RESOLUÇÃO NORMATIVA ANS Nº 630, DE 31 DE MARÇO DE 2025 (parte 4 de 23)

Verificar a realização da auditoria de sistemas de informação e se os relatórios e documentos produzidos contêm: (1) tópicos sobre confiabilidade e veracidade das informações; (2) a
avaliação dos resultados da auditoria; (3) No caso da auditoria externa: se as conclusões do auditor externo asseguram a conformidade legal e regulamentar; entre outros, (4) No caso da
auditoria interna: se as conclusões do auditor interno definem o nível de conformidade legal e regulamentar, entre outros .
. .
1.4.7
.A Operadora possui ambientes segregados para desenvolvimento, testes e disponibilização dos sistemas de TI. .
Complementar
. .Interpretação:
A operadora deverá manter ambientes segregados para desenvolvimento, testes, homologação e disponibilização visando garantir a estabilidade, segurança e qualidade dos sistemas de
informação, evitando o risco de introdução em produção de falhas de softwares ainda não testados ou homologados (ABNT, 2005).
. Possíveis Formas de Obtenção de Evidências:
Entre as possíveis formas de evidência a serem verificadas, destacam-se as seguintes:
1. Utilização das funções e dados em seus ambientes providos dos controles e segregações adequados;
2. Evidência de disponibilidade de dados para testes e homologações, sem prejuízo da confidencialidade exigida pelo negócio;
3. Evidência de conformidade às exigências legais;
. .4. Proteção do ambiente da produção contra acessos indevidos;
5. Verificação da confiabilidade dos resultados de testes e de homologações;
6. Evidência de instâncias de bancos de dados e de instalações de softwares separadas; entre outros.
. .
1.4.8
.Os sistemas, processos e infraestrutura de TI são consistentes e adequados às necessidades e às mudanças do modelo de negócio, tanto em circunstâncias
normais de operação quanto em períodos de estresse.
.Excelência
. Interpretação:
Este item está relacionado ao grau de maturidade da governança de tecnologia de informação onde a operadora deverá demonstrar que possui flexibilidade e escalabilidade de seus
sistemas e infraestrutura de TI, frente às mudanças necessárias em decorrência de situações onde um volume esperado de demandas aos sistemas da operada sejam excedidos, quer por
mudanças no modelo de negócios, ou períodos de estresse. Podem ser citados como exemplos:
. .(1) revisão de estratégias; (2) expansão para novos nichos de mercado; (3) reorganizações societárias; (4) lançamento de produtos; (5) mudança no modelo de remuneração de prestadores
de serviços - ex: modelo Fee For Service para DRG; (6) aumento significativo da taxa de inadimplências da carteira; (7) queda do volume de negócios; (8) mudança de legislação; (9) crise
sanitária e epidemias; entre outros. (BRODBECK,2003)
. Possíveis Formas de Obtenção de Evidências:
Entre as possíveis formas de evidência a serem verificadas, destacam-se as seguintes:
1. Documentos relativos ao PDTI - onde, por exemplo, poderá ser verificada a existência de item relativo à descrição e avaliação das condições dos sistemas, processos e
infraestrutura;
2. Relatório com os resultados da auditoria dos sistemas de informação;
3. Indicadores de disponibilidade dos sistemas;
. .4. Indicadores de satisfação dos usuários; etc.
. .
1.4.9
.A Operadora fornece serviços em canais digitais para seus contratantes, beneficiários e membros da rede de prestadores. .Excelência
. .Interpretação:
Serviços fornecidos através de websites ou aplicativos podem favorecer a rapidez, transparência e independência a contratantes, beneficiários e prestadores no atendimento a suas
necessidades de relacionamento com a operadora.
. .Possíveis Formas de Obtenção de Evidências:
Entre as possíveis formas de evidência a serem verificadas, destaca-se a disponibilidade ou existência de canais digitais e aplicativos.
. .1.5 Política de segurança e privacidade das informações
Interpretação:
Este requisito trata das diretrizes para a segurança e privacidade das informações a ser praticada pela operadora, alcançando colaboradores, a alta administração, atividades terceirizadas,
e no que couber prestadores de serviços de saúde da rede da operadora. Aborda ainda a relação entre operadoras de planos de assistência e administradoras de benefícios.
A análise do requisito deverá ainda verificar o atendimento à Lei Geral de Proteção de Dados (LGPD).
. .
1.5.1
.A Operadora possui uma Política de Segurança da Informação definida e divulgada entre seus colaboradores, gestores, administradores, direção e
conselheiros.
.Essencial
. Interpretação:
Uma política de segurança de informação é um instrumento de planejamento que deve prover a operadora de diretrizes para a segurança da informação, estabelecendo
responsabilidades e atitudes adequadas para manuseio, tratamento, controle e proteção contra a indisponibilidade, a divulgação, a modificação e o acesso não autorizado a dados e informações,
conferindo às operadoras a responsabilidade de zelar pela confidencialidade, integridade e disponibilidade dos dados e das informações.
. .Esta política pode compreender a elaboração de diretrizes nos seguintes campos: (a) Propriedade da Informação; (b) Classificação da informação; (c) Permissão e níveis de acesso; (d)
Responsabilidade sobre ativos de informação; (e) Gestão de continuidade de negócios (f) Monitoramento dos negócios de TI; (g) Monitoramento dos serviços e equipamentos; entre
outros.
(SCHNEIDER; SOUZA 2017) (ABNT, 2005) (ABNT, 2013)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência documentada da política de segurança de informação da operadora.
. .
1.5.2
.Os colaboradores, administradores e conselheiros assinam termo de confidencialidade das informações obtidas em razão da atividade desempenhada,
inclusive em caso de rescisão contratual.
.
Essencial
. Interpretação:
. O termo de confidencialidade de informação é individual e deve fazer referência à Política de Segurança da Informação da operadora, abrangendo colaboradores, administradores e
membros dos diversos conselhos. Entre as recomendações que podem estar expressas neste termos, destacam-se as seguintes: obrigatoriedade de guardar segredo de sua autenticação de
acesso (senha) ao ambiente computacional, não cedendo, não transferindo, não divulgando nem permitindo o seu conhecimento por terceiros, sendo responsável por todas as ações realizadas
através desse acesso; guardar sigilo e zelar pela privacidade das informações confidenciais a que tiver acesso, sem divulgá-las para pessoas não autorizadas; estar ciente de que as
responsabilidades dispostas no documento perdurarão inclusive após a cessação do vínculo contratual com a empresa e abrangem as informações de propriedade da organização.
. .Para ser efetivo, deve contemplar menção à responsabilidade dos usuários pelas consequências legais, inclusive por danos materiais ou financeiros, devidamente comprovados, em virtude da
não observância dos itens elencados.
. .Possíveis Formas de Obtenção de Evidências:
Verificar:
1. a existência e assinatura de termo de confidencialidade com colaboradores, administradores e conselheiros;
2. a existência e assinatura de termo de adesão à política de divulgação de informações;
3. cláusulas contratuais com previsão de punição/indenização em caso de descumprimento.
. .
1.5.3
.Os registros contendo a documentação cadastral da rede prestadora de serviço e as informações cadastrais e clínicas dos beneficiários são
armazenados de forma a garantir a sua disponibilidade, integridade e confidencialidade.
.
Essencial
. Interpretação:
Segundo os padrões internacionais, norma ISO/IEC 17799:2005(atualizada pela ISO/IEC 27002), a tríade CIA (Confidentiality, Integrity and Availability) - Confidencialidade, Integridade
e Disponibilidade - representa os principais atributos que orientam a análise, o planejamento e a implementação da segurança para um determinado grupo de informações que se deseja
proteger:
. Disponibilidade: propriedade que garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados pelo proprietário da
informação.
Outro atributo importante é a autenticidade, ou seja, a propriedade que garante que a informação é proveniente da fonte anunciada e que não foi alvo de alteração ao longo de
um processo;
. .Integridade: propriedade que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação, incluindo controle de
mudanças e garantia do seu ciclo de vida;
Confidencialidade: propriedade que limita o acesso à informação tão somente às entidades legítimas, ou seja, àquelas autorizadas pelo proprietário da informação.
. Possíveis Formas de Obtenção de Evidências:
Verificar a existência de:
1. Controles Físicos: barreiras que limitam o contato ou acesso direto à informação ou à infraestrutura que a suporta.
2. Mecanismos de segurança que apoiam os controles físicos: portas, trancas, paredes, blindagem, guardas, entre outros.
. .3. Controles lógicos: barreiras que impedem ou limitam o acesso à informação, que está em ambiente controlado, geralmente eletrônico, e que, de outro modo, ficaria exposta a alteração
não autorizada por elemento mal-intencionado.
4. Mecanismos de segurança que apoiam os controles lógicos: cifração ou encriptação, assinatura digital, controle de acesso (senhas, sistemas biométricos, firewalls), certificação;
Hash, entre outros.
. .
1.5.4
.Os contratos das atividades terceirizadas, incluindo contratos com as administradoras de benefícios, preveem a garantia da confidencialidade
das informações obtidas em razão da atividade desempenhada, inclusive em caso de rescisão contratual.
.Essencial
. Interpretação:
A decisão por terceirizar serviços deve ser precedida por uma rigorosa análise de riscos e benefícios, alinhada à visão estratégica da organização. A terceirização pode trazer benefícios
como: redução de despesas, foco em operações centrais, e vantagens competitivas em relação a preços e qualidade do serviço prestado. No entanto, também há riscos associados, entre
eles, riscos operacionais, risco com a segurança e com o controle.
. Particularmente na terceirização de serviços como, por exemplo, serviços de Tecnologia da Informação, as operadoras de planos privados de assistência à saúde devem implementar
medidas que visem a mitigar os riscos envolvidos, como por exemplo:
contratar empresas idôneas e com capacidade e conhecimento adequados ao trabalho a ser executado;
definir quais processos de trabalho devem efetivamente ser terceirizados;
. implementar mecanismos que permitam manter o controle sobre os processos de trabalho, como exigência de documentação, relatórios operacionais, estabelecimento de níveis
mínimos de qualidade;
elaborar contrato de prestação de serviços que defina de forma completa e objetiva todas as obrigações a serem cumpridas pela empresa terceirizada, em especial, cláusulas
referentes à obrigação de manter o sigilo e confidencialidade das informações, à continuidade dos serviços, e à exigência de cumprimento de níveis de qualidade preestabelecidos.
Especificamente no caso de Operadoras e Administradora de Benefícios, esta relação deverá estar estabelecida em contrato e em tal contrato deverá prever o estabelecido neste
item.
. Destaca-se que a atividade de Administradora de Benefício foi regulada pela ANS por intermédio de Resolução Normativa específica. Uma administradora de benefício deve possuir
autorização de funcionamento concedida pela ANS, com um número de registro ativo para exercer suas atividades. Dentre as atividades a serem desenvolvidas por uma Administradora
de Benefícios, elencam-se as seguintes:
I - promover a reunião de pessoas jurídicas contratantes na forma específica definida na legislação vigente;
. II - contratar plano privado de assistência à saúde coletivo, na condição de estipulante, a ser disponibilizado para as pessoas jurídicas legitimadas para contratar;
III - oferecer planos para associados das pessoas jurídicas contratantes;
IV - apoiar tecnicamente a discussão de aspectos operacionais, tais como: a) negociação de reajuste;
b) aplicação de mecanismos de regulação pela operadora de plano de saúde; e c) alteração de rede assistencial;
IV - apoiar a área de recursos humanos na gestão de benefícios do plano;
. VI - terceirizar serviços administrativos;
VII - realizar movimentação cadastral;
VIII - conferir faturas;
IX - realizar cobrança ao beneficiário por delegação;
X - realizar consultoria para prospectar o mercado, sugerir desenho de plano e modelo de gestão.
. Assim, a atividade desempenhada por uma administradora de benefícios proporciona acesso a uma grande quantidade de dados pessoais e confidenciais tanto de clientes quanto
a dados estratégicos, de competitividade e de mercado da própria operadora. Assim, a confidencialidade das informações obtidas em razão dessa atividade desempenhada deverá ser
objeto de tratamento e cláusula contratual específica.
Especificamente no caso de Operadoras e Administradoras de Benefícios:
. A cláusula/termo de confidencialidade das informações obtidas em razão da atividade desempenhada pela administradora de benefícios deverá contemplar os seguintes aspectos,
dentre outros:
Informações relativas aos dados cadastrais de beneficiários;
Informações relativas à condição de saúde de beneficiários;
Informações relativas aos dados cadastrais das pessoas jurídicas contratantes dos planos;
. Informações cadastrais dos associados das pessoas jurídicas contratantes;
Informações referentes aos aspectos operacionais dos planos;
Dados e informações referentes à gestão dos benefícios;
Dados de movimentação cadastral, faturas e cobranças; e
Dados estratégicos, de competitividade e de mercado da operadora.
. .No caso de a operadora não possuir nenhum serviço terceirizado, este item não será considerado na avaliação.
A análise do item deverá ainda verificar o atendimento à Lei Geral de Proteção de Dados (LGPD).
(FRAGA, 2017)
. .Possíveis Formas de Obtenção de Evidências:
Verificar os contratos com os terceirizados de forma a constatar a existência das cláusulas contratuais que garantam: (1) a confidencialidade das informações obtidas em razão da
atividade desempenhada; (2) exigências estabelecidas para a garantia da confidencialidade das informações em caso de rescisão contratual; e (3) as cláusulas contratuais com previsão de
indenização em caso de descumprimento. Também poderá ser evidenciada a existência e assinatura de termo de confidencialidade.
. .1.6 Gestão de Riscos Corporativos
. Interpretação:
As atividades envolvidas na Gestão de Riscos Corporativos devem contribuir para a perenidade da operadora, atendendo aos seus objetivos estatutários e estratégicos.
A Gestão de Riscos Corporativos permite que a alta administração e os gestores da organização lidem eficientemente com a incerteza e deve buscar o balanceamento entre
desempenho, retorno e riscos associados.
. A Gestão de Riscos Corporativos é composta por princípios, estrutura e processos desenhados para identificar e responder a eventos que possam afetar os objetivos da operadora.
Além disso, a Gestão de Riscos Corporativos deve atender alguns princípios, entre eles:
Proteger e criar valor para operadora;
Ser parte integrante de todos os processos organizacionais;
Ser considerada no processo de tomada de decisão;
. Abordar explicitamente a incerteza;
Basear-se nas melhores informações disponíveis;
Estar alinhada com os contextos internos e externos da operadora e com o perfil do risco, além de considerar os fatores humanos e culturais;
Ser transparente, inclusiva, interativa e capaz de reagir às mudanças;
Permitir a melhoria contínua dos processos da operadora.
. A Gestão de Riscos Corporativos deve ter por objetivo:
Uniformizar o conhecimento entre os administradores da Operadora quanto aos principais riscos das suas atividades;
Conduzir tomadas de decisões que possam dar tratamento e monitoramento dos riscos e consequentemente aperfeiçoar os processos organizacionais e controles internos da
operadora; e
Promover a garantia do cumprimento da missão da Operadora, sua continuidade e sustentabilidade alinhada aos seus objetivos estratégicos.
. O modelo de Gestão de Riscos Corporativos deve buscar quantificar as incertezas envolvidas na fase de planejamento e projetar os resultados da operadora em cenários alternativos
(simulações). Deve passar pela identificação de cada fator que pode afetar o desempenho da operadora e pela determinação de seus impactos no resultado.
O Gerenciamento dos Riscos Corporativos apoia a priorização e direciona os esforços para tratar os riscos, de acordo com a magnitude do risco. Há alternativas para o tratamento
(evitar o risco; aceitar o risco: retendo, reduzindo, mitigando, compartilhando ou explorando o risco; prevenção e redução dos danos; e capacitação dos envolvidos) e a elaboração de Plano
de Contingência. O plano deve conter os procedimentos e informações necessárias para a manutenção das atividades críticas diante de situações que afetem o funcionamento normal da
operadora.
. No caso de a Operadora pertencer a um grupo de sociedades de fato e de direito, a estrutura responsável pela gestão de riscos corporativos na operadora poderá estar vinculada
à estrutura da controladora. Tal estrutura deverá ter a expertise técnica acerca da Operação de Planos Privados de Assistência à Saúde e poderá executar operacionalmente a gestão de
risco, considerando as especificidades da Operadora e da regulamentação aplicável ao setor de saúde suplementar. Entretanto aspectos específicos de Gerenciamento de Riscos
Corporativos deverão ser executados e observados no nível da Operadora. Exemplos de aspectos específicos: (1) a existência de um gestor de riscos, (2) existência de um programa de
disseminação da cultura de riscos; e (3) existência de um plano de continuidade de negócios para a operadora.
. .A mesma recomendação se aplica ao caso das Cooperativas Médicas que utilizem a estrutura de suas Federações.
. O modelo de Gestão de Riscos Corporativos deve buscar quantificar as incertezas envolvidas na fase de planejamento e projetar os resultados da operadora em cenários alternativos
(simulações). Deve passar pela identificação de cada fator que pode afetar o desempenho da operadora e pela determinação de seus impactos no resultado.
O Gerenciamento dos Riscos Corporativos apoia a priorização e direciona os esforços para tratar os riscos, de acordo com a magnitude do risco. Há alternativas para o tratamento
(evitar o risco; aceitar o risco: retendo, reduzindo, mitigando, compartilhando ou explorando o risco; prevenção e redução dos danos; e capacitação dos envolvidos) e a elaboração de Plano
de Contingência. O plano deve conter os procedimentos e informações necessárias para a manutenção das atividades críticas diante de situações que afetem o funcionamento normal da
operadora.
. No caso de a Operadora pertencer a um grupo de sociedades de fato e de direito, a estrutura responsável pela gestão de riscos corporativos na operadora poderá estar vinculada
à estrutura da controladora. Tal estrutura deverá ter a expertise técnica acerca da Operação de Planos Privados de Assistência à Saúde e poderá executar operacionalmente a gestão de
risco, considerando as especificidades da Operadora e da regulamentação aplicável ao setor de saúde suplementar. Entretanto aspectos específicos de Gerenciamento de Riscos
Corporativos deverão ser executados e observados no nível da Operadora. Exemplos de aspectos específicos: (1) a existência de um gestor de riscos, (2) existência de um programa de
disseminação da cultura de riscos; e (3) existência de um plano de continuidade de negócios para a operadora.
. .A mesma recomendação se aplica ao caso das Cooperativas Médicas que utilizem a estrutura de suas Federações.
. .
1.6.1
.A Operadora conta com uma estrutura responsável pelo gerenciamento e avaliação dos riscos, encarregada pela Gestão de Riscos Corporativos e
promoção do seu desenvolvimento.
.Essencial
. Interpretação:
É importante que cada operadora tenha uma estrutura responsável pela Gestão dos Riscos Corporativos e pela promoção do seu desenvolvimento. Tal estrutura deverá contemplar
as especificidades da operadora, observando seus procedimentos de governança, sua estratégia geral de negócios e seus procedimentos operacionais.
. Cada um dos colaboradores e terceirizados de uma operadora deve ter a sua parcela de responsabilidade na Gestão dos Riscos Corporativos. A hierarquia máxima, ou seja, o
presidente executivo, deve ser o principal responsável, incentivando tal gestão com o apoio da diretoria. Os demais membros da operadora são responsáveis pela execução do
gerenciamento de riscos em cumprimento às diretrizes e protocolos estabelecidos na metodologia de Gestão de Riscos Corporativos da operadora.
. Conforme preconizado na ISO 31000:2018, o propósito da estrutura da gestão de riscos é apoiar a organização na integração da gestão de riscos em atividades significativas e
funções. A eficácia da gestão de riscos dependerá da sua integração na governança e em todas as atividades da organização, incluindo a tomada de decisão. Isto requer o apoio das partes
interessadas, em particular da alta direção. O desenvolvimento da estrutura engloba integração, concepção, implementação, avaliação e melhoria da gestão de riscos através da
organização.
. Não existe uma única forma de se implementar um modelo de Gestão de Riscos Corporativos e nem uma única estrutura adequada para tal. Entretanto, o importante para o
cumprimento deste item é verificar se na operadora existe uma estrutura responsável por tratar e criticar, qualitativa e quantitativamente, os riscos, identificando-os, avaliando-os,
calculando seus impactos de forma integrada, monitorizando-os e promovendo o desenvolvimento da cultura de Gestão de Riscos Corporativos por toda a operadora.
Assim, entende-se por estrutura responsável pela Gestão dos Riscos Corporativos o conjunto de componentes que fornecem os fundamentos e os arranjos organizacionais para a
concepção, implementação, monitoramento, análise crítica e melhoria contínua da gestão de riscos dentro de toda a operadora.
. Observa-se uma tendência pela criação de uma unidade responsável por esta função e esta unidade pode ser um departamento, núcleo, área específica ou unidade funcional
composta por representantes de diversas áreas (comitê). Deve ser verificado se a estrutura responsável tem uma função ativa (executiva) no processo decisório da operadora e se apoia
a tomada de decisão. É sugerido que tal estrutura seja coordenada pelo presidente ou um diretor executivo da operadora e tenha como membros o diretor financeiro, operacional,
assessores e outros responsáveis. A composição dependerá do nível de complexidade das operações da operadora.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, a estrutura responsável pela gestão de riscos corporativos na operadora poderá estar vinculada à
estrutura de Gestão de Riscos Corporativos da controladora. Entretanto, deverá haver um responsável pela gestão de risco na operadora, que fará a interface com a controladora
considerando o estabelecido nos itens de verificação, bem como as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação
se aplica ao caso das Cooperativas Médicas que utilizem a estrutura de suas Federações.
(IBGC, 2007a; 2015; 2017) (COSO, 2007) (EIOPA, 2014)
. .Possíveis Formas de Obtenção de Evidências:
Verificar evidências sobre a existência de uma estrutura responsável pela Gestão dos Riscos Corporativos e como se dá o seu desenvolvimento.
(IBGC, 2007a; 2017) (COSO, 2007) (EIOPA, 2014)
. .
1.6.2
.A Operadora possui metodologia de Gestão de Riscos Corporativos que contemple a identificação, classificação e o monitoramento dos seus riscos
corporativos.
.
Essencial
. Interpretação:
Por meio de uma metodologia de Gestão de Riscos Corporativos, a operadora deve reduzir a probabilidade e o impacto das perdas de eventos que possam afetar seus objetivos.
A metodologia deve ser um processo sistemático de identificação, classificação, monitoramento e melhoria dos processos por meio dos riscos identificados. A metodologia também pode
mapear eventuais oportunidades de ganhos. Trata-se, portanto, de um sistema integrado contendo diretrizes e protocolos aprovados, que auxilia a tomada de decisão e conduz ao alcance
dos objetivos estabelecidos no planejamento estratégico da operadora.
. A metodologia da Gestão de Riscos Corporativos deve ser um instrumento de tomada de decisão da administração da operadora e deve estar alinhada com o sistema de controles
internos. Logo, a consciência do risco e a capacidade de administrá-lo, aliadas à disposição de correr riscos e a de tomar decisões, são elementos-chave na gestão do risco.
. A metodologia deve ainda levar em consideração a complexidade da operação, natureza, escala e a cultura organizacional. Deve também contemplar as especificidades da
Operadora, observando seus procedimentos de governança, sua estratégia geral de negócios e seus procedimentos operacionais. Dessa forma é importante que a operadora tenha a prática
de considerar os riscos de forma estruturada no seu processo de decisão e deve tratá-los, identificá-los, avaliá-los e respondê-los de forma consistente com o modelo adotado. É preciso
ainda, que tal modelo sofra atualizações periódicas de acordo com as necessidades apontadas no monitoramento.
. Para efeitos desta resolução normativa, não foi estabelecido um modelo específico de gestão de risco a ser adotado pela operadora, como por exemplo o estabelecido pela ISO
31000 ou o modelo de Enterprise Risk Management - ERM estabelecido pelo Committee of Sponsoring Organizations of the Treadway Commission - COSO. De todo modo, a metodologia
deve prever:
Identificação dos riscos: Definição do conjunto de eventos, internos e/ou externos que podem impactar os objetivos da operadora.
. Classificação dos riscos: A classificação deve considerar as características de cada operadora e contemplar suas particularidades. Uma forma de categorização dos riscos consiste
na elaboração de uma matriz de riscos que considere a origem dos eventos (interno/externo), a natureza dos riscos (estratégico/operacional/financeiro) e a tipificação dos mesmos
(macroeconômico/tecnológico/legal/conformidade; entre outros).
Monitoramento dos riscos: É a avaliação contínua da adequação e da eficácia da metodologia de gestão de riscos e deve ocorrer de forma sistemática/periódica conforme definição
previamente estabelecida na metodologia.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, a metodologia de Gestão de Riscos Corporativos poderá ser estabelecida e executada pela estrutura
de Gestão de Riscos Corporativos vinculada à controladora. Entretanto, deverá haver um responsável pela gestão de risco na operadora, que fará a interface com a controladora
considerando o estabelecido nos itens de verificação, bem como as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação
se aplica ao caso das Cooperativas Médicas que utilizem a estrutura de suas Federações.
(IBGC, 2007a; 2015; 2017) (COSO, 2007) (EIOPA, 2014)
. .Possíveis Formas de Obtenção de Evidências:
A Análise de conformidade deste item deverá verificar a existência de metodologia de Gestão de Riscos Corporativos, que deve estar incorporada aos procedimentos de governança
da operadora, à sua estratégia geral de negócios e aos seus procedimentos operacionais.
. .
1.6.3
.A Operadora possui um Gestor de Riscos Corporativos formalmente nomeado responsável por supervisionar continuamente a sua Gestão de Riscos
Corporativos.
.
Complementar
. Interpretação:
O Gestor de Risco é o profissional que atua com independência dentro da operadora, com suficiente qualificação técnica e experiência, responsável por supervisionar continuamente
a Gestão de Riscos Corporativos da operadora.
Dentre as atribuições e responsabilidades de um Gestor de Riscos pode-se destacar as seguintes:
Monitoramento do Perfil de Risco e os níveis de exposição da operadora, verificando seu alinhamento com o apetite a Risco definido para a operadora;
. Avaliação periódica sobre a adequação da estrutura operacional e de controles internos da operadora para verificação da efetividade da política de Gestão de Riscos Corporativos
adotada;
Avaliação da metodologia e ferramentas utilizadas para a Gestão de Riscos Corporativos;
Acompanhamento da implementação de plano de ação ou medidas corretivas que visem sanar as deficiências apontadas;
. Obrigação de reportar à alta direção da operadora, de forma periódica e sempre que entender necessário, os resultados das análises da sua atuação, bem como qualquer
inadequação ou irregularidade observada na estrutura de Gestão de Riscos Corporativos da operadora.
. A Gestão de Riscos Corporativos é tema sensível e de extrema importância em qualquer organização, em especial para as Operadoras de Planos Privados de Assistência à Saúde.
Assim, mesmo que a Operadora pertença a um grupo de sociedades de fato e de direito que ofereça a estrutura, expertise técnica e execute operacionalmente a Gestão de Riscos
Corporativos, entende-se necessária a nomeação formal de um gestor responsável na Operadora. Tal gestor será o interlocutor que terá o conhecimento específico da Operação de Planos
Privados de Assistência à saúde, do Setor de Saúde Suplementar e das especificidades da Operadora (por exemplo: seus procedimentos de governança, sua estratégia geral de negócios
e seus procedimentos operacionais). A mesma recomendação também se aplica ao caso das Cooperativas Médicas que utilizam para determinados processos de trabalho a estrutura de
suas Federações.
. .(IBGC, 2007a; 2015; 2017) (COSO, 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de profissional contratado e sua constante atuação considerando as suas atribuições, responsabilidades, diretrizes e protocolos estabelecidos na política e
metodologia de Gestão de Riscos Corporativos da operadora.
. .
1.6.4
.A Operadora possui um programa para a implementação e disseminação da cultura de riscos entre seus colaboradores e terceirizados. .
Complementar
. Interpretação:
A cultura de riscos de uma operadora diz respeito ao conjunto de seus padrões éticos, valores, atitudes e comportamentos aceitos e praticados, e a disseminação da Gestão de Riscos
Corporativos como parte do processo de tomada de decisão em todos os níveis. Ela é estabelecida pelo discurso e pelo comportamento do Conselho de Administração e da diretoria e do
apetite a riscos estabelecido pela operadora.
. Cada um dos colaboradores e terceirizados da operadora deve ter definida e ser consciente acerca da sua parcela de responsabilidade na Gestão dos Riscos Corporativos.
Treinamentos e capacitação contínua devem ser evidenciados para toda a operadora.
. A Gestão de Riscos Corporativos é tema sensível e de extrema importância em qualquer organização, em especial para as Operadoras de Planos Privados de Assistência à Saúde.
Assim, mesmo que a Operadora pertença a um grupo de sociedades de fato e de direito que ofereça a estrutura, expertise técnica e execute operacionalmente a Gestão de Riscos
Corporativos, entende-se necessário que a Operadora possua um programa para a implementação e disseminação da cultura de riscos entre seus colaboradores e terceirizados. Tal
programa deverá contemplar as especificidades da Operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação também se aplica ao caso das
Cooperativas Médicas que utilizam para determinados processos de trabalho a estrutura de suas Federações.
. .(IBGC 2007a; 2017; 2017b) (COSO 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de um programa estruturado que implemente e promova a disseminação da Cultura de Gestão de Riscos Corporativos em toda a operadora. Tal programa
deverá contemplar as especificidades da operadora (por exemplo: seus procedimentos de governança, sua estratégia geral de negócios e seus procedimentos operacionais).
. .
1.6.5
.A Operadora possui processo consistente e abrangente de coleta tempestiva de informações e classificação de riscos operacionais. .
Complementar
. Interpretação:
Riscos Operacionais são os relacionados a perdas resultante de inadequações ou falhas na estrutura organizacional, sejam elas oriundas de sistemas, procedimentos, recursos
humanos, tecnológicos e pela perda de valores éticos e corporativos.
. .Os "eventos externos" abrangem eventos ocorridos externamente à operadora, como paralisações por motivo de tumultos, greves, rebeliões, atos terroristas, motins, catástrofes naturais,
incêndios, apagões e qualquer outro evento não diretamente relacionado às atividades da operadora e que possa causar falha ou colapso nos serviços essenciais ao desenvolvimento de
suas atividades.
Através da coleta dessas informações, a operadora terá condições de quantificar suas perdas operacionais, analisar as causas dessas perdas, aumentar a sua eficiência e,
consequentemente, reduzir seus custos operacionais, o que impactará diretamente no resultado, trazendo assim vantagens competitivas.
. A coleta dessas informações deve perpassar todas as linhas de negócio da operadora. As definições, categorizações e metodologias para registro deverão ser definidas pela própria
operadora de acordo com seu tamanho e a complexidade de suas operações. Entretanto, é importante que as informações contenham pelo menos a classificação do evento ocorrido, a
data de ocorrência do evento, a data da descoberta do evento, a causa e a quantificação da perda decorrente deste evento (valor monetário) de forma a ser possível uma análise que
também contemple a frequência e a severidade de ocorrência desses eventos.
. A Matriz de Riscos é uma ferramenta usual a ser considerada. Também conhecida como Matriz de Probabilidade e Impacto, é uma ferramenta visual que possibilita ver rapidamente
quais são os riscos que devem receber mais atenção. Na matriz, um risco é considerado por dois critérios: sua probabilidade de acontecer e o impacto que trará para a empresa. A Matriz
de Riscos é uma ferramenta que permite aos gestores mensurar, avaliar e ordenar os eventos de riscos que podem afetar o alcance dos objetivos da organização.
Além da Matriz de Riscos, existem outras ferramentas que realizam a análise dos modos de falha e seus efeitos a serem consideradas, tais como a Análise dos modos de falha e
seus efeitos (Failure Mode and Effect Analysis -FMEA) e Análise dos modos de falha, efeitos e criticalidade (Failure Mode, Effects and Criticality Analysis - FMECA).
. Exemplos de classificação de falhas: fraudes internas, fraudes externas, demandas trabalhistas e segurança deficiente do local de trabalho, práticas inadequadas relativas a clientes,
produtos e serviços, danos a ativos físicos próprios ou em uso pela instituição, situações que acarretem a interrupção das atividades da instituição, falhas em sistemas, processos ou
infraestrutura de tecnologia da informação e falhas na execução, no cumprimento de prazos ou no gerenciamento das atividades da operadora.
. Exemplos de classificação de causas: pessoas, processos, sistemas - TI, evento externo, outros. Importante ressaltar que o processo em questão esbarra na concepção geral da
resistência em reportar perdas por receio de admissão de erro e possível penalização pela liderança. Assim, é necessária a conscientização da importância do processo e a geração de valor
para a operadora de forma que os envolvidos enxerguem o processo como uma ferramenta para a melhoria de eficiência nas atividades executadas e não como uma eventual confissão
ou reconhecimento de conduta
. .No caso de a Operadora pertencer a um grupo de sociedades de fato e de direito, o processo consistente e abrangente de coleta tempestiva de informações e classificação de riscos
operacionais poderá ser estabelecido e executado pela estrutura de Gestão de Riscos Corporativos vinculados à controladora. Entretanto, deverá haver um responsável pela gestão de risco
na operadora, que fará a interface com a controladora de forma que este processo considere o estabelecido neste item de verificação, bem como as especificidades da Operadora e da
regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação se aplica ao caso das Cooperativas Médicas que utilizem a estrutura de suas Federações.
(EIOPA, 2014) (IBGC, 2007a; 2017) (COSO, 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de processo estruturado, que classifique os diversos tipos de eventos de riscos operacionais identificados pela operadora, tais como: fraudes internas e externas;
demandas trabalhistas e segurança deficiente do local de trabalho.
. .
1.6.6
.A Operadora identifica, classifica e agrega as perdas operacionais relevantes identificadas, efetuando a análise da causa raiz por meio
de Matriz de Risco e/ou programas específicos de Gestão de Risco.
.
Complementar
. Interpretação:
A classificação de "perda operacional relevante" deverá ser estabelecida pela própria operadora de acordo com seu tamanho e a complexidade de suas operações. O critério de
classificação deverá ser objetivo, estar documentado com o devido embasamento técnico, ser aprovado e revisto periodicamente pela alta direção da operadora.
Uma perda Operacional é o valor quantificável associado à falha, deficiência ou inadequação de processos internos, pessoas e sistemas, ou decorrente de fraudes ou eventos
externos.
. A causa raiz de uma perda não guarda relação de dependência com qualquer outra causa de perda identificada. Ou seja, não é necessário que nenhuma outra perda ocorra para
a sua concretização.
Os "eventos externos" abrangem eventos ocorridos externamente à operadora, como paralisações por motivo de tumultos, greves, rebeliões, atos terroristas, motins, catástrofes
naturais, incêndios, apagões e qualquer outro evento não diretamente relacionado às atividades da operadora e que possa causar falha ou colapso nos serviços essenciais ao
desenvolvimento de suas atividades.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, o estabelecido no item poderá ser executado pela estrutura de Gestão de Riscos Corporativos vinculada
à controladora. Entretanto, deverá haver um responsável pela gestão de risco na operadora, que fará a interface com a controladora de forma que este processo considere o estabelecido
neste item de verificação, bem como as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação se aplica ao caso das
Cooperativas Médicas que utilizem a estrutura de suas Federações.
(EIOPA 2014) (IBGC 2007a;2017) (COSO 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de documentos ou relatórios contendo a identificação, classificação das causas e agregação das perdas operacionais que são classificadas como relevantes para
a operadora. Evidências com a identificação e análise da causa raiz também deverão ser efetuadas e documentadas pela operadora e verificadas pela auditoria da entidade
acreditadora.
. .
1.6.7
.A Operadora possui um Plano de Continuidade de Negócios visando a manutenção das atividades em caso de catástrofes ou outras
situações que possam afetar o seu funcionamento.
.
Complementar
. Interpretação:
A operadora deve prever procedimentos e ações a serem executadas de forma a manter suas atividades críticas diante de situações que afetem o seu funcionamento normal.
Os Riscos que possam ocasionar a interrupção total ou a redução significativa das atividades da operadora, ou seja, um nível de risco considerado inaceitável deverá ser mitigado
através de um Plano de Continuidade de Negócios.
. A Gestão de Riscos Corporativos é tema sensível e de extrema importância em qualquer organização, em especial para as Operadoras de Planos Privados de Assistência à Saúde.
Assim, mesmo que a Operadora pertença a um grupo de sociedades de fato e de direito que ofereça a estrutura, expertise técnica e execute operacionalmente a Gestão de Riscos
Corporativos, entende-se necessário que a operadora possua um Plano de Continuidade de Negócios visando a manutenção das atividades em caso de catástrofes ou outras situações que
possam afetar o funcionamento da Operadora. Tal plano deverá contemplar as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma
recomendação também se aplica ao caso das Cooperativas Médicas que utilizam para determinados processos de trabalho a estrutura de suas Federações.
. .(COSO, 2007) (IBCG, 2007a; 2017)
. Possíveis Formas de Obtenção de Evidências:
Verificar a existência do Plano de Continuidade de Negócios formalmente documentado contendo no mínimo os seguintes itens:
1. definição de papéis e responsabilidades dos envolvidos;
2. nível mínimo de operação e prazo máximo de retorno ao funcionamento normal;