Compliance hospitalar: como garantir conformidade

Dos mais de R$ 30 bilhões que a saúde suplementar perde por ano com fraudes e desperdícios, nada menos do que 12% desta erosão é atribuída à falta de compliance. A exposição a fraudes, glosas indevidas, sanções regulatórias e multas por uso inadequado de dados clínicos compromete a sustentabilidade da operação dos hospitais e atrita a relação com operadoras, pacientes e órgãos reguladores justamente quando faltam processos e controles.

O compliance hospitalar, mais que mera exigência burocrática, é um setor de proteção para a gestão dos hospitais, com impacto direto no ciclo de receita.

O que é compliance hospitalar

Compliance hospitalar é o conjunto de políticas, processos e controles que garantem que uma instituição de saúde opere em conformidade com as leis, normas regulatórias, contratos com operadoras e boas práticas do setor. O termo vem do inglês to comply (“cumprir”, “estar em acordo”) e se consolidou na gestão hospitalar à medida que o ambiente regulatório brasileiro foi se tornando mais complexo e exigente.

O compliance hospitalar abrange três frentes principais:

• Compliance assistencial: conformidade com protocolos clínicos, normas da Anvisa, regras de segurança do paciente e exigências de acreditação.

• Compliance financeiro e de faturamento: conformidade com as regras de faturamento de cada operadora, tabelas contratadas, codificação correta de procedimentos e prevenção de glosas e fraudes.

• Compliance de dados (LGPD): conformidade com a Lei nº 13.709/2018, que regula o tratamento de dados pessoais sensíveis (no caso da saúde, principalmente prontuários, resultados de exames e históricos médicos).

As três frentes são interdependentes. Uma falha no compliance de faturamento pode ter origem em um registro clínico inadequado, e uma violação de dados pode comprometer a relação contratual com operadoras. Por isso, programas de compliance devem tratar essas dimensões de forma integrada.

O marco regulatório do compliance na saúde

O principal marco regulatório do compliance no setor é a Resolução Normativa nº 518/2022 da ANS, que dispõe sobre a adoção de práticas mínimas de governança corporativa, com ênfase em controles internos e gestão de riscos, para fins de solvência das operadoras de planos de saúde. 

Embora a RN 518 seja dirigida formalmente às operadoras, ela impacta diretamente os hospitais prestadores: ao exigir que os planos de saúde comprovem controles internos e gestão de riscos, a norma pressiona a cadeia de prestadores a adotar práticas equivalentes. 

A norma estrutura o compliance em quatro pilares, conforme o art. 2º e os anexos da resolução:

• Governança: sistema pelo qual a operadora é dirigida, monitorada e incentivada, com separação de funções entre conselho de administração e diretoria executiva, e adoção dos princípios de transparência, equidade, prestação de contas e responsabilidade corporativa.

• Controles internos: conjunto de medidas para resguardar as atividades da operadora, assegurar a confiabilidade das informações e garantir o cumprimento das obrigações em todos os níveis da organização. Devem ser avaliados periodicamente, com no mínimo uma revisão anual.

• Gestão de riscos: processo de identificação, análise, avaliação e monitoramento de riscos nos níveis estratégico, tático e operacional, com foco em riscos de subscrição, crédito, mercado, legais e operacionais.

• Auditoria interna: função independente, ligada diretamente ao conselho de administração, responsável por avaliar a qualidade dos sistemas de controles internos e o cumprimento das normas internas e regulatórias.

Além disso, a LGPD (Lei nº 13.709/2018) classifica dados de saúde como dados pessoais sensíveis e impõe o mais alto nível de proteção. Hospitais que tratam esses dados de forma inadequada ficam sujeitos a multas de até 2% do faturamento. A lei exige consentimento adequado, controle de acesso, prevenção de vazamentos e, para operadoras de saúde, a indicação formal de um Encarregado de Dados (DPO).

Quais riscos financeiros o compliance previne

Os principais riscos que um programa de compliance hospitalar combate são:

Glosas e perda de receita 

Processos de faturamento sem controles adequados resultam em inconsistências que as operadoras contestam. Falhas de codificação, ausência de autorizações prévias, lançamentos incompatíveis com o prontuário: cada um desses pontos é risco de glosa. Sem um programa de compliance que padronize e monitore esses processos, o hospital reage às glosas em vez de preveni-las. 

Fraudes e desvios internos 

Estudos do IESS estimam que entre 12% e 18% das contas hospitalares apresentam itens indevidos. Parte desse problema tem origem em falhas operacionais; outra parte, em desvios que controles internos deixam passar. Órteses, próteses e materiais especiais são um dos principais vetores de irregularidades no setor.

Sanções regulatórias e intervenções 

Segundo a ANS, 119 operadoras foram liquidadas entre 2012 e 2018 por falhas de gestão, o que motivou a publicação da RN 518. Instituições que não documentam seus processos, não realizam avaliações periódicas de risco e não encaminham relatórios à ANS ficam sujeitas a advertências, suspensões e, nos casos mais graves, liquidação extrajudicial.

Multas por violação de dados 

A LGPD prevê multas de até 2% do faturamento anual por violação no tratamento de dados sensíveis. Para um hospital de médio ou grande porte, esse valor representa grave risco financeiro.

Danos reputacionais 

Além das consequências financeiras diretas, a exposição pública de irregularidades compromete a credibilidade da instituição com operadoras, médicos e pacientes. A recuperação reputacional costuma ser mais cara e demorada que a implantação de um programa de compliance.

Como estruturar um programa de compliance hospitalar

Com base nos pilares da RN 518 e nas boas práticas do setor, a estruturação pode seguir quatro etapas:

1. Diagnóstico e mapeamento de riscos

O ponto de partida é mapear os principais processos da instituição (faturamento, auditoria, contratos com operadoras, gestão de materiais, acesso a dados clínicos) e identificar as vulnerabilidades. Esse diagnóstico deve ser formalizado em documento e apresentado à liderança, com priorização dos riscos de maior impacto financeiro e regulatório.

2. Definição de políticas e controles internos 

Com os riscos mapeados, a instituição define políticas claras para os processos críticos: regras de faturamento, protocolos de autorização prévia, padrões de codificação, critérios para uso de materiais especiais, procedimentos de segurança de dados. Esses controles precisam estar acessíveis a todos os profissionais envolvidos e revisados com periodicidade mínima anual, conforme previsto na RN 518.

3. Canal de denúncias e cultura de conformidade

A RN 518 exige, para operadoras de grande porte, a existência de canal de denúncias com garantia de confidencialidade e anonimato. Para hospitais, esse mecanismo é igualmente estratégico: ele permite identificar desvios internos antes que se tornem problemas regulatórios ou financeiros. A cultura de compliance se constrói com treinamentos regulares, comunicação clara da liderança e tolerância zero a irregularidades documentadas.

4. Monitoramento e auditoria interna

Compliance sem monitoramento é apenas documentação burocrática. A instituição precisa definir indicadores, revisar periodicamente a eficácia dos controles e realizar auditorias internas com frequência mínima anual. Os resultados dessas auditorias devem ser formalizados em atas e acompanhados de planos de ação com responsáveis e prazos definidos. Para um panorama completo sobre como a auditoria interna se estrutura no hospital, consulte o artigo Auditoria hospitalar: guia completo para gestores.

Compliance e ciclo de receita são inseparáveis

Um hospital que opera com conformidade regulatória fatura com mais previsibilidade. Processos de faturamento padronizados reduzem glosas. Controles internos sobre materiais e autorizações eliminam vetores de fraude. A gestão adequada de dados clínicos evita multas e protege a relação com operadoras. Para isso, o uso intensivo de tecnologia é essencial.

A Rivio nasceu com o propósito de transformar a gestão hospitalar por meio de inteligência artificial. Em um cenário cada vez mais pressionado por custos, complexidade regulatória e ineficiências operacionais, acreditamos que a tecnologia é o caminho para devolver previsibilidade financeira, escala e inteligência aos processos administrativos da saúde. 

Nossa visão é clara: construir o melhor sistema operacional da saúde na América Latina, começando pelo ciclo da receita hospitalar. Ao automatizar análises, reduzir retrabalho e apoiar decisões com dados confiáveis, ajudamos hospitais a operar com mais eficiência, liberar tempo das equipes e criar as condições necessárias para focar no que realmente importa: a qualidade do cuidado e a experiência do paciente.