VA e Oracle Health transformaram falhas do reset do EHR em um teste de responsabilidade pela segurança do paciente

Resumo

• A VA não pausou uma instalação de rotina de software em abril de 2023. Ela interrompeu a maioria das implantações futuras depois que clínicos e veteranos relataram que o novo EHR não estava atendendo às expectativas. Naquela época, registros formais já haviam vinculado o sistema a pedidos clínicos perdidos, problemas com dados de medicação e alergias, falhas de agendamento, incidentes repetidos de desempenho, soluções alternativas e baixa satisfação do usuário.
• O registro independente de incidentes mais forte é aauditoria de setembro de 2024 do Escritório do Inspetor Geral da VA. Ela contou 826 incidentes graves de desempenho pelos quais a VA ou a Oracle Health eram responsáveis, de 24 de outubro de 2020 a 31 de março de 2024, com um total acumulado de 1.909 horas e 26 minutos em que o sistema foi afetado. Esses números não representam uma contagem de pacientes prejudicados e nem todos os incidentes foram interrupções completas. Eles estabelecem a escala, a duração e a necessidade de um controle disciplinado de incidentes.
• As evidências confirmadas de segurança do paciente são mais específicas. Arevisão da fila desconhecida do OIGdescobriu que milhares de pedidos foram para um local indetectável e que as revisões da VHA identificaram 149 eventos de danos a pacientes. Umainspeção de agendamento separada do OIGconstatou que um erro do EHR impediu que uma consulta de saúde mental perdida chegasse a uma fila e, juntamente com cuidados inadequados, contribuiu para a morte de um paciente. O erro do sistema foi um dos contribuintes, não a única causa.
• A VA e a Oracle Health têm evidências de reparo. A VA renegociou o contrato em períodos de opção anuais, introduziu limites de desempenho e possíveis créditos em faturas, relatou melhorias sustentadas de confiabilidade, fechou a maioria das recomendações na auditoria de grandes incidentes e retomou as implantações em oito centros médicos em Michigan, Ohio e Kentucky durante abril e junho de 2026.
• O reparo ainda não equivale ao encerramento. Um registro de prontidão de dezembro de 2025 do GAO disse que a VA não havia implementado totalmente 16 das 18 recomendações anteriores do GAO. Em 15 de julho de 2026, duas das nove recomendações da auditoria de grandes incidentes do OIG permaneciam em aberto, incluindo o compartilhamento de dados de incidentes em tempo real e métricas eficazes de notificação e resolução que se aplicam independentemente do proprietário do incidente. O registro público citado aqui também ainda não contém uma avaliação independente e longitudinal da segurança do paciente dos oito locais de implantação de 2026.
• Portanto, a responsabilidade duradoura exige mais do que tempo de atividade e um fim de semana de transição bem-sucedido. Exige vínculos auditáveis de cada incidente significativo a efeitos clínicos, proprietários de controle nomeados, procedimentos testados de inatividade e reconciliação, remédios aplicáveis do fornecedor, resultados de usuários e pacientes, verificação independente e divulgação pública do que permanece não resolvido.

O que significa uma falha no reset do EHR

A palavra "reset" neste caso tem dois significados que não devem ser confundidos. Ela pode descrever o ato de reiniciar ou recuperar um sistema após uma interrupção técnica. Mais importante, a VA usou "Reset" como o nome da intervenção em todo o programa anunciada em abril de 2023: as implantações futuras seriam interrompidas enquanto o departamento e seu contratante reparassem problemas de confiabilidade, usabilidade, fluxo de trabalho, governança e segurança do paciente nos cinco locais que então usavam o novo EHR.

Este artigo usa "falhas do reset" para significar falhas graves o suficiente para forçar esse reset do programa, juntamente com falhas nas evidências e controles destinados a tornar o reset crível. Não afirma que todo incidente foi causado por uma reinicialização literal.

O objetivo da modernização era legítimo. Emmaio de 2018, a VA assinou um contrato com a Cernercom um teto de US$ 10 bilhões por dez anos. O objetivo era substituir instâncias localmente variadas da Arquitetura de Sistemas e Tecnologia de Informação de Saúde dos Veteranos, ou VistA, pela mesma plataforma principal usada pelo Departamento de Defesa. Um registro longitudinal comum deveria reduzir a troca manual e a reconciliação à medida que os membros do serviço transitavam para o atendimento ao veterano, melhorando ao mesmo tempo o acesso a registros de provedores comunitários.

Esse objetivo não responde à questão da responsabilidade. Uma plataforma pode prometer interoperabilidade e ainda introduzir roteamento inseguro de pedidos, visualizações confusas de medicamentos, lacunas de agendamento, defeitos de interface ou cargas de inatividade em uma implementação específica. A VA tem fluxos de trabalho clínicos, governança, padrões de pessoal, integrações locais, populações de pacientes e deveres legais únicos.

A unidade de análise relevante é, portanto, o sistema de cuidado operacional: software, configuração, interfaces, dados, políticas, treinamento, pessoal, gerenciamento de incidentes, adaptação local e desempenho do fornecedor em conjunto.

O reset foi necessário porque a lacuna entre o registro comum prometido e o registro operacional se tornou grande demais para ser tratada como atrito normal de adoção. Oanúncio de reset de 21 de abril de 2023 da VAdisse que o novo EHR não estava atendendo às expectativas dos veteranos e clínicos. Estabeleceu testes de prontidão em torno da experiência de clínicos e veteranos, alto desempenho e confiabilidade sustentados e produtividade restaurada. Também disse que a VA e a Oracle Cerner estavam trabalhando em uma emenda contratual que aumentaria a responsabilidade do contratante. Essas foram promessas de produzir evidências, não declarações de que os problemas subjacentes já haviam sido resolvidos.

Uma linha do tempo auditável desde a premiação até a retomada da implantação

Esta linha do tempo é deliberadamente conservadora. Não infere incidentes ocultos entre datas públicas e não trata o encerramento de uma recomendação de supervisão como prova de que nenhum risco relacionado pode se repetir. Ela identifica quando as alegações de controle entraram no registro público e quais evidências seriam necessárias para testá-las.

O controle foi distribuído, mas não estava sem responsáveis

O Secretário e o Vice-Secretário da VA controlavam a continuação estratégica, o ritmo de implantação, a governança sênior, as opções contratuais e o padrão para declarar prontidão. Eles podiam interromper a implantação, direcionar um reset, consolidar a tomada de decisões, exigir evidências de desempenho e decidir se os benefícios alegados justificavam maior escala. Esses poderes criam responsabilidade pelo portão de implantação.

Eles não tornam os líderes seniores os operadores de todas as filas clínicas ou bancos de dados, mas os tornam responsáveis por garantir que as pessoas que operam esses controles tenham autoridade, recursos e obrigações mensuráveis.

O Escritório de Integração de Modernização do EHR controlava a integração do programa. Suas responsabilidades incluíam traduzir requisitos clínicos e operacionais em trabalho de configuração e contrato, coordenar partes interessadas nacionais e locais, rastrear solicitações de mudança, gerenciar a preparação para implantação, verificar níveis de serviço do contratante e integrar evidências de suporte, segurança e operações.

A auditoria de grandes incidentes do OIG é especialmente importante aqui porque descobriu que a VA dependia de relatórios da Oracle Health e não tinha um procedimento formal para verificar algumas métricas de desempenho e créditos do contratante. Em 15 de julho de 2026, o OIG marcou o procedimento para verificar métricas e créditos associados como encerrado, mas ainda listou sua recomendação para dados de incidentes em tempo real contratualmente comprometidos como em aberto.

A Administração de Saúde dos Veteranos controlava a política clínica, os processos de segurança do paciente, as expectativas de pessoal, os procedimentos de inatividade, os requisitos de reconciliação de medicamentos, a notificação ao paciente e os padrões aplicados quando os fluxos de trabalho digitais falhavam. Esse limite de controle é importante porque o software não decidia quantas tentativas de acompanhamento eram necessárias após uma consulta de saúde mental perdida, como os farmacêuticos deveriam verificar dados de medicamentos entre sistemas ou como as instalações deveriam reconciliar registros em papel após a inatividade.

A VHA não podia reparar o código da Oracle sozinha, mas podia estabelecer salvaguardas clínicas obrigatórias, monitorar a conformidade e se recusar a tratar soluções alternativas improvisadas como um modelo operacional permanente.

A Oracle Health controlava grandes partes da operação de tecnologia e serviço: código de propriedade do fornecedor, comportamento do banco de dados, desempenho da hospedagem e plataforma, remediação de defeitos, tickets do fornecedor, análise operacional e entrega sob o contrato. A Cerner detinha esse papel quando as primeiras implantações e o problema da fila desconhecida surgiram; a Oracle adquiriu a Cerner em junho de 2022 e herdou o contrato e as responsabilidades contínuas de remediação. Oanúncio de extensão do contrato da Oracleargumentou que a plataforma havia sido fortalecida, que Lovell superou as expectativas e que o mesmo sistema principal atendia ao DOD em grande escala. Essas são afirmações relevantes do fornecedor. Elas não substituem as evidências de auditoria específicas da VA, porque a configuração, integrações, governança e fluxos de trabalho diferem.

Os líderes locais dos centros médicos controlavam a preparação para a implantação dentro de suas instalações, atribuição de funções, participação em treinamentos, pessoal local, escalação, grupos de trabalho de inatividade, práticas de reconciliação e a resposta imediata a preocupações de segurança. Sua autoridade era real, mas limitada. Um diretor de instalação podia dizer à equipe para parar de confiar em dados eletrônicos suspeitos, como aconteceu durante um incidente revisado pelo OIG, mas não podia sozinho reparar um defeito nacional de código ou reescrever o contrato.

A responsabilidade local deve, portanto, ser julgada com base na prontidão, escalação, mitigação e relato honesto, não em se uma instalação absorveu todos os defeitos nacionais sem reclamar.

Clínicos, farmacêuticos, agendadores, pessoal de informações de saúde e pessoal de apoio controlavam ações individuais dentro de fluxos de trabalho aprovados. Eles podiam relatar incidentes, monitorar filas, realizar verificações de medicamentos, usar formulários de inatividade, reconciliar registros e escalar anomalias. Eles devem ser responsáveis por deveres profissionais que poderiam razoavelmente realizar. Eles não devem se tornar o sumidouro de responsabilidade padrão para um design que depende indefinidamente de vigilância, entrada duplicada, buscas manuais ou memória local.

Uma solução alternativa é evidência de que a equipe protegeu os pacientes sob condições restritas; não é prova de que o controle a montante era adequado.

O Congresso, GAO e OIG controlavam ferramentas de supervisão em vez de operações clínicas. O Congresso podia exigir relatórios, condicionar financiamento, realizar audiências e legislar sobre divulgação. O GAO podia testar a gestão do programa em relação às melhores práticas e rastrear recomendações. O OIG podia investigar controles de segurança e contrato, publicar conclusões e encerrar recomendações quando a VA fornecesse evidências suficientes. Nenhum desses órgãos podia operar o EHR para a VA, mas seus registros definiram evidências que a VA e a Oracle não podiam substituir de forma justa por alegações promocionais.

Veteranos e cuidadores controlavam quase nada da arquitetura do sistema. Eles podiam ligar, voltar para atendimento, usar um portal, corrigir informações que notassem ou reclamar após um atraso. Eles não selecionavam o comportamento da fila, o mapeamento de dados de medicamentos, os testes de interface, a resposta a interrupções, o pessoal ou o ritmo da implantação. A responsabilidade deve, portanto, seguir os atores com controle prático sobre prevenção, detecção, mitigação, divulgação e reparo, não as pessoas solicitadas a detectar uma falha institucional do lado do paciente.

O registro de danos tem várias camadas distintas

A fila desconhecida é o exemplo confirmado mais claro de uma falha de controle que se torna dano ao paciente. O OIG descobriu que o novo EHR enviou milhares de pedidos de atendimento médico para um local indetectável, em vez do destino pretendido. As revisões clínicas da VHA identificaram 149 eventos de danos a pacientes atribuíveis a pedidos roteados para lá. O OIG também descobriu que a Oracle Cerner não informou os usuários finais da VA sobre a fila, colocando o ônus da mitigação na VHA. Em maio de 2022, mais de 200 pedidos ainda eram encontrados nela, apesar do trabalho de mitigação.

O registro público não identifica todos os pacientes, tipo de pedido, gravidade ou consequência de longo prazo, e este artigo não inventa esses detalhes.

A falha da fila mostra por que a disponibilidade sozinha é uma medida de segurança incompleta. Um clínico podia fazer login e inserir um pedido enquanto o sistema permanecia "no ar", mas o serviço pretendido podia nunca receber o trabalho. A cadeia de controle relevante era validação do pedido, roteamento, visibilidade de exceção, propriedade da fila, monitoramento, escalação, revisão clínica e divulgação. Uma alta porcentagem de tempo de atividade não detectaria um pedido roteado silenciosamente de forma incorreta.

O reparo duradouro, portanto, precisa de evidências de conclusão em nível de transação e de um proprietário responsável por cada fila de exceção.

O registro de morte por agendamento requer igual precisão. O OIG examinou um paciente que morreu de overdose acidental de inalante cerca de sete semanas após uma consulta perdida. Constatou que um erro do EHR impediu que a consulta perdida fosse roteada para uma fila que desencadearia esforços de reagendamento. Também constatou atendimento inadequado de saúde mental, menos tentativas de contato exigidas em locais com novo EHR do que em locais legados, avaliação e supervisão incompletas e falhas envolvendo comunicações de cuidado. A conclusão do relatório foi contributiva e multifatorial.

Não sustenta a alegação simplificada de que o software sozinho causou a morte. Mas sustenta a conclusão de que um defeito de agendamento pode se tornar clinicamente consequente quando a política, o acompanhamento, a supervisão e os controles de escalação também falham.

O registro farmacêutico mostra uma classe diferente de risco. Ainspeção farmacêutica de março de 2024 do OIGdescobriu que um erro de codificação de software transmitiu informações imprecisas de medicação e alergia dos locais do novo EHR para os locais legados. Relatou que os pacientes afetados não haviam sido notificados de seu risco no momento examinado e descreveu as mitigações recomendadas pelo provedor como insustentáveis. O OIG também vinculou a ineficiência operacional ao aumento de pessoal farmacêutico, soluções alternativas, materiais educacionais, esgotamento, insatisfação no trabalho e moral mais baixo. Todas as nove recomendações foram posteriormente listadas como encerradas, com os encerramentos finais em 2025. O encerramento é uma evidência material de reparo, mas o teste durável é se a precisão da medicação entre sistemas e a capacidade de pessoal permanecem dentro de limites seguros à medida que o número de locais do EHR aumenta.

Os desafios de agendamento se estenderam além de um resultado adverso. Omemorando de agendamento do OIGdescreveu problemas com a fila de consultas deslocadas, informações imprecisas do paciente, dificuldade em alterar tipos de consulta, problemas de comunicação entre provedores e agendadores, incapacidade de automatizar algumas cartas de lembrete e a necessidade de pessoal adicional e horas extras para atingir os níveis de agendamento anteriores à implantação. Essas não são todas conclusões de danos ao paciente. São caminhos de risco: cada um pode produzir atraso, trabalho duplicado, acompanhamento perdido ou incerteza, a menos que um controle monitorado feche o ciclo.

A migração de dados criou outra camada. A revisão de gerenciamento de dados do GAO de 2022 encontrou erros envolvendo dados de alergia, medicação e imunização e pediu medidas de desempenho e metas para a qualidade dos dados migrados. A migração de dados é frequentemente descrita como uma tarefa técnica única, mas em um sistema nacional de saúde é um programa de reconciliação clínica. A precisão, integridade, proveniência, tratamento de duplicatas, identidade do paciente e fluxos de trabalho de correção devem permanecer auditáveis à medida que os registros cruzam as fronteiras da VA, DOD, comunidade, legado e novo sistema.

A interrupção do sistema é a camada mais ampla. O conjunto de dados de grandes incidentes do OIG contou 826 incidentes pelos quais a VA ou a Oracle Health eram responsáveis desde a primeira implantação até 31 de março de 2024: 172 atribuídos à VA e 654 à Oracle Health. O período total em que o sistema foi afetado foi de 1.909 horas e 26 minutos, e os incidentes individuais variaram de um minuto a 27 horas e sete minutos. Alguns incidentes foram categorizados de mais de uma forma, e o total inclui degradação de desempenho e funcionalidade incompleta, bem como interrupções.

Portanto, é errado traduzir 1.909 horas em um número igual de horas de paralisação clínica completa, ou multiplicá-lo por um número estimado de pacientes.

Mesmo com esse limite, a exposição foi substancial. Durante um incidente de mudança de sistema, o OIG relatou que o diretor de Mann-Grandstaff disse ao pessoal para parar de usar o EHR e considerar os dados eletrônicos do paciente como corrompidos ou imprecisos, e muitas consultas tiveram que ser reagendadas. O OIG também descobriu que as instalações usavam procedimentos de inatividade inconsistentes e não tinham um backup somente leitura interoperável totalmente eficaz.

Se os clínicos não podem confiar nos dados eletrônicos atuais, a segurança do paciente depende da rapidez com que o problema é declarado, de quais dados confiáveis permanecem disponíveis, se a atividade de medicação e pedidos pode continuar e como cada registro em papel ou temporário é reconciliado após a restauração.

Omemorando de preocupações das instalações de setembro de 2024mostra que os danos e custos também se acumularam nos sistemas de trabalho. Líderes e funcionários de Walla Walla e Oregon Meridional descreveram problemas persistentes envolvendo eficiência, produtividade, pessoal, finanças e segurança do paciente. Essas entrevistas não quantificam todo o programa nacional e não devem ser generalizadas além de suas evidências. Elas mostram que uma tendência de confiabilidade técnica pode melhorar enquanto o trabalho clínico e as consequências financeiras locais permanecem não resolvidos.

O custo foi transferido, bem como incorrido

O registro público de custos contém números que se referem a coisas diferentes. O contrato original de 2018 tinha um teto de quase US$ 10 bilhões por dez anos. A estimativa de ciclo de vida total da VA de janeiro de 2019 era de cerca de US$ 16,1 bilhões, combinando o contrato com prontidão de infraestrutura e suporte de gerenciamento de programa. Em 2022, o Instituto de Análises de Defesa produziu uma estimativa de ciclo de vida independente de US$ 49,8 bilhões: US$ 32,7 bilhões para treze anos de implementação e US$ 17,1 bilhões para quinze anos de sustentação. Esses não são números intercambiáveis, e nenhum é uma fatura final.

Odepoimento de prontidão do GAO de dezembro de 2025relatou que a VA havia obrigado cerca de US$ 13,84 bilhões do ano fiscal de 2018 até o segundo trimestre do ano fiscal de 2025. Ele dividiu esse valor em cerca de US$ 5,85 bilhões para o contrato do EHR, US$ 3,35 bilhões para infraestrutura de TI, US$ 1,48 bilhão para gerenciamento de programa, US$ 2,85 bilhões para a VHA e US$ 324 milhões para o Escritório de Informação e Tecnologia da VA. Em dezembro de 2025, o GAO disse que a VA ainda não havia fornecido uma estimativa atualizada do custo total do ciclo de vida, e o programa não havia fornecido documentos de cronograma detalhados suficientes para o GAO avaliar o cronograma em relação às melhores práticas.

O gasto direto do programa é apenas uma categoria de custo. A equipe clínica gastou tempo monitorando filas, verificando dados de medicação, aprendendo novos fluxos de trabalho, inserindo ou digitalizando registros de inatividade, lidando com tickets de suporte, reagendando consultas e restaurando a produtividade. As instalações usaram horas extras e pessoal farmacêutico adicional. Os veteranos absorveram espera, reagendamento, contato repetido, incerteza sobre se um pedido chegou e o risco de que dados imprecisos os seguissem entre os sistemas.

O registro público não fornece um total nacional confiável em dólares para esses encargos, então os custos devem ser nomeados sem fingir que foram totalmente monetizados.

O lock-in é outro custo. Uma vez que dados, interfaces, treinamento, fluxos de trabalho, portais e interoperabilidade com o DOD dependem de uma plataforma comum, mudar de direção se torna mais caro, mesmo quando o desempenho decepciona. Isso não torna a continuação irracional. Torna as decisões de opção anuais mais consequentes. A VA deve comparar o custo incremental e a segurança de reparar e escalar a Oracle Health contra o custo e a segurança de estender o VistA, executar ambientes paralelos ou adquirir um substituto. O registro público revisado não contém uma estimativa comparativa completa e atual para essas alternativas.

O registro legal e de supervisão mudou a estrutura de responsabilidade

O programa EHR não é governado apenas por comunicados à imprensa. ALei de Transparência do Registro Eletrônico de Saúde da VA de 2021, promulgada como Lei Pública 117-154 em junho de 2022, exige relatórios periódicos aos Comitês de Assuntos de Veteranos da Câmara e do Senado sobre custos, métricas de desempenho e resultados do programa. O registro de desempenho exigido inclui medidas de qualidade, desempenho, segurança e valor, dados de suporte, alterações nessas medidas e listas de relatórios de segurança do paciente, incidentes, alertas ou divulgações em cada instalação implementada. Essa lei transformou a transparência de uma prática de comunicação discricionária em um dever estatutário recorrente até que a implementação total seja certificada.

O Congresso adicionou uma alavanca de financiamento naLei Pública 118-42, a lei de apropriações de 2024. Ela condicionou a disponibilidade de fundos relevantes de modernização a relatórios sobre as causas do atraso na implantação de abril de 2023, métricas e progresso do reset, padronização clínica e de produto, desempenho em relação às linhas de base pré-implantação e uma certificação por escrito sobre se o sistema estava estável, pronto e otimizado para implantação adicional. Isso não fez do Congresso o operador do sistema. Estabeleceu que a prontidão para implantação tinha consequências financeiras e de relatórios.

O contrato se tornou mais executável durante o reset. Oanúncio da segunda opção de junho de 2024 da VAdisse que o acordo enfatizava a responsabilidade fiscal e de desempenho e descreveu a mudança de um prazo de cinco anos para cinco prazos de um ano. A modificação de maio de 2023 aumentou a meta de tempo sem interrupção de 99,9% para 99,95%, adicionou uma medida de tempo sem incidentes e fortaleceu os potenciais créditos financeiros. Oanúncio da terceira opção de maio de 2025continuou o modelo de revisão anual e disse que as negociações se concentraram em eficiências de custos e otimização.

A executabilidade ainda depende de evidências. O GAO descobriu que os limites de interrupção e incidente podiam acionar compensações de fatura, enquanto alguns limites de resolução de tickets durante o período examinado não tinham consequências financeiras. O OIG descobriu que a VA precisava de seu próprio procedimento de verificação, dados operacionais em tempo real, priorização consistente, métricas de resposta neutras em relação ao proprietário e relatórios completos pós-resolução. Na data de corte, as recomendações de procedimento de verificação, priorização e relatório pós-resolução estavam encerradas.

O compartilhamento de dados em tempo real e métricas eficazes de notificação e resolução permaneceram em aberto.

O registro público revisado aqui não estabelece uma sentença judicial final alocando responsabilidade civil entre a VA e a Oracle Health por essas falhas, nem uma conclusão criminal contra qualquer instituição. As recomendações do OIG, recomendações do GAO, relatórios estatutários, condições de apropriações e remédios contratuais são mecanismos diferentes de uma sentença de danos. Sua importância é prática: eles podem exigir divulgação, atrasar fundos, mudar a economia do contrato e forçar a produção de evidências antes que um tribunal aloque perdas.

Evidências de reparo são reais, mas têm diferentes pontos fortes

Aavaliação do reset de março de 2025 do GAOdocumentou melhoria significativa e fraqueza remanescente. Em junho de 2024, a VA havia implementado mais de 1.500 alterações de configuração. Em julho de 2024, os oficiais do programa disseram que nove das quatorze solicitações de melhoria de segurança do paciente de maior prioridade estavam encerradas. Seis das sete melhorias farmacêuticas identificadas haviam sido entregues. A VA também criou limites de nível de serviço para resolução de tickets, tempo sem interrupção e tempo sem incidentes.

O mesmo relatório impede uma leitura excessivamente favorável. Em fevereiro de 2025, cerca de 1.800 solicitações complexas de alteração de configuração não haviam sido abordadas. No final de 2024, duas das cinco melhorias restantes de segurança do paciente de nível superior estavam pendentes de encerramento e três não estavam totalmente resolvidas. Em setembro de 2024, 75% dos usuários pesquisados discordaram ou discordaram fortemente que o EHR os tornava tão eficientes quanto possível. Apenas 23% concordaram ou concordaram fortemente que ele permitia cuidados de alta qualidade, abaixo da meta de reset de 27% da VA.

Quatro dos cinco locais iniciais permaneceram abaixo de suas linhas de base de produtividade pré-implantação em agosto de 2024.

As medidas de confiabilidade melhoraram, mas não atenderam inicialmente a todos os meses. O GAO descobriu que a meta de tempo sem interrupção superior a 99,95% da VA foi cumprida em quinze dos dezoito meses de abril de 2023 a setembro de 2024. A meta de 95% de tempo sem incidentes foi cumprida em treze dos dezoito meses. Os oficiais da VA atribuíram incidentes a bugs de banco de dados, defeitos de código, acúmulos de processamento e um ataque que afetou um parceiro de troca de dados. Essas métricas são úteis porque são definidas e vinculadas ao contrato.

Elas ainda exigem verificação independente e contexto clínico: uma porcentagem de tempo sem incidentes não prova que todo pedido, medicação, resultado ou consulta chegou ao destino correto.

Ocomunicado de planejamento de reinício de dezembro de 2024 da VArelatou resultados mais fortes. Disse que as pontuações de confiança dos veteranos aumentaram em todos os locais ativos, as interrupções caíram, as interrupções médias dos usuários estavam próximas de zero e a satisfação dos clínicos melhorou. Essas são medidas relatadas pela parte, embora a VA tenha dito que os números de confiança vieram de pesquisas com veteranos. Elas contam como evidência de reparo, mas devem ser reconciliadas com definições, denominadores, variação entre locais e as conclusões independentes de satisfação do usuário no relatório do GAO.

A VA fez uma alegação de confiabilidade ainda mais forte emmarço de 2026. O Vice-Secretário disse que o sistema atingiu a meta de tempo sem interrupção em 27 dos 31 meses de junho de 2023 a dezembro de 2025, cumpriu as metas de gerenciamento de tickets por 30 meses consecutivos e cumpriu o tempo sem incidentes em todos os meses de março de 2024 a dezembro de 2025. A declaração também descreveu um único conselho de governança, linha de base padronizada, envolvimento sênior mais próximo e visitas a locais locais. Essas alegações são específicas o suficiente para serem testadas. A questão duradoura é se os dados subjacentes do incidente, regras de exclusão, atribuições de propriedade e links de impacto clínico estão disponíveis para a VA e revisores independentes.

O encerramento de recomendações do OIG fornece outro sinal de reparo. Em 15 de julho de 2026, sete das nove recomendações da auditoria de grandes incidentes de 2024 foram listadas como encerradas e implementadas. O trabalho encerrado incluía verificação de métricas e créditos, priorização de incidentes, informações pós-resolução, familiarização com procedimentos nacionais de inatividade, treinamento de backup, revisão de relatórios de segurança do paciente identificados e um mecanismo para conectar grandes incidentes a resultados negativos para o paciente.

As duas recomendações em aberto são importantes porque se situam no limite entre fornecedor e governo: compartilhamento de dados de incidentes em tempo real e métricas eficazes de notificação e resolução que funcionam independentemente de quem é o proprietário do incidente.

Lovell fornece um teste interno misto. Omemorando de interface de setembro de 2025 do OIGconfirmou que a VA e a Oracle Health realizaram os testes corretos e os retestes aplicáveis para as 24 interfaces revisadas. Também encontrou documentação inadequada, notações conflitantes de "não executado" e "aprovado" para quatro interfaces e funcionalidade ausente em duas interfaces VA-DOD onde os testadores não haviam considerado fluxos de trabalho conjuntos. Isso não é um veredito de implantação fracassada nem uma exoneração limpa. Mostra que os testes podem ocorrer enquanto a trilha de auditoria permanece muito fraca para provar exatamente o que foi testado e aceito.

A implantação em si foi retomada. A VA relatou quequatro centros em Michigan entraram em operação em 11 de abril de 2026e quequatro centros no sul de Ohio e norte de Kentucky entraram em operação em 6 de junho. O último comunicado descreveu suporte entre pares, ativação mais precoce de operações de comando e monitoramento centralizado. Em26 de junho, a VA disse que o sistema estava ativoem 14 centros médicos e 75 clínicas atendendo mais de 515.000 veteranos, e que a versão inicial de Spokane não tinha 13.000 atualizações agora incorporadas.

Essas implantações são evidências operacionais de que a VA podia fazer a transição de vários locais após o reset. Ainda não são provas duráveis de segurança do paciente. Mais cinco locais estavam programados para agosto e outubro de 2026, após o corte deste artigo. O registro público citado ainda não inclui uma comparação independente de vários meses de relatórios de segurança, reconciliação de medicamentos, conclusão de consultas, encerramento de pedidos, reconciliação de inatividade, produtividade, pessoal e experiência do paciente nos oito locais de 2026.

O sucesso inicial deve ser registrado como sucesso inicial, não convertido em um veredito final.

A imagem de dezembro de 2025 do GAO adiciona a cautela mais forte. Disse que dezesseis das dezoito recomendações de cinco grandes revisões do EHR não foram totalmente implementadas, incluindo doze recomendações prioritárias. A VA havia encerrado a recomendação de definir linhas de base e metas para todas as nove medidas de reset, mas as recomendações de custo, cronograma, gerenciamento de mudanças, satisfação do usuário, pontualidade de tickets, avaliação operacional independente, qualidade de dados, testes e participação das partes interessadas permaneceram abertas ou parcialmente implementadas.

O GAO disse que planejava observar a resolução sustentada de conclusões de teste significativas nas implantações de 2026. Essa observação planejada faz parte do registro de verificação ausente até 15 de julho.

O contexto de agendamento independente mais recente também aconselha contra supor que uma plataforma elimina a fragmentação. Odepoimento de agendamento de junho de 2026 do GAOdescreveu dezenas de sistemas e ferramentas de agendamento da VA, observou que a implantação da Oracle Health havia sido atrasada por problemas técnicos e de desempenho e discutiu o trabalho em andamento para padronizar o autoatendimento de agendamento em locais legados e Oracle Health. Um EHR comum pode reduzir a fragmentação ao longo do tempo, mas o período de transição em si contém múltiplos portais, regras de agendamento, interfaces e estados de locais que devem ser governados.

Comparações contrafactuais esclarecem o que o sucesso significaria

O primeiro contrafactual é continuar o cronograma de implantação anterior ao reset. Se a VA tivesse continuado a adicionar locais em 2023 enquanto os problemas de fila desconhecida, farmácia, agendamento, resposta a incidentes, satisfação do usuário e produtividade permanecessem não resolvidos, mais veteranos e funcionários teriam entrado no perímetro de exposição antes que os controles fossem padronizados. A pausa impôs atraso e custo de transição, mas o registro oficial apoia a inferência de que ela conteve o raio de explosão. O desconhecido é quantos eventos a pausa evitou; nenhuma fonte pública pode fornecer esse número.

O segundo contrafactual é tratar o VistA como um fallback sem riscos. Não era. A VA buscou a modernização porque instâncias legadas localmente variadas criavam limites de interoperabilidade, manutenção, segurança e registro longitudinal. Reter o VistA indefinidamente preservaria fluxos de trabalho familiares para muitos usuários, mas também preservaria a fragmentação e exigiria investimento contínuo. A comparação responsável não é "novo ruim, antigo bom".

É se uma transição escalonada do Federal EHR, um estado híbrido prolongado, uma aquisição redesenhada ou a modernização contínua do legado produz o melhor resultado clínico verificado por dólar e por unidade de disrupção.

A terceira comparação é a implantação do DOD da mesma plataforma comercial principal. A declaração de 2024 da Oracle disse que o sistema estava ativo em 3.890 instalações da guarnição do DOD com mais de 197.200 usuários atendendo mais de 9,5 milhões de beneficiários. Essa escala é evidência de que o produto principal pode operar em um grande ambiente federal. Não é prova de que a implementação da VA era segura em todos os pontos. A VA e o DOD diferem em configuração, integrações, governança, pessoal, caminhos clínicos, demografia dos pacientes, dados legados e modelos operacionais locais.

A comparação muda a questão de se o produto pode escalar para por que o sistema sociotécnico específico da VA produziu as falhas documentadas e se essas causas foram reparadas.

A quarta comparação é Lovell versus os primeiros cinco locais. Lovell entrou em operação durante o reset, não teve conclusões de teste críticas ou de alta gravidade relatadas na implantação e foi apresentado pela VA e Oracle como uma implantação mais forte. O OIG confirmou posteriormente os testes apropriados para as interfaces que amostrou, mas encontrou deficiências de documentação e funcionalidade. A lição não é que Lovell teve sucesso ou fracassou em um sentido binário. É que uma implantação melhor ainda pode deixar lacunas de prova, e essas lacunas devem ser corrigidas antes que o método seja copiado em ondas maiores.

O quinto contrafactual é um portão de implantação mais rigoroso. A VA poderia ter exigido o encerramento de todas as recomendações prioritárias do GAO, ambas as recomendações restantes de grandes incidentes do OIG, uma avaliação operacional independente, custo de ciclo de vida e cronograma integrado atuais e evidências de resultado em nível de local de vários meses antes de acelerar. Essa abordagem poderia reduzir a incerteza, mas estenderia o ambiente híbrido, aumentaria os custos de atraso e adiaria os benefícios da interoperabilidade.

Uma decisão defensável pode aceitar algum trabalho em aberto apenas se cada exceção tiver um proprietário nomeado, risco delimitado, controle compensatório, prazo e justificativa transparente. "Em aberto" nunca deve significar sem dono.

Fatos confirmados, inferência apoiada e desconhecidos

Fatos confirmados.A VA concedeu à Cerner um contrato de dez anos para o EHR em maio de 2018, implantou o sistema pela primeira vez em Spokane em outubro de 2020, expandiu para mais quatro locais em 2022 e interrompeu a maioria das implantações futuras em abril de 2023. A Oracle adquiriu a Cerner em junho de 2022 e se tornou responsável pelo papel de contratante. A VA continuou com Lovell em março de 2024, começou a planejar um reinício mais amplo em dezembro de 2024 e implantou em oito centros médicos adicionais em abril e junho de 2026.

Fatos confirmados incluem a descoberta do OIG de que milhares de pedidos clínicos foram roteados para uma fila desconhecida e que as revisões da VHA identificaram 149 eventos de danos a pacientes. Fatos confirmados incluem a conclusão da inspeção de agendamento de que um erro do EHR e cuidados inadequados de saúde mental contribuíram para a morte de um paciente. Fatos confirmados incluem a descoberta do relatório farmacêutico de que um erro de codificação transmitiu informações imprecisas de medicação e alergia entre locais do novo EHR e legados, bem como suas descobertas sobre soluções alternativas, pessoal e carga sobre a equipe.

Fatos confirmados incluem a contagem do OIG de 826 incidentes graves de desempenho pelos quais a VA ou a Oracle Health eram responsáveis até 31 de março de 2024 e o total acumulado de 1.909 horas e 26 minutos em que o sistema foi afetado. Fatos confirmados incluem as descobertas do GAO de que a VA implementou mais de 1.500 alterações de configuração até junho de 2024, tinha cerca de 1.800 solicitações complexas de alteração não abordadas em fevereiro de 2025 e ainda tinha insatisfação substancial dos usuários em setembro de 2024.

Fatos confirmados também incluem a publicação posterior de medidas de confiabilidade melhoradas pela VA, embora essas permaneçam medidas relatadas pela VA, em vez de conclusões independentes.

Fatos legais e de governança confirmados incluem os deveres estatutários de relatórios trimestrais, condições de apropriações de 2024, estrutura de opção contratual anualizada, limites de desempenho contratuais, encerramentos de recomendações do OIG e recomendações em aberto. Fatos de custo confirmados incluem o teto original do contrato, as diferentes estimativas de ciclo de vida e as obrigações relatadas da VA até o segundo trimestre do ano fiscal de 2025. Cada figura mede um escopo diferente.

Inferência apoiada.As falhas foram sociotécnicas, não exclusivamente defeitos de software ou exclusivamente erros de usuário. Comportamento do produto, configuração, conversão de dados, interfaces, design contratual, informações de incidentes, política clínica, treinamento, pessoal, fluxo de trabalho local e acompanhamento interagiram. Essa inferência é apoiada porque o registro de supervisão identifica fraquezas em todas essas camadas e porque diferentes incidentes cruzaram mais de um limite de controle.

Também é inferência apoiada que o reset de 2023 reduziu a exposição imediata ao atrasar a expansão enquanto a VA e a Oracle faziam mudanças. É inferência apoiada que as opções anuais e os créditos de SLA melhoram a alavancagem apenas quando a VA pode verificar dados de forma independente e aplicar remédios. É inferência apoiada que um tempo de atividade mais forte não prova por si só a conclusão do pedido, precisão da medicação, agendamento seguro ou reconciliação eficaz da inatividade. OsGuias SAFER de 2025 do ONCapoiam esse padrão mais amplo ao tratar a segurança do EHR como uma combinação de responsabilidade organizacional, planejamento de contingência, gerenciamento de sistema, entrada de pedidos, acompanhamento de resultados, identificação do paciente e comunicação do clínico.

É inferência apoiada que as oito implantações de 2026 são evidências significativas, mas incompletas, de reparo. A operação em vários locais sem uma crise pública imediata é relevante. Uma conclusão durável requer tempo e dados suficientes para detectar danos de baixa frequência, soluções alternativas, acompanhamento atrasado, efeitos na produtividade e a recorrência de problemas de fila de exceção ou entre sistemas.

Desconhecidos.O registro público não divulga registros completos de incidentes, toda a telemetria do fornecedor, todas as decisões de controle de mudanças, todas as análises de causa raiz, todos os relatórios de segurança do paciente, todos os pacientes afetados ou distribuições completas de gravidade para os 149 eventos de dano da fila desconhecida. Não estabelece a contribuição causal completa do EHR para cada consulta atrasada, problema de pessoal, evento adverso ou resultado clínico.

O registro atual não fornece uma estimativa de custo de ciclo de vida completa e validada de forma independente refletindo o reset e o cronograma acelerado. Não fornece totais completos de créditos de fatura, um mapeamento público de cada falha de SLA para um remédio, ou a alocação comercial completa de perdas entre a VA e a Oracle Health. Não revela todas as deliberações internas por trás das premiações de opções anuais ou decisões de implantação.

O registro citado aqui ainda não fornece comparações de resultados independentes de vários meses para as implantações em Michigan e sul de Ohio/Kentucky, evidências completas para os cinco locais programados para mais tarde em 2026, ou prova de que toda recomendação encerrada permanece eficaz sob maior carga. Não estabelece que a modernização está concluída, que todo defeito anterior está curado ou que incidentes futuros não ocorrerão. Esses desconhecidos devem permanecer visíveis, em vez de serem preenchidos com suposições sobre motivo, competência ou dano oculto.

Um teste de responsabilidade duradoura para a próxima onda de implantação

O primeiro teste é ofechamento de transação clínica. A VA e a Oracle devem ser capazes de mostrar que pedidos, encaminhamentos, resultados de exames, prescrições, mensagens e consultas chegam a um destino responsável. As filas de exceção devem ser visíveis, com pessoal, com idade avançada e reconciliadas. Uma transação não deve ser considerada bem-sucedida apenas porque a tela de origem a aceitou. As medidas de segurança devem relatar conclusão, atraso, redirecionamento e intervenção manual por local e risco clínico.

O segundo teste é avinculação incidente-resultado. Cada grande incidente precisa de um identificador comum em todos os tickets da VA e Oracle, horários de início e fim precisos, funções afetadas, locais, usuários, fluxos de trabalho clínicos, soluções alternativas e ações corretivas. O sistema de segurança do paciente da VA deve ser capaz de associar eventos adversos e quase acidentes a esse identificador sem uma busca manual por palavra-chave. As duas recomendações restantes do OIG devem ser encerradas apenas quando o acesso a dados em tempo real e métricas neutras em relação ao proprietário estiverem operando, não meramente projetadas.

O terceiro teste é acontinuidade e reconciliação de inatividade. Cada local deve demonstrar que os clínicos podem acessar um registro somente leitura confiável, usar formulários padronizados, continuar processos de medicação e pedidos de alto risco, identificar o que mudou durante a inatividade e reconciliar todo registro temporário após a restauração. Os exercícios devem cobrir degradação parcial, bem como interrupção total, porque um EHR lento, incompleto ou não confiável pode ser mais ambíguo do que um claramente indisponível.

O quarto teste é aintegridade de medicação e identidade entre fronteiras. A VA deve amostrar continuamente dados de medicação, alergia, imunização, demográficos e de identidade do paciente à medida que eles se movem entre o DOD, Oracle Health, VistA, atendimento comunitário, módulos de farmácia e portais de pacientes. Médias são insuficientes para campos de alta consequência. O sistema precisa de limites, revisão de exceções, regras de notificação ao paciente e evidências de que uma correção se propaga para todos os lugares que deveria, sem sobrescrever dados autoritativos.

O quinto teste é acarga de trabalho humana. A prontidão deve incluir pessoal, horas extras, tempo no EHR por paciente, acúmulo de filas, carga de tickets, rotatividade, indicadores de esgotamento e produtividade local. Um fluxo de trabalho que é seguro apenas porque farmacêuticos, agendadores ou enfermeiros adicionam verificações manuais permanentes não foi totalmente reparado. O pessoal pode ser um controle compensatório válido durante a transição, mas seu custo, duração e condição de saída devem ser explícitos.

O sexto teste é averificação operacional independente. A VA deve publicar ou fornecer aos órgãos de supervisão uma avaliação independente dos locais de 2026 após tempo operacional suficiente para observar condições normais e de pico. Essa revisão deve reconciliar as alegações de confiabilidade da VA com definições brutas, incidentes excluídos, propriedade do fornecedor, relatórios de segurança do paciente e resultados do local. Deve testar se uma linha de base nacional padronizada é realmente usada e se a variação local necessária é governada, em vez de oculta.

O sétimo teste é aconsequência contratual. As opções anuais devem divulgar quais evidências de desempenho justificaram a continuação, quais limites foram perdidos, quais créditos ou outros remédios foram aplicados, quais defeitos permanecem aceitos e quem aprovou cada exceção. Um acordo de nível de serviço sem dados verificados e execução previsível é uma convenção de relatório, não responsabilidade. Um remédio contratual também não deve substituir a correção clínica; uma compensação de fatura não pode reparar um pedido perdido.

O oitavo teste é averdade sobre custo e cronograma. A VA precisa de uma estimativa de ciclo de vida independente e atual e de um cronograma integrado que inclua o período híbrido, preparação do local, infraestrutura, pessoal clínico, sustentação, aquisição futura após as opções atuais e aposentadoria de sistemas legados. Os tomadores de decisão devem ver faixas e incertezas, não um número de manchete. Uma implantação mais rápida pode reduzir anos de custo de sistema duplo, mas também pode multiplicar o custo de remediação se as suposições de prontidão estiverem erradas.

O nono teste são osportões de implantação transparentes. Antes de cada onda, a VA deve publicar as métricas, limites, questões não resolvidas, controles compensatórios, executivos responsáveis e evidências independentes usadas para aprovar a implantação. Após cada onda, deve publicar as mesmas medidas em relação às linhas de base pré-implantação. Se um limite for dispensado, a dispensa deve identificar a justificativa clínica, data de expiração e caminho de escalação.

O teste final ése o controle e o ônus estão alinhados. A VA é proprietária da missão pública, política clínica, aquisição e decisão de implantação. A Oracle Health é proprietária das obrigações contratuais de tecnologia e serviço. As instalações são proprietárias da execução local dentro dos controles nacionais. Os clínicos são proprietários de ações profissionais que podem razoavelmente realizar. O Congresso e os auditores independentes são proprietários da supervisão. Os veteranos não são proprietários de nenhum dos mecanismos ocultos do sistema. Um regime de responsabilidade duradoura impede que o último grupo pague, por meio de cuidados atrasados ou incerteza, por falhas controladas pelos outros.

Em 15 de julho de 2026, as evidências apoiam uma conclusão equilibrada. O programa inicial produziu danos confirmados a pacientes, falhas graves de controle de incidentes, grande custo público e um reset que foi justificado. Também produziu melhorias mensuráveis, estrutura contratual mais forte, encerramento de recomendações e oito novas implantações em 2026. O que permanece não comprovado é a durabilidade em escala nacional.

A VA e a Oracle Health passarão no teste de responsabilidade apenas quando cada nova implantação adicionar não apenas usuários e locais, mas evidências verificáveis e independentes de que as transações clínicas são encerradas, os incidentes estão vinculados a resultados, a equipe pode se recuperar com segurança, os remédios são aplicados e os riscos não resolvidos permanecem visíveis até que sejam realmente controlados.