Risicomanagement

De Raad van Bestuur (RvB) is verantwoordelijk voor de opzet en werking van de interne risicobeheersing- en controlesystemen van CZ groep. Deze systemen hebben als doel om voldoende zekerheid te bieden ten aanzien van het beheersen van risico’s. Het risicobeheersingssysteem is ingebed op strategisch, tactisch en operationeel niveau. Dit stimuleert een bedrijfscultuur met voldoende aandacht voor risicobeheersing.

CZ zorgkantoor richt haar systeem van interne beheersing in op basis van de uitvoeringstaken Wlz en de aan deze taken gekoppelde eisen. Periodiek vindt er een beoordeling plaats of de ingerichte organisatie nog voldoet aan de gestelde eisen, vooral gebaseerd op de geldende wet- en regelgeving binnen de Wlz.

Twee maal per jaar wordt met een risicorapportage aandacht gegeven aan de ontwikkeling van de belangrijkste risico’s, de effectiviteit van de risicobeheersing- en controlesystemen en eventuele knelpunten daarin. Hiermee heeft CZ zorgkantoor continu inzicht in de belangrijkste risicovraagstukken.

Fraudebeheersing

Uitgangspunt van ons fraudebeheersingsbeleid is dat fraude als vorm van niet integer handelen niet getolereerd wordt. Het schaadt het vertrouwen in ons zorgkantoor, zet de betaalbaarheid onder druk en is vanuit maatschappelijk oogpunt niet aanvaardbaar. Het doel van fraudebeheersing is fraude zo veel mogelijk te voorkomen. En indien fraude desondanks voorkomt dit tijdig te signaleren en de schade te beperken. Dit bereiken we door frauderisico’s als integraal onderdeel van de bedrijfsvoering te beheersen door het tijdig signaleren, afhandelen en terugdringen van fraude. Bijvoorbeeld door controle op budgetverantwoording en declaratie van productieafspraken in het kader van de Wet langdurige zorg (Wlz) doormiddel van signaallijsten of klantsignaleringssyteem.

Een verhoogde kans van fraude zien wij onder andere in de feitelijke levering van zorg in zowel PGB als Zorg in natura. Wij nemen maatregelen om fraude zo veel mogelijk te voorkomen en zo goed mogelijk op te sporen, bijv. door het uitvoeren van huisbezoeken voor PGB en een materiele controle voor ZIN. Wij beheersen interne en externe frauderisico’s als integraal onderdeel van onze bedrijfsvoering middels preventie, tijdig signaleren en onderzoeken van fraude. CZ zorgkantoor sluit hierbij aan bij het beleid van CZ groep.

Binnen CZ groep kunnen medewerkers vermoedens van fraude melden bij aangewezen fraudecontactpersonen. Deze contactpersonen evalueren de melding en indien zij het signaal onderzoekwaardig achten, sturen zij het door voor verdere actie. Wanneer er mogelijk sprake is van fraude door een verzekerde, wordt de melding doorgestuurd naar de controlemedewerker van het betrokken zorgaandachtsgebied. Fraudemeldingen door een zorgverlener of verzekerde worden doorgegeven aan de afdeling Bijzonder Onderzoek (BBO). Uitleg over hoe fraude gemeld kan worden, is te vinden op het intranet, hier wordt aanvullend maandelijks informatie gedeeld over fraude- en criminaliteit(sbeheersing). In de organisatie zijn daarnaast fraudecontactpersonen aanwezig die zorgen voor fraude-awareness. Het fraudeonderzoeksteam is ondergebracht bij de concernstafafdeling Juridische Zaken om zo onafhankelijkheid te borgen.

Het fraudeonderzoeksteam van CZ groep heeft processen vastgesteld die uiteenzetten hoe signalen van fraude in de zorg worden geïdentificeerd en behandeld. Binnen elke afdeling met klantcontact zijn fraudecontact-personen aangesteld om vermoedens van fraude te ontvangen. Het fraudeonderzoeksteam is betrokken bij een landelijke werkgroep met andere zorgverzekeraars, het delen van informatie is hier mogelijk omdat voor de uitwisseling van fraudesignalen een wettelijke basis bestaat. Bovendien worden signalen gedeeld met ketenpartners via het Informatie Knooppunt Zorgfraude, ook gebaseerd op een wettelijke grondslag. Het team past data-analyse toe om mogelijke onregelmatigheden op te sporen en biedt zowel verzekerden als zorgverleners de mogelijkheid om online fraude te melden. Meldingen van fraude komen ook vaak binnen via externe partijen zoals de Nederlandse Zorgautoriteit (NZa).

Er zijn voor alle medewerkers e-learning modules aanwezig op het vlak van fraudebeheersing, zodat zij hierover belangrijke kennis en vaardigheden opdoen. Deze is in 2023 verplicht gevolgd door alle medewerkers van het zorgkantoor waarvoor dit relevant is. Fraudecontactpersonen krijgen aanvullend op de e-learning modules trainingen van het fraudeonderzoeksteam. Medewerkers die zich bezighouden met fraudeonderzoeken volgen een uitgebreid opleidingsprogramma en zijn gecertificeerd als coördinator fraudebeheersing. Er zijn meer fraudecontactpersonen benoemd waaronder binnen teams Risicobeheersing en Zorginkoop, zij hebben periodiek overleg met BBO. Daarnaast worden een- à tweemaal per jaar fraude awareness sessies georganiseerd voor team Zorgadvies.  

Dit verslagjaar constateerden we via fraudeonderzoeken dat er 0,3 miljoen euro ten onrechte is gedeclareerd (2022: 0,8 miljoen euro).

Wij hebben middels een integriteitsbeleid kaders vastgesteld voor het integer handelen voor iedereen die bij CZ groep werkt. Het beleid laat aan medewerkers van CZ groep zien wat we onder integer handelen verstaan. Onze basisregel voor integriteit is dat de medewerkers van CZ groep altijd eerlijk, zorgvuldig en oprecht handelen en dat zij respect, eerlijkheid en betrouwbaarheid in de omgang met anderen stimuleren. De uitwerking ervan beslaat onderwerpen als screening van medewerkers en zakelijke relaties, het privacy beleid van CZ groep, het tegengaan van belangenverstrengeling (wat varieert van aandachtspunten rond nevenfuncties en relatiegeschenken tot de inkoop van producten en diensten en relaties op de werkvloer), de behandeling van incidenten en controle en sancties. In het integriteitsbeleid is ook vastgelegd op welke wijze wordt bepaald welke functies binnen onze organisatie tot de integriteitsgevoelige functies behoren, wat de afspraken zijn voor deze functies omtrent screening en hoe over integriteitsgevoelige functies intern wordt gecommuniceerd. Aanvullend op het integriteitsbeleid zijn uitvoeringsrichtlijnen opgesteld die voorschrijven hoe te handelen in diverse situaties. Zowel tijdens de introductiebijeenkomsten van nieuwe medewerkers als via aparte integriteitsworkshops wordt het beleid intern onder de aandacht gebracht. Tevens is er een leermodule integriteit beschikbaar in onze online leeromgeving CZ Campus.

Bij het vermoeden van interne fraude heeft CZ groep een proces waarbij een Incidententeam wordt ingeschakeld en handelt conform het Protocol Interne Incidenten. In 2023 is er geen sprake geweest van interne incidenten bij CZ zorgkantoor.

Actuele risico's

Ieder halfjaar stelt de directie Wlz-uitvoerder een risicorapportage vast, waarin de ontwikkelingen ten aanzien van de grootste risico’s voor CZ zorgkantoor worden gevolgd. Gedurende het jaar kan door verschillende ontwikkelingen de impact van risico’s veranderen. Onderstaand zijn de actuele risico’s voor CZ zorgkantoor beschreven.

Zorgplicht onder druk

De zorgplicht is een open en niet absoluut haalbare norm. CZ zorgkantoor organiseert tijdige, bereikbare en kwalitatief goede zorg. Ondanks grote inspanning komt dat organiseren op onderdelen onder druk. Dat zet druk op de zorgplicht, waarbij het tegelijkertijd ook een doel is om de zorg betaalbaar te houden. In 2023 is ruim 96% van de cliënten tijdig voorzien van Wlz zorg. Er wordt intensief gemonitord op wachtlijsten en doorlooptijden. Op dit moment lukt het onvoldoende om wachtlijsten in de zorg weg te werken, we zien met name een forse stijging van de wachtlijst ouderenzorg. Dit zorgt ervoor dat er geen garantie kan worden gegeven dat de zorg altijd voor iedereen toegankelijk is. Op de langere termijn wordt het steeds uitdagender voor het zorgkantoor om bepaalde cliënten tijdig te voorzien van de benodigde zorg Hierbij spelen externe ontwikkelingen, waarop het zorgkantoor weinig invloed heeft. In Nederland stijgt namelijk de zorgvraag en loopt het personeelstekort in de zorg op. Steeds meer vacatures zijn moeilijk in te vullen. Dit levert risico's op voor de toegang en kwaliteit van zorg en de kosten van zorg (door de schaarste van het aanbod en stijgende lonen). De werkdruk voor zorgmedewerkers komt de aantrekkelijkheid van de zorg als werkgever niet ten goede. Mogelijk zet dit op langere termijn extra druk op het arbeidsaanbod. Duurzame oplossingen en echte veranderingen zijn nodig om tot een oplossing te komen. Intern zetten we in op uitbreiding bemiddelingscapaciteit en extern op capaciteitsuitbreidingen bij aanbieders vooral extramuraal.

Als het Zorgkantoor geen tijdige zorg kan bieden, heeft de Wlz-uitvoerder (de zorgverzekeraar van cliënt) de plicht alsnog tijdig zorg (meestal door het ziekenhuis of wijkverpleging) te organiseren.

In 2023 is het onderzoek naar de wachtlijsten in de Wlz in Zuidoost-Brabant door een externe partij afgerond. Concreet hebben we inzichtelijk kunnen maken wat wij als zorgkantoor kunnen betekenen voor de cliënt, waar onze resultaatsverplichting stopt en waar onze inspanningsverplichting voor ons wat ons betreft begint. Daar hebben we ook gesprekken over gevoerd met alle stakeholders.

Landelijk wordt gewerkt aan een netwerkmodel waarin in registers centraal Wlz-informatie wordt verzameld (bijv. indicatie of toewijzing). Het voordeel van een register is dat op een plek alle actuele informatie beschikbaar is. Op dit moment is onduidelijk wie er gebruik van gaan maken, wie eigenaar van de informatie in het register is en wie verantwoordelijk is voor de naar verwachting hoge kosten van investering en onderhoud. Ook is onduidelijk welke compliance-issues met de inrichting van een register voor CZ zorgkantoor ontstaan. 

PGB portaal 2.0 levert extra risico in de IT-beveiliging van zorgkantoren, met name op privacy en security

PGB portaal 2.0 levert extra risico in de IT-beveiliging van zorgkantoren, met name op privacy en security. De Auditdienst Rijk heeft over 2022 met betrekking tot de IT general controls en application controls binnen het Zorgdomein een afkeurend oordeel gegeven. De auditdienst van de SVB kwam hierdoor tot een oordeelonthouding door het ontbreken van voldoende en geschikte controle-informatie omtrent de betrouwbaarheid van de gegevens in het Zorgdomein. In het meest recente PGB 2.0 dashboard voor december 2023 staan de verwachting ADR audit op PGB2.0 Z-domein voor 2023 op een afkeurend oordeel en voor 2024 op mogelijk verklaring met beperking. Hoewel het oplossen van de issues buiten de invloedssfeer van CZ zorgkantoor ligt, blijven we de issues agenderen bij VWS. De SVB en ZN spelen ook een rol bij het zoeken naar een oplossing voor deze problematiek. Als gevolg van dit risico zal ook voor 2023 een ‘coulance’ brief van VWS noodzakelijk zijn om alle zorgkosten ten laste te kunnen brengen van het fonds langdurige zorg.

Exploitatierisico

CZ zorgkantoor ziet zich in 2022 en 2023 geconfronteerd met hogere kosten dan het ontvangen budget ter dekking van de uitvoeringskosten Wlz. Ook voor 2024 wordt een negatief exploitatieresultaat verwacht. Gezien de ontwikkelingen in het zorgveld en bij het zorgkantoor is het exploitatietekort naar verwachting structureel. Zonder structurele aanpassing van het budget kan daardoor op termijn een financieel onhoudbare situatie voor het zorgkantoor ontstaan. CZ zorgkantoor gaat met VWS het gesprek aan over de exploitatieresultaten. Mocht er bij CZ zorgkantoor B.V. een liquiditeitstekort ontstaan, dan heeft het bestuur van Onderlinge Waarborgmaatschappij CZ groep U.A. de toezegging gedaan aan CZ zorgkantoor B.V. een lening te verstrekken, zodat de continuïteit van CZ zorgkantoor B.V. wordt gewaarborgd.

Wet- en regelgeving

CZ zorgkantoor monitort continu de bestaande wet- en regelgeving op wijzigingen en houdt de introductie van nieuwe wet- en regelgeving in het oog. Het zorgkantoor rapporteert hier elk kwartaal over. Belangrijke actuele ontwikkelingen zijn de Wet open overheid (Woo) -waar van de passieve tak reeds in werking is getreden en waarvan de actieve tak op een later moment wordt ingevoerd- en de ontwikkelingen rondom Europese regelgeving op het gebied van kunstmatige intelligentie en weerbaarheid van ICT systemen (de AI Act).