RESOLUÇÃO NORMATIVA ANS Nº 630, DE 31 DE MARÇO DE 2025 (*) (parte 15 de 19)

O ambiente organizacional é permeado por uma complexa rede de expectativas e percepções individuais e coletivas que influenciam o comportamento dos colaboradores. Assim, a
realização de uma pesquisa de clima organizacional é uma boa prática a ser realizada pelas operadoras e deve ter por objetivo a identificação dos pontos críticos que necessitam de
implementação de melhorias para o atingimento de um melhor clima organizacional.
. .A operadora deve realizar pesquisa de clima organizacional, contemplando plano de ação, que deverá ser devidamente documentado, com a designação do(s) responsável(is) pela sua
implementação e possuir metas e prazos para a implementação das melhorias identificadas como necessárias, além de estar vinculado aos objetivos estratégicos da operadora - quando
couber.
A análise dos resultados da pesquisa de clima organizacional deve ser realizada também considerando a perspectiva de gênero, de raça e de pessoa com deficiência.
(NEGRÃO, 2017)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a realização da pesquisa de clima organizacional, a existência da sua devida documentação (entrevistas, questionários, relatórios consolidados com a compilação e análise dos
resultados, etc.), incluindo a proposição de ações no plano de ação elaborado a partir dos resultados apurados.
Relatórios e atas de reuniões, registros de implementação/alteração de rotinas, entrevistas com colaboradores são possíveis exemplos de formas de evidência deste item.
. .
1.3.8
.A Operadora exclusivamente odontológica possui um Programa de Saúde do Trabalhador que englobe Programa de Saúde Ocupacional, Programa de Qualidade de
Vida, Bem- Estar e Saúde Mental dos trabalhadores.
.
Excelência
. Interpretação:
Empregadores e instituições que admitem trabalhadores como colaboradores são obrigados a elaborarem e implementarem o Programa de Controle Médico de Saúde Ocupacional -
PCMSO e o Programa de Prevenção de Riscos Ambientais - PPRA. Este item requer que além dos programas anteriormente mencionados, o Programa de Saúde do Trabalhador da Operadora
contemple aspectos referente à Saúde Ocupacional e de Qualidade de Vida, Bem-Estar e Saúde Mental.
. Esta integração de programas pode trazer benefícios em termos de custos diretos (assistência médica e odontológica) ou indiretos (produtividade, absenteísmo) às operadoras
(OGATA, 2015).
O programa direcionado aos colaboradores deverá ter seus critérios definidos pela operadora. Alguns exemplos são citados a seguir: (1) ações de qualidade de vida e bem-estar (2)
ações de saúde mental; (3) Ginástica laboral; (4) Formação de gestores para mediação de conflitos; (5) Incentivo à participação de colaboradores em atividades culturais; (6) Programas de
combate ao tabagismo e abuso do consumo de álcool; (7) Combate ao sedentarismo com incentivos à realização de atividades físicas; entre outros.
. .Esses programas poderão ser executados através de uma área específica ou por meio de comitês/grupos internos na operadora supervisionados pelo departamento de gestão de pessoas
e incentivados pela alta direção.
Observação: O PCMSO é estabelecido na Norma Regulamentadora nº 07, aprovada pela Portaria SEPRT/ME nº 6.734, de 09 de março de 2020.
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência do Programa de Saúde do Trabalhador e se este engloba aspectos referente à Saúde Ocupacional e de Qualidade de Vida, Bem-Estar e Saúde Mental.
Verificar a existência de controles e evidências de participação dos colaboradores nas atividades definidas.
. .
1.3.9
.A Operadora exclusivamente odontológica possui programa ou ações institucionalizadas de incentivo à inovação e manifestação de ideias. .
Excelência
. Interpretação:
A operadora deve apresentar sistemas de incentivos a ideias que gerem resultados em inovação. Destaca-se, ainda, que a criatividade é apontada por especialistas como uma das
importantes alavancas da inovação. Encorajar a criatividade pressupõe características organizacionais facilitadoras e requer práticas de gestão de pessoas que incorporem essa perspectiva.
Os programas de incentivo à inovação e manifestação de ideias, devem ser baseados no planejamento estratégico da operadora, onde os temas mais relevantes deverão ser definidos
(PAROLIN, 2010).
. Tais programas, podem considerar as seguintes ações elencadas a seguir:
Canal de sugestões de colaboradores e Programa de ideias;
Fluxo de análise de sugestões;
Programa de incentivos à Criatividade;
Realização de concurso interno para Prêmios em Inovação entre os colaboradores;
. . Formação de Grupos de Trabalho ou comitês para o tratamento das manifestações encaminhadas.
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência documentada do programa ou de ações institucionalizadas de incentivo à inovação e manifestação de ideias e se estes são embasados no planejamento
estratégico da operadora.
. .1.4 Tecnologia da Informação
. Interpretação:
A aplicação de recursos tecnológicos e organizacionais na construção de capacidades de Tecnologia de Informação (TI) pode contribuir significativamente para o desempenho das
operadoras exclusivamente odontológicas. Este requisito procura identificar como a operadora gerencia este importante ativo e minimiza os riscos de falha no funcionamento devido a
imprevistos e às situações mais emergenciais, além de questões envolvendo a escalabilidade de recursos de infraestrutura.
. Com o desenvolvimento das tecnologias que utilizam Inteligência Artificial (IA), foram ampliadas suas possibilidades de uso na saúde, incluindo rotinas de agendamentos, processo
de check-in do paciente, antecipação de documentação para procedimentos, auxílio no diagnóstico e tratamento de doenças, monitoramento das condições de saúde, entre outros. Além
do apoio à prática do cuidado em saúde, a IA também pode apoiar diversas ações como a vigilância de doenças, gestão de sistemas, auditoria e pesquisas.
. .Embora as novas tecnologias que usam IA sejam muito promissoras para as práticas de gestão e assistenciais no campo da saúde, se mal utilizadas podem ocasionar riscos e danos.
Diferentes ferramentas e sistemas informatizados de IA se valem de algoritmos para a tomada de decisões. Nesse contexto, tem se ampliado o debate e as regulamentações em torno da
responsabilização e do uso ético da IA, buscando promover a clareza e compreensão de como as decisões são formuladas (ANJOS, 2019; WHO, 2021; FRAJHOF, 2021; ALETEIA, 2024; BRASIL,
2024a; 2024b; UNIÃO EUROPEIA, 2024).
Desse modo, a operadora deve considerar os aspectos éticos no uso de diferentes ferramentas de TI, incluindo as de Inteligência Artificial (IA).
. .
1.4.1
.A Operadora exclusivamente odontológica possui plano diretor de tecnologia da informação alinhado ao planejamento estratégico para disponibilizar recursos a fim
de atender às necessidades tecnológicas e de informação da organização.
.
Essencial
. Interpretação:
O Plano Diretor de Tecnologia da Informação (PDTI) é um instrumento de diagnóstico, planejamento e gestão dos recursos e processos de tecnologia da informação, que visa atender
às necessidades tecnológicas e de informação de uma organização, para um determinado período, devendo estar alinhado ao planejamento estratégico e fornecer informações relevantes para
o processo de tomada de decisão.
O PDTI permite otimizar a gestão e antecipar o futuro, orientando e priorizando as atividades e projetos de TI necessários para atender ao planejamento estratégico da
organização.
. É recomendável que o PDTI contemple os seguintes itens:
1. Histórico, contexto em torno do seu desenvolvimento e as mudanças ocorridas;
2. Descrição e avaliação das condições de instalações, recursos e de pessoal;
3. Referencial estratégico;
4. Inventário das necessidades apuradas;
. .5. Definição das responsabilidades;
6. Plano de metas, ações, orçamento, gestão dos recursos, investimento, custeio e gestão de riscos;
7. Fatores críticos de sucesso para a sua implementação;
8. Plano de Contingência para a garantia de condições mínimas de operação.
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência documentada do PDTI e o seu alinhamento ao planejamento estratégico da organização. O PDTI deverá ser revisto, no mínimo, quando da atualização do
planejamento estratégico da operadora.
. .
1.4.2
.O plano diretor de tecnologia da Informação contempla a existência de mecanismos tecnológicos para proteção de informações sensíveis de cadastro e transações
operacionais.
.
Essencial
. Interpretação:
O PDTI deverá prever os mecanismos tecnológicos que asseguram a proteção/integridade das informações geradas internamente e aquelas proveniente de beneficiários e prestadores
por intermédio do padrão TISS. Informações sensíveis não devem ser apropriadas pela concorrência ou pelo público em geral. Exemplo de informações consideradas sensíveis: dados clínicos,
ligados à condição de saúde, cadastro e diagnósticos dos beneficiários, valores monetários, cadastro de colaboradores e transações operacionais.
. .Há algumas técnicas de criptografia para comunicação e modelos de "anoniminização" de dados. Cabe registrar que segurança de informação envolve etapas de planejamento,
monitoramento e gerenciamento, entre outras funções.
Algumas práticas recomendáveis em relação a gestão de dados e troca de informações envolvem a gestão dos dados e certificação digital.
A análise do item deverá ainda verificar o atendimento à Lei Geral de Proteção de Dados (LGPD).
(Valle, 2010).
. Possíveis Formas de Obtenção de Evidências:
Os auditores deverão considerar as evidências da adoção de práticas recomendáveis em relação ao seguintes aspectos:
- Gestão dos dados: Os auditores deverão verificar, entre outras ações se a operadora possui uma política de segurança de dados; utiliza criptografia para proteger dados sensíveis,
possui controle de acesso aos sistemas por usuário e senha; se os perfis de acesso são revisados periodicamente para evitar acessos indevidos.
. .Aliado a isso, os auditores deverão realizar uma avaliação de documentos (política); solicitar a apresentação de arquivos criptografados e a exemplificação da tecnologia utilizada; realizar
uma verificação de sistemas utilizados pela operadora; solicitar relatórios de revisão de acesso, registro dos logs de acessos e tentativas de acesso ao sistema de informação.
- Troca de informações: Os auditores deverão verificar ainda se a operadora possui Certificado Digital instalado em seu servidor para Troca de Informações com os prestadores
conveniados e a familiaridade da operadora com as determinações da ANS quanto aos componentes do TISS, os quais são periodicamente atualizados no portal da ANS na internet.
. .
1.4.3
.O plano diretor de tecnologia da Informação contempla plano de contingência de serviços de TI para garantir a disponibilidade dos serviços em situações
emergenciais.
.
Essencial
. .Interpretação:
O Plano de Contingência visa a manutenção e disponibilidade dos serviços da operadora no caso de situações emergenciais e deve fazer parte da gestão de segurança da operadora
complementando desta maneira o planejamento estratégico. Nele são especificados procedimentos preestabelecidos que deverão ser observados nas tarefas de recuperação do ambiente de
sistemas e negócio, de modo a diminuir o impacto causado por incidentes que não possam ser evitados pelas medidas de segurança em vigor. (AMARO, 2004; EIOPA, 2014)
. .Possíveis Formas de Obtenção de Evidências:
Verificar se o PDTI contempla plano de contingência de serviços de TI que garantam a disponibilidade dos serviços em situações emergenciais.
. .
1.4.4
.A Operadora exclusivamente odontológica utiliza sistemas automatizados e documentados nos principais processos operacionais. .
Complementar
. Interpretação:
Sistemas Automatizados fazem uso de técnicas que têm como objetivo otimizar tempo, reduzir custos e focar na qualidade de um bem ou serviço que está se produzindo ou
prestando.
. A operadora deverá definir os principais processos a serem automatizados, justificando como estes processos foram definidos, os critérios para determinação do grau de
automatização e o alinhamento da decisão à sua estratégia de negócios. Cabe ressaltar que os riscos da automatização também deverão ser avaliados e mitigados e que todo esse processo
deverá estar devidamente documentado e embasado. Citam-se alguns processos passíveis de automatização: (1) autorização de eventos assistenciais; (2) cadastramento de prestadores
conveniados; (3) atendimento ao beneficiário; (4) registro do faturamento; (5) recebimento de guias e pagamento (prestadores e reembolso); (6) elegibilidade do beneficiário; entre
outros.
. .É possível que um processo principal contenha diversos processos críticos ou chaves. Os processos críticos são aqueles que têm impacto na realização de metas e objetivos, ao passo que
os processos chaves são os mais relevantes do ponto de vista da satisfação do cliente interno ou externo. Pode ser que nem todos os processos sejam passíveis de automatização ou ainda,
que existam etapas de um processo onde não é recomendável a automatização (RODRIGUES, 2011).
. Possíveis Formas de Obtenção de Evidências:
Verificar a utilização de sistemas automatizados e documentados nos principais processos operacionais. Os auditores deverão verificar como foram definidos os principais processos
operacionais, justificando, ainda, os critérios adotados para definir o grau de automatização, considerando o perfil da operadora e a estratégia de negócios da mesma.
São formas possíveis de evidência:
1. Relatório de mapeamento dos processos da operadora;
. .2. Informação documentada dos processos automatizados, contendo seu objetivo, fato gerador, atividades que transformam esse fato gerador, tomadas de decisão sobre o que fazer com
os dados e informações que estão percorrendo o fluxo;
3. Entrevistas com gestores e colaboradores sobre o grau de automatização atingido;
4. Verificação do percentual de processos passíveis de automatização; entre outros.
. .
1.4.5
.
A Operadora exclusivamente odontológica possui política de controle da Qualidade dos Dados.
.
Complementar
. .Interpretação:
Para que os dados coletados ou produzidos possam ser usados como informações úteis, sem erros que venham a comprometer o atendimento a seus beneficiários, sua relação com
prestadores, seu processo de tomada de decisão e suas obrigações frente à regulação, as operadoras devem formular políticas de controle de qualidade que garantam a integridade, segurança
e fidedignidade desses dados, abrangendo os processos de captação, produção, armazenamento, uso e disseminação de informações (SUSEP, 2014).
. Possíveis Formas de Obtenção de Evidências:
Verificar a existência de documentação acerca do controle da qualidade de dados utilizados na operadora, destacando-se:
1. Documento formal contendo política com diretrizes da operadora em relação ao controle da qualidade de dados;
2. Documentos específicos determinados em acordos entre o setor de TI e os outros setores da operadora; e
. .3. Evidência de controles de captação e do desenvolvimento de sistemas de armazenamento físico dos dados, incluindo mecanismo de consulta, alterações e reportes, além das definições
relativas à segurança lógica destes sistemas.
. .
1.4.6
.A Operadora exclusivamente odontológica realiza auditoria interna e/ou externa de sistemas de informação. .
Complementar
. Interpretação:
Visando garantir a qualidade de seus sistemas de informação, a redução de riscos na operação e a proteção de seus ativos informacionais, as operadoras devem realizar
sistematicamente auditorias especializadas de TI (internas ou externas) em seus sistemas, processos, operações e atividades de gestão e tomada de decisão. A auditoria deverá verificar a
aderência à Política de Tecnologia da Operadora bem como o atendimento às imposições legais e regulatórias.
. .A Política de Tecnologia da Operadora deverá conter as diretrizes de seleção, adoção, utilização e operação dos recursos de tecnologia da informação para atender a demandas regulatórias,
de clientes internos e externos e decorrentes de estratégias e objetivos de negócio da organização.
Cabe registrar que a auditoria externa de sistemas é independente e que a auditoria interna é realizada por profissionais ligados à operadora.
(ABNT, 2005; JULIANI, 2017)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a realização da auditoria de sistemas de informação e se os relatórios e documentos produzidos contêm: (1) tópicos sobre confiabilidade e veracidade das informações; (2)
a avaliação dos resultados da auditoria; (3) No caso da auditoria externa: se as conclusões do auditor externo asseguram a conformidade legal e regulamentar; entre outros, (4) No caso da
auditoria interna: se as conclusões do auditor interno definem o nível de conformidade legal e regulamentar, entre outros.
. .
1.4.7
.A Operadora exclusivamente odontológica possui ambientes segregados para desenvolvimento, testes e disponibilização dos sistemas de TI. .
Complementar
. .Interpretação:
A operadora deverá manter ambientes segregados para desenvolvimento, testes, homologação e disponibilização visando garantir a estabilidade, segurança e qualidade dos sistemas
de informação, evitando o risco de introdução em produção de falhas de softwares ainda não testados ou homologados (ABNT, 2005).
. Possíveis Formas de Obtenção de Evidências:
Entre as possíveis formas de evidência a serem verificadas, destacam-se as seguintes:
1. Utilização das funções e dados em seus ambientes providos dos controles e segregações adequados;
2. Evidência de disponibilidade de dados para testes e homologações, sem prejuízo da confidencialidade exigida pelo negócio;
3. Evidência de conformidade às exigências legais;
. .4. Proteção do ambiente da produção contra acessos indevidos;
5. Verificação da confiabilidade dos resultados de testes e de homologações;
6. Evidência de instâncias de bancos de dados e de instalações de softwares separadas; entre outros.
. .
1.4.8
.Os sistemas, processos e infraestrutura de TI são consistentes e adequados às necessidades e às mudanças do modelo de negócio, tanto em circunstâncias normais
de operação quanto em períodos de estresse.
.
Excelência
. Interpretação:
. .Este item está relacionado ao grau de maturidade da governança de tecnologia de informação onde a operadora deverá demonstrar que possui flexibilidade e escalabilidade de seus sistemas
e infraestrutura de TI, frente às mudanças necessárias em decorrência de situações onde um volume esperado de demandas aos sistemas da operada sejam excedidos, quer por mudanças
no modelo de negócios, ou períodos de estresse. Podem ser citados como exemplos: (1) revisão de estratégias; (2) expansão para novos nichos de mercado; (3) reorganizações societárias;
(4) lançamento de produtos; (5) mudança no modelo de remuneração de prestadores de serviços - ex: modelo Fee For Service para pagamento por performance ou Bundle; (6) aumento
significativo da taxa de inadimplências da carteira; (7) queda do volume de negócios; (8) mudança de legislação; (9) crise sanitária e epidemias; entre outros (BRODBECK, 2003).
. Possíveis Formas de Obtenção de Evidências:
Entre as possíveis formas de evidência a serem verificadas, destacam-se as seguintes:
1. Documentos relativos ao PDTI - onde, por exemplo, poderá ser verificada a existência de item relativo à descrição e avaliação das condições dos sistemas, processos e
infraestrutura;
2. Relatório com os resultados da auditoria dos sistemas de informação;
. .3. Indicadores de disponibilidade dos sistemas;
4. Indicadores de satisfação dos usuários; etc
. .
1.4.9
.A Operadora exclusivamente odontológica fornece serviços em canais digitais para seus contratantes, beneficiários e membros da rede de prestadores. .
Excelência
. .Interpretação:
Serviços fornecidos através de websites ou aplicativos podem favorecer a rapidez, transparência e independência a contratantes, beneficiários e prestadores no atendimento a suas
necessidades de relacionamento com a operadora.
. .Possíveis Formas de Obtenção de Evidências:
Entre as possíveis formas de evidência a serem verificadas, destaca-se a disponibilidade ou existência de canais digitais e aplicativos.
. 1.5 Política de segurança e privacidade das informações
Interpretação:
Este requisito trata das diretrizes para a segurança e privacidade das informações a ser praticada pela operadora, alcançando colaboradores, a alta administração, atividades
terceirizadas, e no que couber prestadores de serviços de saúde da rede da operadora exclusivamente odontológica. Aborda ainda a relação entre operadoras exclusivamente odontológicas
e administradoras de benefícios.
. .A análise do requisito deverá ainda verificar o atendimento à Lei Geral de Proteção de Dados (LGPD).
. .
1.5.1
.A Operadora exclusivamente odontológica possui uma Política de Segurança da Informação definida e divulgada entre seus colaboradores, gestores, administradores,
direção e conselheiros.
.
Essencial
. Interpretação:
Uma política de segurança de informação é um instrumento de planejamento que deve prover a operadora de diretrizes para a segurança da informação, estabelecendo
responsabilidades e atitudes adequadas para manuseio, tratamento, controle e proteção contra a indisponibilidade, a divulgação, a modificação e o acesso não autorizado a dados e
informações, conferindo às operadoras a responsabilidade de zelar pela confidencialidade, integridade e disponibilidade dos dados e das informações.
. .Esta política pode compreender a elaboração de diretrizes nos seguintes campos: (a) Propriedade da informação; (b) Classificação da informação; (c) Permissão e níveis de acesso; (d)
Responsabilidade sobre ativos de informação; (e) Gestão de continuidade de negócios (f) Monitoramento dos negócios de TI; (g) Monitoramento dos serviços e equipamentos; entre
outros.
(SCHNEIDER; SOUZA, 2017) (ABNT, 2005) (ABNT, 2013)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência documentada da política de segurança de informação da operadora.
. .
1.5.2
.Os colaboradores, administradores e conselheiros assinam termo de confidencialidade das informações obtidas em razão da atividade desempenhada, inclusive em caso de
rescisão contratual.
.
Essencial
. Interpretação:
O termo de confidencialidade de informação é individual e deve fazer referência à Política de Segurança da Informação da operadora, abrangendo colaboradores, administradores e
membros dos diversos conselhos.
. Entre as recomendações que podem estar expressas neste termos, destacam-se as seguintes: obrigatoriedade de guardar segredo de sua autenticação de acesso (senha) ao ambiente
computacional, não cedendo, não transferindo, não divulgando nem permitindo o seu conhecimento por terceiros, sendo responsável por todas as ações realizadas através desse acesso;
guardar sigilo e zelar pela privacidade das informações confidenciais a que tiver acesso, sem divulgá-las para pessoas não autorizadas; estar ciente de que as responsabilidades dispostas no
documento perdurarão inclusive após a cessação do vínculo contratual com a empresa e abrangem as informações de propriedade da organização.
. .Para ser efetivo, deve contemplar menção à responsabilidade dos usuários pelas consequências legais, inclusive por danos materiais ou financeiros, devidamente comprovados, em virtude
da não observância dos itens elencados.
. .Possíveis Formas de Obtenção de Evidências:
Verificar:
1. a existência e assinatura de termo de confidencialidade com colaboradores, administradores e conselheiros;
2. a existência e assinatura de termo de adesão à política de divulgação de informações;
3. cláusulas contratuais com previsão de punição/indenização em caso de descumprimento.
. .
1.5.3
.Os registros contendo a documentação cadastral da rede prestadora de serviço e as informações cadastrais e clínicas dos beneficiários são armazenados de forma a garantir
a sua disponibilidade, integridade e confidencialidade.
.
Essencial
. Interpretação:
Segundo os padrões internacionais, norma ISO/IEC 17799:2005 (atualizada pela ISO/IEC 27002), a tríade CIA (Confidentiality, Integrity and Availability) - Confidencialidade, Integridade
e Disponibilidade
- representa os principais atributos que orientam a análise, o planejamento e a implementação da segurança para um determinado grupo de informações que se deseja proteger:
. Confidencialidade: propriedade que limita o acesso à informação tão somente às entidades legítimas, ou
seja, àquelas autorizadas pelo proprietário da informação.
Integridade: propriedade que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação, incluindo controle de
mudanças e garantia do seu ciclo de vida;
. .Disponibilidade: propriedade que garante que a informação esteja sempre disponível para o uso legítimo, ou seja, por aqueles usuários autorizados pelo proprietário da informação;
Outro atributo importante é a autenticidade, ou seja, a propriedade que garante que a informação é proveniente da fonte anunciada e que não foi alvo de alteração ao longo de um
processo.
. Possíveis Formas de Obtenção de Evidências:
Verificar a existência de:
1. Controles Físicos: barreiras que limitam o contato ou acesso direto à informação ou à infraestrutura que a suporta.
2. Mecanismos de segurança que apoiam os controles físicos: portas, trancas, paredes, blindagem, guardas, entre outros.
. .3. Controles lógicos: barreiras que impedem ou limitam o acesso à informação, que está em ambiente controlado, geralmente eletrônico, e que, de outro modo, ficaria exposta a alteração
não autorizada por elemento mal-intencionado.
4. Mecanismos de segurança que apoiam os controles lógicos: cifração ou encriptação, assinatura digital, controle de acesso (senhas, sistemas biométricos, firewalls), certificação;
Hash, entre outros.
. .
1.5.4
.Os contratos das atividades terceirizadas, incluindo contratos com as administradoras de benefícios, preveem a garantia da confidencialidade das informações
obtidas em razão da atividade desempenhada, inclusive em caso de rescisão contratual.
.
Essencial
. Interpretação:
A decisão por terceirizar serviços deve ser precedida por uma rigorosa análise de riscos e benefícios, alinhada à visão estratégica da organização. A terceirização pode trazer benefícios
como: redução de despesas, foco em operações centrais, e vantagens competitivas em relação a preços e qualidade do serviço prestado. No entanto, também há riscos associados, entre
eles, riscos operacionais, risco com a segurança e com o controle.
. Particularmente na terceirização de serviços como, por exemplo, serviços de Tecnologia da Informação, as operadoras de planos privados de assistência à saúde devem implementar
medidas que visem a mitigar os riscos envolvidos, como por exemplo:
contratar empresas idôneas e com capacidade e conhecimento adequados ao trabalho a ser executado;
definir quais processos de trabalho devem efetivamente ser terceirizados;
. implementar mecanismos que permitam manter o controle sobre os processos de trabalho, como exigência de documentação, relatórios operacionais, estabelecimento de níveis
mínimos de qualidade;
elaborar contrato de prestação de serviços que defina de forma completa e objetiva todas as obrigações a serem cumpridas pela empresa terceirizada, em especial, cláusulas
referentes à obrigação de manter o sigilo e confidencialidade das informações, à continuidade dos serviços, e à exigência de cumprimento de níveis de qualidade preestabelecidos.
Especificamente no caso de Operadoras e Administradora de Benefícios, esta relação deverá estar estabelecida em contrato e em tal contrato deverá prever o estabelecido neste
item.
. Destaca-se que a atividade de Administradora de Benefício foi regulada pela ANS por intermédio de Resolução Normativa específica. Uma administradora de benefício deve possuir
autorização de funcionamento concedida pela ANS, com um número de registro ativo para exercer suas atividades.
Dentre as atividades a serem desenvolvidas por uma Administradora de Benefícios, elencam-se as seguintes:
I - promover a reunião de pessoas jurídicas contratantes na forma específica definida na legislação vigente;
II - contratar plano privado de assistência à saúde coletivo, na condição de estipulante, a ser disponibilizado para as pessoas jurídicas legitimadas para contratar;
. III - oferecer planos para associados das pessoas jurídicas contratantes;
IV - apoiar tecnicamente a discussão de aspectos operacionais, tais como: a) negociação de reajuste;
b) aplicação de mecanismos de regulação pela operadora de plano de saúde; e c) alteração de rede assistencial.
V - apoiar a área de recursos humanos na gestão de benefícios do plano;
VI - terceirizar serviços administrativos;
. VII - realizar movimentação cadastral;
VIII - conferir faturas;
IX - realizar cobrança ao beneficiário por delegação;
. X - realizar consultoria para prospectar o mercado, sugerir desenho de plano e modelo de gestão. Assim, a atividade desempenhada por uma administradora de benefícios
proporciona acesso a uma grande quantidade de dados pessoais e confidenciais tanto de clientes quanto a dados estratégicos, de competitividade e de mercado da própria operadora.
Assim, a confidencialidade das informações obtidas em razão dessa atividade desempenhada deverá ser objeto de tratamento e cláusula contratual específica.
Especificamente no caso de Operadoras e Administradoras de Benefícios:
. A cláusula/termo de confidencialidade das informações obtidas em razão da atividade desempenhada pela administradora de benefícios deverá contemplar os seguintes aspectos,
dentre outros:
Informações relativas aos dados cadastrais de beneficiários;
Informações relativas à condição de saúde de beneficiários;
Informações relativas aos dados cadastrais das pessoas jurídicas contratantes dos planos;
. Informações cadastrais dos associados das pessoas jurídicas contratantes;
Informações referentes aos aspectos operacionais dos planos;
Dados e informações referentes à gestão dos benefícios;
Dados de movimentação cadastral, faturas e cobranças; e
Dados estratégicos, de competitividade e de mercado da operadora.
. .No caso de a operadora não possuir nenhum serviço terceirizado, este item não será considerado na avaliação.
A análise do item deverá ainda verificar o atendimento à Lei Geral de Proteção de Dados (LGPD) (FRAGA, 2017).
. .Possíveis Formas de Obtenção de Evidências:
Verificar os contratos com os terceirizados de forma a constatar a existência das cláusulas contratuais que garantam: (1) a confidencialidade das informações obtidas em razão da
atividade desempenhada; (2) exigências estabelecidas para a garantia da confidencialidade das informações em caso de rescisão contratual; e (3) as cláusulas contratuais com previsão de
indenização em caso de descumprimento. Também poderá ser evidenciada a existência e assinatura de termo de confidencialidade.
. .1.6 Gestão de Riscos Corporativos
. Interpretação:
As atividades envolvidas na Gestão de Riscos Corporativos devem contribuir para a perenidade da operadora, atendendo aos seus objetivos estatutários e estratégicos.
A Gestão de Riscos Corporativos permite que a alta administração e os gestores da organização lidem eficientemente com a incerteza e deve buscar o balanceamento entre
desempenho, retorno e riscos associados.
. A Gestão de Riscos Corporativos é composta por princípios, estrutura e processos desenhados para identificar e responder a eventos que possam afetar os objetivos da operadora.
Além disso, a Gestão de Riscos Corporativos deve atender alguns princípios, entre eles:
Proteger e criar valor para operadora;
Ser parte integrante de todos os processos organizacionais;
Ser considerada no processo de tomada de decisão;
. Abordar explicitamente a incerteza;
Basear-se nas melhores informações disponíveis;
Estar alinhada com os contextos internos e externos da operadora e com o perfil do risco, além de considerar os fatores humanos e culturais;
Ser transparente, inclusiva, interativa e capaz de reagir às mudanças;
Permitir a melhoria contínua dos processos da operadora.
. A Gestão de Riscos Corporativos deve ter por objetivo:
Uniformizar o conhecimento entre os administradores da operadora quanto aos principais riscos das suas atividades;
Conduzir tomadas de decisões que possam dar tratamento e monitoramento dos riscos e consequentemente aperfeiçoar os processos organizacionais e controles internos da
operadora; e
Promover a garantia do cumprimento da missão da operadora, sua continuidade e sustentabilidade alinhada aos seus objetivos estratégicos.
. O modelo de Gestão de Riscos Corporativos deve buscar quantificar as incertezas envolvidas na fase de planejamento e projetar os resultados da operadora em cenários alternativos
(simulações). Deve passar pela identificação de cada fator que pode afetar o desempenho da operadora e pela determinação de seus impactos no resultado.
O Gerenciamento dos Riscos Corporativos apoia a priorização e direciona os esforços para tratar os riscos, de acordo com a magnitude do risco. Há alternativas para o tratamento
(evitar o risco; aceitar o risco: retendo, reduzindo, mitigando, compartilhando ou explorando o risco; prevenção e redução dos danos; e capacitação dos envolvidos) e a elaboração de Plano
de Contingência. O plano deve conter os procedimentos e informações necessárias para a manutenção das atividades críticas diante de situações que afetem o funcionamento normal da
operadora.
. No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, a estrutura responsável pela gestão de riscos corporativos na operadora poderá estar vinculada
à estrutura da controladora. Tal estrutura deverá ter a expertise técnica acerca da Operação de Planos Privados de Assistência à Saúde e poderá executar operacionalmente a gestão de
risco, considerando as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. Entretanto aspectos específicos de Gerenciamento de Riscos
Corporativos deverão ser executados e observados no nível da operadora. Exemplos de aspectos específicos: (1) a existência de um gestor de riscos, (2) existência de um programa de
disseminação da cultura de riscos; e (3) existência de um plano de continuidade de negócios para a operadora.
. .A mesma recomendação se aplica ao caso das Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
. .
1.6.1
.A Operadora exclusivamente odontológica conta com uma estrutura responsável pelo gerenciamento e avaliação dos riscos, encarregada pela Gestão de Riscos
Corporativos e promoção do seu desenvolvimento.
.
Essencial
. Interpretação:
É importante que cada operadora tenha uma estrutura responsável pela Gestão dos Riscos Corporativos e pela promoção do seu desenvolvimento. Tal estrutura deverá contemplar
as especificidades da operadora, observando seus procedimentos de governança, sua estratégia geral de negócios e seus procedimentos operacionais.
. Cada um dos colaboradores e terceirizados de uma operadora deve ter a sua parcela de responsabilidade na Gestão dos Riscos Corporativos. A hierarquia máxima, ou seja, o
presidente executivo, deve ser o principal responsável, incentivando tal gestão com o apoio da diretoria. Os demais membros da operadora são responsáveis pela execução do
gerenciamento de riscos em cumprimento às diretrizes e protocolos estabelecidos na metodologia de Gestão de Riscos Corporativos da operadora.
. Conforme preconizado na ISO 31000:2018, o propósito da estrutura da gestão de riscos é apoiar a organização na integração da gestão de riscos em atividades significativas e
funções. A eficácia da gestão de riscos dependerá da sua integração na governança e em todas as atividades da organização, incluindo a tomada de decisão. Isto requer o apoio das partes
interessadas, em particular da alta direção. O desenvolvimento da estrutura engloba integração, concepção, implementação, avaliação e melhoria da gestão de riscos através da
organização.
. Não existe uma única forma de se implementar um modelo de Gestão de Riscos Corporativos e nem uma única estrutura adequada para tal. Entretanto, o importante para o
cumprimento deste item é verificar se na operadora existe uma estrutura responsável por tratar e criticar, qualitativa e quantitativamente, os riscos, identificando-os, avaliando-os,
calculando seus impactos de forma integrada, monitorizando-os e promovendo o desenvolvimento da cultura de Gestão de Riscos Corporativos por toda a operadora.
Assim, entende-se por estrutura responsável pela Gestão dos Riscos Corporativos o conjunto de componentes que fornecem os fundamentos e os arranjos organizacionais para a
concepção, implementação, monitoramento, análise crítica e melhoria contínua da gestão de riscos dentro de toda a operadora.
. Observa-se uma tendência pela criação de uma unidade responsável por esta função e esta unidade pode ser um departamento, núcleo, área específica ou unidade funcional
composta por representantes de diversas áreas (comitê). A estrutura responsável pode ter uma função ativa (executiva) no processo decisório da operadora e apoiar a tomada de decisão.
Sugere-se que tal estrutura seja coordenada pelo presidente ou um diretor executivo da operadora e tenha como membros o diretor financeiro, operacional, assessores e outros
responsáveis. A composição dependerá do nível de complexidade das operações da operadora exclusivamente odontológica e fica a cargo da operadora definir a sua composição.
. Ressalta-se que tal estrutura deve ser distinta do comitê de riscos do Conselho de Administração, uma vez que este teria uma abordagem mais vinculada à estratégia da operadora.