Riesgo y Cumplimiento

Aniversario Año 1 de Aviso Anual de Acceso al Idioma Sección 1557 — Ventana de Cumplimiento 5 de Julio de 2026

El Aviso Anual de Disponibilidad de Sección 1557 de HHS (servicios gratuitos de asistencia lingüística en inglés + 15 idiomas LEP más comunes en el estado) ha estado en vigor desde el 5 de julio de 2025. Ventana de revisión de cumplimiento del Año 1 acercándose el 5 de julio de 2026. Los 15 idiomas LEP de CA incluyen español, chino, vietnamita, tagalo, coreano, armenio, ruso, persa, árabe, punyabí, khmer, hmong, hindi, japonés, mon-khmer.

Las solicitudes de redeeming FTCA para CY2027 vencen el 26 de junio — perder el plazo deja a su FQHC con una brecha de cobertura por negligencia

La Carta de Asistencia de Programa 2026-01 de HRSA fija el 26 de junio de 2026 como plazo para que todos los centros de salud actualmente 'deemed' (y sus sub-receptores) presenten las solicitudes de redeeming de la Ley Federal de Reclamos por Agravios para CY2027 — el trámite anual que renueva la cobertura federal gratuita de responsabilidad por negligencia médica. Un incumplimiento obliga al centro a comprar seguro privado de negligencia para cubrir la brecha durante todo 2027. El riesgo es mayor este año porque la migración del sistema EHB a GrantSolutions de HRSA ocurre en la misma ventana. Los oficiales de cumplimiento deben confirmar la presentación mucho antes del 26 de junio.

Dos Señales de Cumplimiento para los FQHC: los Resultados de Auditoría de Fabricantes 340B FY2026 de HRSA Se Publican, y los Acuerdos por Ransomware de OCR Anticipan una Regla de Seguridad HIPAA Más Estricta

Dos novedades federales de cumplimiento que conviene anotar. Primero, HRSA publicó su página de Resultados de Auditoría de Fabricantes 340B FY2026 (actualizada el 28 de mayo de 2026) — la contraparte del ciclo FY2025 ya rastreado (49% de hallazgos adversos); los resultados están parcialmente finalizados, con planes de acción correctiva y sanciones por publicarse a medida que HRSA los apruebe, y la agencia aconseja a las entidades cubiertas no contactar a los fabricantes auditados hasta que se publiquen los CAP. Los FQHC son la mayor clase de entidades cubiertas 340B. Segundo, la Iniciativa de Análisis de Riesgo de OCR ya completó 19 investigaciones de ransomware con seis acuerdos en 2026, y un análisis de Sidley del 1 de junio enmarca los acuerdos recientes como un anticipo directo de las próximas enmiendas a la Regla de Seguridad HIPAA (que harían obligatorios los análisis de riesgo anuales, los inventarios documentados de activos y la remediación demostrada). Ningún FQHC ha sido nombrado, pero los centros con cobertura FTCA son entidades cubiertas por HIPAA — por lo que un centro sin un Análisis de Riesgo de Seguridad documentado acumula exposición a sanciones antes del cambio de regla. (Herramientas asequibles de SRA para FQHC como Medcurity, agregada a nuestro tech stack este ciclo, existen precisamente para esta brecha.)

Eli Lilly Da a ~50 Entidades Cubiertas Cinco Días para Entregar Datos de Reclamos 340B — o Perder sus Descuentos

El 1 de junio, Eli Lilly intensificó su disputa sobre los datos de reclamos 340B, advirtiendo a unas 50 entidades cubiertas que tienen cinco días para presentar datos completos de reclamos o dejar de recibir los descuentos de precios 340B — la primera vez que el fabricante emite amenazas directas de terminación en lugar de cartas de recordatorio. La exigencia sigue a la política de Lilly anunciada en enero y vigente desde el 1 de febrero de 2026, que requiere datos a nivel de reclamo para todas las dispensaciones 340B (incluidas las farmacias internas, no solo las farmacias por contrato); STAT reporta que más de 2,300 entidades han cumplido mientras hasta 1,000 sistemas más grandes se han negado. La primera ronda apunta a sistemas hospitalarios, pero la política aplica a todas las entidades cubiertas — los FQHC que dispensan productos de Lilly (insulina, oncología, psiquiátricos) y no se han inscrito en la plataforma de datos enfrentan el mismo riesgo de terminación.

AB 3030 + SB 1120 de California Son Activadores Activos de Cumplimiento de IA para FQHCs — Divulgación + Consentimiento + Restricciones de UM en Vigor

Una revisión legal de Holland & Knight de mayo de 2026 destaca dos leyes de California que ahora son activadores operativos de cumplimiento para cualquier FQHC con IA: (1) AB 3030 — divulgación obligatoria al paciente más consentimiento explícito antes de usar IA en atención; (2) SB 1120 — restricciones sobre IA en manejo de utilización y decisiones de autorización previa (un clínico humano debe tomar la decisión final de necesidad médica). Las obligaciones de cumplimiento aplican ahora a cualquier FQHC con escribas IA (Abridge, Nabla, Suki, Heidi), contacto IA con pacientes (Artera Squads, healow Genie), o UM/autorización previa asistida por IA (eClinicalWorks AI Workbench). CIOs y Oficiales de Cumplimiento FQHC deben auditar despliegues actuales de IA para guiones de divulgación de AB 3030 y rutas de decisión UM de SB 1120 antes de mediados de 2026.

Tres sistemas de salud demandan a CVS/Caremark por ~$250M en presunto desvío de ahorros 340B (RICO)

Mount Sinai, Michigan Medicine y el Sistema de Salud de la Universidad de Kansas presentaron demandas federales por crimen organizado (RICO) el 21 de mayo de 2026 alegando que CVS Health/Caremark desvió en secreto unos $250M en ahorros del programa 340B entre 2020 y 2025, pagando a las entidades cubiertas reembolsos artificialmente reducidos mientras ocultaba reclamos a tarifas más altas. Los casos apuntan a la maquinaria de farmacia por contrato y PBM de la que dependen los FQHC para convertir los descuentos 340B en ingresos para la atención. Una victoria — o incluso el descubrimiento — podría sentar precedente para reclamos de recuperación 340B de los FQHC.

HHS Lanza AERO — IA Reevalúa 5 Años de Datos de Auditoría para Cada Beneficiario de $1M+, Incluidos los FQHC

El 21 de mayo de 2026, HHS (Oficina del Secretario Adjunto de Recursos Financieros) lanzó AERO — la iniciativa de Aplicación de Auditorías y Supervisión de Riesgos — un esfuerzo de integridad de programas que usa IA de próxima generación (construida en parte con ChatGPT) para reevaluar al menos cinco años de datos de cumplimiento de la Ley de Auditoría Única para cada entidad que recibe $1M+ en fondos anuales de HHS. Ese umbral pone a la mayoría de los FQHC de la Sección 330 dentro del alcance. Poderes de aplicación: retener pagos, suspender o terminar subvenciones e iniciar inhabilitación. Implicación para FQHCs de CA: la preparación de auditoría/cumplimiento ahora tiene mucho más en juego — confirmar que las presentaciones de Auditoría Única estén al día y remediar hallazgos repetidos ahora.

Regla de Discapacidad Sección 504 de HRSA — Plazo de Accesibilidad de Equipo Médico de Agosto 2026 (Distinto del Rastro WCAG)

RegLantern publicó un resumen recordando a los FQHCs que las regulaciones de Sección 504 de HHS incluyen obligaciones más allá del plazo de accesibilidad web WCAG 2.1AA del 11 de mayo de 2027 ya rastreado: equipo médico de diagnóstico accesible (mesas de examen ajustables en altura, básculas de peso accesibles — cumplimiento por fases para el 8 de julio de 2026); prohibiciones de evaluación de valor (no pueden usar herramientas QALY); y requisitos de comunicación efectiva (intérpretes ASL).

OCR de HHS se Reorganiza en 3 Divisiones de Programas — Nueva División de Privacidad de Información de Salud, Datos y Ciberseguridad Señala Aplicación Sostenida de Violaciones FQHC

HHS anunció el 18 de mayo de 2026 que la Oficina de Derechos Civiles se está reestructurando en tres divisiones basadas en programas: (1) División de Conciencia y Libertad Religiosa, (2) División de Derechos Civiles, y (3) División de Privacidad de Información de Salud, Datos y Ciberseguridad. La división cibernética/HIPAA dedicada formaliza el enfoque continuo de OCR en violaciones en FQHCs y proveedores de red de seguridad. Análisis de riesgo de Regla de Seguridad HIPAA documentado debe estar actualizado y archivado — el mayor vector único de aplicación.

Resultados de Auditorías 340B FY2025 de HRSA — 49% Hallazgos Adversos, 75% Errores OPAIS, 50% Requeridos a Reembolsar Fabricantes

HRSA publicó los resultados completos de las auditorías de integridad del programa 340B FY2025: 115 entidades cubiertas auditadas, el 49% recibió hallazgos adversos (mejorando del 64% en FY24 — aún casi 1 de cada 2). El 75% involucró registros OPAIS incorrectos; al 50% se les exigió reembolsar a fabricantes; el 21% tuvo terminaciones de sitios. La tasa de fracaso de re-auditoría del 68% señala que la remediación se está adhiriendo mal. ~90% de auditorías FY2025 ahora son focalizadas por riesgo (vs. aleatorias), elevando la exposición para entidades con denuncias, anomalías OPAIS, complejidad de farmacia de contrato o hallazgos previos.

CHAI (Co-Presidido por NACHC) Publica Guías de IA Responsable para Elegibilidad de Medicaid — Antes del Plazo del 1 de Junio de HHS

La Coalition for Health AI (CHAI) publicó dos Guías de Mejores Prácticas el 11 de mayo de 2026 para el uso responsable de la IA en la inscripción y adjudicación de elegibilidad de Medicaid — trabajo co-presidido por NACHC junto con Centene, HealthTech 4 Medicaid, Pair Team y más de 40 organizaciones. Las guías están programadas antes del plazo de orientación de HHS del 1 de junio de 2026 y se basan en los nuevos requisitos de participación comunitaria (trabajo) de H.R. 1, que amenazan con eliminar a pacientes elegibles durante la redeterminación. Dan a estados y proveedores barreras basadas en roles para que los flujos de elegibilidad impulsados por IA no corten cobertura de forma inapropiada. Implicación estratégica: la ola de redeterminación de H.R. 1 es la mayor amenaza a la cobertura de pacientes de FQHC — este marco ayuda a los FQHCs y a sus socios de atención administrada de Medi-Cal a prevenir la pérdida de cobertura inapropiada acelerada por IA.

URGENTE: Fecha Límite de Accesibilidad Digital WCAG 2.1 AA de Sección 504 de HHS para FQHCs el 11 de mayo de 2026 — 3 Semanas

La primera actualización importante de HHS a las regulaciones de la Sección 504 en ~50 años impone dos fechas límite para cada FQHC con 15 o más empleados: (1) Todo el contenido web y las aplicaciones móviles deben cumplir con WCAG 2.1 Nivel AA para el 11 de mayo de 2026. (2) Al menos una mesa de examen y una báscula accesibles para el 8 de julio de 2026. El incumplimiento crea exposición a aplicación de derechos civiles y pone en riesgo la elegibilidad de subvenciones HRSA.

GIRO IMPORTANTE — OCR del HHS Extiende Plazo Sección 504 / WCAG 2.1AA Un Año Hasta el 11 de Mayo de 2027

El 7 de mayo de 2026 — cuatro días antes del plazo original — la Oficina de Derechos Civiles del HHS emitió una Regla Final Provisional que extiende un año el plazo de cumplimiento de accesibilidad digital de la Sección 504. Los FQHCs con 15+ empleados ahora tienen hasta el 11 de mayo de 2027 para cumplir WCAG 2.1 Nivel AA en sitios web, aplicaciones móviles, portales de pacientes, programación en línea, plataformas de telesalud, formularios de admisión y quioscos. Los receptores con menos de 15 empleados tienen hasta el 10 de mayo de 2028. OCR citó preocupaciones de que FQHCs, hospitales y centros de atención primaria no podrían cumplir con el plazo original. Período de comentarios hasta el 6 de julio de 2026. CRÍTICO: es una extensión, no una rescisión — la Sección 504 ha sido aplicable desde el 8 de julio de 2024, el derecho privado de acción permanece activo.

Salud Para La Gente (FQHC de Santa Cruz/Monterey) Paga $750K para Resolver Caso FCA por Anticonceptivos Mal Etiquetados — Primer Acuerdo FCA de FQHC de CA en FY2026

El 6 de mayo de 2026, Salud Para La Gente — un FQHC del Condado de Santa Cruz/Monterey que atiende a pacientes de bajos ingresos en la Costa Central — acordó pagar $750,000 para resolver acusaciones de la Ley de Reclamos Falsos por facturar a Medi-Cal y Medicaid por anticonceptivos mal etiquetados. Este es el PRIMER acuerdo FCA de FQHC de California en FY2026 que sale a la luz, y llega durante una postura de aplicación pico del DOJ (NFED establecido 7 de abril, Fuerza de Choque de la Costa Oeste 30 de abril). Incluso los FQHCs orientados a la misión no están exentos de escrutinio FCA. Los oficiales de cumplimiento deben auditar inmediatamente las cadenas de adquisición de anticonceptivos y medicamentos 340B.

Bay Area Community Health Confirma Brecha de Datos TriZetto — SSN, Números Medicare, Fecha Nacimiento, Datos Seguro Expuestos

Bay Area Community Health (BACH, Fremont/San Jose, ~30 sitios) confirmó (6 mayo 2026 aviso sustituto + actualización investigación acción colectiva) exposición PHI vía TriZetto Provider Solutions (subsidiaria Cognizant, socio compensación OCHIN). Expuestos: SSN, números beneficiario Medicare, fecha nacimiento, datos seguro. Parte de la brecha más amplia TriZetto de 3.4M pacientes. Implicación estratégica para CIOs / oficiales cumplimiento FQHC: auditar cadena completa Acuerdo Asociado Negocio.

Surge de Ransomware FQHC T1 2026 — Sandhills (169K), Cherry Health (184K), Central Jersey Atacados; Demandas Colectivas Ahora Rutinarias

El recuento de Comparitech del T1 2026 confirma 201 ataques de ransomware (120 proveedores + 81 vendedores) — tres fueron FQHCs: Sandhills Medical Foundation (SC, 169,017 pacientes), Cherry Health (Michigan, 184,000 pacientes), Central Jersey Medical Center FQHC. Sandhills ahora enfrenta investigación de demanda colectiva anunciada en mayo 2026. Mensaje a juntas FQHC: Análisis de Riesgo de Regla de Seguridad es la brecha de cumplimiento ePHI más material.

Plazo de HHS Sección 504 / WCAG 2.1AA a 7 Días — Extensión DOJ Título II Confirmada No Reflejada por HHS

Hoy es 4 de mayo de 2026 — exactamente 7 días del plazo de cumplimiento HHS Sección 504 del 11 de mayo. Aclaración clave: avisos legales de Duane Morris (26 de abril) y Alston & Bird (marzo) confirman que la Regla Final Provisional del DOJ del 20 de abril que extiende los plazos de accesibilidad web del Título II ADA para agencias estatales/locales NO aplica a HHS Sección 504. Muchos ejecutivos FQHC han asumido erróneamente que la extensión les aplica — no es así. El plazo del 11 de mayo se mantiene. La Sección 504 ha sido aplicable desde el 8 de julio de 2024 — el 11 de mayo simplemente hace que WCAG 2.1 AA sea el referente técnico. Crítico: el derecho privado de acción comienza el 12 de mayo.

Demanda Colectiva Sandhills Medical Foundation Lanzada — Violación INC Ransom de 169K Pacientes Primera Litigación Mayor de Ransomware FQHC de 2026

FQHC de Carolina del Sur Sandhills Medical Foundation enfrenta investigación de demanda colectiva anunciada el 3 de mayo de 2026. Grupo de ransomware INC Ransom exfiltró 169,017 registros de pacientes del 2-8 de mayo de 2025; cartas de notificación enviadas el 28 de abril de 2026. Datos incluyeron SSN, ITIN, DL#, pasaporte#, información financiera, PHI. La mayor violación de ransomware FQHC reportada en 2026 y establece un precedente de demanda colectiva para proveedores de red de seguridad.

Plazo de HHS Sección 504 / WCAG 2.1AA a 9 Días — Semana Final de Esfuerzo para Cada FQHC de CA con 15+ Empleados

Hoy es 2 de mayo de 2026 — exactamente 9 días del plazo de cumplimiento HHS Sección 504 del 11 de mayo para accesibilidad digital (WCAG 2.1 Nivel AA). Todos los FQHCs con 15+ empleados deben haber remediado portales de pacientes, sitios web públicos, aplicaciones móviles, programación en línea, plataformas de telesalud, formularios de admisión y quioscos de autoservicio. Concentración final: confirmar relaciones de contraste, texto alternativo, navegación de teclado, roles ARIA, compatibilidad con lectores de pantalla. La Sección 504 también proporciona un derecho privado de acción — incluso sin aplicación de OCR, las demandas pueden comenzar el 12 de mayo.

DOJ Lanza Fuerza de Choque de Fraude Sanitario de la Costa Oeste — Fiscal Federal del Norte de CA Llama a Silicon Valley 'Cero de Fraude Impulsado por Tecnología'

El 30 de abril de 2026, la División Nacional de Aplicación de Fraude (NFED) del DOJ lanzó la Fuerza de Choque de Fraude Sanitario de la Costa Oeste, uniendo la Sección de Fraude Sanitario del DOJ con Fiscalías Federales para Arizona, Nevada y el Norte de California. El Fiscal Federal Craig Missakian llamó a Silicon Valley 'cero de fraude impulsado por tecnología'. FQHCs del Norte de CA enfrentan escrutinio elevado sobre facturación distante de telesalud, facturación incident-to PPS, esquemas de facturación aumentados por IA, e integridad de reclamos 340B.

Hecho Crítico de Cumplimiento FQHC: Los Anteojos NO Están en el Alcance de HRSA — Excluidos del Mandato de Tarifa Móvil, NO Facturables como Encuentro PPS

Según las Preguntas Frecuentes de Cumplimiento del Programa de Centros de Salud HRSA y el Capítulo 4 del Manual de Cumplimiento: los 'anteojos, audífonos y dentaduras' están explícitamente excluidos de los servicios en alcance. Implicaciones operativas críticas: (1) Las ventas de anteojos NO son facturables como tasa de encuentro a PPS. (2) Los anteojos NO están sujetos al mandato de tarifa móvil de HRSA. (3) Los fondos de subvención de HRSA NO pueden usarse para inventario de anteojos.

Ventana de Comentarios de ICR sobre Carga del Modelo de Reembolso 340B de HRSA Cierra el 27 de Abril — Segunda Ventana para FQHCs Después del Plazo Principal del 20 de Abril

HRSA publicó una Solicitud de Recopilación de Información (ICR) sobre la carga administrativa del Programa Piloto del Modelo de Reembolso 340B. Los comentarios sobre impacto operativo — flujo de trabajo de farmacia, costos de tiempo de personal, integración de TI — vencen el 27 de abril de 2026. Es una ventana distinta al plazo principal del 20 de abril. Los FQHCs deben usar esta segunda ventana para documentar el impacto.

OCR Resuelve 4 Casos HIPAA de Ransomware — $1.165M en Multas, 427K Pacientes Expuestos

El 23 de abril de 2026, la Oficina de Derechos Civiles del HHS anunció acuerdos con cuatro entidades de salud (Regional Women's Health Group/Axia Women's Health, Assured Imaging, Consociate Health, y Star Group LP Health Benefits Plan) por violaciones HIPAA de ransomware que afectaron a 427,000 pacientes. Multa total: $1,165,000 + planes de acción correctiva de 2 años. Causa raíz común en los cuatro casos: falta de análisis de riesgo preciso de la Regla de Seguridad. Implicación estratégica para los FQHC de CA: cada FQHC con OCHIN Epic, eClinicalWorks, NextGen, o athenahealth está dentro del alcance. Tres acciones protectoras no negociables: (1) análisis de riesgo de Regla de Seguridad documentado y actual, (2) inventario de todos los Acuerdos de Asociado Comercial con proveedores de PHI, (3) procedimientos de respaldo-restauración probados.

'Alerta Roja' de Sección 504 / WCAG 2.1AA — Interpretación de Cumplimiento Podría Ser Disputada en Semanas Finales Antes del 11 de Mayo

Una 'Alerta Roja' de Converge Accessibility del 22 de abril advierte que la interpretación de cumplimiento de la Regla de Sección 504 de HHS 'está en peligro' de disputa regulatoria en las semanas finales antes del plazo WCAG 2.1AA del 11 de mayo de 2026. Los FQHCs con 15+ empleados NO deben apostar a un retraso: remedien la accesibilidad del sitio web/móvil ahora.

Ventana de Comentarios del Piloto de Reembolso 340B de HRSA Cierra el 20 de Abril — AHA + NACHC Presentan Oposición; Plan de Novartis Entresto Activo el 1 de Abril

El período de comentarios del RFI del Modelo de Reembolso 340B Piloto de HRSA cerró el 20 de abril de 2026 con miles de comentarios presentados — AHA y NACHC presentaron oposición formal citando el riesgo de flujo de caja de FQHC. Por separado, Novartis lanzó su plan de reembolso de Entresto vigente el 1 de abril de 2026 — el 10mo programa de reembolso de fabricantes de medicamentos implementado antes del fallo del 4to Circuito.