RESOLUÇÃO NORMATIVA ANS Nº 630, DE 31 DE MARÇO DE 2025 (*) (parte 16 de 19)

Além disso, a estrutura responsável pela Gestão de Riscos Corporativos da operadora deverá estar alinhada com o Sistema de Controles Internos da operadora, independentemente da
maneira como ambos estejam implementados na estrutura organizacional. Assim, periodicamente, a adequação da estrutura operacional e de controles internos da operadora deverá ser
avaliada para verificação da efetividade da política de Gestão de Riscos Corporativos adotada.
. O desenvolvimento da Gestão de Riscos Corporativos deve contemplar: aderência dos processos internos ao perfil de risco assumindo pela operadora; clareza quanto às regras para
a gestão da exposição; verificação das lacunas nos processos, sistemas de TI e de capacitação de pessoas; e implementação de sistemas de controles eficazes.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, a estrutura responsável pela gestão de riscos corporativos na operadora poderá estar vinculada à
estrutura de Gestão de Riscos Corporativos da controladora. Entretanto, deverá haver um responsável pela gestão de risco na operadora, que fará a interface com a controladora
considerando o estabelecido nos itens de verificação, bem como as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação
se aplica ao caso das Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
(IBGC, 2007a; 2015; 2017) (COSO, 2007) (EIOPA, 2014)
. .Possíveis Formas de Obtenção de Evidências:
Verificar evidências sobre a existência de uma estrutura responsável pela Gestão dos Riscos Corporativos e como se dá o seu desenvolvimento.
. .
1.6.2
.A Operadora exclusivamente odontológica possui metodologia de Gestão de Riscos Corporativos que contemple a identificação, classificação e o monitoramento dos
seus riscos corporativos.
.
Complementar
. Interpretação:
Por meio de uma metodologia de Gestão de Riscos Corporativos, a operadora deve reduzir a probabilidade e o impacto das perdas de eventos que possam afetar seus objetivos.
A metodologia deve ser um processo sistemático de identificação, classificação, monitoramento e melhoria dos processos por meio dos riscos identificados. A metodologia também pode
mapear eventuais oportunidades de ganhos. Trata-se, portanto, de um sistema integrado contendo diretrizes e protocolos aprovados, que auxilia a tomada de decisão e conduz ao alcance
dos objetivos estabelecidos no planejamento estratégico da operadora.
. A metodologia da Gestão de Riscos Corporativos deve ser um instrumento de tomada de decisão da administração da operadora exclusivamente odontológica e deve estar alinhada
com o sistema de controles internos. Logo, a consciência do risco e a capacidade de administrá-lo, aliadas à disposição de correr riscos e a de tomar decisões, são elementos-chave na
gestão do risco.
. A metodologia deve ainda levar em consideração a complexidade da operação, a natureza, a escala e a cultura organizacional da operadora exclusivamente odontológica. Deve
também contemplar as especificidades da operadora, observando seus procedimentos de governança, sua estratégia geral de negócios e seus procedimentos operacionais. Dessa forma,
é importante que a operadora tenha a prática de considerar os riscos de forma estruturada no seu processo de decisão e deve tratá-los, identificá-los, avaliá-los e respondê-los de forma
consistente com o modelo adotado. É preciso ainda, que tal modelo sofra atualizações periódicas de acordo com as necessidades apontadas no monitoramento.
. Para efeitos desta resolução normativa, não foi estabelecido um modelo específico de gestão de risco a ser adotado pela operadora, como por exemplo o estabelecido pela ISO
31000 ou o modelo de Enterprise Risk Management - ERM estabelecido pelo Committee of Sponsoring Organizations of the Treadway Commission - COSO. De todo modo, a metodologia
deve prever:
Identificação dos riscos: Definição do conjunto de eventos, internos e/ou externos que podem impactar os objetivos da operadora.
. Classificação dos riscos: A classificação deve considerar as características de cada operadora e contemplar suas particularidades. Uma forma de categorização dos riscos consiste
na elaboração de uma matriz de riscos que considere a origem dos eventos (interno/externo), a natureza dos riscos (estratégico/operacional/financeiro) e a tipificação dos mesmos
(macroeconômico/tecnológico/legal/conformidade; entre outros).
Monitoramento dos riscos: É a avaliação contínua da adequação e da eficácia da metodologia de gestão de riscos e deve ocorrer de forma sistemática/periódica conforme definição
previamente estabelecida na metodologia.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, a metodologia de Gestão de Riscos Corporativos poderá ser estabelecida e executada pela estrutura
de Gestão de Riscos Corporativos vinculada à controladora. Entretanto, deverá haver um responsável pela gestão de risco na operadora, que fará a interface com a controladora
considerando o estabelecido nos itens de verificação, bem como as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação
se aplica ao caso das Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
(IBGC, 2007a; 2015; 2017) (COSO, 2007) (EIOPA, 2014)
. .Possíveis Formas de Obtenção de Evidências:
A Análise de conformidade deste item deverá verificar a existência de metodologia de Gestão de Riscos Corporativos, que deve estar incorporada aos procedimentos de governança
da operadora, à sua estratégia geral de negócios e aos seus procedimentos operacionais.
. .
1.6.3
.A Operadora exclusivamente odontológica possui um Gestor de Riscos Corporativos formalmente nomeado responsável por supervisionar continuamente a sua
Gestão de Riscos Corporativos.
.
Complementar
. Interpretação:
O Gestor de Risco é o profissional que atua com independência dentro da operadora, com suficiente qualificação técnica e experiência, responsável por supervisionar continuamente
a Gestão de Riscos Corporativos da operadora.
Dentre as atribuições e responsabilidades de um Gestor de Riscos pode-se destacar as seguintes:
Monitoramento do Perfil de Risco e os níveis de exposição da operadora, verificando seu alinhamento com o apetite a Risco definido para a operadora;
. Avaliação periódica sobre a adequação da estrutura operacional e de controles internos da operadora para verificação da efetividade da política de Gestão de Riscos Corporativos
adotada;
Avaliação da metodologia e ferramentas utilizadas para a Gestão de Riscos Corporativos;
Acompanhamento da implementação de plano de ação ou medidas corretivas que visem sanar as deficiências apontadas;
. Obrigação de reportar à alta direção da operadora, de forma periódica e sempre que entender necessário, os resultados das análises da sua atuação, bem como qualquer
inadequação ou irregularidade observada na estrutura de Gestão de Riscos Corporativos da operadora.
. A Gestão de Riscos Corporativos é tema sensível e de extrema importância em qualquer organização, em especial para as Operadoras de Planos Privados de Assistência à Saúde.
Assim, mesmo que a Operadora pertença a um grupo de sociedades de fato e de direito que ofereça a estrutura, expertise técnica e execute operacionalmente a Gestão de Riscos
Corporativos, entende-se necessária a nomeação formal de um gestor responsável na operadora. Tal gestor será o interlocutor que terá o conhecimento específico da Operação de Planos
Privados de Assistência à saúde, do Setor de Saúde Suplementar e das especificidades da operadora (por exemplo: seus procedimentos de governança, sua estratégia geral de negócios
e seus procedimentos operacionais). A mesma recomendação também se aplica ao caso das Cooperativas Odontológicas que utilizam para determinados processos de trabalho a estrutura
de suas Federações.
. .(IBGC, 2007a; 2015; 2017) (COSO, 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de profissional contratado e sua constante atuação considerando as suas atribuições, responsabilidades, diretrizes e protocolos estabelecidos na política e
metodologia de Gestão de Riscos Corporativos da operadora.
. .
1.6.4
.A Operadora exclusivamente odontológica possui um programa para a implementação e disseminação da cultura de riscos entre seus colaboradores e
terceirizados.
.
Complementar
. Interpretação:
A cultura de riscos de uma operadora diz respeito ao conjunto de seus padrões éticos, valores, atitudes e comportamentos aceitos e praticados, e a disseminação da Gestão de Riscos
Corporativos como parte do processo de tomada de decisão em todos os níveis. Ela é estabelecida pelo discurso e pelo comportamento do Conselho de Administração e da diretoria e do
apetite a riscos estabelecido pela operadora.
. Cada um dos colaboradores e terceirizados da operadora deve ter definida e ser consciente acerca da sua parcela de responsabilidade na Gestão dos Riscos Corporativos.
Treinamentos e capacitação contínua devem ser evidenciados para toda a operadora.
. A Gestão de Riscos Corporativos é tema sensível e de extrema importância em qualquer organização, em especial para as Operadoras de Planos Privados de Assistência à Saúde.
Assim, mesmo que a Operadora pertença a um grupo de sociedades de fato e de direito que ofereça a estrutura, expertise técnica e execute operacionalmente a Gestão de Riscos
Corporativos, entende-se necessário que a operadora possua um programa para a implementação e disseminação da cultura de riscos entre seus colaboradores e terceirizados. Tal
programa deverá contemplar as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação também se aplica ao caso das
Cooperativas Odontológicas que utilizam para determinados processos de trabalho a estrutura de suas Federações.
. .(IBGC 2007a; 2017; 2017b; COSO, 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de um programa estruturado que implemente e promova a disseminação da Cultura de Gestão de Riscos Corporativos em toda a operadora. Tal programa
deverá contemplar as especificidades da operadora (por exemplo: seus procedimentos de governança, sua estratégia geral de negócios e seus procedimentos operacionais).
. .
1.6.5
.A Operadora exclusivamente odontológica possui processo consistente e abrangente de coleta tempestiva de informações e classificação de riscos operacionais. .
Complementar
. Interpretação:
Riscos Operacionais são os relacionados a perdas resultante de inadequações ou falhas na estrutura organizacional, sejam elas oriundas de sistemas, procedimentos, recursos
humanos, tecnológicos e pela perda de valores éticos e corporativos.
. Os "eventos externos" abrangem eventos ocorridos externamente à operadora, como paralisações por motivo de tumultos, greves, rebeliões, atos terroristas, motins, catástrofes
naturais, incêndios, apagões e qualquer outro evento não diretamente relacionado às atividades da operadora e que possa causar falha ou colapso nos serviços essenciais ao
desenvolvimento de suas atividades.
Através da coleta dessas informações, a operadora terá condições de quantificar suas perdas operacionais, analisar as causas dessas perdas, aumentar a sua eficiência e,
consequentemente, reduzir seus custos operacionais, o que impactará diretamente no resultado, trazendo assim vantagens competitivas.
. A coleta dessas informações deve perpassar todas as linhas de negócio da operadora. As definições, categorizações e metodologias para registro deverão ser definidas pela própria
operadora de acordo com seu tamanho e a complexidade de suas operações. Entretanto, é importante que as informações contenham pelo menos a classificação do evento ocorrido, a
data de ocorrência do evento, a data da descoberta do evento, a causa e a quantificação da perda decorrente deste evento (valor monetário) de forma a ser possível uma análise que
também contemple a frequência e a severidade de ocorrência desses eventos.
. A Matriz de Riscos é uma ferramenta usual a ser considerada. Também conhecida como Matriz de Probabilidade e Impacto, é uma ferramenta visual que possibilita ver rapidamente
quais são os riscos que devem receber mais atenção. Na matriz, um risco é considerado por dois critérios: sua probabilidade de acontecer e o impacto que trará para a empresa. A Matriz
de Riscos é uma ferramenta que permite aos gestores mensurar, avaliar e ordenar os eventos de riscos que podem afetar o alcance dos objetivos da organização.
Além da Matriz de Riscos, existem outras ferramentas que realizam a análise dos modos de falha e seus efeitos a serem consideradas, tais como a Análise dos modos de falha e
seus efeitos (Failure Mode and Effects Analysis - FMEA) e Análise dos modos de falha, efeitos e criticalidade (Failure Mode, Effects and Criticality Analysis - FMECA).
. Exemplos de classificação de falhas: fraudes internas, fraudes externas, demandas trabalhistas e segurança deficiente do local de trabalho, práticas inadequadas relativas a clientes,
produtos e serviços, danos a ativos físicos próprios ou em uso pela instituição, situações que acarretem a interrupção das atividades da instituição, falhas em sistemas, processos ou
infraestrutura de tecnologia da informação e falhas na execução, no cumprimento de prazos ou no gerenciamento das atividades da operadora.
. Exemplos de classificação de causas: pessoas, processos, sistemas - TI, evento externo, outros. Importante ressaltar que o processo em questão esbarra na concepção geral da
resistência em reportar perdas por receio de admissão de erro e possível penalização pela liderança. Assim, é necessária a conscientização da importância do processo e a geração de valor
para a operadora de forma que os envolvidos enxerguem o processo como uma ferramenta para a melhoria de eficiência nas atividades executadas e não como uma eventual confissão
ou reconhecimento de conduta.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, o processo consistente e abrangente de coleta tempestiva de informações e classificação de riscos
operacionais poderá ser estabelecido e executado pela estrutura de Gestão de Riscos Corporativos vinculados à controladora. Entretanto, deverá haver um responsável pela gestão de risco
na operadora, que fará a interface com a controladora de forma que este processo considere o estabelecido neste item de verificação, bem como as especificidades da operadora e da
regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação se aplica ao caso das Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
(EIOPA, 2014; IBGC, 2007a; 2017; COSO, 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de processo estruturado, que classifique os diversos tipos de eventos de riscos operacionais identificados pela operadora, tais como: fraudes internas e externas;
demandas trabalhistas e segurança deficiente do local de trabalho.
. .
1.6.6
.A Operadora exclusivamente odontológica identifica, classifica e agrega as perdas operacionais relevantes identificadas, efetuando a análise da causa raiz por meio
de Matriz de Risco e/ou programas específicos de Gestão de Risco.
.
Complementar
. Interpretação:
A classificação de "perda operacional relevante" deverá ser estabelecida pela própria operadora de acordo com seu tamanho e a complexidade de suas operações. O critério de
classificação deverá ser objetivo, estar documentado com o devido embasamento técnico, ser aprovado e revisto periodicamente pela alta direção da operadora.
Uma perda Operacional é o valor quantificável associado à falha, deficiência ou inadequação de processos internos, pessoas e sistemas, ou decorrente de fraudes ou eventos
externos.
. A causa raiz de uma perda não guarda relação de dependência com qualquer outra causa de perda identificada. Ou seja, não é necessário que nenhuma outra perda ocorra para
a sua concretização.
Os "eventos externos" abrangem eventos ocorridos externamente à operadora, como paralisações por motivo de tumultos, greves, rebeliões, atos terroristas, motins, catástrofes
naturais, incêndios, apagões e qualquer outro evento não diretamente relacionado às atividades da operadora e que possa causar falha ou colapso nos serviços essenciais ao
desenvolvimento de suas atividades.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, o estabelecido no item poderá ser executado pela estrutura de Gestão de Riscos Corporativos vinculada
à controladora. Entretanto, deverá haver um responsável pela gestão de risco na operadora, que fará a interface com a controladora de forma que este processo considere o estabelecido
neste item de verificação, bem como as especificidades da operadora e da regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação se aplica ao caso das
Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
(EIOPA, 2014; IBGC, 2007a; 2017; COSO; 2007)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência de documentos ou relatórios contendo a identificação, classificação das causas e agregação das perdas operacionais que são classificadas como relevantes para
a operadora. Evidências com a identificação e análise da causa raiz também deverão ser efetuadas e documentadas pela operadora e verificadas pela auditoria da entidade
acreditadora.
. .
1.6.7
.A Operadora exclusivamente odontológica possui um Plano de Continuidade de Negócios visando a manutenção das atividades em caso de catástrofes ou outras
situações que possam afetar o seu funcionamento.
.
Complementar
. Interpretação:
A operadora deve prever procedimentos e ações a serem executadas de forma a manter suas atividades críticas diante de situações que afetem o seu funcionamento normal.
Os Riscos que possam ocasionar a interrupção total ou a redução significativa das atividades da operadora, ou seja, um nível de risco considerado inaceitável deverá ser mitigado
através de um Plano de Continuidade de Negócios.
. A Gestão de Riscos Corporativos é tema sensível e de extrema importância em qualquer organização, em especial para as Operadoras de Planos Privados de Assistência à Saúde.
No caso de a operadora pertencer a um grupo de sociedades de fato e de direito que ofereça a estrutura, expertise técnica e execute operacionalmente a Gestão de Riscos Corporativos,
a operadora exclusivamente odontológica pode adotar o Plano de Continuidade de Negócios formulado pela estrutura vinculada à controladora, desde que contemple a manutenção das
atividades em caso de catástrofes ou outras situações que possam afetar o funcionamento da Operadora, considerando a regulamentação aplicável ao setor de saúde suplementar. A
mesma recomendação também se aplica ao caso das Cooperativas Odontológicas que utilizam para determinados processos de trabalho a estrutura de suas Federações.
. .(COSO, 2007; IBCG, 2007a; 2017)
. Possíveis Formas de Obtenção de Evidências:
Verificar a existência do Plano de Continuidade de Negócios formalmente documentado contendo no mínimo os seguintes itens:
1. definição de papéis e responsabilidades dos envolvidos;
. .2. nível mínimo de operação e prazo máximo de retorno ao funcionamento normal;
3. procedimentos de comunicação com as partes interessadas (internos e externos); e
4. testes periódicos do plano com a devida documentação e plano de ação no caso de falha em algum item.
. .
1.6.8
.A Operadora exclusivamente odontológica realiza análise qualitativa e quantitativa dos riscos e estabelece as alternativas para o tratamento dos riscos. .
Excelência
. Interpretação:
A análise de riscos, quer qualitativa ou quantitativa, visa determinar o efeito potencial do risco em uma determinada operadora. Alternativas para o tratamento dos riscos deverão
ser definidas alinhadas à estratégia da operadora e às diretrizes estabelecidas na Gestão de Riscos Corporativos.
Análise de Riscos e Tratamento: A avaliação e análise do risco é o primeiro passo a ser seguido para a definição do tratamento que será dado a determinado risco identificado. A
avaliação deve contemplar no mínimo as seguintes etapas:
. (1) determinação do potencial efeito do risco, que compreende o grau de exposição da operadora àquele risco, ou seja, a sua probabilidade de ocorrência e seu impacto (incluindo
impacto financeiro); (2) avaliação de eventual interdependência - os eventos são independentes ou um determinado evento pode gerar múltiplos impactos; (3) Priorização dos Riscos a
serem tratados - além da probabilidade de ocorrência e potenciais impactos, a priorização dos riscos também deve levar em consideração critérios subjetivos tais como segurança, aspectos
reputacionais e vulnerabilidade da operadora; e (4) definição do tratamento que deve ser aplicado aos riscos identificados ou justificativas para não tratá-los - após uma análise custo-
benefício, por exemplo.
. Uma primeira abordagem deve adotar uma visão mais qualitativa sobre os objetivos estratégicos da operadora e os impactos dos eventos de riscos sobre eles. Uma das formas
de avaliação/análise qualitativa seria através de um Mapa de Avaliação de Riscos de forma a facilitar a priorização da gestão dos riscos e a definição de tratamento que deve ser dado
a cada um dos riscos identificados. O Mapa de Avaliação é um esquema gráfico contendo o impacto do evento e a probabilidade de ocorrência. Por exemplo: exposição aceitável X média
probabilidade de ocorrência.
. No caso da análise quantitativa, um exemplo de medida seria o impacto da ocorrência de determinado evento no desempenho econômico-financeiro em determinado período
(associado à probabilidade de ocorrência e seu impacto).
No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, o estabelecido no item poderá ser executado pela estrutura de Gestão de Riscos Corporativos
vinculados à controladora, desde que o processo considere o estabelecido neste item de verificação, bem como a regulamentação aplicável ao setor de saúde suplementar. A mesma
recomendação se aplica ao caso das Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
. .(COSO, 2007; IBCG, 2007a; 2017)
. .Possíveis Formas de Obtenção de Evidências:
Verificar evidências sobre a realização de análises qualitativa e quantitativa dos riscos da operadora e se são avaliadas alternativas para o tratamento dos riscos identificados.
Importante salientar a consonância dessas análises e avaliações às diretrizes e protocolos estabelecidos na metodologia de Gestão de Riscos Corporativos da operadora.
. .
1.6.9
.A Operadora exclusivamente odontológica efetua testes de estresse com o objetivo principal de identificar potenciais vulnerabilidades da instituição. .
Excelência
. Interpretação:
Todas as organizações estão sujeitas às vulnerabilidades que as expõem a diversas ameaças. A avaliação prospectiva com o objetivo de identificar potenciais vulnerabilidades e
ameaças devem ser realizadas com o objetivo de corrigir falhas e visando a manutenção das atividades e operações da operadora.
Um teste de estresse é o conjunto coordenado de processos e rotinas, dotado de metodologias, documentação e governança próprias, com o objetivo principal de identificar
potenciais vulnerabilidades da operadora.
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, o estabelecido no item poderá ser executado pela estrutura de Gestão de Riscos Corporativos vinculados
à controladora, desde que o processo considere o estabelecido neste item de verificação, bem como a regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação
se aplica ao caso das Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
(COSO, 2007; IBCG, 2007a; 2017)
. Possíveis Formas de Obtenção de Evidências:
Verificar se foram realizados testes de estresse nos processos principais da operadora.
O teste de estresse deverá ter a sua metodologia documentada, ter a sua finalidade claramente definida e avaliar os potenciais impactos de eventos e circunstâncias adversas. Como
resultado da realização de um teste de estresse, a operadora poderá efetuar um plano de ação para a correção ou mitigação das ameaças encontradas.
. .O plano de ação deverá ser devidamente documentado, possuir a designação do(s) responsável(is) pela sua implementação e possuir metas e prazos para a implementação das melhorias
identificadas como necessárias, além de estar vinculado aos objetivos estratégicos da operadora - quando couber.
. .
1.6.10
.A Operadora exclusivamente odontológica realiza periodicamente a análises de cenários com o objetivo de estimar a sua exposição a eventos de risco raros e de
alta severidade.
.
Excelência
. Interpretação:
A análise de cenários é uma ferramenta de gestão que permite que as estratégias de uma operadora sejam estabelecidas em um contexto futuro. Sua principal função não é tentar
prever o futuro, mas identificar fatores tanto internos quanto externos que podem se tornar reais a longo prazo.
. Eventos raros podem criar desafios para a operadora de maneira inesperada. Além disso, eventos raros mas cujo montante de perdas envolvem altos valores monetários podem
comprometer a sustentabilidade e a perenidade da operadora. Assim, a análise de cenários com o objetivo de estimar a exposição da operadora a eventos de risco raros e de alta
severidade auxilia a operadora a se prevenir contra infortúnios e ajuda a identificação dos pontos fortes. Esta análise pode ainda oferecer insumos para o planejamento estratégico da
operadora.
Diversas técnicas estatísticas podem ser consideradas na análise de cenários, entre elas a simulação através do Método de Monte Carlo. A fim de estimar a exposição a eventos raros
e de alta severidade, a frequência e a severidade dos eventos simulados devem ser modeladas por distribuições estatísticas conhecidas e aplicáveis.
. Para o estabelecimento do que seria um evento raro, os dados de frequência podem ser definidos por uma variável aleatória discreta e positiva, denotada por N, que representa
o número de vezes que determinado evento ocorre em um determinado período de tempo (por exemplo: Distribuição Poisson e Distribuição de Pascal). Diferente dos dados de frequência,
os dados de severidade não têm relação com o tempo e podem ser definidos a partir de uma variável aleatória contínua, positiva definida, com característica assimétrica na cauda da
distribuição (por exemplo: Distribuição Log-Normal).
. .No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, o estabelecido no item poderá ser executado pela estrutura de Gestão de Riscos Corporativos vinculados
à controladora, desde que o processo considere o estabelecido neste item de verificação, bem como a regulamentação aplicável ao setor de saúde suplementar. A mesma recomendação
se aplica ao caso das Cooperativas Odontológicas que utilizem a estrutura de suas Federações.
(COSO, 2007; IBCG, 2007a; 2017)
. .Possíveis Formas de Obtenção de Evidências:
Verificar se foi realizada análise de cenários pela operadora. Tal análise deverá contemplar premissas condizentes com a realidade e especificidades da Operadora e do seu mercado
de atuação. Geralmente esta análise é conduzida por profissional/ou equipe profissional que tenha formação base em estatística, matemática, economia, administração ou finanças. A análise
de cenários deve ser documentada, ter a sua finalidade claramente definida e estimar a exposição da operadora a eventos de risco raros e de alta severidade.
. .1.7 Sustentabilidade da Operadora
. Interpretação:
Sustentabilidade é a capacidade de uma organização se manter no longo prazo em um mercado competitivo, com interferências do ambiente em que está inserida e contemplando
a finitude de recursos disponíveis para a sua sobrevivência. Para efeitos de acreditação de operadoras exclusivamente odontológicas, a avaliação deste requisito é mais focada na
sustentabilidade econômica, financeira e atuarial da organização e tal condição pode ser alcançada através de um modelo de gestão que incentive processos que permitam a manutenção
do capital financeiro, o crescimento econômico constante e seguro, bem como o equilíbrio e sustentabilidade atuarial da operadora.
. .Ações visando à sustentabilidade da operadora se refletirão, cedo ou tarde, nas demonstrações financeiras e no seu valor econômico.
. .
1.7.1
.A Operadora exclusivamente odontológica elabora relatório de rentabilidade e implementa plano de ação sobre os resultados apresentados quando
necessário.
.
Essencial
. Interpretação:
A rentabilidade mede o retorno sobre um investimento realizado em um determinado período, assim, o relatório de rentabilidade deve refletir o cálculo deste retorno e apresentar
uma análise dos resultados apurados.
. Para um melhor diagnóstico da rentabilidade da operadora e identificação de pontos nevrálgicos para a implementação de um plano de ação, o relatório deve considerar, além
da rentabilidade global da operadora, no mínimo o seguinte detalhamento de cálculo e análise: (1) a segmentação plano individual, coletivo empresarial e coletivo por adesão (quando
aplicável); (2) canal de distribuição; e (3) tipo de rede.
O plano de ação deverá ser devidamente documentado, possuir a designação do(s) responsável(is) pela sua implementação e possuir metas e prazos para a implementação das
melhorias identificadas como necessárias além de estar vinculado aos objetivos estratégicos da operadora - quando couber.
. .(MANO; FERREIRA, 2009) (COSO, 2007) (EIOPA, 2014) (FNQ, 2016)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a elaboração e existência do relatório de rentabilidade e a adoção das ações propostas no plano de ação elaborado a partir dos resultados apresentados.
Verificar a existência do plano de ação documentado, quando couber.
Relatórios e atas de reuniões, registros de implementação/alteração de rotinas, atualização de manuais, políticas e diretrizes da operadora são possíveis exemplos de formas de
evidência deste item.
. .
1.7.2
.A Operadora exclusivamente odontológica realiza avaliação de sinistralidade e implementa plano de ação sobre os resultados apresentados quando
necessário.
.
Essencial
. Interpretação:
A sinistralidade é obtida pela relação entre os custos arcados com os eventos assistenciais e as receitas recebidas pela operadora (Sinistralidade = Despesas
Assistenciais/Contraprestações Efetivas). A avaliação da sinistralidade indica se os custos para manutenção de um determinado plano extrapola a sua receita e permite que a operadora adote
ações para reduzir a sinistralidade como, por exemplo, ações por meio da gestão do cuidado e atenção em saúde.
. Para um melhor diagnóstico da sinistralidade da operadora e identificação de pontos nevrálgicos para a implementação de um plano de ação, a avaliação deve considerar, além
da sinistralidade global da operadora, no mínimo o seguinte detalhamento de cálculo e análise: (1) a segmentação plano individual, coletivo empresarial e coletivo por adesão (quando
aplicável); (2) canal de distribuição; e (3) tipo de rede, (4) Por produtos ou grupo de produtos (semelhantes) registrados na ANS e dos principais contratos coletivos por faturamento e
número de beneficiários.
A avaliação da sinistralidade deve considerar ainda a averiguação dos contratos que gerem prejuízos à operadora por mais de um período de renovação e/ou aqueles que
sistematicamente apresentem uma variação de suas despesas assistenciais per capita superior à média de sua carteira.
. .Considera-se ainda que a operadora deverá ter relatório e um quadro da evolução da sinistralidade, da frequência de utilização e do custo dos serviços por itens assistenciais, incluindo
a rede indireta, verificando ainda o custo-benefício de suas operações por tipo de rede.
O plano de ação deverá ser devidamente documentado, possuir a designação do(s) responsável(is) pela sua implementação e possuir metas e prazos para a implementação das
melhorias identificadas como necessárias, além de estar vinculado aos objetivos estratégicos da operadora - quando couber.
(MANO; FERREIRA, 2009) (EIOPA, 2014)
. Possíveis Formas de Obtenção de Evidências:
Verificar a elaboração e existência de avaliação documentada de sinistralidade e a adoção das ações propostas no plano de ação elaborado a partir dos resultados apresentados nesta
avaliação, conforme detalhado na interpretação deste item.
Verificar a existência do plano de ação documentado, quando couber.
. .Relatórios e atas de reuniões, registros de implementação/alteração de rotinas, atualização de manuais, políticas e diretrizes da operadora são possíveis exemplos de formas de evidência
deste item.
. .
1.7.3
.
A Operadora exclusivamente odontológica realiza a avaliação e a Gestão do Risco de Subscrição.
.
Complementar
. Interpretação:
O risco de subscrição é oriundo de uma situação econômica adversa, que contraria as expectativas da operadora, no momento da elaboração de sua política de subscrição quanto
às incertezas existentes na estimação das provisões técnicas; envolve, também, a probabilidade dos eventos a serem pagos pela operadora, em um período futuro, serem maiores que o
montante de contraprestações a ser recebido (ANS, 2019a).
. Para uma adequada gestão do risco de subscrição, a operadora deve possuir um banco de dados próprio, permitindo a geração de informações necessárias para a análise dos
diversos itens que afetam o risco de subscrição tais como a precificação de seus produtos, análise das suas provisões (premissas técnicas adotadas no cálculo das provisões), análise das
despesas assistenciais, mortalidade, morbidade, cancelamentos, rotatividade da carteira, performance de contratos, entre outros.
. O banco de dados deve conter as seguintes informações - entre outras: o histórico de contraprestações; histórico de despesas assistenciais ocorridas (incluindo data de ocorrência,
data de aviso e data do pagamento); dados cadastrais e perfil de beneficiários (incluindo gênero e data de nascimento); dados cadastrais de produtos; informações contábeis; informações
de provisões; informações de despesas (incluindo despesas com comercialização, administrativas e operacionais); informações de receitas; entre outras informações.
O cumprimento do item é quanto a realização de avaliações aqui previstas, a Gestão do Risco de Subscrição, e não quanto a realização efetiva por parte da Operadora do cálculo
da parcela de seu capital regulatório referente ao Risco de Subscrição. Entretanto, as análises realizadas podem servir de subsídios para tal cálculo.
. .(CNSP, 2015) (ANS, 2019) (ANS, 2019a)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a elaboração e existência de evidências documentadas que comprovem a avaliação e a gestão do risco de subscrição.
. .
1.7.4
.
A Operadora exclusivamente odontológica possui política de investimento de seus ativos financeiros, destacando limite de diversificação, restrições e riscos
aceitáveis.
.
Complementar
. Interpretação:
Uma política de investimento de ativos financeiros é um instrumento de planejamento e compreende um conjunto de diretrizes e medidas que norteiam a gestão de ativos
financeiros. Deve combinar aspectos de filosofia de investimentos e de planejamento visando à mitigação da ocorrência de desequilíbrios com o estabelecimento de uma composição de
ativos que otimize a relação entre risco e retorno. A política deve ainda destacar o limite de diversificação de investimentos e restrições de ativos, definir a tolerância ao risco e os riscos
aceitáveis, visar a uma liquidez compatível com obrigações a pagar e estar em consonância com a estratégia da operadora.
. Esta política deve compreender o conjunto de diretrizes e medidas que norteiam a gestão de ativos financeiros da operadora e deverá tratar minimamente dos riscos de mercado
associados a flutuações de taxas de juros, renda variável, moeda, alavancagem, ALM - Asset Liability Management, taxas de câmbio, índices de inflação, cotações de ações, ou seja, da
possibilidade de ocorrência de perdas resultantes da flutuação nos valores de mercado de posições detidas por uma carteira de investimentos.
. No caso de a operadora pertencer a um grupo de sociedades de fato e de direito, onde a política de investimentos de seus ativos financeiros seja definida pela controladora da
operadora, deverão ser consideradas as especificidades da regulamentação aplicável ao setor de saúde suplementar, as especificidades das operações de planos privados de assistência à
saúde, bem como as especificidades da própria operadora (por exemplo: seus procedimentos de governança, sua estratégia geral de negócios e seus procedimentos operacionais).
. .Além disso, em um grupo de sociedades de fato e de direito as diferentes empresas podem ser reguladas/supervisionadas por diferentes entidades (ANS, SUSEP ou BACEN), sendo sujeitas
a exigências distintas para o investimento de seus ativos financeiros. A mesma recomendação também se aplica ao caso das Cooperativas Odontológicas que utilizam para determinados
processos de trabalho a estrutura de suas Federações.
(IBGC, 2007b) (IAIS, 2011) (EIOPA, 2014) (OCDE, 2016)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a existência documentada da política de investimentos de seus ativos financeiros e se esta contempla os itens mínimos destacados no requisito (limite de diversificação de
investimentos, restrições e riscos aceitáveis, inclusive risco de mercado).
. .
1.7.5
.A Operadora exclusivamente odontológica avalia a suficiência de provisões técnicas constituídas para fazer frente aos riscos assumidos. .
Complementar
. Interpretação:
A constituição e manutenção de provisões técnicas adequadas permitem assegurar o cumprimento dos compromissos decorrentes dos contratos de planos privados de assistência
à saúde.
Provisões técnicas constituídas de forma insuficiente podem trazer no futuro problemas financeiros que podem comprometer a solvência da operadora.
A adequação das provisões técnicas deve ser objeto de especial acompanhamento por parte da operadora e a preocupação primordial é que os valores constituídos correspondam
o mais próximo possível à realidade com compromissos assumidos.
. .(IAIS, 2011) (MANO; FERREIRA 2009) (ALMEIDA 2011) (EIOPA, 2014) (SUSEP, 2015)
. .Possíveis Formas de Obtenção de Evidências:
Verificar a elaboração e existência de avaliação documentada acerca da suficiência de provisões técnicas constituídas para fazer frente aos riscos assumidos.
São possíveis formas de evidência para este item: (1) parecer atuarial, assinado por atuário legalmente habilitado com estudo específico acerca da suficiência das provisões; (2)
relatório contendo a descrição e os resultados apurados, assinado por atuário legalmente habilitado, contendo o Teste de Adequação de Passivos (TAP) - quando o teste for obrigatório pela
regulamentação da ANS, este item deverá ser obrigatoriamente evidenciado pela auditoria; (3) avaliação atuarial assinada por atuário legalmente habilitado; entre outros.
. .
1.7.6
.A Operadora exclusivamente odontológica implementa plano de ação a partir da avaliação de suficiência das provisões técnicas quando há necessidade de
adequação.
.
Complementar
. .Interpretação:
Provisões técnicas constituídas de forma insuficiente podem trazer no futuro problemas financeiros que podem comprometer a solvência da operadora. Por outro lado, a constituição
de provisões excessivas pode afetar sensivelmente a rentabilidade e competitividade da operadora no mercado, uma vez que a tarifação dos seus produtos poderá basear-se em estimativas
demasiadamente pessimistas. Além disso, o registro inadequado das provisões técnicas pode afetar a base para cálculo e recolhimento de impostos.
. Possíveis Formas de Obtenção de Evidências:
Verificar a adoção das ações propostas no plano de ação elaborado a partir dos resultados verificados com a avaliação de suficiência das provisões técnicas.
. .As formas de evidência a serem verificadas dependerão das ações propostas. Relatórios e atas de reuniões, relatório de atuário legalmente habilitado com as recomendações de
adequação, registros de implementação/alteração de rotinas, atualização de cálculo e valores nos registros contábeis das provisões técnicas suportados pela devida documentação e registro
das alterações efetuadas no "Termo de Responsabilidade Atuarial (TRA)" encaminhado à ANS são possíveis exemplos de formas de evidência deste item - entre outros.
O plano de ação deverá ser devidamente documentado, possuir a designação do(s) responsável(is) pela sua implementação e possuir metas e prazos para a implementação das
melhorias identificadas como necessárias, além de estar vinculado aos objetivos estratégicos da operadora - quando couber.
. .
1.7.7
.A Operadora exclusivamente odontológica tem processos para desenvolvimento e análise de novos produtos, serviços, contratos ou soluções, com o objetivo de
fidelizar e atender as necessidades dos atuais beneficiários e conquistar novos beneficiários.
.
Complementar
. Interpretação:
Qualidade em serviços pode ser entendida como a capacidade de uma determinada experiência satisfazer uma necessidade ou resolver um problema que proporcione satisfação aos
beneficiários, fidelizando os atuais e conquistando novos. A conquista de novos beneficiários oxigena a carteira atual e traz entrada de novas contraprestações à operadora. Produtos
inovadores, oferecimento de serviços diferenciados, contratos ou a oferta de soluções aos beneficiários são ações de fidelização dos atuais beneficiários e atrativo para novos, contribuindo
assim para a sustentabilidade da operadora.
. .A conquista de novos beneficiários pode ser verificada tanto pela comercialização de planos a novos clientes quanto pela adesão de novos entrantes à carteira.
. .Possíveis Formas de Obtenção de Evidências:
Verificar evidências sobre a existência de processos documentados contendo análise sobre o lançamento de novos produtos, oferecimento de serviços, contratos ou a oferta de
soluções aos beneficiários da operadora ou potenciais beneficiários.
. .