R1 · severidad ALTA · Soberanía sobre la BD productiva FlowMed cedida a Secall · gatekeeper técnico real es el proveedor externo · Eduardo broker funcional ("toda solicitud de visualizador pasa por él") · acceso interno vía cuenta genérica compartida sin trazabilidad · sin contrato formal de encargo de tratamiento · incumple Ley 19.628 + Ley 16.744/DS 109 [Recaudacion 1:25:32; EcosistemaTI 33:37, 35:51] R2 · severidad ALTA · Núcleo lógica negocio en repo personal · Script Python de valorización (~2.553 líneas) en GitHub personal Rodrigo Llancao · módulo de precios FlowMed sólo referencial · script es fuente autoritativa · migración a GitHub Workmed pendiente con Christian Urbina [Plataformas 44:04; Recaudacion 1:15:49, 1:30:35] R3 · severidad media · Iniciativa valorización en FlowMed abandonada hace ~6 meses · Excel diario sigue siendo el origen · automatizar pricing dentro de FlowMed quedó abandonado por rotación del validador; nunca se llegó a verificar si calculaba bien [Recaudacion 38:29, 41:43] R4 · severidad ALTA · Hosting FlowMed: ambigüedad on-prem vs AWS · versión canónica = on-prem Manuel Montt + replica caliente AWS RDS · réplica caliente con datos clínicos = vulnerabilidad de compliance Ley 21.719 Datos Personales [EcosistemaTI 33:37, 43:39] R5 · severidad ALTA · Fuente de verdad clínica disputada (FlowMed vs SACMed vs ficha papel) · F2: "FlowMed vuelve a tener el 100%" · F4 corrige: comunicación unidireccional ficha → Contraloría · "dos repositorios paralelos con riesgo de descalce" · UCI usa SACMed (6/12 propias) + SharePoint manual (acreditadas) [Flowmed 23:53; EcosistemaTI 24:25] R6 · severidad media · FlowMed NO expone API genérica · sólo integraciones partner punto-a-punto (Megafy, RobleLabs, RIS Galen, TSCom, LIS) · todo desarrollo interno (R&S, Salud Compatible, Salud Mental, agente, BI) debe ir contra réplica AWS con desfase 5-10 min [Plataformas 35:00; EcosistemaTI 3:14] R7 · severidad media · Sin integración HubSpot ↔ FlowMed · intento 2024 fracasó por falta de acuerdo entre partes técnicas · cola "agenda por confirmar" en HubSpot y carga en FlowMed = dos operaciones manuales superpuestas · proyecto distinto activo HubSpot ↔ Defontana 2026 [Agendamiento 47:19; Recaudacion 7:00, 11:23] R8 · severidad media-alta · Vulnerabilidades de seguridad reconocidas: (a) Portal HubSpot del cliente "tiene vulnerabilidades muy importantes" · (b) Bases en Supabase plan gratuito · (c) GitHub personal con correo corporativo sin organización Workmed · (d) Sin VPN ni restricciones de red · (e) Cuenta única compartida en Power BI sin auditoría [Flowmed 1:02:43, 1:06:32; Plataformas 25:12, 44:04, 1:05:15] R9 · severidad ALTA · Cero capacidad TI interna de desarrollo respecto al core · "no tenemos, está todo contratado con el proveedor [Secall]" · capacitación a usuarios la hace el proveedor "con las mañas" · Workmed da explicaciones por terceros · bloquea iniciativas modernizadoras hasta FlowMed 2.0 [EcosistemaTI 36:49, 38:38; Plataformas 35:23, 52:15] R10 · severidad media · Identidad cliente fragmentada en 3+ sistemas · FlowMed (RUT empresa) + HubSpot (nombre) + Defontana (código numérico) + Power Platform · sin sincronización · meta MPI a nivel cliente declarada pero no implementada [Recaudacion 1:38:13; Finanzas §D2] R11 · severidad media · Sin modelo de datos documentado de FlowMed · Ignacio Ahumada lo enuncia explícitamente · tablas grandes (log 31 GB · atención 2.2 GB · otras 13 GB c/u) sin gobernanza documental · meta: "global governance del dato" [Recaudacion 1:23:16, 1:23:45, 1:39:12] R12 · severidad media · Centros acreditados con 100% transcripción manual · papel → escaneo → OneDrive → equipo dedicado tipea en FlowMed Contraloría · 40% atenciones · latencia y errores se arrastran a EDP y cobranza [EcosistemaTI 20:07, 48:21] R13 · severidad baja · Múltiples canales de comunicación sin consolidar · Teams formal + WhatsApp informal + correo + Jira (~1 semana) + Julie (alternativa propuesta) · "hay demasiados grupos en WhatsApp, ya no sé a quién está" [Plataformas 1:00:38, 1:04:44] R14 · severidad media · Rotación alta de gerentes de tecnología · iniciativas pasadas pesan como deuda técnica acumulada (NetSuite fallido · intento HubSpot↔FlowMed fallido · valorización abandonada) · área TI Workmed <3 años de existencia [Finanzas 37:26, 39:06; EcosistemaTI 36:49] R15 · severidad media · Sin RP secundario en infraestructura · "no hay réplica externa o servidor interno por contingencia" más allá de la réplica AWS · "si se cae Amazon, ahí tenemos otros problemas" (Mónica) [Finanzas 50:26; Plataformas 1:02:26, 1:02:53] R16 · severidad baja · Disponibilidad histórica vs lentitud reciente · F6 reporta uptime "muy bajo" en caídas históricas · F3 reporta "lentitud creciente" últimos meses (20-25 min para nóminas grandes vs ~5 min normal) · uptime ≠ latencia pero coexisten [Plataformas 54:04; Agendamiento 41:08]