentro de limites seguros durante uma falha de componente. Esse objetivo pode coexistir com tempo de atividade contratual, tempo médio de reparo e medidas de volume de incidentes. Juntos, eles mostram confiabilidade técnica, resiliência clínica e qualidade da recuperação.

Insatisfação do usuário foi uma evidência operacional

A revisão do GAO em 2023 destacou resultados de pesquisas de usuários excepcionalmente baixos em 2021 e 2022. Relatou que cerca de seis por cento dos entrevistados concordaram que o sistema permitia cuidados de alta qualidade e cerca de quatro por cento concordaram que permitia trabalhar de forma eficiente. O GAO também encontrou fragilidades nas metas de satisfação e na abordagem de medição da VA.

Esses resultados datados não devem ser retratados como um veredito permanente sobre o sistema. Os usuários podem aprender, o software pode melhorar e os fluxos de trabalho podem ser redesenhados. Os resultados foram, no entanto, evidências operacionais graves. Quando as pessoas responsáveis pelo cuidado rejeitam esmagadoramente proposições sobre qualidade e eficiência, a gerência deve investigar as causas antes de tratar a implantação como um problema padrão de adoção.

O sentimento do usuário precisa ser decomposto. Um médico pode não gostar de uma interface alterada, mas ainda concluir o trabalho com segurança. Outro pode relatar satisfação geral aceitável enquanto depende de uma solução alternativa arriscada. As pesquisas devem, portanto, ser vinculadas à conclusão de tarefas, carga de cliques, envelhecimento de filas, demanda de suporte, relatos de erros e estudos observacionais de fluxo de trabalho. Comentários de texto livre e entrevistas locais podem revelar por que uma pontuação mudou.

As metas importam porque definem o que é melhoria suficiente. Se a gerência relata apenas uma tendência de alta, uma mudança de uma linha de base muito baixa pode parecer bem-sucedida enquanto o desempenho permanece inaceitável. A VA deve publicar uma lógica de limite: quais medidas são informativas, quais exigem remediação e quais bloqueiam a próxima implantação.

O treinamento faz parte da resposta, mas não pode se tornar uma explicação universal. A dificuldade repetida do usuário pode refletir treinamento inadequado, configuração deficiente, um defeito da plataforma, pressão de pessoal ou um fluxo de trabalho desnecessariamente complexo. Atribuir todo problema a “resistência à mudança” transfere a responsabilidade do proprietário do sistema para as pessoas que absorvem seus custos.

Tickets de suporte precisavam se tornar evidência de aprendizado

Os tickets de suporte são o conjunto de dados operacionais mais rico do programa quando tratados como evidência, e não como volume de fila. Cada ticket pode identificar uma função, local, tarefa, configuração, versão e consequência afetados. Padrões revelam onde os fluxos de trabalho padrão falham no cuidado real.

O GAO encontrou desafios com o gerenciamento de tickets e o acúmulo de trabalho não resolvido. Contar tickets abertos e fechados não é suficiente. Fechamento duplicado, recategorização e resolução em massa podem melhorar um painel sem corrigir o problema subjacente. Um ticket vinculado a um problema de segurança do paciente não deve desaparecer quando é mesclado; sua linhagem de evidências deve sobreviver.

A triagem deve usar consequência clínica, frequência, exposição e qualidade da solução alternativa. Um problema raro com dano grave plausível pode superar um incômodo frequente. Um incômodo frequente ainda pode se tornar uma preocupação de segurança se produzir fadiga ou soluções alternativas. Decisões de prioridade devem ser revisáveis por proprietários clínicos, não determinadas apenas por rótulos de help desk.

Medidas de tempo devem distinguir confirmação, contenção, correção técnica, implantação em produção e fechamento verificado. Uma resposta rápida não significa que o risco está controlado. Se um procedimento temporário é necessário, o ticket deve nomear quem o comunicou, quais locais o adotaram e como a conformidade é monitorada.

A análise de causa raiz deve conectar eventos relacionados entre locais. O mesmo defeito subjacente pode aparecer como uma reclamação de farmácia, uma falha de roteamento de pedidos e uma discrepância de dados. Taxonomia compartilhada e telemetria da plataforma podem expor o mecanismo comum. Sem essa conexão, cada instalação gasta esforço redescobrindo um problema nacional.

O programa deve publicar uma visão limitada e segura para a privacidade do desempenho de problemas graves: novos itens, itens antigos, itens recorrentes, controles provisórios, fechamentos clinicamente validados e reaberturas. A transparência deve proteger informações sensíveis do sistema e do paciente, mas a confidencialidade não deve transformar todo o estado de risco em uma afirmação que estranhos não podem testar.

A reinicialização de 2023 foi um controle, não uma derrota

O anúncio de abril de 2023 da VA pausou novas implantações e disse que o programa se concentraria em melhorias nos cinco locais existentes. Estabeleceu que os lançamentos seriam retomados quando o sistema atendesse aos critérios de prontidão. Parar um cronograma nacional após evidências operacionais mostrarem problemas significativos foi um exercício de controle.

Uma reinicialização se torna crível apenas se mudar os direitos de decisão e as evidências. Renomear um programa, estender uma data ou criar mais comitês não repara um fluxo de trabalho. A VA precisava definir as condições para deixar a reinicialização, identificar quem poderia vetar um lançamento e mostrar como as descobertas dos locais existentes mudaram a linha de base nacional.

A agência posteriormente relatou melhorias no desempenho do serviço e na experiência do usuário. Essas alegações são indicadores úteis e devem ser consideradas juntamente com as evidências do GAO e do Congresso. Por serem relatadas pela agência, não devem ser tratadas como validação independente. A questão correta é se as definições subjacentes, períodos de tempo e populações são visíveis o suficiente para reproduzir a conclusão.

A reinicialização também criou uma comparação natural. A VA poderia medir as mesmas tarefas antes e depois de cada mudança nos locais existentes: processamento de medicamentos, conclusão de pedidos, envelhecimento de tickets, impacto de interrupções, resultados de pesquisas e carga de trabalho manual. Melhorias que persistem em locais e versões são evidências mais fortes do que um curto intervalo após suporte intensivo.

Há um risco de governança em manter os primeiros locais em um estado excepcional permanente. Equipe extra, atenção do fornecedor e soluções alternativas temporárias podem fazer o desempenho parecer sustentável, enquanto a replicação nacional exigiria recursos que não escalam. As evidências de saída devem, portanto, mostrar equipe normal, suporte de rotina e controles estáveis por um período significativo.

Chamar a pausa de fracasso ou chamar o reinício de sucesso são simplificações excessivas. A pausa protegeu locais futuros de exposição conhecida. O reinício é justificado quando as evidências mostram que os riscos foram reduzidos, assumidos ou conscientemente aceitos. Cada um é um ponto de decisão, não um veredito sobre todo o programa.

Reiniciar em 2026 elevou o ônus da prova

Os anúncios de dezembro de 2024 e março de 2025 da VA estabeleceram um caminho de implantação renovado: quatro instalações em Michigan seguidas por nove locais adicionais durante 2026, usando uma linha de base padronizada e trabalhando para a conclusão corporativa em 2031. A pegada atual relatada em julho de 2026 indica que a atividade de implantação foi retomada.

A aceleração pode ser racional. Uma pausa longa tem custos: sistemas legados exigem manutenção, os benefícios da interoperabilidade são adiados, a equipe se prepara repetidamente e o conhecimento do programa se degrada. Locais existentes também podem se beneficiar quando uma base de usuários mais ampla suporta mais padronização e investimento. A alternativa à implantação não é livre de riscos.

No entanto, um ritmo mais rápido comprime o tempo de aprendizado. Se vários locais forem lançados antes que os defeitos do primeiro sejam compreendidos, o programa amplifica a exposição. Equipes de treinamento, informatas clínicos, help desks e engenheiros do fornecedor podem se tornar gargalos. Um problema que era gerenciável com atenção intensiva em uma instalação pode se tornar sistêmico em muitas.

O reinício deve, portanto, usar ondas com condições de parada explícitas. Cada onda precisa de uma janela de estabilização, indicadores antecedentes, revisão independente e autoridade para atrasar o próximo grupo. A prontidão do local deve cobrir infraestrutura, dados, força de trabalho, fluxo de trabalho, continuidade e liderança local, enquanto a prontidão nacional deve cobrir capacidade da plataforma, suporte do fornecedor e defeitos comuns não resolvidos.

A linha de base padrão deve ter controle de versão. Os líderes devem saber exatamente qual configuração, interfaces, material de treinamento e problemas conhecidos cada local recebe. Mudanças feitas durante uma onda devem ser avaliadas para locais já ativos, bem como para locais futuros. Caso contrário, o “padrão” se fragmenta em versões não documentadas.

Relatórios públicos devem distinguir locais programados, tecnicamente ativados, clinicamente operacionais e estabilizados. Uma contagem de go-lives pode aumentar enquanto o suporte intensivo continua. A conclusão deve significar que o cuidado de rotina é suportado, problemas graves estão dentro dos limites, os dados são reconciliados e as equipes locais podem operar sem intervenção extraordinária.

Estimativas de custo e cronograma eram instrumentos de governança

O relatório do GAO de março de 2025 contrastou a antiga estimativa de ciclo de vida de US$ 16,1 bilhões da VA com uma estimativa independente de cerca de US$ 49,8 bilhões e disse que a VA ainda carecia de uma estimativa de custo de ciclo de vida e cronograma integrado atualizados e confiáveis. Os números não são diretamente intercambiáveis sem ler suas premissas, escopo e horizonte de tempo. Sua divergência é por si só um sinal de governança.

Uma estimativa de ciclo de vida força escolhas em um modelo: licenças, infraestrutura, interfaces, conversão de dados, treinamento, suporte à implantação, sustentação de sistemas legados, remediação, pessoal e operações. Se categorias importantes ou dependências de cronograma estiverem faltando, os tomadores de decisão não podem comparar aceleração com atraso nem entender o custo de controles temporários.

A estimativa deve incluir incerteza, em vez de um ponto único autoritativo. Ritmo de implantação, preços do fornecedor, aposentadoria de legados, demanda de configuração e complexidade do local podem alterar a faixa. O Congresso precisa ver quais premissas a impulsionam e como a experiência real as atualiza. Uma faixa ampla, mas honesta, é mais útil do que um número preciso desconectado do desempenho observado.

Um cronograma integrado é igualmente importante porque as tarefas de prontidão clínica dependem umas das outras. Os dados não podem ser validados antes que as regras de conversão estejam estáveis. O treinamento não pode ser finalizado antes que os fluxos de trabalho e as funções sejam conhecidos. Um local não pode ser lançado com segurança se as interfaces necessárias ou os exercícios de continuidade estiverem incompletos. Marcos devem ter predecessores lógicos e evidências, não apenas datas-alvo.

O trabalho do GAO em dezembro de 2025 disse que a VA tinha um cronograma de implantação nominal, mas carecia de documentação adequada que o sustentasse e ainda carecia da estimativa de custo atualizada. Essa constatação não deve ser lida como uma afirmação de que nenhum cronograma ocorreu. Significa que as evidências de supervisão pública não suportavam o grau de confiança necessário para um plano acelerado de vários anos.

A governança de custos também evita o raciocínio de custos irrecuperáveis. O dinheiro já gasto não pode justificar a aceitação de um risco futuro. Cada onda deve ser julgada com base no benefício clínico prospectivo, custo restante, alternativas e evidências de controle. Por outro lado, estouros não provam automaticamente que o cancelamento é mais seguro; um ambiente legado fragmentado tem seu próprio custo e risco.

Responsabilização contratual exigia resultados clínicos mensuráveis

O contrato da VA com a Cerner, agora operando como Oracle Health, criou deveres comerciais em torno da plataforma. Em maio de 2025, a VA anunciou que continuaria a parceria por mais um período de opção sob uma estrutura que permite revisão anual. Uma decisão de opção é uma das alavancas de responsabilização mais fortes da agência.

Os níveis de serviço de tecnologia tradicionais focam em tempo de atividade, tempo de resposta e gravidade do defeito. Essas medidas são necessárias, mas o contrato deve conectá-las às capacidades que a VA deve entregar. Uma interrupção que interrompe o serviço de farmácia, uma falha de interface que atrasa resultados e um defeito cosmético de tela não devem produzir a mesma consequência apenas porque compartilham uma duração.

As medidas devem ser resistentes a jogos de definição. VA e Oracle precisam de relógios acordados, limites de evento, contagens de usuários afetados, regras de exclusão e fontes de dados. Quando as medições diferirem, a discrepância deve ser retida e resolvida. Um contrato que permite que uma parte defina tanto o desempenho quanto as exceções não pode fornecer evidências independentes.

Remédios financeiros têm limites. Créditos de serviço podem reconhecer desempenho ruim, mas não compensam um veterano por cuidado atrasado nem restauram a equipe exausta. O remédio principal deve ser contenção, reparo, validação e prevenção. Consequências escalonadas podem apoiar esse objetivo quando falhas repetidas mostram que os incentivos comuns são insuficientes.

A VA também deve assumir seu lado da dependência. O fornecedor não pode decidir a política clínica nacional, resolver toda disputa local de fluxo de trabalho, reparar a qualidade dos dados de origem sozinho ou aceitar risco pela agência. Um contrato não pode terceirizar a missão legal. Quando as responsabilidades se sobrepõem, o registro de problemas deve separar defeito do fornecedor, configuração da VA, dados de origem, processo local e integração conjunta, em vez de atribuir culpa antes da análise.

As evidências do ano de opção devem incluir itens graves não resolvidos, incidentes repetidos, qualidade da entrega, compromissos de pessoal, throughput de configuração, obrigações de segurança, custo, risco de transição e desempenho clínico validado independentemente. Continuar o contrato pode ser a escolha responsável, especialmente dado o custo de troca. A responsabilização está em fazer essa escolha com base em evidências visíveis, não em fingir que o lock-in remove a alavancagem da agência.

Lock-in mudou a forma do dever

Uma vez que dados clínicos, interfaces, fluxos de trabalho, treinamento e operações dependem de uma plataforma, a substituição se torna cara e disruptiva. Esse lock-in não é exclusivo da Oracle ou da VA. É uma propriedade estrutural de grandes prontuários eletrônicos de saúde. Isso muda o que a governança prudente deve preservar.

A VA precisa de acesso utilizável aos seus dados, histórico de configuração, especificações de interface, logs de auditoria e evidências de teste. Precisa de direitos de continuidade se o relacionamento com o fornecedor mudar, e de uma capacidade crível de operar durante disputas ou transições. O objetivo não é manter um fornecedor perfeitamente intercambiável a todo momento. É evitar que a dependência se torne incapacidade de verificar ou agir.

Decisões de arquitetura devem identificar quais capacidades são portáveis, quais são proprietárias e quais exigem longos períodos de transição. A exportação de dados deve ser testada quanto à integridade e semântica, não apenas prometida contratualmente. Interfaces críticas devem ter proprietários documentados e procedimentos de recuperação. O pessoal da VA deve reter conhecimento técnico e clínico suficiente para desafiar explicações do fornecedor.

O lock-in também aumenta a importância da customização disciplinada. Divergência excessiva pode dificultar atualizações e aprofundar a dependência de suporte especializado. Adaptação muito pequena pode forçar soluções alternativas locais inseguras. O equilíbrio responsável é um padrão controlado com variação justificada, dívida transparente e um plano para eliminar desvios temporários.

Ameaças de troca não são um substituto para o gerenciamento de desempenho. Uma substituição repentina poderia expor os veteranos a um risco maior do que continuar e melhorar o sistema atual. A alavancagem da VA inclui períodos de opção, estrutura de pagamento, critérios de aceitação, transparência, escalonamento executivo, concorrência para serviços periféricos e a capacidade de exigir evidências específicas.

A questão no nível do conselho não é, portanto, “A VA pode sair amanhã?” É “A VA pode verificar o desempenho, proteger o cuidado, preservar suas informações e escolher entre caminhos realistas sem que o fornecedor controle os fatos?” Isso é soberania operacional dentro de uma parceria de longo prazo.

Análise independente foi um contrapeso ausente

O relatório do GAO de 2023 recomendou uma avaliação operacional independente. A independência importa porque os escritórios de programa são recompensados pela entrega, os fornecedores são recompensados pelo desempenho do contrato e os líderes locais podem sentir pressão para apoiar uma decisão corporativa. Nenhuma dessas perspectivas é automaticamente não confiável, mas cada uma tem incentivos que um design de revisão deve reconhecer.

Uma avaliação independente deve observar fluxos de trabalho reais, inspecionar problemas graves, amostrar dados, testar continuidade, comparar métricas com evidências brutas e falar confidencialmente com usuários. Não deve apenas revisar os mesmos painéis usados pela liderança do programa. Seu escopo e amostragem devem ser publicados o suficiente para tornar as conclusões interpretáveis.

Independência não significa distância da expertise clínica. Os revisores precisam de médicos, enfermeiros, farmacêuticos, especialistas em informática, segurança, engenharia, segurança digital e profissionais de controle de programa. Uma auditoria puramente técnica pode perder a consequência clínica; uma revisão puramente clínica pode perder modos de falha em toda a plataforma.

A avaliação deve relatar tanto as condições quanto os limites. Uma amostra de vários locais não pode provar que toda instalação está pronta. Um exercício bem-sucedido não pode garantir o desempenho futuro. Mas evidências independentes estruturadas podem mostrar se as alegações da gerência são razoáveis, se os riscos graves são classificados consistentemente e se o processo de lançamento pode parar por si só.

A VA pode reter a autoridade final enquanto se compromete a responder publicamente às recomendações. Se aceitar um risco que os revisores consideram bloqueador, deve identificar o executivo responsável, a justificativa, o controle provisório e a data de reavaliação. Isso não é fraqueza; é governança visível.

A revisão independente é particularmente importante antes da aceleração. Quando um programa passou anos lidando com problemas conhecidos, a familiaridade pode normalizar o risco residual. Uma equipe nova pode perguntar se uma solução alternativa se tornou silenciosamente permanente, se uma métrica perdeu o significado ou se a linha de base ainda reflete o trabalho clínico atual.

A responsabilidade seguiu o controle prático

A alta liderança da VA controlava os objetivos do programa, solicitações de financiamento, política de prontidão, aceitação de risco, opções de contrato e a decisão de retomar a implantação. Portanto, tinha o dever corporativo de provar que o sistema suportava cuidados seguros. Esse dever não exigia que os líderes configurassem conjuntos de pedidos individuais, mas exigia que exigissem evidências confiáveis daqueles que o faziam.

O escritório do programa da VA controlava o planejamento integrado, a governança de problemas, a medição, a coordenação da implantação e grande parte do relacionamento com a Oracle. A liderança clínica controlava a política nacional e a aceitação dos fluxos de trabalho clínicos. Os líderes locais controlavam a preparação local, a equipe, o treinamento e o escalonamento dentro das restrições do sistema nacional.

Oracle Health controlava a engenharia contratada da plataforma, hospedagem ou componentes de serviço, remediação de defeitos, entrega de configuração e evidências especificadas no acordo. O registro público não suporta atribuir cada problema de fluxo de trabalho a um defeito do fornecedor. Alguns problemas surgem das escolhas da VA, dados de origem, integração ou processo local. Causa compartilhada deve produzir um plano corretivo conjunto com tarefas separadas.

Médicos, farmacêuticos e equipe de suporte da linha de frente controlavam suas ações imediatas e relatórios. Não controlavam a arquitetura nacional, a capacidade do fornecedor ou as datas de implantação. Soluções alternativas que preservam o cuidado são evidência de resiliência profissional, não prova de que o sistema é aceitável. A gerência deve evitar converter a adaptação do usuário em um subsídio invisível para design ruim.

O GAO e outros órgãos de supervisão controlavam a avaliação independente e as recomendações. O Congresso controlava as dotações, audiências e supervisão legal. Nenhum deles operava o registro. Os veteranos não controlavam nem a plataforma nem o programa; sua responsabilidade nunca deve ser enquadrada como aprender a tolerar um serviço difícil.

A responsabilidade deve ser registrada no nível de cada risco. “VA e Oracle estão trabalhando juntos” é uma declaração de relacionamento, não um plano responsável. Todo problema grave precisa de um proprietário de decisão, proprietários de entrega nomeados, datas, evidências e uma regra para escalonamento.

O registro compartilhado também exige propriedade coordenada de segurança cibernética entre VA, Defesa, Oracle e serviços federais conectados. A revisão do GAO de junho de 2026 pediu metas, papéis e medidas de desempenho interagências mais claros; não identificou uma violação específica de EHR. A implicação de governança é limitada: um incidente conjunto ou risco de interface precisa de um líder responsável único, evidências acordadas e recuperação testada, em vez de garantias paralelas de cada organização.

O pacote de evidências pronto para o conselho

Um conselho, secretário ou comitê do Congresso não pode revisar milhares de tickets. Pode exigir um pacote de evidências compacto que preserve a distribuição de risco. A primeira camada deve descrever a capacidade clínica: medicação, pedidos, resultados, documentação, encaminhamentos, agendamento, troca de dados e recuperação de interrupções.

Para cada capacidade, o pacote deve mostrar riscos graves em aberto, incidentes recentes, locais afetados, tendência, controles provisórios e fechamentos validados. Deve distinguir disponibilidade técnica de conclusão clínica bem-sucedida. Médias devem ser acompanhadas de visualizações do pior local e da população de alto risco.

A segunda camada deve cobrir dados. Deve relatar completude da migração, discrepâncias clinicamente significativas, envelhecimento de exceções, reconciliação, linhagem e correções pós-go-live. Limites de privacidade do paciente limitam o detalhe público, mas a garantia interna deve ser capaz de rastrear um fato amostrado da fonte até a exibição do médico.

A terceira camada deve cobrir pessoas e trabalho. Resultados de pesquisas, taxas de resposta, tempo de tarefa, conclusão de treinamento, volume de suporte, horas extras, rotatividade e prevalência de soluções alternativas mostram se a plataforma está impondo uma carga insustentável. Tendência positiva deve ser testada entre funções e locais.

A quarta camada deve cobrir o controle do fornecedor e do programa: níveis de serviço, defeitos repetidos, throughput de configuração por risco, faixa de custo, confiança no cronograma integrado, status de recomendações e decisões contratuais. Toda definição alterada deve ser divulgada.

Finalmente, o pacote deve conter uma decisão de lançamento. Deve declarar quais critérios foram atendidos, quais não, quais riscos foram aceitos, quem os aceitou e o que desencadearia uma parada. As evidências devem ser datadas e retidas para que revisores posteriores possam saber o que os líderes sabiam na época. Isso protege tanto os veteranos quanto os tomadores de decisão responsáveis.

Como seria um gate de site crível

Noventa dias antes do go-live, o site deve congelar seu inventário crítico de fluxos de trabalho e identificar variações nacionais e locais. Ensaios de conversão de dados devem quantificar exceções. Infraestrutura e interfaces devem passar por testes de carga e falha. Os planos de pessoal e treinamento devem incluir substituição, cobertura de superusuários e demanda pós-lançamento.

Trinta dias antes do go-live, todos os problemas bloqueadores nacionalmente devem ser fechados com evidências. Itens graves locais devem ser fechados ou explicitamente aceitos por um executivo clínico autorizado com um controle provisório testado. O site deve concluir exercícios de interrupção e recuperação. Pesquisas com usuários devem testar a confiança em tarefas definidas, não entusiasmo geral.

No gate final, uma equipe independente deve amostrar as evidências e observar cenários de alto risco. O fórum de decisão deve incluir líderes clínicos, de farmácia, operações, tecnologia, segurança, dados e fornecedor. Qualquer pessoa responsável por um domínio bloqueador deve poder solicitar atraso sem penalidade de carreira.

Durante o lançamento, a VA deve monitorar medidas de capacidade em tempo quase real: envelhecimento de prescrições, pedidos abandonados, filas de interface, entrega de resultados, solicitações de ajuda, soluções alternativas e eventos de continuidade. Um centro de comando deve registrar decisões e preservar a linhagem do problema, em vez de resolver problemas apenas por chat transitório.

Após o lançamento, os critérios de estabilização devem determinar quando o suporte extraordinário pode sair. Um local não está completo porque a troca ocorreu. Está completo quando os riscos graves permanecem dentro do limite, a reconciliação está concluída, a equipe local pode operar de forma sustentável e os proprietários nacionais incorporaram as lições na próxima linha de base.

A próxima onda não deve começar automaticamente. A liderança do programa deve revisar as evidências da onda anterior e confirmar explicitamente que a capacidade permanece suficiente. Esse ciclo de feedback curto é o controle que transforma a implantação em etapas em aprendizado.

O que permanece desconhecido

Os relatórios públicos não expõem todos os eventos de segurança do paciente, solicitações de configuração, logs de incidentes, medidas contratuais ou aceitações internas de risco. Informações confidenciais de saúde, segurança, comerciais e de supervisão limitam adequadamente a divulgação. A ausência de detalhes públicos não é prova de que um controle está ausente.

O registro disponível também não permite uma alocação causal limpa de cada problema entre software do fornecedor, configuração da VA, dados migrados, infraestrutura, treinamento, pessoal e fluxo de trabalho local. Esses fatores interagem. Atribuir toda dificuldade à Oracle ou toda dificuldade à VA iria além das evidências.

Declarações da agência descrevem melhoria durante a reinicialização, enquanto relatórios de supervisão documentam lacunas contínuas em datas específicas. Ambos podem ser verdadeiros. O desempenho pode melhorar enquanto recomendações importantes permanecem abertas. Uma média nacional pode subir enquanto uma capacidade ou local permanece fraco.

A pegada de julho de 2026 é atual até a página da VA citada, não uma garantia sobre o estado de estabilização de cada local. A data de 2031 é uma meta, não um cronograma integrado concluído. Os números de custo usam diferentes escopos e premissas e não devem ser subtraídos como se fossem faturas comparáveis.

Nenhuma fonte pública no conjunto congelado apoia a afirmação de que o programa causou uma morte específica, que todo local implantado é inseguro, que a Oracle sozinha controla a prontidão clínica ou que a reinicialização resolveu todos os problemas significativos. Essas alegações estão excluídas.

A conclusão é mais estreita e mais forte: a VA acumulou evidências suficientes para saber que a implantação de EHR é uma decisão de governança clínica. Sua próxima fase será crível na medida em que preservar as lições da pausa em gates mensuráveis, revisão independente e responsabilidade vinculada ao controle prático.

Implementação do Oracle Cerner pela VA transforma governança do sistema clínico em teste auditável de responsabilização