RESOLUCIÓN 20261520000008666 DE 2026
(febrero 12)
<Fuente: Archivo interno entidad emisora>
PROCURADURIA GENERAL DE LA NACIÓN
Por medio de la cual se establece la Política y el Programa de Gobernanza de Datos en la Superintendencia Nacional de Salud
EL SUPERINTENDENTE NACIONAL DE SALUD
En uso de sus facultades legales y reglamentarias, en especial las conferidas en el artículo 233 de la Ley 100 de 1993, la Ley 489 de 1998, la Ley 715 de 2001, la Ley 1122 de 2007, la Ley 1438 de 2011, la Ley 1955 de 2019, el Decreto 1078 de 2015, el Decreto 1080 de 2021 y el Decreto 1140 de 2025 y,
CONSIDERANDO
Que, el artículo 49 de la Carta Política determina que la atención de la salud es un servicio público por el cual se garantiza a todas las personas el acceso a servicios de promoción, protección y recuperación de la salud; a cargo del Estado quien tiene el deber de organizar, dirigir y reglamentar su prestación conforme con los principios de eficiencia, universalidad y solidaridad.
Que, el numeral 22 del artículo 189 de la Carta Política señala que, al presidente de la república le corresponde:"ejercer la inspección y vigilancia de la prestación de los servicios públicos".
Que la Superintendencia Nacional de Salud es un organismo adscrito al Ministerio de Salud con personería jurídica, autonomía administrativa y patrimonio independiente según el artículo 233 de la Ley 100 de 1993.
Que, conforme con el artículo 155 de la Ley 100 de 1993, la Superintendencia Nacional de Salud integra el Sistema General de Seguridad Social en Salud como un organismo de dirección, vigilancia y control.
Que la Superintendencia Nacional de Salud, en cumplimiento de las funciones a su cargo ejerce facultades de inspección, vigilancia y control sobre los vigilados del Sistema General de Seguridad Social en Salud (SGSSS), buscando asegurar que el: "servicio se preste en forma permanente, oportuna, con calidad, eficiencia y eficacia, y que los recursos destinados a la seguridad social se utilicen únicamente con ese destino",[1] destacando que, el marco de las funciones se encuentra definido en la Ley 100 de 1993, la Ley 1122 de 2007, la Ley 1438 de 2011, la 1751 de 2015, la Ley 1797 de 2016, la Ley 1949 de 2019, el Decreto 780 de 2016, sus respectivas normas reglamentarias, y el Decreto 1080 de 2021.
Que, de acuerdo con lo previsto en el Decreto 1080 de 2021, el artículo 36 de la Ley 1122 de 2007 y el artículo 02 de la Ley 1966 de 2019, la Superintendencia Nacional de Salud como organismo técnico, tiene a su cargo el Sistema Integrado de Inspección, Vigilancia y Control para el Sector Salud y le corresponde atendiendo lo establecido en el Decreto 1080 de 2021 ejercer las funciones de inspección, vigilancia y control respecto de los actores del sector, entre otras normas, en los numerales 2 al 8 del artículo 155 de la Ley 100 de 1993 adicionado por el artículo 243 de la Ley 1955 de 2019, los artículos 121 y 130A de la Ley 1438 de 2011 este último adicionado por el artículo 04 de la Ley 1949 de 2019 y el parágrafo 1 del artículo 02 de la Ley 1966 de 2019.
Que, así mismo, la Superintendencia Nacional de Salud también cuenta con funciones de conciliación y jurisdiccionales especiales de conformidad con lo previsto en los artículos 38 y 41 de la Ley 1122 de 2007, en concordancia con el artículo 135 de la Ley 1438 de 2011.
Que el artículo 35 de la Ley 1122 de 2007 define las facultades de inspección, vigilancia y control atribuidas a la Superintendencia Nacional de Salud, las cuales se ejecutan con la información que se genera a partir de los datos de las transacciones de las diferentes actividades de los vigilados.
Que, en línea con lo anterior, el artículo 36 de la Ley 1122 de 2007 creó el Sistema de Inspección, Vigilancia y Control del SGSSS en cabeza de la Superintendencia Nacional de Salud.
Que el numeral 6 del artículo 37 de la misma ley establece que uno de los siete (7) ejes a través de los cuales se ejercen las funciones de inspección vigilancia y control de la entidad es el de información cuyo alcance se refiere a: "vigilar que los actores del Sistema garanticen la producción de los datos con calidad, cobertura, pertinencia, oportunidad, fluidez y transparencia".
Que según el literal a) del artículo 06 de la Ley 1712 de 2014, la información: "se refiere a un conjunto organizado de datos contenido en cualquier documento que los sujetos obligados generen, obtengan, adquieran, transformen o controlen".
Que el parágrafo 3 del artículo 09 de la Ley 1712 de 2014, establece respecto al deber de publicar información mínima obligatoria que los sujetos obligados deberán observar lo establecido por la estrategia de gobierno en línea, o la que haga sus veces, en cuanto a la publicación y divulgación de la información.
Que el artículo 147 de la Ley 1955 de 2019, establece, que: "las entidades estatales del orden nacional deberán incorporar en sus respectivos planes de acción el componente de transformación digital siguiendo los estándares que para este propósito defina el Ministerio de Tecnologías de la Información y las Comunicaciones. En todos los escenarios la transformación digital deberá incorporar los componentes asociados a tecnologías emergentes, definidos como aquellos de la Cuata Revolución Industrial, entre otros (...)"
Que, la importancia de los datos e información para esta Superintendencia se alinea con su rol en la toma de decisiones basadas en evidencia, de impacto sobre los vigilados y, por consiguiente, sobre todo el SGSSS. Es así como la no disponibilidad de datos o la disponibilidad de estos sin validez y calidad suficiente, materializa riesgos operativos para la Entidad, los vigilados y el sistema de salud en general, y para el ejercicio del derecho a la salud de las personas. De otro lado, esta Superintendencia reconoce que un inadecuado manejo de los datos disponibles puede materializar riesgos legales al afectar los derechos de personas naturales y jurídicas establecidos por la Ley 1581 de 2012 y la Ley 1268 de 2008, respectivamente, imponiendo además cargas reputacionales injustificadas a los administrados. Por lo anterior, es necesario establecer y mantener capacidades institucionales sólidas en el tema, de acuerdo con los compromisos de la Política para la Reactivación, la Repotenciación y el Crecimiento Sostenible e Incluyente: Nuevo Compromiso por el Futuro de Colombia - CONPES 4023 de 2021, en relación con la transformación digital del Estado y el desarrollo de una economía basada en datos.
Que los numerales 4.8 y 4.9 del artículo 04 de la Resolución 460 de 2022 del Ministerio de las Tecnologías de la Información y las Comunicaciones, definieron la gobernanza y la infraestructura de datos de la siguiente forma:
"4.8 Gobernanza de la infraestructura de datos: La gobernanza de la Infraestructura de datos del Estado es el conjunto de normas, políticas, estándares, roles y responsabilidades que permiten potenciar el uso y aprovechamiento de la infraestructura de datos. La gobernanza facilita la articulación de acciones del sector público, privado, la academia y la sociedad civil, y genera un escenario de confianza y seguridad para reutilizar los datos tanto del sector público como el privado.
4.9 Infraestructura de Datos: La infraestructura de datos es el conjunto de recursos compartidos, dinámicos y estandarizados, dispuestos por diferentes actores, que habilita la provisión permanente de datos clave para su aprovechamiento y generación de valor social, económico y/o público."
Que el Título 24 de la parte 2 del Libro 2 del Decreto 1078 de 2015,[2] establece los lineamientos generales para fortalecer la gobernanza de la infraestructura de datos y crea el modelo de gobernanza de la infraestructura de datos, indicando la obligatoriedad de su adopción por parte de las autoridades en el marco de sus competencias, e integrando elementos técnicos, legales y organizacionales de forma dinámica y coordinada, a través de las responsabilidades y procesos específicos. Adicionalmente, se precisa la necesaria aplicación de los lineamientos técnicos que expida el Ministerio de las Tecnologías de la Información y las Comunicaciones, en coordinación con el Departamento Nacional de Planeación, para el desarrollo de programas, estrategias, metodologías, compromisos, procesos y procedimientos relacionados con la implementación, fortalecimiento, gestión y manejo de la infraestructura de datos.
Que el artículo 2.2.24.2.1 del citado decreto orienta la adopción coherente del Modelo de Gobernanza de la Infraestructura de Datos al definirlo como el conjunto de elementos políticos, técnicos, legales y organizacionales que permiten la articulación de actores, instancias, normas, políticas, planes, programas, estrategias, metodologías, compromisos, procesos y procedimientos para implementar, fortalecer, gestionar y manejar la infraestructura de datos, con la finalidad de generar valor público, social y económico, a través de los datos".
Que en la sección 3 del Título 24 de la Parte 2 del Libro 2 del Decreto 1078 de 2015, se establecen las instancias estratégicas, tácticas y operativas, para lograr el funcionamiento armónico del Modelo de Gobernanza de la Infraestructura de Datos, cuyas funciones se relacionan con el aprovechamiento de datos, como su ciclo de vida (creación, procesamiento, almacenamiento, intercambio, uso y análisis, archivo y presentación), diccionarios de datos, interoperabilidad, usabilidad, protección, privacidad y seguridad.
Que, adicionalmente, en el artículo 2.2.24.4.1 ibidem se adiciona el componente de cultura y apropiación, al exigir a los sujetos obligados implementar medidas para fortalecer la educación, capacitación y apropiación de la cultura de datos tanto internamente como en sus relaciones con los diferentes grupos de interés.
Que el artículo 2.2.24.4.2 ibidem, establece la alineación de la gobernanza de la infraestructura de datos con el sistema integral de gestión institucional, por requerir de su implementación integral con la Política de Gobierno Digital y la Política de Gestión del Conocimiento y la Innovación, respetando las normas especiales que regulen el servicio, oferta o actividad correspondiente.
Que por su parte en el artículo 2.2.24.4.3 ibidem define que el seguimiento para la implementación se realizará con la periodicidad y criterios de medición definidos por el Consejo para la Gestión y Desempeño Institucional, o quien haga sus veces, utilizando como fuente de datos el Formulario Único de Reporte y Avance de la Gestión (FURAG).
Que la Resolución 202116000017157-6 de 2021, en cumplimiento del artículo 2.2.22.3.8 del Decreto 1083 de 2015, integró el Comité Institucional de Gestión y Desempeño de la Superintendencia Nacional de Salud encargado de orientar la implementación y operación del Modelo Integrado de Planeación y Gestión - MIPG,[3]
Que las Bases del Plan Nacional de Desarrollo 2022-2026 Colombia Potencia Mundial de la Vida aprobado por la Ley 2294 de 2023 establecen el acceso, uso y aprovechamiento de datos para impulsar la transformación social, indicando que la disponibilidad de datos de calidad es un elemento fundamental para la formulación de políticas públicas de inclusión y protección social, para lo que propone la implementación de un programa de datos básicos, garantizando la disponibilidad de datos básicos para el diseño de programas sociales, la investigación y el desarrollo social, económico y cultural (pág. 75). Al respecto, igualmente establece que el Gobierno Nacional diseñará e implementará el programa de datos básicos, y para ello: (i) Designará la entidad encargada de su operación y gestión; (ii) determinará la normativa que se requiera para su gobernanza; y, (iii) implementará la solución tecnológica que garantice su adecuada gestión.
Que, a partir de lo expuesto, y en armonía con las funciones de la Dirección de Innovación y Desarrollo de la Superintendencia Nacional de Salud previstas en los numerales 3 y 5 del artículo 15 del Decreto 1080 de 2021, establecen que tiene a su cargo las funciones de:
"3. Dirigir el desarrollo de estrategias de analítica y el suministro de información para el desarrollo de funciones de inspección, vigilancia y control de la Superintendencia.
(...)
5. Proponer al Superintendente nacional de Salud para su adopción, las políticas de gobernabilidad de datos de la Superintendencia."
Que, así mismo, se destaca que en el decreto estructural de esta Superintendencia se establece como función en cabeza de la Subdirección de Analítica lo definido en el numeral 2 del artículo 17: "diseñar la política y lineamientos estratégicos respecto de estándares y mejores prácticas den materia de gobierno de datos para la Superintendencia", que desde el nivel estratégico orienta funciones tácticas de tratamiento y gestión de datos, y operativas de explotación, aplicables a toda la Entidad.
Que, en el contexto anterior, la gobernanza de datos se constituye en habilitador y dinamizador institucional de las iniciativas de transformación digital de la Superintendencia Nacional de Salud, pues, al organizar el ecosistema de datos, de una parte, como habilitador garantiza el cumplimiento y la conformidad con la normatividad nacional relacionada con los datos y sus diferentes áreas, y por el otro, dinamiza su evolución, partiendo del posicionamiento de los datos como activos y su uso para generar valor, abriendo los espacios de discusión y participación institucionales para el cierre de brechas de desarrollo tecnológico, así como estableciendo mecanismos de seguimiento de procesos basados en estándares y buenas prácticas de gestión de los datos a través de todo su ciclo de vida.
Que, además de lo previsto en la Política de Gobierno Digital –en la cual la gobernanza constituye uno de sus elementos esenciales y las decisiones basadas en datos una de sus líneas de acción–,la Política de Gestión del Conocimiento y la Innovación, en su eje 1 de "Herramientas de apropiación y analítica pública" las cuales permiten la organización de los datos, así como estructurarlos, manejarlos en sistemas de información actualizados, para acceder fácilmente a ellos, procesarlos y analizarlos de manera eficiente para la generación de conocimiento que facilite la toma de decisiones y que son integradas de manera directa por el artículo 2.2.24.4.2. del Decreto 1389 de 2022 de Gobernanza de la Infraestructura de Datos.
Que lo anterior permite evidenciar las diferentes áreas que abarca la gobernanza de datos, que incluyen, entre otras, el régimen general de protección de datos personales,[4] la normatividad sobre transparencia y del derecho de acceso a la información pública,[5] el marco reglamentario del sector de tecnologías de la información y telecomunicaciones,[6] la Política Nacional de explotación de datos (BigData),[7] Política Pública de Inteligencia Artificial,[8] así como otras políticas en MIPG,[9] como la Política de Seguridad Digital,[10] la Política de Gestión de la Información Estadística en la medida que los datos son usados como insumo para la generación de información,[11] y la Política de Acceso a la Información Pública y Lucha contra la Corrupción,[12] y de manera indirecta con las políticas de Control Interno,[13] de Talento Humano[14], y de Gestión Presupuestal y Eficiencia del Gasto Público.[15]
Que, desde los lineamientos, referentes normativos y asignación de responsabilidades establecidos en la Política de Gobernanza de Datos, es necesaria su materialización sostenible en el largo plazo, por lo que se requiere de la implementación de un Programa de Gobernanza de Datos integral que los incorpore en la ejecución cotidiana del tratamiento de los datos, en la gestión, en cada uno de los frentes de procesos, funcionarios y tecnologías que soportan la calidad, seguridad y privacidad, accesibilidad, usabilidad e integridad y privacidad de los datos.
Que, para la elaboración del presente instrumento normativo, se realizó un proceso metódico de análisis técnico de marcos de gobernanza de referentes internacionales como el Instituto de Gobernanza de Dato[16] y la Asociación de Gestión de Datos,[17] entre otras.
Que, a través de la evaluación de la madurez en gobernanza de datos, su ecosistema y capacidad de cambio, se utilizó un análisis de brechas para definir un plan de acción. Este sirvió como base para la hoja de ruta y la definición de la plataforma estratégica del programa.
Que de acuerdo con todo lo anterior se hace necesario establecer la política y el programa de gobernanza de datos en la Superintendencia Nacional de Salud, definiendo objetivo, alcance, definiciones, principios, responsables, funciones y demás aspectos relevantes relacionados para su debida implementación y ejecución.
Que, en virtud de lo anteriormente expuesto,
RESUELVE
ARTÍCULO PRIMERO. OBJETO. Establecer la Política de Gobernanza de Datos para el ejercicio de autoridad y control (planificación, seguimiento y ejecución) sobre la gestión de activos de datos, y el Programa de Gobernanza de Datos de la Superintendencia Nacional de Salud como su mecanismo de implementación integral y sostenible para su operación en el largo plazo, a cargo de su organización, gestión y operación, como de la actualización de la política, con el propósito de habilitar, fortalecer y dinamizar las capacidades institucionales en el tratamiento de los datos
POLÍTICA DE GOBERNANZA DE DATOS.
ARTÍCULO SEGUNDO. La Política de Gobernanza de Datos constituye un sistema marco de autoridad y control de las responsabilidades y derechos de decisión para el tratamiento de los datos en la Entidad, que habilita, fortalece y dinamiza capacidades institucionales para la gestión ordenada, coherente y eficiente de los datos.
ARTÍCULO TERCERO. La gobernanza de datos se establece por medio de la adopción o adaptación de modelos, marcos y mejores prácticas en el tema a nivel nacional e internacional, adoptando un proceso participativo institucional en que los actores involucrados a cargo y beneficiarios contribuyen en la definición, evolución y seguimiento de los elementos y funcionalidad del marco de la política, sus efectos en la gestión de datos y en su operación, como su impacto en la generación de valor institucional en la inspección, vigilancia y control.
PARÁGRAFO. Con base en la revisión, se adopta de manera general el marco del Instituto de Gobernanza de Datos (Data Governance Institute) por ser el más integral y alineado con el l Título 24 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, y que integra además otros referentes internacionales.
ARTÍCULO CUARTO. OBJETIVOS DE LA POLÍTICA.
a) Reconocer y establecer el carácter de los datos como un activo
institucional: al definir su valor intrínseco y monetario, así como las responsabilidades y rendición de cuentas de los funcionarios a cargo de su tratamiento (gestión y operación) efectivo y eficiente, propendiendo por su calidad, integridad, confidencialidad, disponibilidad y uso de acuerdo con buenas prácticas, y al instaurar procedimientos de control y sanción ante las violaciones de lo dispuesto.
b) Gobernar la gestión de datos: al organizar la gestión de datos en las siguientes áreas:
i) Disponibilidad y acceso a datos e interoperabilidad.
ii) Seguridad, privacidad y confidencialidad de los datos.
iii) Integridad e integración de los datos.
iv) Consistencia y calidad de los datos.
v) Uso y usabilidad de los datos.
y otras que aplique, por medio de la formulación de políticas derivadas específicas o de segundo orden, que despliegan la presente política en cada una de las áreas, como de la orientación y verificación de su implementación por medio de iniciativas integrales, integradas, efectivas y eficientes por la concurrencia de las dependencias institucionales competentes, los actores, responsabilidades, rendición de cuentas, procesos, procedimientos, tecnologías y demás artefactos que aplique.
c) Impulsar la adaptación y mejora continua de capacidades internas para el tratamiento de los activos de datos: Promover el desarrollo de competencias en el talento humano, la optimización de procesos relacionados con la gestión de datos y la adopción de tecnologías estándar y avanzadas como parte de la transformación digital de la Entidad.
d) Fortalecer la confiabilidad de los datos para la toma de decisiones: al ordenar y vigilar que en la Entidad se implementen los mecanismos y herramientas adecuados para la gestión de los datos, se pretende aportar a la solidez de la toma de decisiones, o que, durante el proceso de mejorar la gestión, se haga explícita la capacidad subóptima de los datos por medio de los descargos de responsabilidad que aplique.
ARTÍCULO QUINTO. ALCANCE. La Política de Gobernanza de Datos debe ser observada por todos los servidores públicos, funcionarios y contratistas de todas dependencias, incluyendo las misionales, estratégicas y operativas, y sus direcciones y coordinaciones, proveedores, ciudadanos, y demás grupos de valor e interés que, en el marco de sus funciones, generen, accedan, consulten, intercambien, recopilen, almacenen, utilicen, procesen, aprovechen, los datos de la Superintendencia Nacional de Salud. Al interior de la Entidad, se regulará la disponibilidad, acceso e intercambio, seguridad y privacidad, integridad, integración y almacenamiento, calidad, y uso, aprovechamiento, usabilidad y reutilización de los datos, con el fin de que, a partir de ellos, se genere el valor institucional esperado por ser la base para la toma de decisiones en torno a la misión, objetivos y funciones de la Entidad.
PARÁGRAFO 1o. Con respecto a los datos generados por la Superintendencia Nacional de Salud en cumplimiento de sus funciones a los que se de acceso a otras entidades, funcionarios o ciudadanos se seguirán los lineamientos definidos por la regulación vigente. En su caso, dentro de los acuerdos de disponibilidad e interoperabilidad la Entidad requerirá que, se adopten de manera equivalente, los lineamientos de la Política y el Programa institucionales de Gobernanza de datos.
PARÁGRAFO 2o. Con respecto a los datos generados por otras instituciones del sector o fuera del sector, la Superintendencia Nacional de Salud será responsable de manera equivalente a la institución fuente en el tratamiento de dichos datos, adoptando sus lineamientos de gobernanza, y desde el inicio de su acceso aplicará los lineamientos de establecidos por esta Política, en la medida que estos datos pasan a estar bajo su custodia desde ese momento.
ARTÍCULO SEXTO. DEFINICIONES. Para efectos de lo establecido en este título, se adoptan las siguientes definiciones aplicables a la Política de gobernanza de datos de la Superintendencia Nacional de Salud:
a) Gobernanza de Datos: De acuerdo con DAMA, es el ejercicio de autoridad, control y decisiones compartidas (planificación, seguimiento y ejecución) sobre la gestión de los activos de datos. Su propósito garantizar datos de alto valor en la institución. Por analogía, su enfoque es equivalente al de los poderes legislativo y judicial sobre la gestión y operación de datos. El rol general de data stewardship, sin una traducción precisa en español, describe los funcionarios que, en varios niveles desde directivo hasta operativo, son albaceas de los datos al velar por que aquellos a cargo de la gestión y operación de datos (poder ejecutivo) se ciñan a los lineamientos, y en caso contrario, a tomar las acciones para orientar y controlar las infracciones.
b) Gobernanza: es la "red de actores involucrados, con diferentes roles, en el proceso de gobernar un sistema", que enfatiza la "no continuidad" con la noción de "comando-control" de los Estados, "acogiendo un conjunto más amplio de actores e instituciones involucradas en la gestión de las sociedades", más allá de la "formulación e imposición de normas, pues se desarrolla desde las interacciones, la cooperación y las negociaciones entre interesados en un nivel horizontal".
c) Dato: De acuerdo con DAMA, es la representación simbólica de hechos o cifras en crudo (numérica, alfabética, alfanumérica, algorítmica, espacial, etc.) de un atributo o variable cuantitativa o cualitativa, Es una forma de representación de la realidad, y a la vez un objeto que debe ser interpretado.
d) Activos de datos: Datos con valor económico y/o misional para una organización. En el segundo caso, el valor misional está dado porque el activo puede ser usado para la toma de decisiones, dado que cumple con atributos que ha normado y controla la gobernanza de datos. El valor económico incluye que los costos para el tratamiento de los datos se recuperan a través del impacto financiero, en la gestión y los objetivos del SGSSS, de las decisiones tomadas con ellos.
e) Información: De acuerdo con DAMA, son datos en contexto a través de su interpretación, por medio del uso operacional de los datos.
f) Gestión de Datos: De acuerdo con DAMA es "el desarrollo, ejecución y supervisión de los planes, políticas, y prácticas que entregan, controlan, protegen, y mejoran el valor de los activos de datos e información a través de sus ciclos de vida". Por analogía, su enfoque es equivalente al del poder ejecutivo aplicado a los datos, al implementar técnicamente los lineamientos de la gobernanza de datos.
g) Roles en Gestión de datos: De acuerdo con el DMBOK, "un profesional en gestión de datos es una persona que trabaja en alguna faceta de la gestión de datos (desde la gestión técnica de los datos a través de su ciclo de vía para asegurar que los datos se usan y aprovechan) para dar cuenta de las metras organizacionales estratégicas. Los profesionales en gestión de datos tienen numerosos roles, desde altamente técnicos (administradores de bases de datos, de red, programadores hasta estrategas del negocio" "oficial en jefe de datos)".
h) Cuerpos Colegiados: Son grupos de personas interesadas en los datos que se reúnen para tomar decisiones relacionadas con ellos y su valor. Estos órganos pueden proponer políticas, especificar estándares o desarrollar recomendaciones para la toma de decisiones de nivel estratégico.
i) Encargados de los datos (data stewards): Son los integrantes del programa de gobernanza de datos de diferente nivel: Se describen los data stewards empresariales como los directivos a cargo de funciones estratégicas de decisión institucional frente a la gobernanza de datos, y dentro de los cuales está la representación de la Entidad ante instancias del gobierno nacional. Los data stewards ejecutivos como los gerentes de las diferentes áreas institucionales de carácter técnico o misional y tecnológico. El Data Steward en jefe o el Data Steward Coordinador, encargado de las funciones tácticas, de ejecución y articulación del programa. Para la operación cotidiana del programa se definen los business data stewards o dueños de los datos (data owners), los data stewards propiamente dichos, y los data stewards técnicos, que respectivamente son funcionarios con el conocimiento misional que requiere de los datos, de la adecuada definición de los datos, y de los aspectos tecnológicos de los datos.
j) Gestión del cambio: De acuerdo con el Instituto de Gestión del Cambio (Change-Management-Institute) es un dominio de principios y prácticas que habilitan a los interesados para el cambio, que permita adoptar la forma de pensar, comportamientos y capacidades requeridas para generar valor misional. La gestión del cambio se enfoca en las personas, incluyendo la planeación, ejecución, evaluación y ajustes culturales que se necesitan para incorporar practicas diferentes en una organización. El manejo del cambio es más que el "lado humano de los proyectos", pues requiere una visión de toda la organización. La adopción formal de la Gobernanza de datos requiere del apoyo de la gestión de cambio organizacional, basada en el cambio individual.
ARTÍCULO SÉPTIMO. PRINCIPIOS. Se adoptan los siguientes grupos de principios como lineamientos de la Política de Gobernanza de Datos, y que orientan y articulan su desarrollo, interpretación y aplicación armónica, integrada e integral:
Principios de los datos en sí mismos:
7.1. Los datos son activos institucionales y del sistema de salud, y la sociedad:
7.1.1. Los datos son bienes con valor intangible para la Entidad pues reflejan la situación de salud de las personas, su interacción con los actores del sistema de salud, la operación y desempeño de los actores del sistema de salud y del sistema en general, por lo que están directamente vinculados con la misión institucional.
7.1.2. Los datos son bienes con valor tangible pues han sido generados con inversión de recursos, mapean el flujo y uso de los recursos financieros del sistema de salud, la población y la sociedad, y son blanco de delitos informáticos con fines de lucro. Los datos con problemas pueden perder su valor tangible e intangible.
7.2. Los datos son insumos de valor para la Entidad, el sector salud y otros sectores, pues son la base para la generación de evidencia robusta (información y conocimiento) para la toma de decisiones sobre los actores del sistema de salud que contribuyan a garantizar el derecho fundamental a la salud de las personas y la población.
Principios acerca de los sujetos de los datos:
7.3. Las personas naturales y jurídicas son titulares de los datos acerca de sus atributos, acciones y expectativas frente al sistema de salud.
7.3.1. Titularidad de los datos de las personas naturales: Los datos de las personas naturales que son registrados a través de peticiones, quejas y reclamos por la Superintendencia Nacional de Salud, y cuya finalidad para el usuario es la de informar a la autoridad de inspección, vigilancia y control, acerca de su interacción favorable o desfavorable con los actores del sistema de salud (Aseguradores, prestadores, entes territoriales, operadores logísticos de tecnologías, gestores farmacéuticos), para que se generen mecanismos de protección del derecho, son datos de propiedad de las personas. Igualmente, los datos de salud propios de la atención son propiedad de los individuos, aunque sean generados por los actores del sistema de manera rutinaria por la documentación de las actividades de prestación del servicio de atención, y que puedan ser objeto de indagación por la Superintendencia Nacional de Salud como evidencia adicional dentro del ejercicio de sus funciones constitucionales y legales.
7.3.2. Titularidad de los datos de las personas jurídicas: Las personas jurídicas vigiladas (Aseguradores, prestadores, entes territoriales, operadores logísticos de tecnologías, gestores farmacéuticos) son titulares de sus datos generados dentro de su actividad directa e indirecta en el sistema de salud, y que son requeridos por la SNS dentro del ejercicio de sus funciones legales de inspección, vigilancia y control para evaluar su desempeño y del sistema de salud en general. Estos datos incluyen registros financieros y contables acerca del flujo de los recursos del Estado como de las personas naturales (copagos, cuotas moderadoras), relacionados con la prestación de los servicios y la sostenibilidad de la operación, dentro de un modelo de aseguramiento universal que apunta a la protección financiera de las personas.
7.4. La titularidad de los datos de las personas naturales y jurídicas implica derechos y deberes:
7.4.1. Derechos de las personas naturales sobre sus datos: Las personas tienen derecho a que el tratamiento de sus datos con respecto a su ejercicio del derecho fundamental a la salud, presentados de manera libre y espontánea, se ajusten a las normas, como a las mejores prácticas de gobernanza y gestión, y a la finalidad institucional y del sistema, y que estas condiciones sean conocidas, comprendidas y aceptadas explícitamente, con respecto a su uso para salvaguardar su bienestar como el bien público. En caso de dudas acerca del cumplimiento de estas condiciones, las personas tienen derecho a solicitar detalles acerca de dicho tratamiento y a limitar su uso y publicación, dentro del balance entre el bien individual y el bien común.
7.4.2. Derechos de las personas jurídicas sobre sus datos: Las personas jurídicas tienen derecho a que sus datos sean tratados dentro del marco legal y con base en las funciones constitucionales y legales de la Entidad, dentro del marco de que son la documentación de la materialización del derecho fundamental de las personas y la población a la salud, y que se han generado y manejado con el uso directo o indirecto de los recursos públicos del Estado y de los ciudadanos.
7.4.3.Deberes de las personas naturales frente a sus datos: Las personas naturales tienen el deber de proveer datos veraces ante la Entidad por ser la base de actuaciones frente a los actores del sistema de salud para verificar el cumplimiento y desempeño frente a funciones en el sistema para la materialización efectiva y eficiente del derecho fundamental a la salud.
7.4.4.Deberes de las personas jurídicas frente a sus datos: Las personas jurídicas tienen el deber de proveer datos veraces ante la Entidad como base del cumplimiento de sus funciones dentro del sistema de salud que materializa el derecho fundamental a la salud.
Los principios de la entidad y sus funcionarios frente a los datos:
7.5. Responsabilidad institucional frente a los datos: La Superintendencia Nacional de Salud es responsable de la custodia y tratamiento de los datos de las personas naturales y jurídicas recolectados en cumplimiento de sus funciones de inspección, vigilancia y control, jurisdiccional y de conciliación. El despliegue de procesos y resultados de la custodia de los datos son la base para la generación de confianza de las personas, las poblaciones y los vigilados en los sistemas de datos de la institución.
7.5.1. Custodia de los datos: La entidad establece la custodia de los datos por medio de la gobernanza de los datos que genera o a los que tiene acceso.
7.5.1.1. Autoridad: La gobernanza de datos en la entidad constituye las instancias, normas, principios, políticas, reglas y acciones de autoridad, en conformidad con la ley y la normatividad nacional e internacional, como las buenas prácticas de la industria informática.
7.5.1.2. Control: La gobernanza de los datos en la entidad establece los responsables, responsabilidades y medidas de rendición de cuentas, como los mecanismos de control para la custodia de los datos por el estudio de los riesgos asociados y el establecimiento de mecanismos que previenen la aparición de eventos adversos, o que reaccionan de manera planificada ante su ocurrencia.
7.5.1.3. Transparencia y participación: La gobernanza de datos en la entidad se basa en la participación de todos los funcionarios con mecanismos de consulta, así como presentando sus mecanismos de autoridad y control de manera permanente, y estableciendo las líneas de comunicación para acceder a las instancias de autoridad por parte de los funcionarios.
7.5.2.Tratamiento de los datos: La gobernanza de los datos en la Entidad es responsable del direccionamiento integral de los procesos de gestión y procedimientos de operación de los datos que genera o a los que tiene acceso, como mecanismo exhaustivo para el correcto tratamiento de los datos.
7.5.2.1. Balance entre acceso y seguridad de los datos: la gobernanza de datos ordena y verifica la gestión y trazabilidad de accesos, ajustada a los perfiles de usuarios autenticados pertenecientes a la Superintendencia Nacional de Salud u otras instituciones (nacionales e internacionales), y las consideraciones de confidencialidad y privacidad de los datos, que definen sus niveles de protección y el grado de seguridad informática en tránsito y en los diferentes alojamientos de los datos propios o adquiridos de otras instituciones. Con esta misma perspectiva de balance, la gobernanza impulsará la interoperabilidad integral para la operación del sistema de salud y del Estado sin brechas por sistemas de datos integrados funcional, técnica, sintáctica y semánticamente.
7.5.2.2. Fortalecimiento de la Integridad: La gobernanza de datos direcciona la capacidad tecnológica orientada al alojamiento ordenado, resiliencia y recuperación a ante fallos, trazabilidad de linaje que permita su estabilidad y los proteja contra cualquier manipulación a través de su ciclo de vida, apoyado en identificadores únicos basados en procesos sólidos de datos maestros.
7.5.2.3. Calidad: La gobernanza de datos ordenará y verificará los procesos de gestión de continua de calidad de datos que incluyan metadatos, tablas de referencia, y observación de estándares semánticos y sintácticos, desde su concepción hasta su utilización, y los mecanismos participativos de identificación de problemas y de toma de medidas para los ajustes consensuados correspondientes por cada uno de los responsables a través del ciclo de vida desde su generación hasta el curado estándar previo a su uso institucional, o los descargos de responsabilidad cuando no se pueda asumir la responsabilidad de los problemas de calidad por la institución o los funcionarios a cargo.
7.5.2.4. Uso/usabilidad: La gobernanza de datos propenderá por que los contenidos de los datos estén alienados con la misión y objetivos de la Entidad, así como de la incorporación de criterios para asegurar la validez que garantice que representan de manera no sesgada, la realidad del desempeño de los actores del sistema de salud base de la credibilidad de su uso. Igualmente se orientará la capacidad del talento humano y tecnológica para el procesamiento e interpretación de resultados de información a partir de los datos.
7.6. Capacidad para la custodia y tratamiento de los datos:
7.6.1.Gestión del cambio del talento humano frente a los datos: La Entidad por medio de la gobernanza de datos genera y verifica de manera continua la capacidad proporcional de los funcionarios para la custodia y tratamiento de los datos, como base para la asignación de responsabilidades y mecanismos de rendición de cuentas por acciones u omisiones de dichas responsabilidades.
7.6.2.Transformación digital: con base en su conocimiento estratégico, y la vigilancia y supervisión de los niveles táctico y operativo de los datos, la gobernanza de datos orienta la toma de decisiones técnicas de capacidad institucional a través de la transformación digital, integrando la triada de oro de personas, procesos y tecnología.
7.6.3.Independencia en la gobernanza de datos: La gobernanza de datos propenderá por su postura independiente frente a la gestión y operación de datos, pues está a cargo de su monitoreo permanente o de hacer auditorias. En casos de garantizar una evaluación con aun mayor independencia, identificará la necesidad de que entidades externas realicen auditorías sobre los procesos y procedimientos de gobernanza, como los de gestión y operación de los datos.
ARTÍCULO OCTAVO: RESPONSABLES. Por su enfoque en las personas, la Política de Gobernanza de Datos de la Superintendencia Nacional de Salud reconoce los roles de responsabilidad de los diferentes actores que convergen en todo el ciclo de vida de los datos, desde las personas naturales y jurídicas como dueños directos de los datos, registrados por la Entidad, como por otros actores dentro y fuera del sistema, y por parte de la institución, que incluye a los funcionarios y demás colaboradores a cargo de las temáticas y que las traducen en datos para ser solicitados o capturados desde los sujetos vigilados o beneficiarios del sistema de salud, y que por consiguiente participan en su seguridad, almacenamiento, clasificación, organización, documentación, gestión de permisos de acceso de los solicitantes internos y externos, verificación y validación de calidad, transformación, curado, y uso en la generación de información y conocimiento, y de la toma de decisiones a partir de ellos.
IMPLEMENTACIÓN DE LA POLÍTICA POR EL PROGRAMA DE GOBERNANZA DE DATOS.
ARTÍCULO NOVENO. El Programa de Gobernanza de Datos materializa la Política al articular los diferentes cuerpos y actores organizacionales que intervienen en los procesos de ejercicio de autoridad, control y decisiones compartidas frente al tratamiento de los datos en y por la Entidad, al organizar, gestionar y garantizar su ejecución y orientación hacia asegurar los fundamentos para datos precisos y libres de riesgo, como la información derivada de ellos. El programa de gobernanza de datos establece estándares, responsabilidades, rendición de cuentas, y apunta a garantizar que el uso de los datos alcance su máximo valor para la Entidad mientras se norma y controla el costo y la calidad del tratamiento de los datos. Para todo lo anterior, el programa se basa en modelos acordados de operación y compromiso, teniendo consideración de las circunstancias y métodos para tomar decisiones basados en dichas políticas, procesos, estándares, reglas, y rendición de cuentas.
ARTÍCULO DÉCIMO. NIVELES FUNCIONALES DEL PROGRAMA DE GOBERNANZA DE DATOS. El Programa de Gobernanza de Datos se materializa en tres niveles organizacionales que dan cuenta de diferentes funciones de autoridad, control y toma de decisiones sobre la gestión y operación de los datos:
10.1. Nivel estratégico: Define, delibera y avala misional y técnicamente los lineamientos de alto nivel del programa de gobernanza de datos.
10.2. Nivel táctico: Gestiona el programa de gobernanza de datos, materializando los lineamientos definidos en el nivel estratégico por medio de la formulación y ejecución de diversas iniciativas y la articulación de los actores y recursos para el funcionamiento continuo y sostenible del programa.
10.3. Nivel operativo: Ejecuta las actividades y tareas cotidianas del programa de gobernanza de datos.
ARTÍCULO DÉCIMO PRIMERO. DEFINICIÓN Y FUNCIONES DE LOS CUERPOS COLEGIADOS Y PERFILES A CARGO DEL PROGRAMA DE GOBERNANZA DE DATOS. El funcionamiento del programa de gobernanza de datos es responsabilidad de los siguientes cuerpos colegiados y funcionarios, organizados en los niveles descritos (se presentan los términos en español como los originarios en inglés, para garantizar la correspondencia con los referentes nacionales e internacionales en el área):
En el nivel estratégico
11.1. Consejo Directivo de Gobernanza de Datos (Data Governance Council) - CDGoD: Autoridad mayor de la Gobernanza de Datos, conformado por los miembros del Comité Institucional de Gestión y Desempeño establecidos por el artículo 03 de la Resolución 202116000017157-6 de 2021 en el rol de data stewards empresariales). Las sesiones de este cuerpo colegiado estarán alojadas en las del Comité Institucional de Gestión y Desempeño, en la medida que el Programa de Gobernanza de Datos implementa elementos de las Políticas del Modelo Integrado de Gestión y Planeación, MIPG, de Gobierno Digital, de Gestión del Conocimiento y la Innovación, de Gestión de la Información Estadística, de Seguridad Digital, de Transparencia, Acceso a la Información Pública y Lucha contra la Corrupción, y por ser el órgano que indica el artículo 2.2.24.4.3. del Decreto 1389 de 2022 de los lineamientos para la Gobernanza de la infraestructura de datos, responsable del seguimiento de su implementación institucional. Para dar cuenta de la autoridad y control, y de la sostenibilidad y mejora continua del desarrollo y transformación digital institucional, sesionará dos veces al año como mínimo. Será responsable de tomar decisiones como última y mayor instancia en:
- Aprobar los instrumentos normativos de la Gobernanza de Datos por la institución al inicio de operación del programa, sus actualizaciones al menos una vez al año, y supervisar su grado de adopción o progresividad.
- Aprobar las designaciones de autoridad para los actores del programa de gobernanza de datos.
- Aprobar las designaciones de responsabilidades y obligación de rendición de cuentas por los sujetos que, por estar a cargo del tratamiento de los datos por medio de la gestión y operación, son sujetos del ejercicio de autoridad y control por las autoridades de gobernanza de datos.
- Revisar las actualizaciones en la política y demás elementos del marco de gobernanza de datos, cuando sean presentados técnicamente por el Consejo de Gobernanza de datos.
- Verificar la alineación con la misión y objetivos institucionales y avalar la plataforma estratégica y el plan de acción del programa de Gobernanza de datos y su actualización anual.
- Supervisar los resultados de la implementación de los lineamientos del programa formalizados en esta norma y demás políticas e instrumentos de la gobernanza de datos
- Supervisar la conformidad y cumplimiento general de los funcionarios con la gobernanza de datos, con base en la vigilancia realizada por el programa de gobernanza de datos.
- Evaluar los eventos e incidentes y desviaciones de conformidad de impacto estratégico, escalados desde el Equipo Táctico de Gobernanza de
datos, luego del concepto tecnológico y misional del comité técnico de gobernanza de datos, con la realización de sesiones contingentes como se describe en la Resolución 202116000017157-6 de 2021.
- Imponer las sanciones a los responsables grupales e individuales de las desviaciones en el adecuado tratamiento de los datos con impacto estratégico, con base en el debido proceso de acuerdo con los procedimientos de control del Programa de gobernanza de datos y los procesos correctivos de las oficinas de Control Interno con base en el MECI, la Ley 87 de 1993, y el Decreto 1083 de 2015, y de Control Interno Disciplinario, con base en el Código General Disciplinario (Ley 1952 de 2019).
- Apoyar desde el nivel estratégico y de distribución de recursos, incluidos los financieros, los procesos del programa de Gobernanza de datos, como los derivados para el desarrollo de la gestión y operación de los datos.
- Discutir, decidir, priorizar y apoyar iniciativas de transformación digital dentro del marco de la gobernanza de datos hacia el desarrollo y la transformación digital institucional, con base en los conceptos de riesgo/beneficio y factibilidad realizados por el Comité Técnico de Gobernanza de Datos, al menos una de las sesiones con carácter anual.
11.2. Comité Técnico de Gobernanza de Datos (Data Governance Committee) - CTGoD: Cuerpo colegiado conformado por los ejecutivos de:
(i) Las unidades misionales (data stewards ejecutivos) que incluyen los directores o subdirectores o coordinadores designados por los Delegados por su conocimiento técnico en IVC, Supervisión basada en Riesgos del SGSSS, medidas especiales y temas relacionados, y el uso de los datos para estos fines, o sus delegados que representen el área cada dependencia misional para Protección al Usuario, Entidades de Aseguramiento, prestadores de Servicios, Entidades Territoriales y Generadores y Administradores de Recursos del SGSSS, Operadores Logísticos de tecnologías y Gestores Farmacéuticos, Investigaciones administrativas y la Función Jurisdiccional y de conciliación.
(ii) Las áreas de tecnologías que incluyen los Subdirectores de Analítica, Tecnologías de la Información, y Metodologías e Instrumentos de Supervisión, en los roles de Oficiales en jefe o Director de Datos (Chief data Officer-CDO), Director de Tecnologías (Chief Information officer-CIO), y Director de Seguridad (Chief Information Security Officer-CISO) o quienes hagan sus veces en la institución. De acuerdo con los casos a tratar pueden invitarse adicionalmente las demás dependencias institucionales estratégicas o de apoyo.
Su rol corresponde al de los Equipos Técnicos de Gestión y Desempeño Institucional, descrito en el Capítulo 3 de la Resolución 2021160000017157-6 de 2021, a cargo de presentar recomendaciones o propuestas ante el Consejo Directivo de Gobernanza de Datos para los temas correspondientes. El liderazgo de cada sesión dependerá del tema a tratar. En el caso general de supervisión y seguimiento del programa de gobernanza de datos en sus funciones, al menos una vez al año, y para lo relativo a la transformación digital en otra sesión anual. En caso de eventos contingentes en gobernanza de datos o sobre la gestión de datos gobernada, de la misma manera que el CDGoD, las sesiones del CTGoD en ser antecedentes para el estudio o preparación técnica, con una semana de anticipación en las sesiones regulares, y de un día en los casos contingentes. Sus funciones son:
- Revisar y avalar misional y tecnológicamente las normas, políticas y demás instrumentos de la gobernanza de datos, en sus versiones iniciales y revisiones periódicas, propuestas por el Equipo Táctico de Gobernanza de datos.
- Supervisar misional y tecnológicamente de la implementación de los lineamientos del Programa de Gobernanza de datos y de las políticas derivadas de la gobernanza sobre la gestión y operación de datos.
- Examinar los casos de eventos e incidentes escalados por el Equipo Táctico de Gobernanza de datos, para emisión del dictamen del incidente y sus efectos e impactos misionales y tecnológicos.
- Evaluar la pertinencia y factibilidad de las iniciativas de gobernanza de datos generadas y/o articuladas y presentadas por el Equipo Táctico de Gobernanza de datos, para la implementación y en la operación regular del programa.
- Definir y priorizar misional y tecnológica de necesidades de alto impacto para el manejo de datos, y su canalización hacia iniciativas de planes, programas y proyectos para el fortalecimiento de la gestión y operación de datos direccionadas desde la gobernanza de datos.
- Definir de las necesidades misionales y tecnológicas de actualización de las políticas de gobernanza de datos, y procesos, procedimientos y adopción de estándares de gestión y operación de datos de la Entidad, garantizando su alineación con los objetivos estratégicos.
En el nivel táctico
11.3. Equipo Táctico de Gobernanza de Datos (Data Governance Office) - ETGoD: Este organismo es liderado por un Gerente de gobernanza de datos (Data Governance Manager, Data Steward en jefe o el Data Steward Coordinador, que pueden ser función del Oficial en Jefe de Datos, Chief Data Officer, CDO, o quien haga sus veces), funcionario de la Subdirección de Analítica con funciones en gobernanza o gobierno de datos, y conformado por designados o con funciones de gobernanza, gobierno, gobernabilidad de datos, como data stewards y custodios de la Dirección de Innovación y Desarrollo, como de sus Subdirecciones de Metodologías de Instrumentos de Supervisión, de Tecnologías de la Información y de Analítica, y con la participación de representantes de los equipos de Data Stewards, Owners y Custodios de las dependencias misionales:
En la gestión del programa de gobernanza de datos
- Gestionar la infraestructura del programa, por medio de la planeación basada en la evaluación (aplicación iterativa del modelo de madurez evolutivo) como en las actualizaciones en el tema en la industria informática, la implementación de acciones, verificación de resultados (métricas), acciones de normalización de ajustes o mejoramiento de la infraestructura del programa en términos de la capacidad del talento humano, y de los recursos tecnológicos y financieros del programa.
- Gestionar los procesos y procedimientos del programa, por medio de la planeación basada en la evaluación (aplicación iterativa del modelo de madurez evolutivo) como en las actualizaciones en el tema en la industria informática, la implementación de acciones, verificación de resultados (métricas), acciones de normalización de ajustes o mejoramiento de los procesos y procedimientos del programa.
- Coordinación de los stewards en el nivel operativo del programa.
- Integrar los diferentes interesados, más allá de los actores del programa y los de la gestión de datos, dentro y fuera de la institución.
En los procesos transversales de ejercicio de autoridad, control y decisiones compartidas para la transformación digital desde la gobernanza de datos
- Realizar la revisión y actualización periódica (anual) de los instrumentos del programa, de políticas general y específicas, estándares, procesos y procedimientos para la gobernanza de datos.
- Monitorear, identificar y revisar el reporte de eventos, incidentes y desviaciones de los lineamientos de la política y demás instrumentos de ejercicio de autoridad de la gobernanza de datos.
- Investigar y documentar los aspectos, efectos e impacto técnico y misional de los eventos, incidentes y desviaciones de los lineamientos de la política y demás instrumentos de ejercicio de autoridad de la gobernanza de datos.
- Realizar la tipificación de los eventos, incidentes y desviaciones de los lineamientos de la política y demás instrumentos de ejercicio de autoridad de la gobernanza de datos.
- Resolver con medidas preventivas y correctivas contenidas o de planes de mejoramiento, por no tener efectos tecnológicos y misionales en la institución.
- Escalar al Comité Técnico de Gobernanza de Datos aquellos eventos, incidentes y desviaciones de los lineamientos de la política y demás instrumentos de ejercicio de autoridad de la gobernanza de datos, que no puedan resolverse con acciones preventivas y correctivas, o que se presenten de manera reiterada a pesar de los planes de mejora establecidos con sus responsables.
- Agendar reuniones periódicas (2 al año) para supervisión del programa o la discusión de iniciativas de transformación digital, o llamar a sesiones contingentes ante eventos, incidentes o desviaciones de los cuerpos colegiados de nivel estratégico, según la naturaleza técnica y/o misional, o estratégica institucional de los temas a tratar.
- Documentar y comunicar institucionalmente los eventos, incidentes y desviaciones, como las acciones tomadas por el Comité Técnico de Gobernanza de Datos, o que hayan sido escalados por este al consejo de gobernanza de datos por su alto impacto institucional estratégico.
Sobre los sujetos y funciones de la gestión de datos
- Implementar tácticas de gestión del cambio (líderes, grupos e individuos).
- Verificar la implementación de las políticas específicas de la gobernanza de datos y sus lineamientos en la gestión de datos para la disponibilidad, acceso e interoperabilidad, seguridad, confidencialidad y privacidad de datos, integridad e integración de datos, consistencia y calidad, y uso y usabilidad, y otras que se vean impactadas o que impacten la gobernanza de datos, por medio del mapeo y monitoreo de iniciativas y sus responsables, y su estado de evolución o madurez en infraestructura y funcional, por la adopción de procesos y procedimientos basados en estándares y buenas prácticas, operación de la documentación (manual a automatizadas) en las plataformas tecnológicas de la gobernanza y la gestión de datos, métricas de la gestión y operación, e identificación de eventos, incidentes, y desviaciones.
En el nivel operativo se describen los siguientes tipos de stewards o encargados de los datos:
11.4. Propietario de Datos (Data Owner): De acuerdo con DAMA, es un subtipo de data steward del negocio (business data steward), con perfil de experto en el tema misional, responsable de que el o los conjuntos de datos usados en su área, representen adecuadamente sus intereses temáticos, y con autoridad de aprobación para las decisiones acerca de los datos en su dominio. Da cuenta de la justificación misional de la clasificación, protección, uso y calidad de sus conjuntos de datos, que son la base para que sean de utilidad en el dominio particular. Para el cumplimiento de su rol y funciones, el propietario de los datos deberá conocer las normas, políticas y leyes que los rigen y comprender las necesidades y reglas, procedimientos y limitaciones relacionadas con el dominio de los datos, como base para orientar, monitorear y controlar que estén alineados con los objetivos de su área misional.
11.5. Encargado de Datos (Data Steward): Es el rol general de la operación del programa de gobernanza de datos. De acuerdo con DAMA, es el responsable de orientar, monitorear y controlar que los procesos aseguren la gestión efectiva de los datos, sin hacerse cargo de la gestión en sí misma, que es ejecutada por funcionarios específicos. En general son responsables de "asegurar, que en el día a día y de proyecto a proyecto, haya adherencia a las políticas e iniciativas de la gobernanza de datos". Para el cumplimiento de su función deben conocer los procesos del programa de gobernanza de datos, incluyendo los de gestión del cambio, como los procesos de gestión de datos y sus estándares particulares.
11.6. Custodio de Datos (Data custodian): De acuerdo con DAMA, corresponde al steward técnico, que es un profesional de TI operando dentro de las dependencias de misionales o de aplicación del programa, como responsable de la implementación técnica de las políticas de gobernanza de datos. Aplica controles, configuraciones y opciones de diseño para mejorar la probabilidad de que los datos cumplan con las expectativas de las partes interesadas. Debe conocer técnicamente los lineamientos y pará metros de gobernanza de datos, así como los procesos y procedimientos de gestión de datos, con lo que es el punto de convergencia de ambos frentes.
PARÁGRAFO 1o. Los encargados (data stewards) y propietarios (data owners) de los datos directamente vinculados con el programa tienen responsabilidad y obligación de rendición de cuentas de sus funciones al tener designaciones e investidura formales, en caso de la falta de conformidad de sus dependencias con los lineamientos, estándares y procesos de gobernanza de datos, por lo que deben reportar y escalar los problemas y tomar acciones de exigir el cumplimiento de manera directa. Los demás funcionarios encargados, dueños o custodios son responsables, pero no rendirán cuentas por las funciones del programa, en la medida que participan en la gestión de datos y el desarrollo.
PARÁGRAFO 2o. La organización de los cuerpos colegiados como los funcionarios designados desde las dependencias misionales y transversales para ser parte del programa de gobernanza de datos, obedecerá a los Modelos de Operación y de Compromiso híbridos que en su componente centralizado corresponde instancias definidas la Resolución 202116000017157-6 de 2021 de creación del CIGD, como se establece en los numerales 11.1. y 11.2. del presente artículo. El componente distribuido corresponde a los funcionarios de todas las dependencias, designados como encargados de los datos (data stewards) operativos, definidos en los numerales 11.4, 11.5 y 11.6 del presente artículo. El componente matricial que articula los diferentes actores estratégicos y operativos desde lo táctico estará a cargo del Equipo Táctico de Gobernanza de datos (Data Governance Office) - ETGoD, definido en el artículo 11.3. Así mismo, las funciones y procesos/procedimientos específicos en que participarán y serán responsables, y de los que darán cuenta los cuerpos colegiados y funcionarios del Programa, se detallarán en la documentación del Programa.
ARTÍCULO DÉCIMO SEGUNDO. FUNCIONES DEL PROGRAMA. Las funciones del programa dan cuenta de la definición de gobernanza de datos, en funciones transversales, por involucrar a todos los actores del programa en sus diferentes niveles, y funciones tácticas para garantizar el funcionamiento del programa, y de gobernar las diferentes iniciativas presentes y futuras que materializan la gestión de datos:
Funciones transversales acerca de la misión del programa
12.1. EJERCICIO DE AUTORIDAD: Los cuerpos colegiados y funcionarios del programa de gobernanza de datos definen, recogen, alinean con la normatividad vigente como son la Ley 1581 de 2012 de protección de datos personales, el Decreto 767 de 2022 de la Política Digital y el Título 24 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015 de gobernanza de la infraestructura de datos, entre otras, actualizan y adoptan formalmente para toda la institución, las reglas de gobernanza para la gestión y operación de activos de datos en los instrumentos correspondientes a principios, políticas, estándares, buenas prácticas, procesos y procedimientos, métricas, y herramientas tecnológicas. Igualmente, incluye la identificación de los funcionarios del programa y los de gestión de datos para la designación de responsabilidades y obligación de rendición de cuentas del programa como de la gestión de datos, para proceder a su aprobación formal vinculante y su comunicación dentro de los modelos de operación y de compromiso. y supervisión de la implementación.
12.2. EJERCICIO DE CONTROL: Los cuerpos colegiados y funcionarios del Programa de Gobernanza de Datos guían y monitorean de manera continua o por auditorías de carácter técnico, la conformidad con la política y sus lineamientos, como con los demás instrumentos de gobernanza de datos institucionalizados acerca de las actividades de gestión y operación de datos. Ante las desviaciones identificadas, realizan su investigación para llegar a un diagnóstico y dictamen de gravedad de la falta y sus responsables por estar a cargo de dichos procesos, como base para posibles medidas correctivas o sancionatorias proporcionales de acuerdo con la normatividad, como el Código General Disciplinario (Ley 1952 de 2019)y potestad de institucionales de la Oficina de Control Interno y la Oficina de Control Interno Disciplinario, que son funciones judiciales de manejo de problemas o su escalamiento.
12.3. DIRECCIONAMIENTO DEL DESARROLLO Y LA TRANSFORMACIÓN DIGITAL: Los cuerpos colegiados y funcionarios del programa de gobernanza de datos habilitan y arbitran de manera periódica o contingente, las discusiones sistemáticas y toma compartida de decisiones institucionales acerca de necesidades y acciones de cierre de brechas la triada de la transformación digital de las personas, procesos y tecnologías, y su integración en torno a los datos, con las consideraciones de cómo las decisiones estratégicas de la Entidad afectan la gobernanza y la gestión de datos, y de los efectos e impacto en la institución y en la generación de valor público de las iniciativas para modificar el ecosistema de datos.
12.4. GOBERNANZA SOBRE LA GESTIÓN DE DATOS: En el nivel estratégico, formula y actualiza las políticas de segundo orden, específicas de la gobernanza sobre la gestión de (i) disponibilidad, acceso e interoperabilidad, (ii) seguridad, confidencialidad y privacidad, (iii) integridad e integración, (iv) consistencia y calidad, y (v) uso y usabilidad de datos, y otras que apliquen. Dentro de estos marcos, el nivel táctico del programa identifica las iniciativas de gestión de datos que dan cuenta de la implementación de las políticas o que de alguna manera implican tratamiento de los datos institucionales o de fuentes externas, para:
- Presentar los instrumentos del programa y sus contenidos, y establecer con los funcionarios a cargo, los mecanismos de monitoreo y supervisión de su alineación con los lineamientos, estándares y procesos de gobernanza de datos, que permitan direccionar buenas prácticas, como tomar oportunamente medidas ante desviaciones o infracciones que sean objeto de control.
- Identificar la necesidad de apoyo tecnológico y misional para su formulación, desarrollo, implementación y ejecución, a través del proceso de direccionamiento del desarrollo y la transformación digital. Con la concurrencia de los funcionarios a cargo de estas iniciativas se establecerán acuerdos de métricas para el monitoreo de su desarrollo en el nivel táctico, que incluye los procesos de planeación, ejecución, evaluación y ajuste (ciclo Deming o equivalente), el establecimiento de riesgos y mejora continua. Igualmente, para el nivel operativo, se establecerán acuerdos para el monitoreo de la ejecución de los procesos y procedimientos técnicos y tecnológicos de tratamiento de los datos basados en estándares y buenas prácticas que aplique de acuerdo con cada área de gestión de datos, con una visión de integración de todo el ciclo de vida de los datos que incluye su creación, procesamiento, almacenamiento, intercambio, uso y análisis, archivo y preservación.
Función táctica de articulación funcional y de la infraestructura del programa
12.5. GESTIÓN DEL PROGRAMA DE GOBERNANZA DE DATOS: Con el uso de herramientas de gestión como el ciclo PHVA o equivalentes, se encarga de (i) la articulación de los cuerpos colegiados y los funcionarios del programa de gobernanza de datos para el cumplimiento de sus funciones, a través de la administración, agendamiento, documentación y actualización de sus procesos y procedimientos, (ii) la formulación y actualización colegiada, organización y publicación de los instrumentos de la gobernanza de datos, y (iii) la capitalización de infraestructura recursos humanos, tecnológicos y financieros. Es inherente a la gestión del programa la continuidad de las acciones de gestión del cambio, que incluyen las comunicaciones para difusión de políticas y como de campañas masivas de la gobernanza de datos y la responsabilidad de todos los funcionarios, como la programación de formación y actualización en buenas prácticas, enfocados en mejorar el desempeño individual e institucional en el tratamiento de los datos, y ser una vía de detección temprana de áreas de mejora.
PARÁGRAFO. Las funciones descritas son objeto de la definición de procesos y procedimientos estándar de operación, o los instrumentos que aplique para su ejecución unívoca, uniforme y repetible por los cuerpos colegiados y funcionarios del programa, como indica el DGI.
ARTÍCULO DÉCIMO TERCERO. ACERCA DE LA GESTIÓN DE DATOS OBJETO DE LA GOBERNANZA DE DATOS. La gestión de datos, objeto de la gobernanza de datos, ejecutadas a través de diversas iniciativas institucionales, implica saber qué datos tiene la organización y cuál es el objetivo que se persigue con ellos, para determinar la mejor forma de usarlos para lograr las metas de la Entidad. Para que la gestión de datos asegure que los datos son adecuados para cumplir con su propósito, además de los principios específicos de la gobernanza de datos establecidos en el artículo 07 del presente acto normativo, la gestión de datos responderá a los siguientes principios y lineamientos:
13.1. La gestión efectiva de los datos requiere de liderazgo y compromiso: Como la gestión de datos involucra un conjunto de procesos complejos, que para ser efectivos necesitan coordinación, colaboración, y responsabilidad, habilidades de gestión de datos y de visión y propósito del liderazgo
13.2. Los requerimientos de la gestión de datos son los requerimientos del negocio
- Gestionar los datos significa gestionar su calidad.
- Se necesitan metadatos para gestionar los datos.
- Se necesita planeación para gestionar los datos, desde perspectivas de arquitectura y de procesos.
- Los requerimientos de gestión de datos deben dirigir las decisiones de tecnologías de la información, para asegurar que la tecnología sirve, en lugar de dirigir, las necesidades estratégicas de datos de la institución
13.3. La gestión de los datos depende de diversas habilidades:
- La gestión de datos requiere de una perspectiva empresarial.
- La gestión de datos es transfuncional, que incluya habilidades tecnológicas y no tecnológicas, y la capacidad de colaboración.
- La gestión de los datos debe dar cuenta de un rango de perspectivas, pues los datos son fluidos y requieren su gestión evolucione.
13.4. La gestión de los datos es la gestión del ciclo de vida de los datos.
- Diferentes tipos de datos tienen características diferentes en sus ciclos de vida.
- La gestión de los datos requiere de la gestión de los riesgos asociados con los datos, de perderse, ser robados o ser mal usados
ARTÍCULO DÉCIMO CUARTO. FUNCIONARIOS SUJETOS A LAS ACCIONES DE LA GOBERNANZA DE DATOS. Todos los funcionarios y colaboradores en las dependencias transversales o estratégicas, y misionales que ejecutan procesos de tratamiento de datos de la Entidad o de fuentes externas, en los niveles estratégico, táctico y operativo, son sujeto de los lineamientos como de las funciones definidas por la Política de Gobernanza de datos e implementadas por el programa, siguiendo los procesos establecidos en esta política, como en las políticas específicas de gobernanza de la gestión definidas en el numeral 8.5 del artículo 08. Esto incluye a todas aquellas personas con perfiles diversos que trabajan en alguna faceta de la gestión de datos o que operan con ellos, desde la gestión y operaciones técnicas de los datos a través de su ciclo de vida para asegurar que se usan y aprovechan para dar cuenta de las metas organizacionales en numerosos roles, desde altamente técnicos, como los administradores de bases de datos, de red, programadores, analistas de datos, hasta estrategas del negocio como el oficial en jefe de datos o quien haga sus veces.
PARÁGRAFO 1o. Los funcionarios en cargos de dirección o equivalentes establecidos actualmente o a futuro en alineación con la industria informática, liderando iniciativas de gestión de datos, deben direccionarlas siguiendo los lineamientos de la presente política y del programa de gobernanza de datos, verificando su conformidad, y dentro de su función de direccionamiento del desarrollo y transformación digital (numeral 8.3 del artículo 08 de esta política) en el Comité Técnico de gobernanza de datos, deben propender porque sus iniciativas que involucran la gestión de datos sean coherentes, consistentes, integradas, ordenadas, documentadas, eficientes y efectivas, con bases técnicas con suficiente extensión y profundidad, dentro de la adopción de los siguientes roles:
- La promoción de la Entidad como una institución dirigida por datos es encabezada por el Superintendente, como base de la política y programa de gobernanza de datos.
- En línea con lo anterior, futuros roles como el de Oficial en jefe de datos (CDO) nombrado para dar cuenta de todos los temas de datos en la institución, puede tener funciones de gobernanza y gestión de datos, al liderar la estrategia de datos de toda la Entidad.
- El jefe de control interno (o quien haga las veces de Oficial en jefe de Cumplimiento, Chief Compliance Officer- CCO), lidera la supervisión de la conformidad con leyes, regulaciones, políticas y procesos de programa como el de gobernanza de datos que permite la identificación, prevención, detección y corrección de los problemas de no conformidad, tomando en consideración que se cuenta con la capacidad para ello en los diversos frentes.
- Frente a los datos, el oficial en jefe de tecnologías de información (Chief Information Officer, CIO) o quien haga sus veces, tiene responsabilidades de custodio, que incluyen el apoyo tecnológico de procesamiento, almacenamiento, movimiento, búsqueda, seguridad y respaldo de los datos, y los llamados sistemas de gestión de datos que pueden incluir herramientas de gobernanza. Puede tener rol de CDO en su ausencia.
- El Oficial en jefe de seguridad (Chief Information Security Officer-CISO), es responsable de la seguridad de los sistemas tecnológicos y la protección de los datos (ciberseguridad). La triada CIA (Confidencialidad, Integridad, Disponibilidad por A de availability en inglés), es central para la gobernanza de datos, y su responsabilidad es compartida por el CIO y el CISO.
- Los líderes de las dependencias misionales son dueños de los datos, con las responsabilidades descritas en el numeral 7.4 del artículo 09, aplicadas al nivel estratégico en el Comité Técnico de Gobernanza de datos.
PARÁGRAFO 2o. El programa de gobernanza de datos establecerá la responsabilidad y deber de rendición de cuentas ante los cuerpos colegiados del programa y otras instancias. En aras de la transparencia y con el fin de mantener la separación de la gobernanza de la gestión de datos, cuando los directivos parte del Comité Técnico de Gobernanza de Datos con funciones de ejercicio de autoridad y control (numerales 8.1 y 8.2 del artículo 08 de esta política) se vean involucrados en incidentes, el funcionario y el comité deberán declarar su impedimento para participar en el dictamen y/o toma de decisiones al respecto y sobre sus mismas actuaciones. En este caso se nombrarán de manera provisional funcionarios suplentes con perfiles equivalentes para los conceptos técnicos y tecnológicos a que hubiere lugar.
ARTÍCULO DÉCIMO QUINTO. RELACIONAMIENTO CON PROCESOS INSTITUCIONALES. La Política de Gobernanza de Datos se implementará en armonía con la Política de Gobierno Digital y la Política de Gestión del Conocimiento y la Innovación, asegurando la coherencia y el respeto por las normas especiales que rijan los servicios, ofertas o actividades específicas. El Programa de Gobernanza de Datos articula las subdirecciones de la Dirección de Innovación y Desarrollo, y demás dependencias misionales en términos de sus procesos y procedimientos que impliquen o afecten el tratamiento de los datos. Por lo anterior, se integra con los procesos institucionales del Sistema Integrado de Gestión (SIG) liderado por la Oficina Asesora de Planeación, de la Oficina de Control Interno y de la Oficina de Control interno disciplinario.
ARTÍCULO DÉCIMO SEXTO. RECURSOS. La Superintendencia Nacional de Salud garantizará los recursos humanos, tecnológicos y financieros necesarios para la implementación y funcionamiento del Programa de Gobernanza de Datos.
DISPOSICIONES FINALES.
ARTÍCULO DÉCIMO SÉPTIMO. SEGUIMIENTO Y EVALUACIÓN. La Subdirección de Analítica, perteneciente a la Dirección de Innovación y Desarrollo, o quien haga sus veces, realizará el seguimiento de la implementación de lo dispuesto en la presente política, con la periodicidad y los criterios de medición que se dispongan en su implementación a través del programa.
ARTÍCULO DÉCIMO OCTAVO. CULTURA Y APROPIACIÓN. La Superintendencia Nacional de Salud implementará medidas para fortalecer la educación, capacitación y apropiación de la cultura de datos tanto al interior de la entidad como en sus relaciones con los diferentes grupos de interés, como parte integral de la Gestión del Cambio.
ARTÍCULO DÉCIMO NOVENO. IMPLEMENTACIÓN GRADUAL. La Dirección de Innovación y Desarrollo y la Subdirección de analítica implementarán de manera gradual el Programa de Gobernanza de Datos, comenzando por los datos que apoyan las funciones misionales, y priorizando las áreas específicas de la gobernanza sobre la gestión de datos que tengan procesos críticos para el cumplimiento de los objetivos de la Superintendencia Nacional de Salud.
ARTÍCULO VIGÉSIMO. DEROGATORIAS, MODIFICACIONES Y REVISIÓN. La entrada en vigor de esta política deroga las normas contrarias o que se opongan a lo dispuesto en la presente resolución. La presente política y su implementación por el programa de gobernanza de datos podrán ser modificados o adicionados por el Superintendente Nacional de Salud, mediante acto administrativo motivado. La Política de Gobernanza de Datos, será revisada anualmente, o cuando se requiera, para que se mantenga oportuna, suficiente y eficaz. Este proceso será liderado por el Equipo Táctico de Gobernanza de datos y revisada por el Consejo Directivo de Gobernanza de Datos y el Comité Técnico de Gobernanza de datos.
ARTÍCULO VIGÉSIMO PRIMERO. PUBLICACIÓN. La presente Resolución se debe publicar en la página web de la entidad.
ARTÍCULO VIGÉSIMO SEGUNDO. VIGENCIA. La presente normativa rige a partir de la fecha de su publicación.
Dada en Bogotá D.C., a los 12 días del mes 02 de 2026.
PUBLÍQUESE Y CÚMPLASE
BERNARDO ARMANDO CAMACHO RODRIGUEZ
Superintendente Nacional de Salud
1. Corte Constitucional, Sentencia C-921 de 2001, Magistrado Ponente: doctor Jaime Araujo Rentería.
2. Adicionado por el Decreto 1389 de 2022.
3. Modificado por el artículo 01 del Decreto 1499 de 2017, con el cual se sustituyó el Título 22 de la Parte 2 del Libro 2 del Decreto 1083 de 2015.
4. Ley 1581 de 2012 y sus decretos reglamentarios.
8. CONPES 4144 de 2025.
9. Artículo 133 de la Ley 1753 de 2015, Decreto 1083 de 2015, modificado por el Decreto 1499 de 2017
10. CONPES 3854 de 2016
11. MIPG, Norma Técnica de Calidad Proceso Estadístico NTC-PE 1000, Ley 2335 de 2023
13. MIPG, Ley 87 de 1993, Decreto 1083 de 2015
15. MIPG, capítulo III del Título XII de la Constitución Política
16. Data Governance Institute - DGI, organización que promueve la investigación y las mejores prácticas en la gobernanza de datos (https://datagovernance.com/
17. Data Management Association - DAMA, organización con alcance internacional que asesora las prácticas de gestión de datos, consolidadas en el Data Management Body of Knowledge - DMBOK.