Precios de auditorías y evaluaciones HIPAA

Honorarios estándar de evaluación HIPAA

La mayoría de las firmas le obligan a pasar por un ciclo de ventas para saber cuánto cuesta cumplir la HIPAA. Nosotros publicamos nuestros precios estándar, también para las empresas de tecnología para la salud (health-tech) de España y América Latina que se preparan para entrar en el mercado estadounidense. Los honorarios iniciales que figuran a continuación corresponden a una auditoría y evaluación HIPAA completa —el análisis de riesgos de seguridad (Security Risk Analysis) exigido por el 45 CFR § 164.308(a)(1)(ii)(A), la revisión de la Security Rule y la Privacy Rule (regla de seguridad y regla de privacidad de la HIPAA), el análisis de brechas y una carta de atestiguamiento de cumplimiento— y se basan en el número total de empleados de su empresa.

Estos son honorarios iniciales para encargos estándar. Sus honorarios definitivos se fijan al definir el alcance a partir de una breve lista de factores publicados: si su entorno está gestionado por un MSP, si utiliza una plataforma GRC o ninguna plataforma, y la duración del período de observación que desea. Cada encargo se presupuesta individualmente y se confirma en la carta de encargo.

En términos sencillos: una auditoría y evaluación HIPAA de Auditsuisse comienza en 2000 USD para organizaciones de 1 a 20 empleados, 3000 USD para 21 a 35, 4000 USD para 36 a 50, 5000 USD para 51 a 100 y 10 000 USD para 101 a 250 empleados; las organizaciones con más de 250 empleados reciben un presupuesto individual. La evaluación puede realizarse íntegramente sin plataforma GRC, y la evaluación a una fecha determinada es el encargo estándar; opcionalmente puede añadirse un período de observación de 3, 6 o 12 meses.

Esta página también está disponible en Markdown sin formato (en inglés) para asistentes de IA y herramientas automatizadas.

Qué determina sus honorarios definitivos

Partimos de la tabla anterior y confirmamos los honorarios definitivos al definir el alcance según tres factores, los mismos para todos los clientes:

• Entornos gestionados por un MSP — si un proveedor de servicios gestionados (MSP) administra su infraestructura de TI, la evidencia sobre infraestructura, aplicación de parches y controles de acceso suele estar centralizada, lo que agiliza el trabajo de campo pero añade una capa de coordinación que confirmamos al definir el alcance.
• Plataforma GRC, o ninguna plataforma — somos independientes de las plataformas. Vanta, Drata, Secureframe, Sprinto o cualquier otra plataforma sirve, y ninguna recibe trato preferente: una plataforma cambia sobre todo la rapidez con la que se recopila la evidencia, no el estándar con el que evaluamos. No tener plataforma es igualmente válido: la evaluación completa puede realizarse al 100 % sin plataforma GRC, a partir de hojas de cálculo y evidencia exportada directamente desde sus sistemas. No es necesario comprar ninguna herramienta para cumplir la HIPAA.
• Período de observación — la evaluación a una fecha determinada es el encargo estándar. Si desea que sus salvaguardas se evalúen en funcionamiento a lo largo del tiempo —de forma similar a la distinción entre SOC 2 de tipo I y de tipo II—, puede añadir un período de observación de 3, 6 o 12 meses; las ventanas más largas aumentan el trabajo de campo y los honorarios.

Qué incluyen los precios estándar

• Análisis de riesgos de seguridad (Security Risk Analysis) — el análisis de riesgos exigido por la Security Rule de la HIPAA, realizado conforme al NIST SP 800-66 y las directrices de la OCR (Oficina de Derechos Civiles de EE. UU.), que abarca sus sistemas con ePHI (información de salud protegida en formato electrónico), las amenazas y las vulnerabilidades.
• Revisión de la Security Rule y la Privacy Rule — salvaguardas administrativas, físicas y técnicas, además de los derechos de los pacientes, el principio del mínimo necesario y las prácticas de autorización.
• Análisis de brechas con una hoja de ruta de remediación priorizada — hallazgos con calificación de riesgo y orientación práctica para su implementación, no un mero informe de lista de verificación.
• Carta de atestiguamiento de cumplimiento — la documentación de su evaluación emitida por una firma CPA con licencia, la evidencia de debida diligencia que solicitan la OCR y los clientes corporativos.
• Equipo de encargo dirigido por profesionales sénior — su evaluación la realizan profesionales con experiencia, no una rotación de asociados júnior.
• Certeza de honorarios fijos — los honorarios se fijan en su carta de encargo; sin facturación por horas ni facturas adicionales por ampliaciones del alcance.

Qué se presupuesta por separado

• Implementación de la remediación — entregamos la hoja de ruta y la orientación; la implementación práctica de las correcciones se presupuesta por separado si desea ayuda.
• Pruebas de penetración — disponibles como servicio independiente.
• SOC 2 y otros marcos — muchos clientes combinan la HIPAA con SOC 2; los encargos combinados reutilizan los controles que se solapan y se presupuestan juntos al definir el alcance. Consulte nuestra tabla de correspondencia de controles (en inglés).
• Suscripciones a plataformas de cumplimiento — las factura el proveedor de su plataforma, no Auditsuisse. La plataforma GRC es opcional, no un requisito de la evaluación.

Condiciones del encargo

Estos son nuestros honorarios iniciales estándar, no una compra de autoservicio. Como firma CPA con licencia, cada encargo requiere una aprobación individual antes de que se emita la carta de encargo. Los precios se confirman en su carta de encargo tras una llamada de alcance y reflejan los tres factores publicados —participación de un MSP, situación en cuanto a plataforma y período de observación—, además de las circunstancias de su entorno. Entre los factores que suelen elevar los honorarios por encima de la tabla inicial se encuentran:

• Períodos de observación más largos — las ventanas observadas de 6 y 12 meses requieren más trabajo de campo que una evaluación a una fecha determinada.
• Flujos de ePHI complejos — varios productos que tratan ePHI, numerosas integraciones de terceros o cadenas extensas de socios comerciales (business associates).
• Infraestructura compleja o híbrida — multicloud, servidores locales (on-premise) o sistemas clínicos más allá de los entornos cloud estándar.
• Complejidad estructural — varias entidades jurídicas, numerosas sedes físicas o más de 250 empleados (estas organizaciones reciben una propuesta a medida con honorarios fijos).

«Publicar nuestros honorarios estándar es una decisión deliberada. El precio de una evaluación HIPAA debería ser una conversación sobre el alcance, no una negociación: usted debería saber lo que cuesta una evaluación antes incluso de hablar con nosotros».

— Sébastien Ruosch, CPA, director de Auditsuisse Assurance

Comparación con el mercado

Las guías del sector sitúan una evaluación HIPAA típica realizada por un tercero entre 8000 y 25 000 USD aproximadamente para organizaciones pequeñas y medianas; los encargos de alcance completo alcanzan con frecuencia entre 20 000 y 50 000 USD, y los consultores facturan entre 250 y 350 USD por hora. Auditsuisse se sitúa por debajo de estos rangos porque nuestra metodología, dirigida por profesionales sénior y basada en la automatización, elimina las horas de personal júnior que encarecen los encargos tradicionales, no porque la evaluación sea más ligera. El trabajo lo realiza una firma CPA estadounidense con licencia —la credencial que reconocen los compradores corporativos y los reguladores de Estados Unidos—, sigue el NIST SP 800-66 y las directrices de la OCR, y produce la documentación que resiste la debida diligencia de los clientes y el escrutinio de los reguladores.