Евгений

Можно резать скоуп задач. Если нормально договариваться с заказчиком, то в этом нет ничего страшного.
А вообще оценку лучше проводить по методу 3 точек. И то, номальной точности можно добиться только на уже отаботанных задачах и при условии полного и неизменного ТЗ. Что очень редко бывает.

1. Вся работа по ТЗ разбивается на "дерево" подзадач.
2. Каждый ответственный работник за свою задачу определяет сложность своей подзадачи (от 0..5: 0 - обычная сложность, 1 - повышенная и т.д.) и проставляет планируемое время реализации.
3. Базовые задачи - всегда имеют фиксированное время и эта база накапливается постепенно от проекта к проекту.
4. Определяются критические задачи на стыках между основными этапами и под них закладывается ещё 30% времени (только под эти этапы, а не под весь проект!).
5. Добавляется время на реализацию в зависимости от коэф. в п.2

Итоговая конечная максимальная продолжительность выполнения проекта (когда уже есть проект и последовательность исполнения задач) и будет окончательным сроком для заказчика.

AAA (Authorization, Authentication, Accounting, не имею в виду семейство протоколов, а саму идею) - это всегда отдельная тяжелая служба, потому что высокая связность и зависимость других служб не входят в парадигму микросервисов.
Лучше всего себя показывает такой подход (AWS IAM, фейсбучная проверка доступа, тысячи их): отдельный сервис для работы с ACL, непосредственно контроль доступа - на стороне микросервисов.
Формат ACL можете честно стырить у IAM: на каждый тип объектов - базовые active,owner,read,edit и присущие этому типу, все ID объектов в одном формате и биективны, записи по каждому виду доступа в двух видах: Permission - ID (например для владельца) и Permission - ID List.
Непосредственно контроль доступа - на стороне микросервисов без выноса в отдельные сущности. Доступ проверяется по ID объекта, инициализирующего действие, по надобности ещё проверяются и его группы.
На вашем примере: PatientTHX1138, врач DoctorMengl создает карту о визите Case23523 и анализы Test991235-991237. У каждого анализа есть права на чтение/изменение всех его данных (для пациента/его лечащих врачей) или только даты приёма, кабинета и проводящего врача (для ресепшна). Дело передаётся отдельной функцией путем замены в ACL владельца, предыдущий врач в зависимости от причины передачи либо лишается доступа (увольнение/отстранение), либо получает доступ на чтение в обычном случае передачи, либо получает доступ на запись в случае передачи внутри группы врачей. Аналогичная ситуация с разным уровнем доступа для врачей и ресепшна у самого визита и пациента (ресепшну вряд ли надо знать, какого размера камень в почках).