medisch specialistische zorg en geestelijke gezondheidszorg Landelijke producten Horizontaal Toezicht Zorg GGZ

Transcriptie

1 medisch specialistische zorg en geestelijke gezondheidszorg Landelijke producten Horizontaal Toezicht Zorg GGZ juli 2019

2 Voorwoord Alle onderdelen van het raamwerk Horizontaal Toezicht in de GGZ zijn klaar voor gebruik. We kunnen aan de slag met de invoering. GGZ Nederland en Zorgverzekeraars Nederland hebben één landelijk raamwerk ontwikkeld met het oog op minder administratieve lasten in de GGZ en een efficiënter én effectiever toezicht op de rechtmatigheid van de zorguitgaven: horizontaal toezicht. Alle onderdelen van het raamwerk Horizontaal Toezicht in de GGZ staan in dit document bij elkaar. Bij horizontaal toezicht nemen zorgaanbieders en zorgverzekeraars samen de verantwoordelijkheid voor een juiste besteding van de zorguitgaven. In plaats van gegevensgerichte controle achteraf, werken partijen bij horizontaal toezicht samen om de rechtmatigheid van declaraties in de processen aan de voorkant te borgen. Door duidelijke afspraken vooraf, ontstaat wederzijds vertrouwen. We hebben er rekening mee gehouden dat elke zorgaanbieder anders is. Horizontaal toezicht gaat uit van maatwerk, is risicogericht en sluit aan op de processen en systemen in uw eigen organisatie. Met horizontaal toezicht bent u zelf in control. Ook verzekerden hebben voordeel van horizontaal toezicht. Omdat facturen vaker in één keer goed zijn, hebben verzekerden sneller en beter inzicht in de zorguitgaven. Ook is er sneller duidelijkheid over de verrekening van het eigen risico. Zorgverzekeraars Nederland en GGZ Nederland blijven horizontaal toezicht in de komende jaren verder ontwikkelen. Het implementatieplan en de producten die de daadwerkelijke invoering gaan ondersteunen zijn ontwikkeld door zorgaanbieders en zorgverzekeraars en zijn vastgesteld door onze besturen. Ook de Nederlandse Zorgautoriteit (NZa) steunt de ontwikkeling van Horizontaal Toezicht in de GGZ. Wij blijven horizontaal toezicht in de komende jaren verder ontwikkelen. Voor nu: veel succes bij de invoering. Jacobine van Geel voorzitter GGZ Nederland André Rouvoet voorzitter Zorgverzekeraars Nederland 2

3 Inhoud g eestelijke gezondheidszorg geestelijke gezondheidszorg Gezamenlijke Visie (Versie 1.0 definitief) juli 2018 Implementatieplan (Versie 1.0 definitief) juli 2019 geestelijke gezondheidszorg medisch specialistische zorg en geestelijke gezondheidszorg medisch specialistische zorg en geestelijke gezondheidszorg Afwegingskader (versie 1.0 definitief) Instapmodel (versie 3.0 definitief) Control Framework (versie 3.0 definitief) juli 2019 juli 2019 juli 2019 Afspraken tussen Zorgverzekeraars Nederland en GGZ Nederland (juni 2019) Partijen begrijpen dat er om van het Advies van de Taskforce Gepast Gebruik GGZ naar verantwoording van gepast gebruik binnen HT te komen nog stappen gezet moeten worden. De criteria staan geformuleerd in onderstaand overzicht Verschillen Taskforce Gepast Gebruik GGZ & Horizontaal Toezicht GGZ. Om dit te bereiken wordt het Advies van de Taskforce als de basis bouwsteen gebruikt. Onder verantwoordelijkheid van de bestuurlijke commissie HT GGZ uitgaande van die bouwsteen en uitgaande dat we Gepast gebruik binnen HT willen verantwoorden, wordt de basis bouwsteen verder ontwikkeld tot de HT methode om gepast gebruik te verantwoorden binnen het Framework HT. De opzet van het HT model gepast gebruik moet binnen twee jaar ontwikkeld zijn. Hierbij wordt gebruikt gemaakt van de ervaringen van de aanbieders en zorgverzekeraars. Deze afspraken inclusief Verschillen Taskforce Gepast Gebruik en HT GGZ (onderstaand overzicht), inclusief het landelijk raamwerk HT GGZ inclusief het Advies van de Taskforce vormen samen 1 set. Verschillen Taskforce Gepast Gebruik & HT GGZ Taskforce Gepast Gebruik 1. Het advies is een tijdelijke regeling welke op elementen een lichter regime impliceert dan het gehele HT proces. 2. Het advies betreft een overgangssituatie van gegevensgerichte naar procesgerichte verantwoording. 3. Onderhandelingsresultaat met voorafgaand vastgelegde kaders. Geen ruimte voor maatwerk. 4. Geen accountantscontrole: er is geen rekening gehouden met COS3000 om uitspraak te doen over opzet, bestaan en werking hoge risico s. 5. Alleen voorgeschreven generieke risico s voor iedereen gelijk en vastgelegd t/m 2022, geen sprake van maatwerk. 6. Advies toetst alleen op werking, bestaan wordt niet als los onderdeel aangetoond. 7. Alle risico s worden generiek opgepakt, leidt tot een algemene beheersing. 8. Verplicht informatieprotocol. 9. Uitvoering niet in representatie. Horizontaal Toezicht 1. HT is een toekomstbestendige regeling welke op elementen een zwaarder regime betreft dan het advies. 2. HT betreft de procesgerichte verantwoordingsmethodiek zonder einddatum. 3. Continu proces van verbetering naar opvolgende jaren op basis van vertrouwen, eigen verantwoordelijkheid en volwassenheid. Gaat uit van maatwerk. 4. Beperkte accountantscontrole: accountants moeten een COS3000 opstellen om uitspraak te kunnen doen over opzet, bestaan en werking hoge risico s. 5. Naast generieke risico s kunnen instellingen zelf ook risico s identificeren. 6. Binnen HT wordt ook bestaan aangetoond om te zien of de theoretische opzet in de praktijk ook echt het specifieke risico afdekt. 7. Prioritering risico s in hoog, midden en laag, leidt tot een instellings-specifieke beheersing. 8. Informatie protocol niet verplicht is al verwerkt in maatwerk. 9. Uitvoering in representatie. F1 3

4 geestelijke gezondheidszorg Gezamenlijke Visie (Versie 1.0 definitief) juli 2018 A1

5 Gezamenlijke ambitie 2022 Vertrouwen als basis Vertrouwen is het fundament van de samenwerking tussen zorgverzekeraars en zorgaanbieders. De representerende zorgverzekeraar is een meedenkend en positief kritisch klankbord voor de zorgaanbieder. Samen geven zorgverzekeraars en zorgaanbieders invulling aan hun verantwoordelijkheid om zorg te dragen voor een gepaste besteding van de zorguitgaven. Administratieve lasten aanzienlijk verminderd De administratieve lasten voor behandelaren zijn aanzienlijk verminderd. De controles die voorheen na betaling werden uitgevoerd zijn vervangen door goede afspraken en beheersing aan de voorkant van de proces. Zorgverzekeraars en zorgaanbieders werken proactief samen aan het voorkomen en afschaffen van overbodige wet- en regelgeving. Bedrijfsvoering op orde Organisaties hebben hun bedrijfsvoering op orde. Registraties vinden first time right plaats. De interne beheersing van zorgaanbieders is aantoonbaar en inzichtelijk voor de representerende zorgverzekeraar. Zorgverzekeraar hebben een efficiënt en effectief werkend representatiemodel ingericht. Direct inzicht in zorguitgaven Samenwerking In de hele keten van verantwoording leidt tot veel eerder inzicht in de zorguitgaven. In de jaarrekeningen zijn geen grote onzekerheden meer. De cliënt, maatschappij en politiek weten in een vroeg stadium wat de uitgaven zijn geweest. Gepast gebruik van zorg Transparantie over Gepast Gebruik van zorg is toegenomen. Zorgverzekeraars en zorgaanbieders zijn met elkaar in gesprek over waardegerichte zorg. Waar mogelijk ondersteunen de zorgverzekeraars in het aanleveren van goede benchmarkinformatie. A2

6 Gezamenlijke visie Leidende principes Uitkomst en fasering A3

7 Gezamenlijke visie Leidende principes Uitkomst en fasering Inleiding Doelstelling Afbakening financieringsstromen Afbakening zorgaanbieders Correct registeren en declareren Gepast Gebruik Buiten scope A4

8 Gezamenlijke visie (1) Inleiding Horizontaal Toezicht is de samenwerking tussen de zorgverzekeraars en zorgaanbieders die steunt op vertrouwen, wederzijds begrip en transparantie in handelen. Het richt zich op een gezamenlijke inspanning om de rechtmatigheid van declaraties in de processen aan de voorkant, te borgen. Horizontaal Toezicht is niet alleen efficiënter, omdat de opeenstapeling van controles vervalt, maar het is ook effectiever. Het is maatwerk en sluit aan bij de organisatie-inrichting en ondersteunende systemen van de zorgaanbieder. Horizontaal Toezicht zorgt ervoor dat de risico s die zich in die instelling kunnen voordoen zijn beheerst, nog voordat de factuur is uitgestuurd. Binnen de GGZ loopt een aantal succesvolle pilots tussen individuele instellingen en zorgverzekeraars ten aanzien van Horizontaal Toezicht. Het is van belang de successen van deze pilots door te vertalen en door te ontwikkelen naar een landelijk raamwerk waardoor ook uitrol van Horizontaal Toezicht binnen de GGZ kan plaatsvinden. Daarbij zullen de lessen die voortkomen uit het traject binnen de ziekenhuiszorg waar mogelijk toegepast worden in de ontwikkelfase voor de GGZ. Doelstelling Met Horizontaal Toezicht komen zorgverzekeraars en zorgaanbieders gezamenlijk tot een samenwerkingsmodel op basis van vertrouwen, waarmee op een transparante, efficiënte en effectieve wijze verantwoording wordt afgelegd over de zorguitgaven. De opeenstapeling van controles achteraf verdwijnt, het toezicht verbetert en het inzicht in zorgprocessen vergroot. Binnen de kaders van Horizontaal Toezicht kunnen afspraken worden gemaakt over Gepast Gebruik van zorg. Op deze manier werken zorgverzekeraars en zorgaanbieders samen toe naar meer aandacht voor waardegerichte zorg, ten gunste van de patiënt. Horizontaal Toezicht streeft naar zo laag mogelijke administratieve lasten voor zorgverleners, zorgaanbieders en zorgverzekeraars. Transparantie is daarbij van wezenlijk belang. Horizontaal Toezicht vergroot het inzicht in processen en stimuleert procesoptimalisaties (Plan Do Check Act). Het versterkt de dialoog tussen zorgaanbieder en zorgverzekeraar. De inrichtingskeuze en verantwoordelijkheid voor een toereikende beheersing ligt bij de zorgaanbieder. De representerende zorgverzekeraar ziet hier op toe. Horizontaal Toezicht heeft impact op de hele verantwoordingsketen en om die reden is betrokkenheid van de Nederlandse Zorgautoriteit van essentieel belang. Wat is Horizontaal Toezicht? Zorgaanbieders en zorgverzekeraars: dragen gezamenlijk zorg voor een juiste besteding van huidige en toekomstige zorguitgaven; geven gezamenlijk invulling aan de maatschappelijke verantwoording over deze uitgaven; creëren gezamenlijk op een efficiënte, effectieve en tijdige manier zekerheid over deze uitgaven naar alle ketenpartijen. A5

9 Gezamenlijke visie (2) Afbakening financieringsstromen In eerste instantie zal Horizontaal Toezicht zich richten op de zorguitgaven op basis van de Zorgverzekeringswet (Zvw). Hierbinnen zijn drie stromen te onderscheiden: - basis-ggz - specialistische ggz - langdurige ggz De focus ligt dus op een samenwerking tussen zorgaanbieders en zorgverzekeraars. Bij het uitwerken van Horizontaal Toezicht in de GGZ zal echter rekening worden gehouden met de overdraagbaarheid naar andere financieringsstromen. Het einddoel voor de lange termijn is één vorm van Horizontaal Toezicht voor de verschillende financieringsstromen. Dit betekent dat op termijn onder andere de forensische zorg, langdurige zorg en het sociaal domein betrokken worden. Het nog op te stellen implementatieplan Horizontaal Toezicht zal hiervoor een verdere uitwerking geven. In deze domeinen zijn andere wetten van toepassing en is er sprake van andere financiers: - Wet forensische zorg (Wfz) -> ministerie van Veiligheid en Justitie / DFORZO - Wet langdurige zorg (Wlz) -> zorgkantoren - Wet maatschappelijk ondersteuning (Wmo) -> gemeenten - Jeugdwet -> gemeenten Afbakening zorgaanbieders Horizontaal Toezicht staat open voor alle instellingen die binnen een redelijke termijn kunnen voldoen aan het instapmodel. Aan de hand van het instapmodel kan een zorgaanbieder een quickscan van de organisatie maken om vast te stellen in hoeverre de organisatie gereed en in staat is om over te gaan op Horizontaal Toezicht. Het instapmodel is een vertaling van randvoorwaarden naar toetsbare normen. Deze normen hebben betrekking op de organisatie, besturing en beheersing van de zorgaanbieder en zijn gebaseerd op internationaal bewezen methodologie (o.a. COSO en Cobit), maar dan specifiek gemaakt voor de zorgbranche. Doel van het instapmodel is tweeledig: enerzijds vaststellen of een zorgaanbieder in staat is om effectief een Horizontaal Toezicht relatie aan te gaan en anderzijds vaststellen waar verbeteringen nodig zijn. Het instapmodel is een bewuste stap in het Horizontaal Toezicht proces. Het voorkomt dat direct capaciteit en middelen worden ingezet voor het inhoudelijke controleraamwerk, terwijl de randvoorwaarden nog niet op orde zijn. In dit instapmodel is ook aandacht voor de intrinsieke motivatie van zorgaanbieders. De representerende zorgverzekeraar en zorgaanbieder stellen in gezamenlijkheid vast of een zorgaanbieder voldoet aan het instapmodel. Voor instellingen die door hun omvang en/of organisatie-inrichting niet kunnen voldoen aan het instapmodel wordt onderzocht wat de consequenties hiervan zijn. In het implementatieplan zal uitgewerkt worden of Horizontaal Toezicht ook voor hen mogelijkheden biedt. Hierin weegt de business case en ambitie van de zorgaanbieder mee. Ook speelt de business case van de zorgverzekeraar hier een rol, in relatie tot de inspanningen die nodig zijn een andere manier van verantwoording vorm te geven. A6

10 Gezamenlijke visie (3) Horizontaal Toezicht richt zich op de rechtmatigheid van de zorguitgaven. Dit gaat enerzijds over correct registreren en declareren en anderzijds over gepast gebruik. Correct registreren en declareren Correct registreren en declareren betekent ten eerste op een juiste manier registeren en declareren van zorg. Een belangrijke basis hiervoor is de Wet marktordening gezondheidszorg (Wmg) en de regelgeving die de NZa op basis van de Wmg heeft vastgesteld. Zo mogen zorgaanbieders alleen zorg declareren wanneer zij daarvoor een rechtsgeldige tariefbeschikking hebben ontvangen en wanneer zij voldoen aan alle registratie- en declaratiebepalingen van de NZa. Correct registreren en declareren betekent ten tweede het voldoen aan de (indicatie)voorwaarden uit de Zorgverzekeringswet (Zvw), de Regeling zorgverzekering (Rzv) en het Besluit zorgverzekering (Bzv). Daarin is vastgelegd welke zorg vergoed mag worden vanuit de Zvw. Alleen wanneer voldaan is aan deze voorwaarden mag zorg worden gedeclareerd ten laste van de basisverzekering. Onderdeel van deze voorwaarden betreft ook het plegen te bieden criterium, waarin is vastgelegd dat bepaalde zorg alleen door daartoe bevoegde professionals mag worden geleverd. Gepast Gebruik Gepast Gebruik betekent dat wanneer zorg wordt geleverd deze zorg voldoende bewezen effectief is en alleen wordt geleverd aan patiënten die deze zorg ook echt nodig hebben. Twee basiscriteria uit de Zvw zijn daarbij leidend. De zorg voldoet aan de stand van wetenschap en praktijk (effectieve zorg) en de verzekerde moet redelijkerwijs zijn aangewezen op de zorg gezien zijn gezondheidssituatie (medische noodzaak). Aangezien dit basiscriteria zijn vanuit de Zvw is ook Gepast Gebruik een rechtmatigheidsonderdeel en valt dit onder Horizontaal Toezicht. Het doel van de afspraken over gepast gebruik vanuit Horizontaal Toezicht is in beginsel niet het sanctioneren van het verleden, maar verbeterafspraken maken voor de toekomst. Voor Gepast Gebruik in de GGZ kan er bijvoorbeeld aan gedacht worden om de principes van matched care uit het kwaliteitsstatuut GGZ als vertrekpunt worden gehanteerd. Zorgverzekeraars en zorgaanbieders hebben afgesproken dat in het nog op te stellen implementatieplan Horizontaal Toezicht GGZ uitgewerkt zal worden of Gepast Gebruik direct onderdeel kan worden van Horizontaal Toezicht of dat er sprake zal zijn van een ingroei. Hierover zal op een later moment besloten worden. Definitie Gepast Gebruik Gepast gebruik betekent dat wanneer zorg wordt geleverd deze zorg voldoende bewezen effectief is en alleen wordt geleverd aan patiënten die deze zorg ook echt nodig hebben. Twee basiscriteria uit de Zvw zijn daarbij leidend: de zorg voldoet aan de stand van wetenschap en praktijk (effectieve zorg), én: de verzekerde moet redelijkerwijs zijn aangewezen op de zorg gezien zijn gezondheidssituatie (medische noodzaak). Buiten scope Contractuele afspraken die geen betrekking hebben op bovengenoemde rechtmatigheidsonderdelen vallen niet onder Horizontaal Toezicht. Te denken valt aan afspraken tussen een zorgverzekeraar en zorgaanbieder over prijs, volume, selectieve inkoop, cliënttevredenheid, digitalisering, kostenbeheersing, efficiency en innovatie. Contractnaleving is aan de individuele partijen. Ook (verzekerden)signalen en fraude worden individueel door de zorgverzekeraar onderzocht of uitgezet bij de zorgaanbieder. A7

11 Gezamenlijke visie (4) Onderdeel Toepassing Scope Correct registreren en declareren Juiste registratie en declaratie (normen Wmg, prestatie- en tariefbeschikkingen en nadere regels NZa) Horizontaal Toezicht Scope Horizontaal Toezicht GGZ rechtmatigheid Gepast Gebruik Voldoen aan (indicatie)voorwaarden Zvw (regeling zorgverzekering ) De zorg voldoet aan de stand van wetenschap en praktijk (effectieve zorg) Horizontaal Toezicht De verzekerde moet redelijkerwijs zijn aangewezen op de zorg gezien zijn gezondheidssituatie (medische noodzaak) Overig Bilaterale afspraken over bijvoorbeeld: - Prijzen en volume - Selectieve inkoop - Cliënttevredenheid - Digitalisering - Kostenbeheersing - Efficiency - Innovatie Contractering A8

12 Gezamenlijke visie Leidende principes Uitkomst en fasering Leidende principes deel 1 Leidende principes deel 2 A9

13 Leidende principes (1) Het centrale thema van Horizontaal Toezicht in de GGZ is bouwen aan vertrouwen. Om hier als zorgverzekeraar en zorgaanbieder gezamenlijk invulling aan te geven zijn als onderdeel van de gezamenlijke visie 10 leidende principes opgesteld. Er is hierbij geen sprake van een volgorde in belangrijkheid. 1. Gefundeerd vertrouwen Wederzijds vertrouwen tussen zorgaanbieders en zorgverzekeraars is de basis voor Horizontaal Toezicht. Dit vertrouwen moet groeien en zowel de zorgaanbieders als de zorgverzekeraars zetten zich hiervoor in. Het fundament van dit vertrouwen is onder andere wederzijdse transparantie, heldere communicatie en samen zorg dragen voor een juiste besteding van de zorguitgaven. 2. Intrinsieke motivatie Zorgaanbieders en zorgverzekeraars zijn intrinsiek gemotiveerd om de organisatie in te richten volgens de uitgangspunten van Horizontaal Toezicht. Dit komt tot uiting in de cultuur en het gedrag in alle lagen van de organisaties. 3. Ketenbrede verantwoording Zorgaanbieders en zorgverzekeraars beogen één gezamenlijke verantwoording voor de keten, zodat ook andere partijen in deze keten zoals toezichthouders, accountants en verschillende financiers erop kunnen steunen. Bij de opzet van Horizontaal Toezicht en het invullen van de verantwoording houden partijen rekening met deze ketenbrede aanpak. 4. Representatie Zorgverzekeraars werken volgens representatie en steunen op elkaars werkzaamheden. Bij Horizontaal Toezicht heeft iedere zorgaanbieder één representerende zorgverzekeraar. Zorgverzekeraars dragen onderling zorg voor een eenduidige en uniforme toepassing van de representatie. 5. Eén landelijk raamwerk Er is één landelijk raamwerk voor de implementatie en uitoefening van Horizontaal Toezicht. Dit raamwerk borgt een eenduidige toepassing van Horizontaal Toezicht. Het raamwerk omvat de gezamenlijke visie, een implementatieplan en een aantal concrete producten (HT-toolkit) voor de implementatie en uitoefening. Deze producten zijn: een businesscase, een instapmodel en een control framework. A10

14 Leidende principes (2) 6. Invulling van Horizontaal Toezicht is maatwerk Horizontaal Toezicht is maatwerk en er is sprake van een risicogerichte aanpak. De organisatiespecifieke eigenschappen zoals het zorginhoudelijke profiel, de procesinrichting en de systemen van de betreffende zorgaanbieder zijn hierbij het vertrekpunt. Horizontaal Toezicht vindt plaats aan de hand van een gezamenlijk afgesproken methodiek. 7. Taken en verantwoordelijkheden Zorgverzekeraars, zorgaanbieders en andere betrokkenen respecteren elkaars wettelijke taken en verantwoordelijkheden. Binnen Horizontaal Toezicht is er duidelijkheid over deze verschillende taken en verantwoordelijkheden. Horizontaal Toezicht kan helpen taken en verantwoordelijkheden op een efficiëntere en effectievere manier vorm te geven. 8. Eenduidige en tijdige normering Bestaande wet- en regelgeving is leidend. Door middel van een constructieve dialoog draagt Horizontaal Toezicht bij aan een eenduidige, tijdige en gezamenlijke duiding of interpretatie van wet- en regelgeving. Indien mogelijk vindt dit plaats vóór dat regels ingaan. Ook helpt Horizontaal Toezicht om gezamenlijk conflicterende en overbodige wet- en regelgeving te signaleren en dit bij de juiste partijen onder de aandacht te brengen. 9. Stimuleren first time right In één keer juist en tijdig registreren en declareren van rechtmatig geleverde zorg staat centraal. Dit vindt zo vroeg mogelijk in de registratie- en declaratieketen plaats en is ingebed in de zorgprocessen. 10. Verminderen administratieve lasten Horizontaal Toezicht is proces- en systeemgericht toezicht. Dit is efficiënter en effectiever dan gegevensgerichte controle verderop in de keten. Horizontaal Toezicht beoogt efficiënte administratieve processen en kan de opeenstapeling van administratieve lasten reduceren. Daar waar Horizontaal Toezicht aantoonbaar werkzaam en effectief is ingevoerd, vervangt dit formele en materiële controles ten aanzien van de rechtmatigheid van de zorguitgaven vanuit de Zorgverzekeringswet (Zvw), die voorheen na betaling werden uitgevoerd. Op termijn zal dit ook gelden voor de andere financieringsstromen. Geconstateerde fouten worden alleen voor het lopende jaar gecorrigeerd waarna het betreffende risico wordt opgenomen in het Control Framework voor het daaropvolgende jaar. Beheersing vindt bij voorkeur plaats door processen en procedures aan de voorkant goed in te richten. Hiermee is Horizontaal Toezicht toekomstgericht. A11

15 Gezamenlijke visie Leidende principes Uitkomst en fasering Uitkomst en fasering (1) Uitkomst en fasering (2) A12

16 Uitkomst en fasering (1) Beoogde uitkomst Zorgverzekeraars en zorgaanbieder hebben de gezamenlijke ambitie om per % van de Zvw-omzet te verantwoorden op basis Horizontaal Toezicht. De implementatie zou volgens het onderstaande schema kunnen verlopen. Een verdere uitwerking hiervan zal opgenomen worden in het nog op te stellen Implementatieplan Horizontaal Toezicht GGZ. INSTELLINGEN 10% 15% 15% 10% 50% Zvw fasen implementatie Voor de uitrol van Horizontaal Toezicht worden 5 fasen onderscheiden. A) Verkennen In deze fase wordt een bestuurlijk besluit genomen om over te gaan op Horizontaal Toezicht. B) Inventariseren De eerste stap na besluitvorming is het toepassen van het instapmodel Horizontaal Toezicht Zorg. Aan de hand van het instapmodel Horizontaal Toezicht Zorg kan een zorgaanbieder een quickscan van de organisatie maken om vast te stellen in hoeverre de organisatie gereed is om over te gaan op Horizontaal Toezicht. De uitkomsten worden besproken met de representerende zorgverzekeraar. C) Verbeteren Op basis van de uitkomsten van het instapmodel worden verbeteringen in de organisatie en processen doorgevoerd. Wanneer de organisatie aan de gewenste norm voldoet en dit is besproken met de representerende zorgverzekeraar kan de implementatie starten. D) Implementeren Om de uitvoering van Horizontaal Toezicht op een eenduidige manier te laten plaatsvinden is een landelijk Control Framework ontwikkeld. Wanneer de organisatie haar risico s in kaart heeft gebracht en het bestaan van de beheersmaatregelen is vastgesteld en dit is besproken met de representerende zorgverzekeraar gaat een instelling over naar Horizontaal Toezicht. E) Verantwoorden In deze fase wordt jaarlijks opzet, bestaan en werking van de beheersmaatregelen vastgesteld. In de nog te ontwikkelen producten zal van elk van de bovengenoemde stappen een verder uitwerking worden opgesteld. A13

17 Uitkomst en fasering (2) VERKENNINGSFASE INVENTARISATIESFASE VERBETERFASE IMPLEMENTATIEFASE VERANTWOORDINGSFASE afweging maken op basis van businesscase toetsing van geschiktheid op basis van instapmodel verbetertraject n.a.v. bevindingen instapmodel invoering Control Framework & Horizontaal Toezicht in de praktijk beoefenen verantwoording op basis van aantoonbaar werkzaam en effectief Horizontaal Toezicht A B C D E C HTZ A B 0 1 A B C D E VERKENNEN INVENTARISEREN VERBETEREN IMPLEMENTEREN VERANTWOORDEN Identificeren hoofd- en deelprocessen Benoemen van beheersingsdoelstellingen Identificeren van risico s Uitvoeren risicoanalyse Bepalen beheersingsmaatregelen Beoordelen opzet en bestaan van de beheersmaatregelen Verantwoorden over opzet, bestaan en werking De overgang van fase D naar fase E is de overgang naar Horizontaal Toezicht. A14

18 geestelijke gezondheidszorg Implementatieplan (Versie 1.0 definitief) juli 2019 B1

19 Leeswijzer In dit Implementatieplan is uitgewerkt hoe de landelijke implementatie van Horizontaal Toezicht in de GGZ en de implementatie per organisatie moet gaan verlopen. Het Implementatieplan bestaat uit 5 hoofdstukken. Ambitie kwalitatief. In de gezamenlijke visie Horizontaal Toezicht GGZ zijn vijf kwalitatieve ambities benoemd en beschreven. Onder ambitie kwalitatief worden deze ambities verder uitgewerkt en is beschreven hoe Horizontaal Toezicht bijdraagt aan het behalen van deze ambities. Ook worden per ambitie handvatten gegeven hoe hier in de praktijk invulling aan gegeven kan worden. Ambitie kwantitatief. In de kwantitatieve ambitie wordt beschreven welke zorgaanbieders in aanmerking komen voor Horizontaal Toezicht en wat de gezamenlijke ambitie is om de GGZ op Horizontaal Toezicht over te laten gaan. Daarnaast is een schema opgenomen hoe de implementatie in aantallen zorgaanbieders eruit kan zien in de komende jaren. Implementatie per organisatie. Een zorgaanbieder gaat fasegewijs over naar Horizontaal Toezicht. In het hoofdstuk Implementatie per zorgaanbieder worden deze fasen beschreven en is uiteengezet welke producten uit het landelijk raamwerk hierin kunnen ondersteunen. Verder is een gemiddelde doorlooptijd per fase opgenomen en wordt duidelijk wanneer een zorgaanbieder over is op Horizontaal Toezicht. In dit hoofdstuk wordt ook de scope van Horizontaal Toezicht toegelicht. Ingroei Gepast Gebruik. Horizontaal Toezicht richt zich op de rechtmatigheid van de zorguitgaven. Dit gaat enerzijds over correct registreren en declareren en anderzijds over Gepast Gebruik. In dit hoofdstuk is uitgewerkt op basis van welke uitgangspunten de ingroei van Gepast Gebruik in Horizontaal Toezicht gaat verlopen. Landelijke organisatie. Na oplevering, vaststelling en publicatie van het landelijk raamwerk Horizontaal Toezicht zal het landelijk projectteam Horizontaal Toezicht GGZ overgaan in het Landelijk Platform Horizontaal Toezicht GGZ. Het hoofddoel van het Landelijk Platform Horizontaal Toezicht is het bewaken en het faciliteren van de implementatie van Horizontaal Toezicht in de GGZ. In dit hoofdstuk worden de taken van het landelijke platform Horizontaal Toezicht GGZ beschreven. Ook is de organisatiestructuur uiteengezet in een organogram en wordt per onderdeel beschreven wat ieders taken en verantwoordelijkheden zijn. B2

20 Inhoud Ambitie kwalitatief Ambitie kwantitatief Implementatie per organisatie Ingroei Gepast Gebruik Landelijke organisatie B3

21 Ambitie kwalitatief Ambitie kwalitatief Ambitie kwantitatief Implementatie per organisatie Ingroei Gepast Gebruik Landelijke organisatie Inleiding Vertrouwen als basis Administratieve lasten verminderd Bedrijfsvoering op orde Eerder inzicht in zorguitgaven Gepast Gebruik van zorg B4

22 Ambitie kwalitatief Inleiding Het doel van Horizontaal Toezicht is een efficiënter én effectiever toezicht op de rechtmatigheid van de zorguitgaven. In de gezamenlijke visie Horizontaal Toezicht GGZ zijn vijf kwalitatieve ambities benoemd en beschreven. Opgemerkt wordt dat deze ambities een direct of indirect gevolg zijn van Horizontaal Toezicht of een motivering om met Horizontaal Toezicht aan de slag te gaan. A. Vertrouwen als basis B. Administratieve lasten verminderd In dit implementatieplan zijn deze ambities verder uitgewerkt en is beschreven hoe Horizontaal Toezicht bijdraagt aan het behalen van deze ambities. Tot slot worden per ambitie handvatten gegeven hoe hier in de praktijk invulling aan gegeven kan worden. Voor alle onderstaande ambities geldt de mate waarin deze gehaald kunnen worden en de toepasselijkheid van de handvatten samenhangt met de uitgangspositie van een organisatie. Bijvoorbeeld in hoeverre de interne beheersing in de basis al op orde is, is mede bepalend in hoe snel een vermindering van administratieve lasten bemerkt wordt. Daarnaast is de fase in de implementatie van Horizontaal Toezicht van belang. In de beginjaren leidt Horizontaal Toezicht in de regel tot extra inspanningen en investeringen, maar voor de langere termijn levert dit de voordelen op zoals omschreven in de vijf ambities. C. Bedrijfsvoering op orde D. Eerder inzicht in zorguitgaven E. Gepast Gebruik van zorg B5

23 Ambitie kwalitatief A. Vertrouwen als basis Er is een groeiend wederzijds vertrouwen ten aanzien van het correct registreren en declareren en een gepaste besteding van de zorguitgaven. Gefundeerd vertrouwen is de basis van de samenwerking tussen zorgverzekeraars en zorgaanbieders. Samen geven zorgverzekeraars en zorgaanbieders invulling aan hun verantwoordelijkheid om zorg te dragen voor een juiste en gepaste besteding van de zorguitgaven. Hoe gaat Horizontaal Toezicht bijdragen aan het halen van die ambitie? Wederzijds vertrouwen tussen intrinsiek gemotiveerde zorgaanbieders en zorgverzekeraars is de basis voor Horizontaal Toezicht. Dit vertrouwen moet groeien en zowel de zorgaanbieders als de zorgverzekeraars zetten zich hiervoor in vanuit een gelijkwaardig partnerschap en met begrip voor elkaars taken en verantwoordelijkheden. Het fundament van dit vertrouwen is wederzijdse transparantie en heldere communicatie. Om dat te bewerkstelligen is er onder andere één landelijk raamwerk voor de implementatie en uitvoering van Horizontaal Toezicht ontwikkeld. Het raamwerk omvat een Gezamenlijke visie, Implementatieplan, Afwegingskader, Instapmodel en een Control Framework. Welke handvatten geven wij mee? Het organisatiebreed uitdragen en in de praktijk brengen van deze ambitie gaat door alle lagen van de organisatie. Dit raakt alle professionals, de tone at the top is daarbij essentieel, omdat dit als voorbeeld dient voor de rest van de organisatie. Creëer niet alleen een duurzame relatie aan de inkoop/verkooptafel, maar ook aan de Horizontaal Toezicht tafel. Zorg ervoor dat beide tafels een volwaardige plek innemen en van elkaar op de hoogte zijn. Bekrachtig de gezamenlijke start van de implementatie van Horizontaal Toezicht, bijvoorbeeld met een intentieverklaring. Organiseer intensief en frequent, passend bij de fase waarin de zorgaanbieder zich bevindt, interactie tussen de representerende zorgverzekeraar en zorgaanbieder om te spreken over de onderwerpen die samenhangen met Horizontaal Toezicht. Zorg voor vaste contactpersonen bij zowel de representerende zorgverzekeraar als bij de zorgaanbieder. Het bouwen aan een duurzame relatie vraagt om persoonlijke contacten die erop gericht zijn elkaars organisaties beter te leren kennen. Organiseer onderling werkbezoeken waarin de wederpartij een kijkje in de keuken van de ander kan nemen. Maak goede procesafspraken en definieer meetbare gezamenlijke doelen, zodat de wederzijdse verwachtingen op tijd helder zijn. Vier samen successen. Ga zorgvuldig om met elkaars gegevens en zorg dat deze gegevens alleen toegankelijk zijn voor de personen die deze nodig hebben. B6

24 Ambitie kwalitatief daaropvolgende jaar. Beheersing vindt bij voorkeur plaats door processen en procedures aan de voorkant goed in te richten. Hiermee is Horizontaal Toezicht toekomstgericht. B. Administratieve lasten verminderd De controles die voorheen na betaling werden uitgevoerd zijn vervangen door goede afspraken en proces- en systeemgerichte beheersing aan de voorkant van het proces. Zorgverzekeraars en zorgaanbieders werken proactief samen aan het voorkomen en afschaffen van overbodige weten regelgeving. Hoe gaat Horizontaal Toezicht bijdragen aan het halen van die ambitie? Horizontaal Toezicht is proces- en systeemgericht toezicht en stimuleert een juiste vastlegging aan de bron. Dit is doorgaans efficiënter en effectiever dan gegevensgerichte controle verderop in de keten en zorgt voor een duurzame interne controle. Eigen (en mogelijk onnodige) administratieve processen worden door de zorgverzekeraars en zorgaanbieder tegen het licht gehouden. Horizontaal Toezicht beoogt efficiënte administratieve processen en kan de opeenstapeling van administratieve lasten reduceren. Daar waar Horizontaal Toezicht aantoonbaar werkzaam en effectief is ingevoerd, vervangt dit achteraf controles ten aanzien van correct registreren en declareren, die voorheen na betaling werden uitgevoerd. Geconstateerde nieuwe risico s worden alleen voor het lopende jaar gecorrigeerd, waarna het betreffende risico wordt opgenomen in het Control Framework voor het Zorgverzekeraars werken in representatie en steunen op elkaars werkzaamheden. In het kader van Horizontaal Toezicht heeft een zorgaanbieder met één zorgverzekeraar te maken. Bestaande wet- en regelgeving is leidend. Door middel van een constructieve dialoog draagt Horizontaal Toezicht bij aan een eenduidige, tijdige en gezamenlijke duiding of interpretatie van wet- en regelgeving. Uitgangspunt is dat dit plaatsvindt vóórdat regels ingaan. Verder helpt Horizontaal Toezicht om de focus te leggen op zinvolle registraties en om gezamenlijk conflicterende en overbodige wet- en regelgeving te signaleren en dit bij de juiste partijen onder de aandacht te brengen. Op termijn kunnen ook de forensische zorg, de langdurige zorg en het sociaal domein worden betrokken bij Horizontaal Toezicht. Bij de ontwikkeling van Horizontaal Toezicht wordt hier zoveel mogelijk rekening mee gehouden en kan dit bijdragen aan het verminderen van de administratieve lasten. Welke handvatten geven wij mee? Zorg dat de administratieve processen aansluiten bij het zorgproces, zodat het in één keer goed vastleggen aan de bron wordt gestimuleerd. Zorg voor een goede monitoring van het aantal retourberichten. De zorgaanbieder kan het aantal retourberichten over een bepaalde periode bijhouden om te onderzoeken in welke mate deze berichten afnemen door een betere interne beheersing. De representerende zorgverzekeraar kan zorgdragen voor spiegelinformatie. Monitor de basisregistratie. Er kunnen door de zorgaanbieder KPI s worden gedefinieerd, waar nodig in afstemming met de representerende zorgverzekeraar. Zo kan de zorgaanbieder bijvoorbeeld het aantal niet declarabele DBC s monitoren over een bepaalde periode. Onjuiste B7

25 Ambitie kwalitatief registraties zullen vaker leiden tot niet declarabele DBC s. Te denken valt onder andere aan een first time right percentage als graadmeter. Juist binnen de Horizontaal Toezicht relatie kan gezamenlijk geconstateerd worden dat regelgeving onduidelijk of overbodig is. Breng lokale bevindingen in bij landelijke regelgevende of toezichthoudende instanties waar gezamenlijk gesproken wordt over overbodige wet- en regelgeving of over het vereenvoudigen van wet- en regelgeving. Zorg dat bij het inrichten van het Control Framework waar mogelijk een proces- en/of systeemgerichte beheersing wordt toegepast. Dat is niet alleen efficiënter, maar ook effectiever en toekomstbestendiger. Streef naar een zo ver mogelijke integratie van de werkzaamheden ten behoeve van de jaarrekening en de werkzaamheden ten behoeve van Horizontaal Toezicht. C. Bedrijfsvoering op orde Organisaties hebben hun bedrijfsvoering op orde. Registraties vinden first time right plaats. De interne beheersing van zorgaanbieders is aantoonbaar effectief en inzichtelijk voor de representerende zorgverzekeraar. Zorgverzekeraars hebben een efficiënt en effectief werkend representatiemodel ingericht. Hoe gaat Horizontaal Toezicht bijdragen aan het halen van die ambitie? Zorgaanbieders en zorgverzekeraars zijn intrinsiek gemotiveerd om de organisatie in te richten volgens de uitgangspunten van Horizontaal Toezicht. Dit komt tot uiting in de cultuur en het gedrag in alle lagen van de organisaties. Voor zorgverzekeraars betekent dit ook het inrichten van een efficiënt en effectief werkend representatiemodel. Als handvat hiervoor is er het Instapmodel Horizontaal Toezicht. De Compliance handvatten uit NZa-rapport Compliant Registreren en Declareren (7S-model) zijn verwerkt in dit Instapmodel alsmede governance-elementen uit het rapport Toezicht op Goed Bestuur van de NZa en IGJ. Het voldoen aan het Instapmodel, is daarom ook een belangrijke stap om aan dergelijke overheidsnormen te voldoen. B8

26 Ambitie kwalitatief Eén van de normen betreft het inrichten van het interne toezicht conform het three-lines-of-defence model. De eerste lijn is daarin verantwoordelijk voor een juiste registratie en declaratie. De tweede lijn betreft de compliance-functie en toetst of voldaan wordt aan wet- en regelgeving en kan hierin de eerste lijn adviseren. De derde lijn is de interne controlefunctie die zo onafhankelijk mogelijk toetst of eerste en tweede lijn hun werkzaamheden dusdanig uitvoeren dat het interne toezicht is geborgd. Binnen het Instapmodel wordt een zorgaanbieder onder andere op deze norm gewaardeerd. In één keer goed registreren en declareren van rechtmatig geleverde zorg staat binnen Horizontaal Toezicht centraal. Dit vindt zo vroeg mogelijk in de registratie- en declaratieketen plaats, is ingebed in de zorgprocessen van de zorgaanbieder en is transparant voor de representerende zorgverzekeraar. Horizontaal Toezicht is maatwerk en er is sprake van een risicogerichte aanpak. De organisatiespecifieke eigenschappen zoals het zorginhoudelijke profiel, de procesinrichting en de systemen van de betreffende zorgaanbieder zijn hierbij het vertrekpunt. Daarnaast heeft de representerende zorgverzekeraar een opbouwende kritische blik bij de inrichting van de processen. Al deze aanpassingen dragen bij aan een betere bedrijfsvoering. Welke handvatten geven wij mee? Gebruik de Horizontaal Toezicht-producten om de eigen bedrijfsvoering op orde te krijgen. Met name het Instapmodel kan hiervoor als belangrijke kapstok dienen. Laat de focuspunten uit Horizontaal Toezicht terugkomen in de reguliere P&C-cyclus. Zorg dat het compliant zijn leeft binnen alle geledingen van de organisatie. Maak goede procesafspraken en definieer meetbare gezamenlijke doelen, zodat intern de wederzijdse verwachtingen helder zijn. Durf elkaar aan te spreken en vier samen successen. Heb voldoende oog voor het cultuuraspect bij de invoering van Horizontaal Toezicht en neem de hele organisatie mee in veranderingen. Bedenk passende projectnamen om het principe van first-time-right breed te implementeren binnen de zorgaanbieder. Laat zien wat de effecten zijn van het in één keer goed registreren en creëer positieve prikkels. Zorg dat voorafgaand aan de landelijke uitrol de afspraken tussen zorgverzekeraars in het kader van de representatie zijn uitgewerkt en vastgesteld. Zorgverzekeraars werken volgens representatie en steunen op elkaars werkzaamheden. De verschillende betrokken afdelingen kunnen hun processen anders inrichten, zodat zij zijn toegerust op deze nieuwe taken en verantwoordelijkheden. Dit vraagt daarom ook om het op orde hebben van de bedrijfsvoering bij zorgverzekeraars. Bij Horizontaal Toezicht heeft iedere zorgaanbieder dus één representerende zorgverzekeraar. Zorgverzekeraars dragen onderling zorg voor een eenduidige en uniforme toepassing van de representatie en zorgen voor een efficiënt en effectief werkend representatiemodel. B9

27 Ambitie kwalitatief D. Eerder inzicht in zorguitgaven Samenwerking in de hele keten van verantwoording leidt tot eerder inzicht in de zorguitgaven. Horizontaal Toezicht zorgt voor meer zekerheid in de jaarrekeningen en minder controles achteraf. De zorgaanbieders, zorgverzekeraar, cliënt/verzekerde, maatschappij en politiek weten in een vroeg stadium wat de uitgaven zijn geweest. Hoe gaat Horizontaal Toezicht bijdragen aan het halen van die ambitie? Binnen Horizontaal Toezicht is er duidelijkheid over de verschillende taken en verantwoordelijkheden. Zorgverzekeraars, zorgaanbieders en andere betrokkenen respecteren elkaars wettelijke taken en verantwoordelijkheden. Horizontaal Toezicht kan helpen om deze taken en verantwoordelijkheden op een efficiëntere en effectievere manier vorm te geven. Zo beogen zorgaanbieders en zorgverzekeraars één gezamenlijke verantwoording voor de keten, zodat tevens andere partijen in deze keten zoals toezichthouders, accountants en verschillende financiers erop kunnen steunen. Bij de opzet van Horizontaal Toezicht en het invullen van de verantwoording houden partijen rekening met deze ketenbrede aanpak. Dit moet leiden tot eerder inzicht in de zorguitgaven, beduidend minder correcties achteraf, minder onzekerheden in de jaarrekeningen en een snellere verantwoordingscyclus in het kader van de risicoverevening. Welke handvatten geven wij mee? Zorg ervoor dat werkafspraken in het kader van Horizontaal Toezicht tijdig worden gemaakt. Zo dienen afspraken over het Control Framework idealiter voorafgaand aan een kalenderjaar te worden vastgesteld. Dan wordt tijdswinst door Horizontaal Toezicht niet tenietgedaan door te trage afspraken. Draag als zorgaanbieder zorg voor tijdige declaraties. Tijdig declareren heeft een positieve impact op de verwerking van het eigen risico. Hierdoor heeft de cliënt/verzekerde eerder inzicht in zijn zorguitgaven. Zorg dat de beheersing voorafgaand aan de declaratie goed is ingebed in de zorgprocessen. Dit zorgt voor een berekening van het eigen risico die in één keer goed is. Ook al is dit geen onderdeel van de besprekingen in het kader van Horizontaal Toezicht helpt het wel om contractafspraken op tijd rond te maken. Het eerder inzicht hebben in de zorguitgaven door Horizontaal Toezicht kan tenietgedaan worden als prijsafspraken pas laat tot stand komen. Ga als zorgaanbieder en zorgverzekeraar op tijd in gesprek met je eigen accountant, om deze zo goed mee te nemen in de ontwikkelingen op het gebied van Horizontaal Toezicht. Vanuit het landelijke traject vindt structureel overleg plaats met de accountants van zorgaanbieders (Coziek) en zorgverzekeraars (APZ). B10

28 Ambitie kwalitatief E. Gepast Gebruik van zorg Transparantie over Gepast Gebruik van zorg is toegenomen. Zorgverzekeraars en zorgaanbieders zijn met elkaar in gesprek over Gepast Gebruik. Waar mogelijk ondersteunen de zorgverzekeraars in het aanleveren van goede benchmarkinformatie. Hoe gaat Horizontaal Toezicht bijdragen aan het halen van die ambitie? Horizontaal Toezicht heeft betrekking op de rechtmatigheid van de zorguitgaven. Dit gaat enerzijds over correct registreren en declareren en anderzijds over Gepast Gebruik. Twee basiscriteria uit de Zvw zijn bij Gepast Gebruik leidend. De zorg voldoet aan de stand van wetenschap en praktijk (effectieve zorg) en de verzekerde moet redelijkerwijs zijn aangewezen op de zorg gezien zijn gezondheidssituatie (medische noodzaak). Aangezien dit basiscriteria zijn vanuit de Zvw is Gepast Gebruik een rechtmatigheidsonderdeel en valt dit onder Horizontaal Toezicht. Horizontaal toezicht is bedoeld om het toezicht efficiënter én effectiever te maken. Bij het effectiever maken van het toezicht is Gepast Gebruik een belangrijk onderwerp. Bij het invulling geven aan gepast gebruik als onderdeel van Horizontaal Toezicht staat niet het sanctioneren van het verleden, maar de verbetering voor de toekomst centraal. Daardoor vormt het gezamenlijk nadenken over een juiste besteding van de zorguitgaven geen bedreiging meer voor oude jaren, maar heeft dit wel een positieve invloed voor het lopende jaar en de volgende jaren. Verder is het van belang dat juist bij het onderwerp Gepast Gebruik naar de processen wordt gekeken. Dit past goed bij de doestellingen van Horizontaal Toezicht. Welke handvatten geven wij mee? Betrek de zorgprofessionals van de zorgaanbieder en de medisch adviseurs van zorgverzekeraars bij Horizontaal Toezicht. De principes van matched care uit het kwaliteitsstatuut GGZ kunnen bijvoorbeeld als vertrekpunt worden genomen. De dialoog over Gepast Gebruik wordt gevoed door data-analyse en benchmarking. Onderzoek gezamenlijk de mogelijkheid om gebruik te maken van benchmark analyses. Gelijke toegang voor zorgaanbieders en zorgverzekeraars tot deze benchmark analyses is wenselijk. Deel Good practices vanuit de lokale afspraken, zodat landelijk sprake is van een leercurve. Gezamenlijk vormgeven van effectmeting van de zorg om zo gericht de dialoog te voeren over Gepast Gebruik. Zorgaanbieder en zorgverzekeraars bespreken periodiek uitkomsten en zoeken naar verklaringen en mogelijke verbeteringen. Voor Gepast Gebruik is een ingroeimodel afgesproken. Meer hierover in het hoofdstuk Ingroei Gepast gebruik. B11

29 Ambitie kwantitatief Ambitie kwalitatief Ambitie kwantitatief Implementatie per organisatie Ingroei Gepast Gebruik Landelijke organisatie Deelname Horizontaal Toezicht Ambitie Scope Horizontaal Toezicht B12

30 Ambitie kwantitatief Deelname Horizontaal Toezicht Horizontaal Toezicht staat open voor alle zorgaanbieders die binnen een redelijke termijn voldoen aan het Instapmodel. De intrinsieke motivatie is daarbij de belangrijkste basis. Ook wanneer een zorgaanbieder niet overgaat op Horizontaal Toezicht kunnen de principes, uitgangspunten en handvatten door zorgaanbieders gebruikt worden om de interne beheersing op orde te brengen. Zorgaanbieders met een minimale Zvw-omzet van 10 miljoen komen in ieder geval in aanmerking voor Horizontaal Toezicht. Voor de geneeskundige ggz gaat dit om 35 tot 40 zorgaanbieders. Om de ambitie te verwezenlijken ligt de focus op deze zorgaanbieders. Voor deze zorgaanbieders geldt dat de inspanningen, die nodig zijn om tot een andere manier van verantwoording te komen en het interne toezicht op orde te brengen, proportioneel zijn. Ook voor zorgverzekeraars spelen proportionaliteit en inspanning een rol. Daarbij wordt benadrukt dat het in aanmerking komen voor Horizontaal Toezicht een gezamenlijke beslissing is van de zorgaanbieder en de representerende zorgverzekeraar en dat in onderling overleg de beste afweging gemaakt kan worden. Ambitie Zorgverzekeraars en zorgaanbieders hebben in de gezamenlijke visie de ambitie uitgesproken om per % van de Zvw-omzet te laten verantwoorden op basis van Horizontaal Toezicht. Voor een concrete invulling van deze ambitie wordt het realistisch geacht dat 30 zorgzorgaanbieders met een Zvw-omzet vanaf 10 miljoen per 2022 zich verantwoorden op basis van Horizontaal Toezicht. Als deze ambitie wordt gehaald is ten minste 50% van de Zvw-omzet door middel van Horizontaal Toezicht verantwoord. De verwachting is dat de implementatie volgens het schema verloopt. Aantal zorgaanbieders over op Horizontaal Toezicht ZORGAANBIEDERS A VERKENNINGS- FASE B C D E INVENTARISATIE- FASE VERBETER- FASE IMPLEMENTATIE- FASE VERANTWOORDINGS- FASE B13

31 Ambitie kwantitatief Scope Horizontaal Toezicht Scope Horizontaal Toezicht Horizontaal Toezicht richt zich op de rechtmatigheid van de zorguitgaven. Dit gaat enerzijds over correct registreren en declareren en anderzijds over Gepast Gebruik. Correct registreren en declareren Correct registreren en declareren betekent ten eerste op een juiste, tijdige en volledige manier registeren en declareren van zorg. Een belangrijke basis hiervoor is de Wet marktordening gezondheidszorg (Wmg) en de regelgeving die de NZa op basis van de Wmg heeft vastgesteld. Zo mogen zorgaanbieders alleen zorg declareren wanneer zij daarvoor een rechtsgeldige tariefbeschikking hebben ontvangen en wanneer zij voldoen aan alle registratie- en declaratiebepalingen van de NZa. Correct registreren en declareren betekent ten tweede het voldoen aan de (indicatie)voorwaarden uit de Zorgverzekeringswet (Zvw), de Regeling zorgverzekering (Rzv) en het Besluit zorgverzekering (Bzv). Daarin is vastgelegd welke zorg vergoed mag worden vanuit de Zvw. Alleen wanneer voldaan is aan deze voorwaarden mag zorg worden gedeclareerd ten laste van de basisverzekering. Onderdeel van deze voorwaarden betreft ook het plegen te bieden criterium, waarin is vastgelegd dat bepaalde zorg alleen door daartoe bevoegde professionals mag worden geleverd. Gepast Gebruik Gepast Gebruik betekent dat wanneer zorg wordt geleverd deze zorg voldoende bewezen effectief is en alleen wordt geleverd aan patiënten die deze zorg ook echt nodig hebben. Twee basiscriteria uit de Zvw zijn daarbij leidend. De zorg voldoet aan de stand van wetenschap en praktijk (effectieve zorg) en de verzekerde moet redelijkerwijs zijn aangewezen op de zorg gezien zijn gezondheidssituatie (medische noodzaak). Aangezien dit basiscriteria zijn vanuit de Zvw is ook Gepast Gebruik een rechtmatigheidsonderdeel en valt dit onder Horizontaal Toezicht. Het doel van de afspraken over Gepast Gebruik vanuit Horizontaal Toezicht is in beginsel niet het sanctioneren van het verleden, maar verbeterafspraken maken voor de toekomst. Buiten scope Contractuele afspraken die geen betrekking hebben op bovengenoemde rechtmatigheidsonderdelen vallen niet onder Horizontaal Toezicht. Te denken valt aan afspraken tussen een zorgverzekeraar en zorgaanbieder over prijs, volume, selectieve inkoop, cliënttevredenheid, digitalisering, kostenbeheersing, efficiency en innovatie. Vermoedens van fraude worden individueel door de zorgverzekeraar onderzocht of uitgezet bij de zorgaanbieder. B14

32 Ambitie kwantitatief Scope Horizontaal Toezicht Onderdeel Toepassing Scope Correct registreren en declareren Juiste registratie en declaratie (normen Wmg, prestatie- en tariefbeschikkingen en nadere regels NZa) Horizontaal Toezicht Scope Horizontaal Toezicht GGZ rechtmatigheid Gepast Gebruik Voldoen aan (indicatie)voorwaarden Zvw (regeling zorgverzekering ) De zorg voldoet aan de stand van wetenschap en praktijk (effectieve zorg) Horizontaal Toezicht De verzekerde moet redelijkerwijs zijn aangewezen op de zorg gezien zijn gezondheidssituatie (medische noodzaak) Overig Bilaterale afspraken over bijvoorbeeld: - Prijzen en volume - Selectieve inkoop - Cliënttevredenheid - Digitalisering - Kostenbeheersing - Efficiency - Innovatie Contractering B15

33 Implementatie per organisatie Ambitie kwalitatief Ambitie kwantitatief Implementatie per organisatie Ingroei Gepast Gebruik Landelijke organisatie Vijf fasen implementatie Gemiddelde doorlooptijd per fase Overgang naar Horizontaal Toezicht B16

34 Implementatie per organisatie Vijf fasen implementatie Een zorgaanbieder gaat fasegewijs over naar Horizontaal Toezicht. Deze fasen zijn processtappen en wanneer aan een aantal voorwaarden is voldaan kan een volgende fase worden ingezet. In de ambitie kwantitatief wordt aan de hand van de fasen inzichtelijk gemaakt hoe de uitrol van Horizontaal Toezicht naar verwachting verloopt om de ambitie te kunnen verwezenlijken. Er worden vijf fasen onderscheiden: A. Verkenningsfase B. Inventarisatiefase C. Verbeterfase D. Implementatiesfase E. Verantwoordingsfase A. Verkenningsfase In deze fase wordt een bestuurlijk besluit genomen om over te gaan op Horizontaal Toezicht. Om een zorgvuldig besluit te kunnen nemen, kan gebruik gemaakt worden van het Afwegingskader. Afwegingskader ten behoeve fase A Op basis van het Afwegingskader kunnen zorgaanbieders en zorgverzekeraars een gefundeerde afweging maken of de inzet van Horizontaal Toezicht voor hen voldoende voordelen biedt ten opzichte van het traditionele toezicht. Het Afwegingskader is een objectieve en reële enthousiasmerende brochure over Horizontaal Toezicht, ondersteunend in het maken van een keuze over het al dan niet overgaan op Horizontaal Toezicht. Dit Afwegingskader moet op diverse niveaus in de organisatie het gesprek kunnen faciliteren over Horizontaal Toezicht. Voor zorgverzekeraars heeft het Afwegingskader een informatieve functie om de eigen organisatie goed mee te nemen. Horizontaal Toezicht wordt pas echt effectief als er voldoende intrinsieke motivatie is om hiermee aan de slag te gaan. Voor zorgverzekeraars geldt dat collectief besloten is Horizontaal Toezicht mogelijk te maken voor die zorgaanbieders die daar klaar voor zijn. Dat betekent dat het Afwegingskader vooral moet uitleggen waarom invoering belangrijk is en welke afwegingen daarbij een rol hebben gespeeld. B. Inventarisatiefase Nadat een zorgaanbieder op basis van het Afwegingskader tot de afweging is gekomen dat invoering van Horizontaal Toezicht voor de organisatie zinvol en waardevol is, kan op basis van het Instapmodel bepaald worden of de zorgaanbieder daadwerkelijk klaar is om over te gaan op een Horizontaal Toezicht relatie. Met behulp van het Instapmodel Horizontaal Toezicht maakt een zorgaanbieder aantoonbaar dat de huidige mate van governance, risk-management en compliance rondom de rechtmatigheid van de zorgdeclaraties voldoende is voor een effectieve Horizontaal Toezicht relatie. Het Instapmodel is een vertaling van randvoorwaarden naar toetsbare normen. De uitkomst van deze fase geeft een indicatie of de zorgaanbieder in staat is om een effectieve Horizontaal Toezicht relatie aan te gaan. Wanneer voldaan wordt aan de gewenste norm kan door worden gegaan met de implementatiefase. Vaak zullen er echter eerst of gelijktijdig aan de implementatiefase een aantal verbeteringen moeten worden doorgevoerd. De representerende zorgverzekeraar heeft een rol bij het beoordelen van de uitkomsten van de inventarisatiefase. B17

35 Implementatie per organisatie Instapmodel ten behoeve van fase B en C Doel van het Instapmodel is vast te stellen of een zorgaanbieder in staat is om effectief een Horizontaal Toezicht relatie aan te gaan en waar verbeteringen nodig zijn. Het Instapmodel is een bewuste stap in het Horizontaal Toezicht proces. Het voorkomt dat direct capaciteit en middelen worden ingezet bij het inhoudelijke Control Framework, terwijl de randvoorwaarden nog niet op orde zijn. E. Verantwoordingsfase In deze fase wordt jaarlijks opzet, bestaan en werking van de beheers-maatregelen vastgesteld. De opzet en het bestaan van de beheersmaatregelen worden voor zover als mogelijk voorafgaand aan het jaar vastgesteld. De werking van de beheersmaatregelen wordt gedurende het jaar vastgesteld. De assurance die voor de verantwoording nodig is, is uitgewerkt in het Control Framework. Na de initiële verantwoordingsfase volgt de structurele verantwoordingsfase. C. Verbeterfase In de verbeterfase worden op basis van de uitkomsten van het Instapmodel verbeteringen in de organisatie en processen doorgevoerd. Wanneer de organisatie aan de gewenste norm voldoet en dit is besproken met de representerende zorgverzekeraar kan de implementatie van Horizontaal Toezicht starten. Vaak wordt al tijdens de verbeterfase eerste stappen gezet ten behoeve van de implementatiefase. D. Implementatiefase Om de uitvoering van Horizontaal Toezicht op een eenduidige manier te laten plaatsvinden is een landelijk Control Framework ontwikkeld. In deze fase geeft de zorgaanbieder invulling aan Horizontaal Toezicht door het ontwikkelde Control Framework te implementeren in de organisatie. Aan de hand van dit Control Framework wordt door middel van een risicoanalyse bepaald welke risico s voor de betreffende zorgaanbieder van toepassing zijn. Wanneer de organisatie haar risico s in kaart heeft gebracht, geclassificeerd en het bestaan van de beheersmaatregelen is vastgesteld gaat een instelling over naar Horizontaal Toezicht. Belangrijk in het proces is het zichtbaar vastleggen van beheersmaatregelen, dossiervorming én de borging dat de werkzaamheden op het juiste niveau zijn uitgevoerd. Control Framework ten behoeve van fase D en E Het Control Framework is een gestructureerd beheersingskader dat in de praktijk de uitvoering van Horizontaal Toezicht faciliteert. Het maakt de dialoog mogelijk tussen een zorgaanbieder en de representerende zorgverzekeraar over de vraag of met de interne beheersing de onderkende beheersingsdoelstellingen voor het rechtmatig registreren en declareren van zorg in toereikende mate wordt gehaald. Het bevat landelijke richtlijnen voor gezamenlijk risicomanagement en effectieve/ proportionele inzet van beheersinstrumenten rondom registreren en declareren van zorg. In het Control Framework worden de beheersingsdoelstellingen, de bijbehorende risico s en beheersmaatregelen opgenomen. Het doel is om op een uniforme wijze hierover verantwoording af te leggen in de keten. Het Control Framework beschrijft de processtappen die een zorgaanbieder, zorgverzekeraar en een assurance provider moeten zetten om Horizontaal Toezicht in de praktijk vorm te geven. Wanneer is een zorgaanbieder over op Horizontaal Toezicht? Wanneer de implementatiefase (fase D) is afgerond en wordt overgegaan naar de verantwoordingsfase (fase E) is een zorgaanbieder over op Horizontaal Toezicht. B18

36 Implementatie per organisatie VERKENNINGSFASE INVENTARISATIESFASE VERBETERFASE IMPLEMENTATIEFASE VERANTWOORDINGSFASE afweging maken op basis van Afwegingskader toetsing van geschiktheid op basis van Instapmodel verbetertraject n.a.v. bevindingen Instapmodel invoering Control Framework & Horizontaal Toezicht in de praktijk beoefenen verantwoording op basis van aantoonbaar werkzaam en effectief Horizontaal Toezicht A B C D E 2-3 maanden 2-3 maanden 6-12 maanden maanden A B C D E B19

37 Implementatie per organisatie Gemiddelde doorlooptijd per fase (voorbeeld) Werkzaamheden ten behoeve van Fase D kunnen in de praktijk parallel aan Fase C worden opgestart. MAANDEN FASES A A B B C C C C C C C C C D D D D D D D D D D D Overgang naar Horizontaal Toezicht C 5 A B 0 1 HTZ A B C D E VERKENNEN INVENTARISEREN VERBETEREN IMPLEMENTEREN VERANTWOORDEN De overgang van fase D naar fase E is de overgang naar Horizontaal Toezicht. B20

38 Ingroei Gepast Gebruik Ambitie kwalitatief Ambitie kwantitatief Implementatie per organisatie Ingroei Gepast Gebruik Landelijke organisatie Ingroei Gepast Gebruik Wat betekent dit voor een zorgaanbieder? Pilots Gepast Gebruik B21

39 Ingroei Gepast Gebruik Ingroei Gepast Gebruik Bij de implementatie van Horizontaal Toezicht is Gepast Gebruik in de eerste jaren nog geen integraal onderdeel van Horizontaal Toezicht. Er zal sprake zijn van een ingroei van Gepast Gebruik in Horizontaal Toezicht. Wel kunnen onderwerpen die nu onderdeel zijn van het zelfonderzoek, ook de elementen rondom Gepast Gebruik, meegenomen worden in Horizontaal Toezicht. Tot slot is het mogelijk om pilots te starten met nieuwe onderwerpen Gepast Gebruik. Taskforce Gepast Gebruik GGZ De Taskforce Gepast Gebruik GGZ stelt in opdracht van de ondertekenaars van het Bestuurlijk Akkoord GGZ 2019 t/m 2022 een advies op over de verantwoording van Gepast Gebruik in de GGZ. De opdracht uit het Bestuurlijke Akkoord GGZ is tweeledig: A. Vaststellen welke basisset ten aanzien van Gepast Gebruik minimaal geregistreerd moet worden door de aanbieders om op procesniveau over Gepast Gebruik te kunnen verantwoorden. B. Uitwerken hoe een procesgerichte verantwoording op Gepast Gebruik eruit ziet en hoe opzet, bestaan en werking van zo n proces aangetoond kan worden. Het rapport van de Taskforce gaat een kader geven hoe Gepast Gebruik verantwoord kan worden op een procesgerichte manier. Ook maakt het rapport duidelijk wat de bekende onderwerpen Gepast Gebruik zijn. Het Landelijk Platform Horizontaal Toezicht GGZ zal de aanbevelingen uit het rapport meenemen in de verdere ontwikkeling van Gepast Gebruik als onderdeel van Horizontaal Toezicht. Wat betekent dit voor een zorgaanbieder? Zolang Gepast Gebruik nog geen algemeen onderdeel is van Horizontaal Toezicht kunnen ook voor zorgaanbieders die over zijn op Horizontaal Toezicht achterafcontroles blijven plaatsvinden op het gebied van Gepast Gebruik. Indien de zorgaanbieder in overleg met de representerende zorgverzekeraar besluit ook de bekende onderwerpen Gepast Gebruik uit het zelfonderzoek mee te nemen in Horizontaal Toezicht, zullen op deze punten geen achterafcontroles plaatsvinden bij die betreffende zorgaanbieder vanaf het moment dat de instelling over is op Horizontaal Toezicht. Het Landelijk Platform Horizontaal Toezicht GGZ werkt begin 2019 in een landelijk risicolijst uit wat de bekende onderwerpen zijn in het kader van Correct registreren en declareren en de bekende onderwerpen in het kader van Gepast Gebruik. Voor de bekende onderwerpen in het kader van Gepast Gebruik kan binnen Horizontaal Toezicht dan ook geëxperimenteerd worden met een procesgerichte manier van verantwoorden. Indien de zorgaanbieder in overleg met de representerende zorgverzekeraar besluit de bekende onderwerpen Gepast Gebruik uit het zelfonderzoek niet mee te nemen in Horizontaal Toezicht, kunnen op deze punten achterafcontroles blijven plaatsvinden. Voor nieuwe onderwerpen Gepast Gebruik (niet zijnde onderwerpen uit zelfonderzoek) kunnen zorgverzekeraars bij alle zorgaanbieders achterafcontroles blijven uitvoeren. Voor zorgaanbieders die over zijn op Horizontaal Toezicht geldt wel dat nieuwe onderwerpen op het gebied van Gepast Gebruik (dus anders dan de bekende onderwerpen uit het zelfonderzoek) in beginsel geen financiële impact hebben op oude verantwoordingsjaren. Wel kunnen afspraken worden gemaakt om eventuele correcties door te voeren voor het lopende verantwoordingsjaar. Primair staat de verbetering richting de toekomst centraal. Voor zorgaanbieders die niet over zijn op Horizontaal Toezicht geldt dat achterafcontroles zowel op het gebied van Correct registreren en declareren, als op het gebied van Gepast Gebruik kunnen blijven plaatsvinden. Er kan hierbij ook sprake zijn van financiële impact op oude verantwoordingsjaren. Ingeval van Gepast Gebruik zal dit echter altijd voorafgegaan worden door een gesprek tussen de betreffende zorgverzekeraar en de zorgaanbieder. B22

40 Ingroei Gepast Gebruik Pilots Gepast Gebruik Zorgaanbieders die gestart zijn met de implementatie van Horizontaal Toezicht kunnen samen met hun representerende zorgverzekeraar een pilot Gepast Gebruik starten onder de volgende voorwaarden: De zorgaanbieder heeft fase C doorlopen en bevindt zich minimaal in fase D; Er is consensus tussen de representerende zorgverzekeraars en zorgaanbieder over de pilot en de onderwerpen die hier deel van uitmaken. Het kiezen van onderwerpen zal lokaal plaatsvinden door de zorgaanbieder in afstemming met de representerende zorgverzekeraar. Praktijkervaringen, data-analyses en het spiegelen van informatie op groepsniveau kunnen hierbij een belangrijke rol spelen. Ook het organisatorische component zal aandacht krijgen in de pilots. Bijvoorbeeld hoe het reflecterend en lerend vermogen op Gepast Gebruik het beste geborgd kan worden in de organisatie. Doel pilots Er is sprake van enerzijds een procesdoel en anderzijds een inhoudelijk doel. Ten aanzien van het proces zullen op basis van ervaringen uit de pilots de samenwerkingsrelatie, het proces en de mogelijke te hanteren methodieken en instrumenten worden geëvalueerd. Op basis van die evaluatie kunnen aanbevelingen worden gedaan op welke manier en voor welk deel Gepast Gebruik onderdeel kan worden van Horizontaal Toezicht en welke werkafspraken, procesafspraken en eventuele methoden en instrumenten hiervoor moeten worden vastgesteld. Een belangrijke vraag daarbij is of methodiek van de pilot ook in andere situaties herhaalbaar en daarmee op te schalen is. Voor het monitoren van de procesdoelen van de pilots zal vanuit het landelijk platform HT GGZ een werkgroep Gepast Gebruik worden ingericht. Het landelijk platform HT GGZ zal ook het verdere ingroeipad van Gepast Gebruik in Horizontaal Toezicht uitwerken in voorstellen. Het inhoudelijke doel is om vanuit de lokale afspraken te komen tot een aantal landelijke onderwerpen van Gepast Gebruik die in de komende jaren vanuit Horizontaal Toezicht worden opgepakt. De aanpak om vanuit de lokale afspraken te komen tot landelijk gebruik zal ook via de werkgroep Gepast Gebruik en het landelijk platform HT GGZ worden voorbereid. Werkafspraken Het starten van een pilot zal bevorderd worden door middel van de volgende werkafspraken: Binnen de pilots Gepast Gebruik GGZ staat niet het sanctioneren van het verleden, maar de verbetering voor de toekomst centraal; Zorgprofessionals van de zorgaanbieder en de medisch adviseurs van de representerende zorgverzekeraar zullen nauw bij de pilots betrokken zijn; Lokaal gekozen onderwerpen worden landelijk bekendgemaakt. Er vinden geen achterafcontroles plaats bij die betreffende zorgaanbieder op dat onderwerp; Er worden landelijk geen achterafcontroles uitgevoerd op lokaal gedefinieerde normen vanuit een pilot. Het starten van een pilot zal bevorderd worden door middel van de volgende werkafspraken: Binnen de pilots Gepast Gebruik GGZ staat niet het sanctioneren van het verleden, maar de verbetering voor de toekomst centraal; Zorgprofessionals van de zorgaanbieder en de medisch adviseurs van de representerende zorgverzekeraar zullen nauw bij de pilots betrokken zijn; Lokaal gekozen onderwerpen worden landelijk bekendgemaakt. Er vinden geen achterafcontroles plaats bij die betreffende zorgaanbieder op dat onderwerp; Er worden landelijk geen achterafcontroles uitgevoerd op lokaal gedefinieerde normen vanuit een pilot. B23

41 Ingroei Gepast Gebruik Huidige scope HT GGZ (startpunt 2019) Buiten scope HT GGZ Correct registreren en declareren Bekende onderwerpen Gepast Gebruik Nieuwe onderwerpen Gepast Gebruik (Pilot - optioneel) keuze Bekende onderwerpen Gepast Gebruik Nieuwe onderwerpen Gepast Gebruik B24

42 Landelijke organisatie Ambitie kwalitatief Ambitie kwantitatief Implementatie per organisatie Ingroei Gepast Gebruik Landelijke organisatie Landelijk Platform Horizontaal Toezicht GGZ Besluitvorming Organogram B25

43 Landelijke organisatie Landelijk Platform Horizontaal Toezicht GGZ Na oplevering, vaststelling en publicatie van het landelijk raamwerk Horizontaal Toezicht zal het landelijk projectteam Horizontaal Toezicht GGZ overgaan in het Landelijk Platform Horizontaal Toezicht GGZ. Er is immers geen sprake meer van een (tijdelijk) project, maar van een structurele nieuwe manier van samenwerken. Het hoofddoel van het Landelijk Platform Horizontaal Toezicht is het bewaken en het faciliteren van de implementatie van Horizontaal Toezicht in de GGZ. De taken van het landelijke platform Horizontaal Toezicht zijn als volgt gedefinieerd. 1. Het verbeteren en onderhouden van het landelijk raamwerk Horizontaal Toezicht. Het verbeteren en onderhouden van het landelijk raamwerk Horizontaal Toezicht, dat wil zeggen de Implementatieplan, het Afwegingskader, het Instapmodel, het Control Framework en eventuele andere ondersteunende producten. Het verzamelen van reacties en ervaringen ten aanzien van het landelijk raamwerk. Het beheren van de Horizontaal Toezicht-producten, inclusief versiebeheer. Het voorleggen ter vaststelling aan GGZ Nederland (GGZN) en Zorgverzekeraars Nederland (ZN). 2. Landelijke planning opstellen en periodiek herijken. Het opstellen van een landelijke lijst met alle GGZ-aanbieders, inclusief de stand van zaken en ambitie per zorgaanbieder voor de overgang naar Horizontaal Toezicht. Het up-to-date houden van deze planning. 4. Invulling geven aan het Gepast Gebruik in relatie tot Horizontaal Toezicht. Het coördineren van de totstandkoming van een landelijk kader voor Gepast Gebruik als onderdeel van Horizontaal Toezicht. Het samenbrengen van bestaande initiatieven en het betrekken van andere stakeholders zoals de beroepsgroep en het Zorginstituut Nederland. 5. Het delen van kennis en ervaring vanuit de voorlopers. Het delen van kennis en ervaring vanuit de voorlopers. Er is een nadrukkelijke betrokkenheid vanuit het Landelijk Platform met de voorlopers om de volgende redenen: Ervaring opdoen met een eenduidige toepassing van het landelijk raamwerk; Het ophalen van ervaringen om het landelijk raamwerk verder te verbeteren; Het opstellen van uniforme verantwoordingsformats ten behoeve van de zorgverzekeraars en toezichthouders. 6. Het organiseren van informatiebijeenkomsten. Vanuit het Landelijk Platform worden bijeenkomsten georganiseerd om de achterban te informeren. Deze bijeenkomsten vinden zoveel mogelijk plaats in de regio op locatie (bij een zorgverzekeraar of zorgaanbieder). 7. Het fungeren als vraagbaak met het oog op het eenduidig gebruik van de Horizontaal Toezicht-producten. Het Landelijk Platform beantwoordt pro-actief vragen en zal hiervoor regelmatig Q&A s of berichten publiceren. 3. Het monitoren van de uitrol van Horizontaal Toezicht. Het monitoren van de voortgang van de uitrol per zorgaanbieder. Bij elk van die fasen is specifieke informatie nodig. Hier kan in de voorlichting op ingespeeld worden. Ook wordt een lijst bijgehouden welke Gepast Gebruik onderwerpen per zorgaanbieder worden meegenomen in Horizontaal Toezicht. B26

44 Landelijke organisatie 8. Externe communicatie over Horizontaal Toezicht (bijvoorbeeld nieuwsbrieven). De externe communicatie over Horizontaal Toezicht vindt plaats via het platform en de daarvoor bestemde kanalen, zoals de website en de nieuwsbrieven. GGZN en ZN koppelen deze centrale communicatie terug aan de eigen achterban. De nieuwsbrieven worden elk kwartaal verstuurd. 9. Landelijke afstemming met de bestuurlijke commissie Horizontaal Toezicht GGZ en stakeholders. Bij Horizontaal Toezicht zijn veel stakeholders betrokken, zoals VWS, de NZa, de ACM, het ZINL, de beroepsgroep etc. Landelijk afstemming met deze partijen vindt gezamenlijk plaats via het platform. Besluitvorming Deze tien taken en verantwoordelijkheden zijn het domein van het Landelijk Platform Horizontaal Toezicht GGZ (uitvoerend én passend binnen landelijk raamwerk) en de Bestuurlijke Commissie Horizontaal Toezicht GGZ (strategisch én passend binnen landelijk raamwerk). De twee brancheorganisaties: GGZN en ZN zijn de initiatiefnemers en opdrachtgevers van dit landelijk traject Horizontaal Toezicht GGZ. Oplevering van (nieuwe) eindresultaten vindt plaats aan de besturen van GGZN en ZN met het eindadvies van de Bestuurlijke Commissie Horizontaal Toezicht. Besluitvorming ten aanzien van deze eindresultaten vindt plaats binnen de eigen bestuurlijke structuren van GGZN en ZN. Waar nodig wordt de NZa om een standpunt gevraagd ten aanzien van de eindresultaten. 10. Bespreken van geschillen Geschillen binnen het Horizontaal Toezicht-traject tussen een representerende zorgverzekeraar en een zorgaanbieder worden besproken in het Landelijk Platform Horizontaal Toezicht, met een escalatiemogelijkheid naar de Bestuurlijke Commissie Horizontaal Toezicht GGZ. B27

45 Landelijke organisatie Organogram Voor het Landelijk Platform Horizontaal Toezicht GGZ is het volgende organogram ontwikkeld. opdrachtgevers ZN GGZ Nederland NZa Bestuurlijke commissie HT Landelijk Platform Horizontaal Toezicht GGZ werkgroep werkgroep werkgroep B28

46 Landelijke organisatie Toelichting Organogram A) Brancheorganisaties De twee brancheorganisaties: GGZ Nederland (GGZN) en Zorgverzekeraars Nederland (ZN) zijn de initiatiefnemers en opdrachtgevers van dit landelijk traject Horizontaal Toezicht GGZ. Oplevering van (nieuwe) eindresultaten vindt plaats aan de besturen van GGZN en ZN met het eindadvies van de Bestuurlijke Commissie Horizontaal Toezicht. Besluitvorming ten aanzien van deze eindresultaten vindt plaats binnen de eigen bestuurlijke structuren van GGZN en ZN. Waar nodig zal ook de NZa om een standpunt worden gevraagd ten aanzien van de eindresultaten. B) Nederlandse Zorgautoriteit De NZa neemt ook actief deel aan het Horizontaal Toezicht traject (zowel binnen de Bestuurlijke Commissie, het Platform en de verschillende werkgroepen). De NZa behoudt logischerwijs haar eigen zelfstandige rol (regulator en toezichthouder). De NZa zal eindresultaten dan ook wel kunnen onderschrijven, maar zal deze niet vaststellen. Ook kan de NZa om een standpunt worden gevraagd ten aanzien van de eindresultaten. De vaststelling is aan de brancheorganisaties, waarbij het standpunt van de NZa kan worden meegewogen. C) Bestuurlijke Commissie Horizontaal Toezicht GGZ De initiatiefnemers en opdrachtgevers (GGZN en ZN) worden vertegenwoordigd in een Bestuurlijke Commissie Horizontaal Toezicht bestaand uit twee bestuurders uit de achterban van GGZN en twee bestuurders uit de achterban van ZN. Aan de Bestuurlijke Commissie Horizontaal Toezicht neemt ook de NZa deel. Eindresultaten van het Landelijk Platform worden besproken in de Bestuurlijke Commissie Horizontaal Toezicht die hierover een eindadvies formuleert richting de besturen van NVZ, ZN en NFU. Wanneer het de 10 taken en verantwoordelijkheden van het Landelijke Platform betreft kan de Bestuurlijke Commissie zelf besluiten nemen wanneer dit in lijn is met het landelijk raamwerk. Voor het overige geldt dat Besluitvorming plaatsvindt binnen de eigen bestuurlijke structuren van ZN en GGZN. E) Landelijk Platform Horizontaal Toezicht Het hoofddoel van het Landelijk Platform Horizontaal Toezicht is het bewaken en het faciliteren van de implementatie van Horizontaal Toezicht in de GGZ. Het Landelijk Platform richt zich op de ketenoverstijgende onderdelen rondom Horizontaal Toezicht en beheert het landelijk raamwerk. Er zijn 10 concrete taken en verantwoordelijkheden benoemd van het Landelijk Platform. Besluitvorming op uitvoerend niveau en passend binnen het landelijk raamwerk vindt plaats binnen het Landelijk Platform. Wanneer besluiten strategisch zijn en passend binnen het landelijk raamwerk worden deze genomen door de Bestuurlijke Commissie Horizontaal Toezicht. GGZN en ZN bepalen wie namens hen deelneemt aan het Landelijk Platform. F) Werkgroepen Om de besprekingen in het Landelijk Platform Horizontaal Toezicht zo effectief en constructief mogelijk te laten verlopen worden werkgroepen ingericht die specifieke onderwerpen voorbereiden en gezamenlijke voorstellen inbrengen in het Landelijk Platform Horizontaal Toezicht. GGZN en ZN bepalen wie namens hen deelneemt aan de werkgroepen. Werkgroepen worden ingericht en opgeheven door het Landelijk Platform Horizontaal Toezicht. Het Landelijk Platform definieert de opdracht van de werkgroep. De werkgroep levert haar uitkomsten/voorstellen op aan het landelijk platform. Wanneer het landelijk platform wijzigingen aanbrengt wordt dit ter afstemming nog terug gelegd bij de betreffende werkgroep. Na de afstemming is het aan het Landelijk Platform de uitkomst/voorstellen van de werkgroep vast te stellen (bijvoorbeeld in de vorm van een advies voor aanpassing van een landelijk product). Werkgroepen die zich richten op de doorontwikkeling van het Instapmodel of het Control Framework zullen zoveel mogelijk gezamelijk met de MSZ worden ingericht. B29

47 geestelijke gezondheidszorg Afwegingskader (versie 1.0 definitief) juli 2019 C1

48 Afwegingskader C2

49 Afwegingskader Horizontaal Toezicht Inleiding Op basis van het Afwegingskader kunnen zorginstellingen en zorgverzekeraars een gefundeerde afweging maken of de inzet van Horizontaal Toezicht voor hen voldoende voordelen biedt ten opzichte van het traditionele toezicht. Het Afwegingskader moet op diverse niveaus in de organisatie het gesprek kunnen faciliteren over Horizontaal Toezicht. Voor zorgverzekeraars heeft het Afwegingskader een informatieve functie om de eigen organisaties goed mee te nemen. Het Afwegingskader moet zowel zorginstellingen als zorgverzekeraars verleiden gezamenlijk de handschoen van Horizontaal Toezicht op te pakken, maar moet tegelijk ook een reëel beeld geven van de (kwalitatieve) kosten en baten. Kortgezegd is het Afwegingskader een objectieve en reële enthousiasmerende brochure over Horizontaal Toezicht Zorg. Het Afwegingskader bevat uitgangspunten, principes en voorbeelden die voor zorginstellingen een goede en objectieve afweging faciliteren om al dan niet over te stappen op Horizontaal Toezicht. Het is een verdieping op de gezamenlijke visie en stelt de instelling in staat de voor- en nadelen van de eigen instelling op een goede manier af te wegen. Vragen als Waarom zou je meedoen?, Wat levert het op?, Wat betekent dit voor de organisatie? komen hierin aan bod. Voor zorgverzekeraars geldt dat collectief besloten is Horizontaal Toezicht mogelijk te maken voor die instellingen die daar klaar voor zijn. Dat betekent dat het Afwegingskader vooral moet uitleggen waarom invoering belangrijk is en welke afwegingen daarbij een rol hebben gespeeld. In dit afwegingskader worden drie inhoudelijke thema s uitgelicht: Betekenis voor de zorgketen Belang voor de organisatie Impact op de bedrijfsvoering Deze inhoudelijke thema s worden gevolgd door een overzicht van de investeringen en baten voor de zorgaanbieder en zorgverzekeraar. Ervaringen uit de praktijk Horizontaal Toezicht is een belangrijke ontwikkeling voor de zorgsector en heeft ook veel gevolgen voor alle betrokkenen zoals zorginstellingen, zorgverzekeraars, patiënten en verzekerden. We stellen een aantal vragen over het onderwerp aan bestuurders. Hun zienswijze op Horizontaal Toezicht komt in dit afwegingskader uitgebreid aan bod bij de drie inhoudelijke thema s: Betekenis voor de zorgketen Belang voor de organisatie Impact op de bedrijfsvoering Bart Combée, Nederlandse Zorgautoriteit Oscar Dekker, Koninklijke Kentalis (voorheen GGZ Oost Brabant) / GGZ Nederland Olivier Gerrits, Zilveren Kruis / Zorgverzekeraars Nederland Kees Hamster VGZ / Zorgverzekeraars Nederland Ernst Klunder, s Heeren Loo (voorheen Dimence Groep) / GGZ Nederland C3

50 Betekenis voor de zorgketen Belang voor de organisatie Impact op de bedrijfsvoering Investeringen en baten zorgaanbieder Investeringen en baten zorgverzekeraar C4

51 Betekenis voor de zorgketen Met Horizontaal Toezicht komen zorgverzekeraars en zorgaanbieders op basis van vertrouwen, gezamenlijk tot een samenwerkingsmodel waarmee op een transparante, efficiënte en effectieve wijze verantwoording wordt afgelegd over de zorguitgaven. De opeenstapeling van controles achteraf verdwijnt, het toezicht verbetert en het inzicht in zorgprocessen vergroot. Horizontaal Toezicht draagt door middel van een constructieve dialoog bij aan een eenduidige, tijdige en gezamenlijke duiding of interpretatie van wet- en regelgeving. Indien mogelijk vindt dit plaats vóór dat regels ingaan. Horizontaal Toezicht is proces- en systeemgericht toezicht. Dit is efficiënter en effectiever dan gegevensgerichte controle verderop in de keten. Ook helpt Horizontaal Toezicht om gezamenlijk conflicterende en overbodige wet- en regelgeving te signaleren en dit bij de juiste partijen onder de aandacht te brengen. Zorgaanbieders en zorgverzekeraars beogen één gezamenlijke verantwoording voor de keten, zodat ook andere partijen in deze keten zoals toezichthouders, accountants en verschillende financiers erop kunnen steunen. Horizontaal Toezicht versterkt de dialoog tussen zorgaanbieder en zorgverzekeraar. De inrichtingskeuze en verantwoordelijkheid voor een toereikende beheersing ligt bij de zorgaanbieder. De representerende zorgverzekeraar ziet hierop toe. Horizontaal Toezicht heeft impact op de hele verantwoordingsketen en om die reden is betrokkenheid van de Nederlandse Zorgautoriteit van essentieel belang. Zij toetsen of de zorgverzekeraars voldoende hebben gedaan om de rechtmatigheid van de zorguitgaven te borgen. Samenwerking in de hele keten van verantwoording leidt tot eerder inzicht in de zorguitgaven. In de jaarrekeningen zijn geen grote onzekerheden meer die samenhangen met correct registreren en declareren. De patiënt, maatschappij en politiek weten in een vroeg stadium wat de uitgaven zijn geweest. In eerste instantie richt Horizontaal Toezicht zich op de zorguitgaven op basis van de Zorgverzekeringswet (Zvw). Hierbinnen zijn twee stromen te onderscheiden: generalistische basis-ggz gespecialiseerde ggz De focus ligt dus op samenwerking tussen zorgaanbieders en zorgverzekeraars. Bij de opzet van Horizontaal Toezicht is echter rekening gehouden met de overdraagbaarheid naar andere financieringsstromen. Het einddoel voor de lange termijn is één vorm van Horizontaal Toezicht voor de verschillende financieringsstromen. Dit betekent dat op termijn onder andere de forensische zorg, langdurige zorg en het sociaal domein betrokken kunnen worden. Zorgverzekeraars, zorgaanbieders en andere betrokkenen respecteren elkaars wettelijke taken en verantwoordelijkheden. Horizontaal Toezicht kan helpen taken en verantwoordelijkheden op een efficiëntere en effectievere manier vorm te geven. Zorgverzekeraars werken volgens representatie en steunen op elkaars werkzaamheden. Bij Horizontaal Toezicht heeft iedere zorgaanbieder één representerende zorgverzekeraar. Zorgverzekeraars dragen onderling zorg voor een eenduidige en uniforme toepassing van de representatie. C5

52 Ervaringen uit de praktijk (1) Wat betekent Horizontaal Toezicht voor de verzekerde/ patiënt? Oscar Dekker: Bij de start van de behandeling creëren we duidelijkheid over gepaste inzet van zorg en welke kosten daarbij horen. Zo ontstaat er eerder en meer transparantie voor de patiënt over de kosten die ten laste komen van het eigen risico en de eventuele eigen bijdrage. Kees Hamster: Na de behandeling ontvangt de patiënt een afrekening van de verzekeraar die in één keer goed is en door de patiënt herkend wordt. Ook de verrekening met het eigen risico is in één keer goed. Dit voorkomt onnodige vragen en geeft helderheid aan onze verzekerden. Bart Combée: Horizontaal toezicht gaat uit van samenwerking in de hele zorgketen. De patiënt staat uiteraard centraal in die keten. Daarbij draait het om twee vragen. Is de zorg gepast? En, komt de juiste rekening terecht bij de zorgverzekeraar van de patiënt? Kortom, het gaat erom dat de patiënt de zorg krijgt waarop hij is aangewezen en er geen twijfel is over de hoogte van het eigen risico dat de patiënt betaalt voor zijn zorg. Ernst Klunder: Op het eerste oog lijken de gevolgen van Horizontaal Toezicht voor de patiënt of verzekerde beperkt. Maar deze impact is er zeker wel. Feitelijk zorgt Horizontaal Toezicht ervoor dat de juiste bedragen betaald worden voor de geleverde zorg. De instelling kan daarmee de zorg op een kwalitatief verantwoorde wijze blijven leveren. Verzekerden betalen niet meer premie dan de bedoeling is, zeker in een situatie waarin ook gepast gebruik onderdeel van Horizontaal Toezicht is. Olivier Gerrits: Horizontaal Toezicht leidt tot meer gepaste en doelmatige zorg. Ook zijn er minder kosten in de gehele keten om dit te borgen. Zo draagt ook Horizontaal Toezicht bij aan een beheerste premieontwikkeling en is dit van groot belang voor onze verzekerden. Wat betekent Horizontaal Toezicht voor de zorgketen? Ernst Klunder: Horizontaal Toezicht geeft op transparante wijze inzicht in de juistheid van de zorguitgaven. Dit gaat enerzijds over correct registreren en declareren en anderzijds over gepast gebruik van zorg. Vertrouwen is daarin een sleutelwoord en de basis voor samenwerking. Horizontaal Toezicht levert ook inhoudelijk een betere verantwoording voor de zorgketen op, omdat het zich richt op de bron en fouten voorkomt in het proces. Bart Combée: Horizontaal toezicht gaat in de kern over vertrouwen. Dat betekent enerzijds dat ggz-zorgaanbieders in control zijn met betrekking tot hun bedrijfsvoering. Anderzijds geeft de zorgverzekeraar het vertrouwen aan de zorgaanbieder als die kan aantonen dat de bedrijfsvoering op orde is. Horizontaal toezicht gaat ook over vertrouwen tussen zorgverzekeraars; zij zullen moeten kunnen steunen op elkaars werkzaamheden. Het representatiemodel is een belangrijke randvoorwaarde voor de totstandkoming voor horizontaal toezicht. Vanzelfsprekend moet dat vertrouwen gefundeerd zijn. Van de NZa mag dan verwacht worden dat zij goede inspanningen van aanbieders en zorgverzekeraars meeneemt in de prioritering en inzet van het toezicht. Kees Hamster: Met het toepassen van Horizontaal Toezicht zorgen we ervoor dat de registratie aan de bron in één keer goed is. De zorgverlener staat hiervoor en de zorgverzekeraar vertrouwt hierop. Horizontaal Toezicht onderbouwt op gestructureerde wijze dit statement en bevestigt het vertrouwen. Beide partijen kunnen vanuit dit fundament focussen op het verbeteren van de zorg voor de patiënt/verzekerde. Foutieve registraties, achterafcontroles en financiële correcties op oude jaren zijn schadelijk voor het wederzijds vertrouwen, maar zijn binnen Horizontaal Toezicht niet meer aan de orde. C6

53 Ervaringen uit de praktijk (1) Oscar Dekker: Horizontaal Toezicht is een pad dat je als zorgaanbieder en zorgverzekeraar samen bewandeld en waarin elke partij onderweg zijn verantwoordelijk neemt. En onderweg proberen wij dat pad gezamenlijk zo horizontaal mogelijk te houden. Dat betekent ook dat we samen ervoor waken geen onnodige administratieve obstakels in te bouwen. In de gehele zorgketen leidt dit dan tot minder gedoe en minder administratie rompslomp. Olivier Gerrits: Een belangrijke winst van Horizontaal Toezicht is het veel eerder inzicht hebben in de omvang en juistheid van de omzet/schadelast. In het oude controle-regime bleef er een jarenlange onzekerheid bestaan over de juistheid van de cijfers. Dreigende achterafcontroles en lang doorlopende zelfonderzoeken leiden tot voorzieningen en onzekerheden in de jaarrekening. Met Horizontaal Toezicht creëren we vooraf zekerheid. Horizontaal Toezicht beperkt ook de administratieve lasten en daarmee besparen we kosten. Dit effect zal niet altijd direct zichtbaar zijn, omdat Horizontaal Toezicht ook vraagt om het op orde brengen van de administratieve organisatie en interne beheersing. Maar wanneer dit staat zullen ook op het gebied van administratieve lasten de baten zichtbaar worden. En misschien nog wel het belangrijkste winstpunt voor de keten: er is meer vertrouwen tussen partijen wat ook op andere dossiers een positieve impact kan hebben. C7

54 Belang voor de organisatie Horizontaal Toezicht is de samenwerking tussen zorgverzekeraars en zorgaanbieders die steunt op vertrouwen, wederzijds begrip en transparantie in handelen. Het richt zich op een gezamenlijke inspanning om de rechtmatigheid van declaraties in de processen aan de voorkant, te borgen. Het is maatwerk en sluit aan bij de organisatie-inrichting en ondersteunende systemen van de zorgaanbieder. Horizontaal Toezicht zorgt ervoor dat de risico s die zich in die instelling kunnen voordoen zijn beheerst, nog voordat de factuur is uitgestuurd. Zorgaanbieders en zorgverzekeraars zijn intrinsiek gemotiveerd om de organisatie in te richten volgens de uitgangspunten van Horizontaal Toezicht. Dit komt tot uiting in de cultuur en het gedrag in alle lagen van de organisatie. Horizontaal Toezicht streeft naar zo laag mogelijke administratieve lasten voor zorgverleners, zorgaanbieders en zorgverzekeraars. Bij de implementatie van Horizontaal Toezicht zal dit beoogde effect niet direct merkbaar zijn. Zorgaanbieders zullen doorgaans eerst hun organisatie en processen op orde moeten brengen. Om de bedrijfsvoering op orde te krijgen zullen inspanningen geleverd moeten worden om first time right te registreren. Transparantie is daarbij van wezenlijk belang. De interne beheersing van de zorgaanbieder dient aantoonbaar aanwezig te zijn en zichtbaar te werken, zodat de representerende zorgverzekeraar hierop kan steunen. Aan de hand van het Instapmodel kan een instelling laten zien wat de huidige mate van governance, risicomanagement en compliance rondom de rechtmatigheid van de zorgdeclaraties is. Ook kan aangetoond worden in hoeverre voldaan wordt aan de richtlijnen op het gebied van compliance en governance ten aanzien van registreren en declareren (bijvoorbeeld Toezicht op Goed Bestuur van NZa en IGJ). Horizontaal Toezicht kan ook als vliegwiel dienen om het gefundeerde vertrouwen breder toe te passen dan alleen op het terrein van de rechtmatigheid. C8

55 Ervaringen uit de praktijk (2) Op welke manier kan Horizontaal Toezicht bijdragen aan goede zorg? Olivier Gerrits: Een van de ambities van Horizontaal Toezicht is het verminderen van administratieve lasten. Dit beogen we onder meer door juiste registraties en declaraties in de processen aan de voorkant te borgen. Minder administratieve lasten levert meer tijd op voor directe patiëntenzorg. Maar ook: correcte registraties en declaraties geven betere spiegelinformatie die we kunnen inzetten om gezamenlijke het goede gesprek te hebben over gepast gebruik van zorg. Ernst Klunder: Op dit moment steken zorgaanbieders, zorgverzekeraars en andere partijen (te) veel energie in het vaststellen van rechtmatigheid ten aanzien van registraties en declaraties. Maar dit is niet waar het in de zorg om zou moeten gaan. Waar het om gaat is het leveren van goede zorg die van betekenis is voor de patiënt. Door Horizontaal Toezicht kan de aandacht verschuiven van rechtmatigheid van declaraties naar gepast gebruik van zorg en nog belangrijker: het realiseren van waarde voor patiënten. Kees Hamster: Door in één keer goed te registreren bij de bron worden administratieve handelingen ter correctie van deze registraties voorkomen. Horizontaal Toezicht voorkomt dus verspilling en draagt bij aan de betaalbaarheid van de zorg. Daarnaast zorgt een goede registratie voor een beter wederzijds begrip én vertrouwen tussen zorgaanbieder en zorgverzekeraar wat de gezamenlijke focus op kwalitatief goede zorg ondersteunt. Oscar Dekker: We leggen binnen Horizontaal Toezicht vooraf vast wat nodig is om achteraf te kunnen verantwoorden dat deze zorguitgaven rechtmatig zijn geweest. Door dit first-time-right principe overal in de organisatie toe te passen voorkomen we arbeidsintensieve herstelwerkzaamheden. Hierdoor kunnen de zorgprofessionals zich richten op kwalitatief hoogwaardige zorg en meer tijd besteden aan hun patiënten. Bart Combée: Een wezenlijk onderdeel van Horizontaal Toezicht is de vraag of de geleverde zorg gepast is. Het gaat dus om de inhoud van de geleverde zorg; voldoet de zorg aan stand wetenschap/praktijk en is de patiënt op de zorg aangewezen? Binnen Horizontaal Toezicht is gekozen voor een ingroeimodel. Het is belangrijk dat hierin concrete stappen worden gezet zodat het snel integraal onderdeel wordt van het proces. Ik vind het belangrijk dat zorgaanbieders en zorgverzekeraars het gesprek hierover met elkaar aangaan. Hoe ingewikkeld het ook is, maak als ggz-aanbieder inzichtelijk hoe effectief en doelmatig je behandelingen zijn. Aanbieders die goed kunnen onderbouwen dat de geleverde zorg passend is, moeten het vertrouwen krijgen van de zorgverzekeraar dat zij hier niet op afgerekend worden. Wat heeft Horizontaal Toezicht uw organisatie opgeleverd? Kees Hamster: De rechtmatigheid van declaraties is voor ons als zorgverzekeraar een essentieel punt in het betaalbaar houden van de zorg. Rechtmatigheid van declaraties is ook van groot belang om maatschappelijk vertrouwen te houden in het stelsel. Met Horizontaal Toezicht nemen zorgaanbieder en zorgverzekeraar beide hun professionele verantwoordelijkheid om dit te borgen. Door deze professionele opstelling versterk je ook het wederzijds vertrouwen. De volle omvang van de impact moet de komende jaren blijken. Momenteel wordt met veel enthousiasme gewerkt aan het slagen van HT-trajecten binnen de MSZ en de GGZ. Voor onze afdeling Controles betekent dit een professionele dialoog over de beheersing van de rechtmatigheid van declaraties. Het aantal correcties op oude jaren zal hierdoor afnemen. Voor de inkoper van de zorgverzekeraar en de verkoper van de zorgaanbieder levert Horizontaal Toezicht een eenduidig beeld op van de geleverde zorg en vormt daarmee een goede basis voor de inhoudelijke dialoog over het contract voor het komende jaar. Olivier Gerrits: Horizontaal Toezicht creëert een klimaat waarin een ander én beter gesprek plaatsvindt tussen de samenwerkingspartners over de C9

56 Ervaringen uit de praktijk (2) kwaliteit en inhoud van zorg. Dit heeft ook zijn impact op de organisatie van zorgverzekeraars. Horizontaal Toezicht vraagt namelijk om andere competenties en andere processen binnen de controleafdeling; veel meer gericht op de interactie en de processen van de zorgaanbieder. In dit proces is goede stuurinformatie van groot belang. Dit wordt binnen Horizontaal Toezicht niet meer ingezet als afrekenmiddel, maar als spiegelmiddel om gezamenlijke te beoordelen of de beheersing heeft gewerkt en of er stappen gezet kunnen worden op het gebied van Gepast Gebruik. Bart Combée: Horizontaal Toezicht heeft (grote) betekenis voor het toezicht van de NZa. De ontwikkeling van ons toezicht wordt namelijk beïnvloed door de inspanningen van zorgaanbieders en zorgverzekeraars op het gebied van Horizontaal Toezicht. De NZa zet bijvoorbeeld al langer in op het verder versterken van de professionele bedrijfsvoering van zorgaanbieders. Horizontaal toezicht heeft voor de NZa inzichtelijker gemaakt wat we met elkaar verstaan onder een professionele bedrijfsvoering. We vinden het daarom positief dat het platform HT ggz het instapmodel verder heeft doorontwikkeld. De teksten zijn verduidelijkt en de normen zijn consistenter gemaakt. Dat werkt ook weer door in andere sectoren, waaronder de MSZ. Horizontaal toezicht versterkt het vertrouwen tussen de zorgaanbieder en de zorgverzekeraar. Samen kunnen zij op basis van dit vertrouwen goede afspraken maken over het borgen van de rechtmatigheid. De inzichten die wij opdoen in Horizontaal Toezicht kunnen we gebruiken bij het ontwikkelen van sectorspecifieke plannen en in de prioritering van ons toezicht. Ernst Klunder: De Dimence Groep was in 2016 de eerste instelling in Nederland die overging op Horizontaal Toezicht. De ambitie om over te gaan op Horizontaal Toezicht kwam voort uit de intrinsieke motivatie om de eigen organisatie goed op orde te hebben. Wij deden dit niet voor de zorgverzekeraar, maar omdat het onze overtuiging was dat het de organisatie beter maakt. Horizontaal Toezicht heeft binnen de Dimence Groep gezorgd voor een betere interne beheersing en een veel doelmatiger aanpak van correct registreren en declareren én gepast gebruik. Daarnaast is het bewustzijn in de hele organisatie voor dit thema sterk gegroeid. Extern heeft het geleid tot een positieve reputatie en een wederzijds vertrouwen met de zorgverzekeraars. Daarbij is de energie nu veel meer op de toekomst gericht in plaats van op het achteraf verantwoorden. Oscar Dekker: Horizontaal Toezicht laat aantoonbaar zien dat je organisatie in control is, zodat zorgverzekeraars en andere toezichthouders hierop kunnen steunen. Naast inzicht in de kwaliteit van de bedrijfsvoering geeft dit ook inzicht in de kwaliteit van zorg. Ik ben ervan overtuigd dat Horizontaal Toezicht ook leidt tot duurzame meerjarenafspraken met zorgverzekeraars en andere financiers zoals gemeenten, waarbij vertrouwen voorop staat en samen wordt gewerkt aan betere zorg. Dit betekent voor ons bovendien het rondmaken van de cirkel van de klantreis, die begint bij de aanmelding en leidt tot herstel. Van de eerste afspraak tot de eindverantwoording werken op basis van vertrouwen met alle stakeholders en in volledige transparantie, dat is voor ons Horizontaal Toezicht. C10

57 Impact op de bedrijfsvoering In één keer juist en tijdig registreren en declareren van rechtmatig geleverde zorg staat centraal binnen Horizontaal Toezicht. Dit vindt zo vroeg mogelijk in de registratie- en declaratieketen plaats en is ingebed in de zorgprocessen. Horizontaal Toezicht is proces- en systeemgericht toezicht. Dit betekent dat er een transitie moet plaatsvinden van gegevensgerichte controle naar procesgerichte beheersing, waar mogelijk ondersteund door de systemen (IT). Horizontaal Toezicht beoogt efficiënte administratieve processen, door onnodige opeenstapeling van administratieve lasten weg te nemen en registratie zoveel mogelijk aan de bron te laten plaatsvinden. Door efficiënter en effectiever invulling geven aan taken en verantwoordelijkheden rondom rechtmatigheid kan er een gezonde balans ontstaan tussen de verantwoording van de uitgaven aan zorg, de wijze waarop zorg wordt ingekocht en de kwaliteit van de geleverde zorg. Zo ontstaat er meer ruimte voor overleg over Gepast Gebruik. Horizontaal Toezicht is maatwerk en er is sprake van een risicogerichte aanpak. De organisatiespecifieke eigenschappen zoals het zorginhoudelijke profiel, de procesinrichting en de systemen van de betreffende zorgaanbieder zijn hierbij het vertrekpunt. Horizontaal Toezicht vindt plaats aan de hand van een gezamenlijk afgesproken methodiek. Die methodiek is vastgelegd in één landelijk raamwerk voor de implementatie en uitoefening van Horizontaal Toezicht. Dit raamwerk borgt een eenduidige toepassing van Horizontaal Toezicht. Het raamwerk omvat de gezamenlijke visie, een implementatieplan en een aantal concrete producten voor de implementatie en uitoefening. Deze producten zijn: een Afwegingskader, een Instapmodel en een Control Framework. C11

58 Ervaringen uit de praktijk (3) Hoe draagt Horizontaal Toezicht bij aan een goede bedrijfsvoering? Oscar Dekker: Horizontaal Toezicht is niet de snelste route op naar succes, maar wel de meest duurzame. Het is een route die je zorgvuldig uitstippelt en daardoor ook terug kan bewandelen. Tijdens het uitstippelen ontdek je de risico s en na het beheersen hiervan kun je ook nog teruggaan naar de oorsprong van het risico en waar het anders kon. Het geeft inzicht en kennis waardoor je continue werkt aan kwaliteitsverbeteringen en professionele bedrijfsvoering. Bart Combée: De NZa publiceerde in 2016 handvatten aan de hand waarvan zorginstellingen hun compliance ten aanzien van het registreren en declareren van zorg verder kunnen verbeteren. De principes van die handvatten zijn verwerkt in het instapmodel. Dat vinden we positief. Het instapmodel is wat ons betreft geen eenmalige meetmoment. Het stelt aanbieders in staat om op reguliere basis te reflecteren op hun eigen bedrijfsvoering. Onze verwachting is dat alle zorgaanbieders die instappen op Horizontaal Toezicht de ambitie hebben om te blijven investeren in de professionaliteit van hun bedrijfsvoering en om door te groeien naar hogere compliance niveaus, ongeacht of dit een formele vereiste is binnen Horizontaal Toezicht. Ernst Klunder: Het in control zijn van de organisatie moet in genen gaan zitten. Het zorgt ervoor dat alleen juiste facturen de deur uitgaan. Het afkeuren van nota s en bijbehorende herstelwerkzaamheden worden voorkomen. Horizontaal Toezicht zorgt ook voor betere monitoring en sturing, efficiënter beheer en kan ook tot betere tarieven leiden. Door een goede dialoog met zorgverzekeraars kan samen gezocht worden naar verdere verbeteringen van zorg. Olivier Gerrits: Bewustwording is een belangrijke pijler binnen Horizontaal Toezicht. Het in control zijn gaat niet alleen over risicomanagement, maar ook over het borgen en stimuleren van goed gedrag. Horizontaal Toezicht geeft inzicht in en bewustwording over relevante risico s in bedrijfsvoering. Eigenlijk geldt hetzelfde voor de zorgverzekeraar. Ook wij moeten intern voldoende reflecterend vermogen hebben om ons op de juiste onderwerpen te focussen. Dit zorgt er bij elkaar voor dat we veel meer risicogericht aan de slag zijn. Horizontaal Toezicht is en blijft maatwerk. Kees Hamster: Horizontaal Toezicht gaat niet alleen over het beheersen van risico s, maar juist over het in control zijn van organisaties. Ook daarop toetst de zorgaanbieder zichzelf, met vragen als: Wordt deze vorm van toezicht in alle lagen van de organisatie gedragen? Zijn de processen op orde? Hoe is het interne toezicht geregeld? Is de organisatie in staat de interne beheersing te monitoren en te testen? Juist door als organisatie jezelf op deze manier door te lichten en te verbeteren wordt rechtmatigheid een vast onderdeel van de dagelijkse bedrijfsvoering. Door goede registraties en declaraties aan de bron weten de zorgaanbieder en zorgverzekeraar eerder de feitelijke situatie en kunnen daarop hun (gezamenlijke) acties bepalen. Ook vermindert het administratieve correcties en daarmee verbonden kosten en onzekerheid, waardoor de bedrijfsvoering stabieler en voorspelbaarder wordt. Wat is de impact van Horizontaal Toezicht op uw medewerkers, processen en systemen? Olivier Gerrits: Horizontaal Toezicht vraagt andere competenties van medewerkers. Onze medewerkers moeten de transitie van controle naar vertrouwen in de praktijk brengen. Dit betekent op pad gaan en de interactie opzoeken met de zorgaanbieders. Om zo vanuit wederzijds begrip en vertrouwen te bouwen aan een robuuste beheersing van de zorguitgaven. Ook onze controleprocessen worden hierdoor anders. De data-gerichte achterafcontroles worden minder belangrijk, maar goede spiegelinformatie wordt steeds belangrijker. Kees Hamster: Voor de medewerkers is dit een professionele uitdaging. De dialoog gaat nu over het Control Framework, waarin is vastgelegd hoe de zorgaanbieder de rechtmatigheid van registraties en declaraties beheerst, en niet over individuele declaraties uit veelal oude jaren die in een data-analyse aan het licht zijn gekomen. Het is daarmee meer risicogericht en vraagt om een proactieve inzet van de medewerkers. Dit vereist bij onze medewerkers ook meer kennis van C12

59 Ervaringen uit de praktijk (3) processen en systemen. Horizontaal Toezicht voeren zorgverzekeraars uit in representatie. Er is voor elke zorgaanbieders één aanspreekpunt namens alle zorgverzekeraars. Dit vraagt dat zorgverzekeraars eenduidig handelen, eensluidend communiceren en zich naar elkaar op een goede manier verantwoorden. Ook de externe accountant, waar relevant, moet hierop kunnen steunen. Mogelijk kan dit met een applicatie worden ondersteund. Oscar Dekker: Het vraagt leiderschap vanuit de top van de organisatie om zelf in control te willen komen en intrinsieke motivatie vanuit alle lagen van de organisatie. Leiding geven aan een zorginstelling is ook leiding geven aan een bedrijf. In het begin lijkt Horizontaal Toezicht op een proces dat vooral in de backoffice en bij financiën plaatsvindt, maar de kracht zit in de vertaling van de processen en systemen naar simpele en heldere registraties in de behandelkamer. Het wenkend perspectief moet je als bestuurder durven te benoemen. Het verlichten van administratieve lasten gaat niet vanzelf, maar is wel onderdeel van dat perspectief. Daar sta je als bestuurder ook zelf voor aan de lat. Ernst Klunder: Het komen tot Horizontaal Toezicht is een (in)spannende veranderopgave. De mate waarin Horizontaal Toezicht impact heeft hangt samen met de bestaande volwassenheid van de instelling. Is die er al, dan is Horizontaal Toezicht als het ware het next level. Is de volwassenheid nog minder groot, dan zullen er op alle niveaus in de organisatie veranderingen plaatsvinden om naar Horizontaal Toezicht te kunnen groeien. Te denken valt aan: Bewustzijn bij behandelaren rond registratie en verantwoording Organisatie van de financiële functie Kwaliteit van het EPD en het datawarehouse De mate waarin geautomatiseerde beheersingsmaatregelen zijn doorgevoerd Interne procedures en protocollen Opzet en werking van een Internal Audit afdeling De impact is dus groot, de beloning bij het realiseren van Horizontaal Toezicht is dat gelukkig ook. Bart Combée: De NZa is in de eerste plaats toezichthouder, maar binnen Horizontaal Toezicht ook ketenpartner. Dat betekent dat we de ggz-sector ook het vertrouwen geven om Horizontaal Toezicht te ontwikkelen en ons daaraan committeren. Het daagt ons ook uit om met een andere bril naar bestaande kaders (wet- en regelgeving) te kijken en daarin te zoeken naar de ruimte die deze kaders bieden. Welke aanbevelingen zou u willen meegeven? Oscar Dekker: Zorg dat je eerst de basis goed op orde hebt van je eigen organisatie, voordat je aan Horizontaal Toezicht begint. Daarna is het gemakkelijker om vanuit vertrouwen de verbinding te maken met zorgverzekeraars en andere stakeholders. Het is een kans om je organisatie naar een hoger niveau te tillen waardoor er uiteindelijk meer ruimte in tijd en geld ontstaat om te kunnen innoveren en vooral met plezier te kunnen werken in de zorg. Ernst Klunder: Als je voor Horizontaal Toezicht gaat, doe het dan uit eigen intrinsieke overtuiging en ga er ook voor. Steun vanuit het topmanagement ( tone at the top ) is onontbeerlijk. Bart Combée: Als het tegenzit, stel dan niet je ambitieniveau naar beneden maar zet een stapje extra om eruit te komen. Durf daarnaast informatie met elkaar te delen en dilemma s te bespreken. Loop je ergens tegen aan richt je dan op de verbetering en de oplossing en schiet niet direct in de kramp door te kijken wat dit betekent voor het verleden. Kees Hamster: Horizontaal Toezicht moet in beheerste stappen worden opgebouwd. Een netwerk om daarin werkwijzen uit te wisselen ondersteunt de opbouw in de eigen organisatie. Kortom deel succesvolle ervaringen! Olivier Gerrits: Ga er voor! Het vraagt veel tijd en energie om Horizontaal Toezicht te bereiken, maar het brengt dan ook veel. Niet alleen een betere controle over de eigen organisatie en verantwoording, maar ook nadrukkelijk ruimte voor een ander gesprek tussen zorgaanbieder en zorgverzekeraar: vanuit een vertrouwensrelatie samenwerken aan een verbeterde kwaliteit, toegankelijkheid en betaalbaarheid van de zorg. C13

60 Investeringen zorgaanbieder OPERATIONEEL TACTISCH STRATEGISCH HORIZONTAAL TOEZICHT Aandachtspunten STRATEGISCH - Vanuit governance en besturing invulling geven aan correct registreren en declareren - Meer samenwerking in de keten - Op gang brengen cultuur- en gedragsverandering De invoering van Horizontaal Toezicht vraag om een bepaalde investering en inspanning van de zorgaanbieder. Zo moet er bereidheid zijn bij de zorg instellingen om de zorgverzekeraars mee te laten kijken bij de opzet van processen binnen in een instelling. En alhoewel het inzicht in processen wordt vergroot kan de privacy wel effectiever worden bewaakt, omdat door een procesgerichte benadering de gegevens zelf ondergeschikt zijn. Ten aanzien van de investeringen zal de instelling vooral kosten maken voor het opzetten en onderhouden van het Control Framework en bijbehorende Assurance. Ook het opleiden en aantrekken van anders geschoold personeel betreft een investering. Het betreft medewerkers met aandachtsgebieden als compliance, AO/IC en audit. Wat betreft de werkzaamheden zal er vooral ook een verschuiving plaatsvinden van lijstwerk naar het inrichten van het Control Framework en het testen van de beheersingsmaatregelen. TACTISCH - Aanpassen functiehuis - Systemen en processen op orde brengen - Communicatie extern bevorderen - Draagvlak intern vergroten - Goed gedrag stimuleren - three lines of defence inrichten OPERATIONEEL - Opleiden en werven personeel - General IT-controls - Processen beschrijven, inrichten en verbeteren - Dialoog stakeholders intensiveren - Software aanpassen - Inrichten Control Framework - Zekerheid intern en extern (assurance) - Taken en verantwoordelijkheden beleggen C14

61 Baten zorgaanbieder OPERATIONEEL TACTISCH STRATEGISCH HORIZONTAAL TOEZICHT Aandachtspunten STRATEGISCH - Governance en besturing op orde - Meer samenwerking en wederzijds vertrouwen - In control zijn van bedrijfsvoering - Correct registreren en declareren vanuit primaire proces geborgd Als organisatie ben je meer in control, doordat er meer kennis is over de risico s, processen en beheersing. De procesgerichte benadering levert ook winst op voor de bedrijfsvoering. Zo wordt de interne stuurinformatie verbeterd en kan het leiden tot verbetering van de financieringspositie. Er is één aanspreekpunt bij de zorgverzekeraars (in de vorm van representatie). Er is sprake van continue verbetering van de bronregistratie door focus op het proces aan de voorkant. Verbeterde bronregistratie leidt tot meer inzicht in kosten van behandelingen. Meer grip op wet- en regelgeving en meer inzicht hoe hier binnen de eigen instelling mee wordt omgegaan. Tijdig op een efficiënte en effectieve manier zekerheid verkrijgen over de omvang en juist van zorgdeclaraties in een boekjaar. Die tijdige zekerheid werkt door in andere processen zoals de contractering, financiering extern (banken) en bevoorschotting. Er gaan minder foute facturen (via de verzekeraar) naar de patiënt en daarmee wordt invulling gegeven aan de maatschappelijke verantwoordelijkheid. Er is beduidend minder risico voor de instelling op correcties achteraf. Intensiteit van het toezicht neemt naar verloop van tijd af. TACTISCH - Verbetering financieringspositie - Sneller en meer zekerheid zorgomzet - Vermindering administratieve lasten - Kwaliteitsverbetering processen - Continue verbetering bronregistratie - Effectieve dialoog met zorgverzekeraar OPERATIONEEL - Contracteren financiers - Verbeterde stuurinformatie - Vermindering achterafcontroles - Nota in één keer goed voor de patiënt - Bewustwording verantwoordelijkheden - Meer grip op wet- en regelgeving - Eén aanspraakpunt zorgverzekeraars C15

62 Investeringen zorgverzekeraar OPERATIONEEL TACTISCH STRATEGISCH HORIZONTAAL TOEZICHT Aandachtspunten STRATEGISCH - Herinrichting verantwoordingscyclus - Samenwerken en wederzijds vertrouwen - Op gang brengen cultuur- en gedragsverandering De invoering van Horizontaal Toezicht vraag om een bepaalde investering en inspanning van de zorgverzekeraars. Zo zullen zorgverzekeraars medewerkers moeten opleiden in de nieuwe manier van controleren. Waar nodig dient ook nieuw personeel geworven te worden met vaardigheden op het gebied van AO/IC, audit, advisering, zorginhoud en met goede communicatieve vaardigheden en kennis van ziekenhuisprocessen. Ook zal er geïnvesteerd moeten worden in benchmark-tooling, aanpassingen van het interne en externe verantwoordingsproces en meer focus op beheersing aan de voorkant. Ook zal de organisatie en bemensing van het representatiemodel moeten worden gerealiseerd en moet dit dusdanig georganiseerd worden dat zorgverzekeraars ook onderling op elkaars werkzaamheden kunnen vertrouwen. TACTISCH - Aanpassen functiehuis - Werken in representatie - Communicatie extern bevorderen - Werkprocessen controleafdelingen aanpassen - Draagvlak intern vergroten - Stimuleren goed presterende instellingen OPERATIONEEL - Opleiden en werven personeel - Ontwikkelen benchmark tooling - Kwaliteitsbewaking en eenduidigheid toepassing Control Framework - Kennis over ziekenhuisprocessen opschalen - Dialoog stakeholders intensiveren - Zekerheid intern en extern (assurance) - Taken en verantwoordelijkheden beleggen C16

63 Baten zorgverzekeraar OPERATIONEEL TACTISCH STRATEGISCH HORIZONTAAL TOEZICHT Aandachtspunten STRATEGISCH - Meer samenwerking en wederzijds vertrouwen - Op effectieve en efficiente manier invulling geven aan taken en verantwoordelijkheden Zorgverzekeraar geven invulling aan de maatschappelijke verantwoordelijkheid voor kostenbeheersing en correcte en gepaste uitgaven van de zorgeuro s in het belang van de verzekerden. Proactief en voorafgaand aan de declaratie wordt zekerheid verkregen over de nota zodat verrekening van eigen risico tijdig en op een juiste manier plaatsvindt. Grotere transparantie en vergrote zekerheid ten aanzien van de zorguitgaven. Dit komt de zuiverheid van de verevening ten goede, maar helpt ook het contracterings- en premieproces. De doorlooptijd van controles zullen afnemen, dus sneller zekerheid over de schadelast. Capaciteit op beheersing en rechtmatigheid van de zorguitgaven wordt door het representatiemodel van zorgverzekeraars of een zo effectief en efficiënt mogelijke manier ingezet. Meer omzet wordt verantwoord als rechtmatig ten opzichte van de verticale controles. Door meer maatwerk en de risicogerichte benadering worden per ziekenhuis de juiste risico geselecteerd. TACTISCH - Sneller en meer zekerheid zorguitgaven - Vermindering administratieve lasten - Minder rework op reeds uitbetaalde nota s - Effectieve dialoog met zorgaanbieder OPERATIONEEL - Vermindering achterafcontroles - Nota in één keer goed voor de patiënt - Minder correctie op verrekeningen eigen risico - Bewustwording verantwoordelijkheden - Meer grip op wet- en regelgeving - Eenduidigheid werkwijze zorgverzekeraars C17

64 medisch specialistische zorg en geestelijke gezondheidszorg Instapmodel (versie 3.0 definitief) juli 2019 D1

65 Instapmodel HT D2

66 Instapmodel HT Wat is het instapmodel? Het instapmodel is een instrument om het volwassenheidsniveau van een organisatie te bepalen ten aanzien van governance, risicomanagement en compliance, door middel van een vertaling van randvoorwaarden naar toetsbare normen. Op basis van het instapmodel stellen zorgaanbieder en representerend zorgverzekeraar vast of de zorgaanbieder klaar is om effectief een Horizontaal Toezicht relatie aan te gaan (inventarisatiefase). Wanneer nog niet aan de norm van het instapmodel wordt voldaan, voert de zorgaanbieder verbeteringen door totdat dit wel zo is (verbeterfase). Zodra aan de norm wordt voldaan, is de zorgaanbieder klaar voor de implementatiefase. Het instapmodel voorkomt dat capaciteit en middelen worden ingezet bij het inhoudelijke controleraamwerk, terwijl de randvoorwaarden voor Horizontaal Toezicht nog niet op orde zijn In- en externe omgeving Bedrijfsvoering Registratie en Declaratie Risico Management In hoeverre is de organisatie bewust bezig met het borgen van de rechtmatigheid van registraties en declaraties en in hoeverre wordt hier op organisatieniveau naar gehandeld? In hoeverre is de bedrijfsvoering ondersteunend bij het proces- en systeemgericht toezicht? In hoeverre zijn registratie- en declaratieprocessen op orde, beschreven en transparant? In hoeverre gaat de organisatie bewust en professioneel om met risico s rondom registratie en declaratie en welke (modelmatige) aanpak wordt hiervoor toegepast? Hoofdthema s Het instapmodel bestaat uit 6 hoofdthema s voor Horizontaal Toezicht. Per thema is een centrale vraag geformuleerd die is geconcretiseerd in diverse toetsbare normen per thema. Deze centrale vraag hoeft niet te worden beantwoord, maar geeft de rode draad binnen het thema weer. 5 6 Monitoring en Testing Assurance In hoeverre is de organisatie in staat invulling te geven aan het monitoren en testen van de risicobeheersing op het gebied van registratie en declaratie? In hoeverre is het risicomanagement op orde en kan hierop gesteund worden? D3

67 Niveaus In totaal zijn er 29 toetsbare normen die een goed beeld geven van de volwassenheid op organisatie- en beleidsniveau. Binnen het instapmodel zijn hiervoor vijf volwassenheidsniveaus gedefinieerd. De uitwerking van de niveaus verschilt per norm maar is telkens gebaseerd op de volgende algemene uitgangspunten. 1 Incidenteel De organisatie handelt inconsistent en voornamelijk naar aanleiding van incidenten en is grotendeels afhankelijk van individuen. Proces en beleid zijn niet of beperkt gedefinieerd en/of worden op inconsistente wijze uitgevoerd. De geformuleerde volwassenheidsniveaus zijn niet goed of fout, maar zijn een goede indicatie in hoeverre een effectieve Horizontaal Toezicht relatie tussen de organisatie en een representerend zorgverzekeraar haalbaar is. 2 Informeel De organisatie handelt consistent, op een informele wijze en voornamelijk gebaseerd op ervaring. Proces en beleid zijn aanwezig maar niet gestandaardiseerd en worden informeel nageleefd. Normering Om effectief een Horizontaal Toezicht relatie aan te kunnen gaan dient een organisatie ten minste een gemiddeld volwassenheidsniveau van gestandaardiseerd (volwassenheidsniveau 3) per thema te scoren. 3 Gestandaardiseerd De organisatie handelt gestructureerd en consistent. Proces en beleid zijn vooraf gedefinieerd en gedocumenteerd en de uitvoering is aantoonbaar. 4 Beheerst De organisatie handelt gestructureerd, consistent en reflecterend. Proces en beleid zijn vooraf gedefinieerd en gedocumenteerd en worden aantoonbaar getoetst en verbeterd. 5 Optimaliserend De organisatie handelt gestructureerd, consistent, reflecterend en op basis van best-practices. Proces en beleid zijn vooraf gedefinieerd en gedocumenteerd, worden aantoonbaar getoetst en verbeterd en worden continu geoptimaliseerd. D4

68 Gebruik In de inventarisatiefase toetst iedere organisatie per norm het volwassenheidsniveau. Dit is een kwalitatieve toets op organisatie- en beleidsniveau. De organisatie beoordeelt per norm welk volwassenheidsniveau het meest passend is op dat moment. Deze beoordeling wordt door de organisatie, aantoonbaar met documentatie, onderbouwd. De wijze van beoordeling zal vervolgens in gesprek met de representerende zorgverzekeraar worden toegelicht, waarna de zorgverzekeraar het ingevulde instapmodel zal valideren. De zorgaanbieder en representerend zorgverzekeraar stellen vervolgens de scores op de normen gezamenlijk vast. De zorgverzekeraar bevestigt dit door het opnemen van het proces en de conclusies in een afrondende memo. A B C A B C D E HTZ VERKENNEN INVENTARISEREN VERBETEREN IMPLEMENTEREN VERANTWOORDEN Indien uit deze toets blijkt dat de organisatie nog niet (volledig) in staat is om een effectieve Horizontaal Toezicht relatie aan te gaan, stelt de organisatie een verbeterplan op. Dit verbeterplan, inclusief tijdslijnen, wordt besproken met de representerend verzekeraar. De organisatie gebruikt het verbeterplan om het volwassenheidsniveau op de vastgestelde punten te verbeteren. Na afloop van deze verbeterfase toets de organisatie het volwassenheidsniveau nogmaals aan de normen zoals vastgelegd in het instapmodel. De representerend verzekeraar zal vervolgens de normen welke verbeterd dienden te worden, valideren aan de hand van de onderbouwing van de organisatie. Wanneer gezamenlijk wordt vastgesteld dat de organisatie, eventueel na het doorlopen van de verbeterfase, in staat blijkt om effectief een Horizontaal Toezicht relatie aan te gaan (gemiddeld een 3 per thema), kan formeel worden overgegaan op de implementatiefase. Ook in het vervolgproces blijft het Instapmodel van waarde als toetsinstrument en als groeimodel voor de zorgaanbieder, om te reflecteren hoe de organisatie ervoor staat op het gebied van governance, risicomanagement en compliance. Bij substantiële veranderingen in de organisatie kan in onderling overleg tussen de representerende zorgverzekeraar en de instelling besloten worden bepaalde onderdelen van het instapmodel opnieuw te doorlopen. Achtergrond Het instapmodel is ontwikkeld voor gebruik in de zorgsector en is gericht op de rechtmatigheid van zorgdeclaraties. Tijdens de ontwikkeling van het instapmodel is gebruik gemaakt van het rapport Compliant registreren en declareren van Berenschot en uitgangspunten van internationaal erkende modellen zoals COSO-ERM en COBIT. In dit instapmodel komen ook governance-elementen van een instelling aan bod. Zie ook rapport Toezicht op Goed Bestuur van NZa en IGZ. D5

69 Instapmodel HT 1 In- en externe omgeving 2 Bedrijfsvoering 3 Registratie en Declaratie 4 Risico Management 5 Monitoring en Testing 6 Assurance D6

70 In- en externe omgeving Inleiding Normen Missie, visie en strategie 1.1 Missie en visie 1.2 Visie Horizontaal Toezicht in de zorg 1.3 Compliance strategie Stakeholdermanagement 1.4 Intern stakeholder management 1.5 Extern stakeholder management Soft Controls 1.6 Organisatiecultuur 1.7 Toon aan de top 1.8 Houding en gedrag D7

71 Inleiding Om Horizontaal Toezicht effectief in te voeren is het noodzakelijk dat alle lagen van de organisatie bewust zijn van het belang van goed intern toezicht, voor rechtmatige registraties en declaraties. In dit thema van het Instapmodel staat daarom de in- en externe omgeving centraal met als hoofdvraag: In hoeverre is de organisatie bewust bezig met het borgen van de rechtmatigheid van registraties en declaraties en in hoeverre wordt hier op organisatieniveau naar gehandeld? De rechtmatigheid van declaraties en registraties raakt de organisatie op alle niveaus. Deze zijn van belang om de juiste inkomsten voor de geleverde zorg te genereren én om de rechtmatigheid van deze declaraties te borgen. Om deze reden dienen alle lagen van de organisatie hier bewust van te zijn en hier indien mogelijk ook een bijdrage aan te leveren. In de missie en visie van een organisatie staat helder omschreven dat rechtmatig registreren en declareren een belangrijke kernwaarde is voor de organisatie. Daarnaast wordt omschreven hoe de organisatie dit in de praktijk wil brengen voor in- en externe stakeholders. Externe stakeholders zijn bijvoorbeeld de financiers, zorgverzekeraars, toezichthouders én patiënten. Interne stakeholders zijn bijvoorbeeld de interne toezichtsorganen en de medewerkers. Ook de tone at the top is essentieel. Wanneer het bestuur het belang van rechtmatig registreren en declareren consequent uitdraagt, zal dit de bewustwording ten goede komen en medewerkers stimuleren om daarnaar te handelen. D8

72 MISSIE EN VISIE In hoeverre handelt de organisatie op basis van een missie en een visie? Incidenteel Het belang van een missie en visie wordt door het management niet ingezien. De missie en visie zijn hierdoor beperkt gedefinieerd en wordt op inconsistente wijze gecommuniceerd. De organisatie kan niet of onvoldoende handelen naar aanleiding van een missie en visie. Hierdoor wordt voornamelijk gehandeld op basis van incidenten en is men grotendeels afhankelijk van individuen. Informeel Het belang van een missie en visie wordt door het management erkend. De missie en visie wordt op informele wijze uitgedragen en beperkt doorgevoerd in de bedrijfsprocessen. Binnen de organisatie wordt voornamelijk gehandeld op basis van ervaring. Gestandaardiseerd Management erkent het belang van een missie en visie en heeft deze vooraf gedefinieerd en gedocumenteerd. Het management stuurt actief op de missie en visie en heeft deze doorvertaald in de bedrijfsprocessen. De organisatie handelt aantoonbaar volgens de missie en visie en de communicatie over deze missie en visie vindt gestructureerd plaats. Beheerst Management erkent het belang van een missie en visie en heeft deze vooraf gedefinieerd en gedocumenteerd. Het management stuurt actief op de missie en visie, heeft deze doorvertaald in de bedrijfsprocessen en reflecteert hierop. De organisatie handelt aantoonbaar volgens de missie en visie en dit handelen wordt getoetst en verbeterd. De communicatie vindt gestructureerd en consistent plaats. Optimaliserend Management erkent het belang van een missie en visie en heeft deze vooraf gedefinieerd en gedocumenteerd. Het management stuurt actief op de missie en visie, heeft deze doorvertaald in de bedrijfsprocessen en is constant op zoek naar verbetering. De organisatie handelt aantoonbaar volgens de missie en visie, dit handelen wordt getoetst en verbeterd en wordt continu geoptimaliseerd. De communicatie vindt gestructureerd en consistent plaats, en wordt verbeterd op basis van feedback en best practices. D9

73 VISIE HORIZONTAAL TOEZICHT IN DE ZORG In hoeverre heeft de organisatie een gezamelijke visie op Horizontaal Toezicht? Incidenteel De organisatie heeft de visie op Horizontaal Toezicht niet of beperkt gedefinieerd. Het beeld van wat Horizontaal Toezicht voor de organisatie zou moeten inhouden kan verschillen per persoon en per situatie. Informeel De organisatie heeft een visie op Horizontaal Toezicht, echter deze is niet geformaliseerd. Het management heeft een gezamenlijk beeld van wat Horizontaal Toezicht voor de organisatie zou moeten inhouden. Onderdelen van de organisatie kunnen op basis van ervaringen rondom rechtmatig declareren hier een andere invulling aan geven. Gestandaardiseerd De organisatie heeft een visie op Horizontaal Toezicht gedefinieerd en vastgelegd. Deze visie wordt consistent gecommuniceerd, waardoor alle onderdelen van de organisatie een gezamenlijk beeld hebben van wat Horizontaal Toezicht zou moeten inhouden. Beheerst De organisatie heeft een visie op Horizontaal Toezicht gedefinieerd en vastgelegd. Op deze visie wordt actief gereflecteerd vanuit de organisatie. Deze visie wordt consistent gecommuniceerd, waardoor alle onderdelen van de organisatie een gedragen gezamenlijk beeld hebben van wat Horizontaal Toezicht zou moeten inhouden. Optimaliserend De organisatie heeft een visie op Horizontaal Toezicht gedefinieerd en vastgelegd. Deze visie wordt getoetst en continu geoptimaliseerd door de organisatie, op basis van best practices. De visie wordt consistent gecommuniceerd, waardoor alle onderdelen van de organisatie een gedragen gezamenlijk beeld hebben van wat Horizontaal Toezicht zou moeten inhouden. D10

74 COMPLIANCE STRATEGIE In hoeverre handelt de organisatie op basis van een compliance strategie? Incidenteel Het belang van een compliance strategie wordt door het management niet ingezien. De organisatie heeft zijn compliance strategie niet of beperkt gedefinieerd en deze wordt op inconsistente wijze gecommuniceerd. Beslissingen worden genomen naar aanleiding van incidenten en op basis van onderbuik gevoel. Informeel De organisatie onderkent het belang van een compliance strategie, echter is deze niet geformaliseerd. De strategie wordt op informele wijze gecommuniceerd binnen de organisatie. Er wordt met name gehandeld op basis van ervaring. Gestandaardiseerd De organisatie erkent het belang van een compliance strategie en heeft deze vooraf gedefinieerd en gedocumenteerd. Deze compliance strategie wordt gestructureerd gecommuniceerd binnen de organisatie. Er wordt consistent en aantoonbaar gehandeld volgens de compliance strategie. Beheerst De organisatie heeft vooraf een compliance strategie gedefinieerd en gedocumenteerd. De compliance strategie wordt consistent gecommuniceerd binnen de organisatie. Er wordt aantoonbaar en gestructureerd gehandeld volgens de compliance strategie. De compliance strategie en het aantoonbaar handelen hiernaar worden regelmatig getoetst en verbeterd. Optimaliserend De organisatie heeft vooraf een compliance strategie gedefinieerd en deze wordt voortdurend bewaakt en bijgesteld en afgestemd met in- en externe stakeholders. De compliance strategie is gedocumenteerd en wordt consistent gecommuniceerd binnen de organisatie. Er wordt aantoonbaar, gestructureerd en reflecterend gehandeld volgens de compliance strategie. Tijdens dit proces wordt ook gekeken naar best practices uit de branche. D11

75 INTERN STAKEHOLDER MANAGEMENT In hoeverre worden interne stakeholders betrokken bij de opzet en uitvoering van de compliance strategie? Incidenteel De organisatie betrekt interne stakeholders niet structureel bij de opzet en uitvoering van de compliance strategie. Dit gebeurt inconsistent en incidenteel. Een procedure rondom het betrekken van de interne stakeholders bij de totstandkoming en uitvoer van de compliance strategie is niet of beperkt aanwezig. Informeel De organisatie betrekt interne stakeholders consistent bij de opzet en uitvoering van de compliance strategie. De wijze waarop hier invulling aan gegeven wordt is niet vastgelegd. Een procedure rondom het betrekken van de interne stakeholders bij de totstandkoming en uitvoer van de compliance strategie is aanwezig, maar wordt informeel nageleefd. Gestandaardiseerd De organisatie betrekt interne stakeholders gestructureerd en consistent bij de opzet en uitvoering van de compliance strategie. Er is een vooraf gedefinieerde procedure vastgelegd rondom het betrekken van de interne stakeholders bij de totstandkoming en uitvoer van de compliance strategie. Beheerst De organisatie betrekt interne stakeholders gestructureerd en consistent bij de opzet en uitvoering van de compliance strategie en hierop wordt gereflecteerd. Er is een vooraf gedefinieerde procedure vastgelegd rondom het betrekken van de interne stakeholders bij de totstandkoming en uitvoer van de compliance strategie. Deze procedure wordt aantoonbaar nageleefd, geëvalueerd en verbeterd. Optimaliserend De organisatie betrekt interne stakeholders gestructureerd en consistent bij de opzet en uitvoering van de compliance strategie en op basis van best practices. Er is een vooraf gedefinieerde procedure vastgelegd rondom het betrekken van de interne stakeholders bij de totstandkoming en uitvoer van de compliance strategie. Deze procedure wordt aantoonbaar nageleefd, geëvalueerd en verbeterd. De organisatie is in staat om procesverbetervoorstellen snel en flexibel door te voeren. D12

76 EXTERN STAKEHOLDER MANAGEMENT In hoeverre worden externe stakeholders betrokken bij de opzet en uitvoering van de compliance strategie? Incidenteel De organisatie betrekt externe stakeholders niet structureel bij de opzet en uitvoering van de compliance strategie. Dit gebeurt inconsistent en incidenteel. Een procedure rondom het betrekken van de externe stakeholders bij de totstandkoming en uitvoer van de compliance strategie is niet of beperkt aanwezig. Informeel De organisatie betrekt externe stakeholders consistent bij de opzet en uitvoering van de compliance strategie. De wijze waarop hier invulling aan gegeven wordt is niet vastgelegd. Een procedure rondom het betrekken van de externe stakeholders bij de totstandkoming en uitvoer van de compliance strategie is aanwezig, maar wordt informeel nageleefd. Gestandaardiseerd De organisatie betrekt externe stakeholders gestructureerd en consistent bij de opzet en uitvoering van de compliance strategie. Er is een vooraf gedefinieerde procedure vastgelegd rondom het betrekken van de externe stakeholders bij de totstandkoming en uitvoer van de compliance strategie. Beheerst De organisatie betrekt externe stakeholders gestructureerd en consistent bij de opzet en uitvoering van de compliance strategie en hierop wordt gereflecteerd. Er is een vooraf gedefinieerde procedure vastgelegd rondom het betrekken van de externe stakeholders bij de totstandkoming en uitvoer van de compliance strategie. Deze procedure wordt aantoonbaar nageleefd, geëvalueerd en verbeterd. Optimaliserend De organisatie betrekt externe stakeholders gestructureerd en consistent bij de opzet en uitvoering van de compliance strategie en op basis van best practices. Er is een vooraf gedefinieerde procedure vastgelegd rondom het betrekken van de externe stakeholders bij de totstandkoming en uitvoer van de compliance strategie. Deze procedure wordt aantoonbaar nageleefd, geëvalueerd en verbeterd. De organisatie is in staat om procesverbetervoorstellen snel en flexibel door te voeren. D13

77 ORGANISATIECULTUUR In hoeverre sluit de organisatiecultuur aan bij de missie en visie? Incidenteel De organisatiecultuur sluit niet of beperkt aan bij de missie en visie. De gewenste houding en het gewenste gedrag zijn niet vooraf gedefinieerd. De organisatie is afhankelijk van individuen om de gewenste houding en het gewenste gedrag te laten aansluiten bij de missie en visie. Vanuit het management worden ook geen of beperkte activiteiten ondernomen om de gewenste houding en het gewenste gedrag te stimuleren. Medewerkers voelen zich beperkt in het aanspreken van elkaar op houding en gedrag. Informeel De organisatiecultuur sluit aan bij de missie en visie. De gewenste houding en het gewenste gedrag zijn niet vooraf gedefinieerd. De gewenste houding en het gewenste gedrag worden informeel nageleefd op basis van ervaringen maar dit is niet gestandaardiseerd. Vanuit het management worden selectief activiteiten ondernomen om de gewenste houding en het gewenste gedrag te stimuleren. Medewerkers voelen zich vrij in het aanspreken van elkaar op houding en gedrag. Gestandaardiseerd De organisatiecultuur sluit aan bij de missie en visie. De gewenste houding en het gewenste gedrag zijn vooraf gedefinieerd en gedocumenteerd. Vanuit het management worden organisatiebreed activiteiten ondernomen om de gewenste houding en het gewenste gedrag te stimuleren. Er heerst binnen de organisatie een cultuur die mensen vrij laat om elkaar aan te spreken op houding en gedrag en hiermee het verbeteren van het eigen functioneren. Beheerst De organisatiecultuur sluit aan bij de missie en visie. De gewenste houding en het gewenste gedrag zijn vooraf gedefinieerd en gedocumenteerd. Vanuit het management worden organisatiebreed activiteiten ondernomen om de gewenste houding en het gewenste gedrag te stimuleren. Er heerst binnen de organisatie een cultuur die mensen vrij laat om elkaar aan te spreken op houding en gedrag en hiermee het verbeteren van het eigen functioneren. Medewerkers reflecteren actief op hun eigen en elkaars functioneren in brede zin waarmee de organisatiecultuur ook blijft aansluiten bij de missie en visie. Optimaliserend De organisatiecultuur sluit aan bij de missie en visie. De gewenste houding en het gewenste gedrag zijn vooraf gedefinieerd en gedocumenteerd. Het management onderneemt activiteiten gericht op de behoeften van specifieke organisatieonderdelen om de gewenste houding en het gewenste gedrag te stimuleren. Er heerst binnen de organisatie een cultuur die mensen stimuleert om elkaar aan te spreken op houding en gedrag en hiermee het verbeteren van het eigen functioneren. Medewerkers reflecteren actief op hun eigen en elkaars functioneren in brede zin waarmee de organisatiecultuur ook blijft aansluiten bij de missie en visie. Er is een cultuur van voortdurende analyse, zelfevaluatie en verbetering. D14

78 TOON AAN DE TOP In hoeverre worden de waarden rondom compliant registreren en declareren van de organisatie uitgedragen door het bestuur en management? Incidenteel De waarden rondom compliant registreren en declareren worden niet of beperkt uitgedragen door het bestuur en management. Voorbeeldgedrag krijgt niet of nauwelijks aandacht binnen het bestuur en management. Ethisch gedrag ziet men terug bij individuele managers, maar wordt niet besproken aan de top. Informeel De waarden rondom compliant registreren en declareren worden uitgedragen door het bestuur en management. Deze waarden zijn echter niet vastgelegd en worden informeel richting de organisatie gecommuniceerd. Voorbeeldgedrag krijgt regelmatig aandacht binnen het bestuur en management, maar wordt vooral op basis van ervaring vertoond. Vanuit het bestuur en management worden selectief activiteiten ondernomen om ethisch gedrag te stimuleren. Gestandaardiseerd De waarden rondom compliant registreren en declareren worden uitgedragen door het bestuur en management. Deze waarden zijn vooraf gedefinieerd en gedocumenteerd en worden structureel binnen de organisatie gecommuniceerd. Voorbeeldgedrag krijgt regelmatig aandacht binnen het bestuur en management. Het besproken voorbeeldgedrag wordt aantoonbaar in de praktijk gebracht. Vanuit het bestuur en management worden organisatiebreed activiteiten ondernomen om ethisch gedrag te stimuleren. Beheerst De waarden rondom compliant registreren en declareren worden uitgedragen door het bestuur en management. Deze waarden zijn vooraf gedefinieerd en gedocumenteerd en worden structureel binnen de organisatie gecommuniceerd. Voorbeeldgedrag en de reflectie hierop is een terugkerend onderwerp binnen het bestuur en management. Het besproken voorbeeldgedrag wordt aantoonbaar in de praktijk gebracht en periodiek gemeten aan de hand van verkregen feedback vanuit de organisatie. Vanuit het bestuur en management worden organisatiebreed activiteiten ondernomen om ethisch gedrag te evalueren en te stimuleren. Optimaliserend De waarden rondom compliant registreren en declareren worden uitgedragen door het bestuur en management. Deze waarden zijn vooraf gedefinieerd en gedocumenteerd en worden structureel binnen de organisatie gecommuniceerd. Voorbeeldgedrag en de reflectie hierop is een terugkerend onderwerp binnen het bestuur en management. Het besproken voorbeeldgedrag wordt aantoonbaar in de praktijk gebracht en periodiek gemeten en verbeterd aan de hand van verkregen feedback vanuit de organisatie. Het bestuur en management is in staat verbeteringen en aanpassingen in het voorbeeldgedrag snel in de praktijk te brengen. Vanuit het bestuur en management wordt ethisch gedrag voortdurende geanalyseerd, geëvalueerd en verbeterd. D15

79 HOUDING EN GEDRAG In hoeverre is de houding en het gedrag van medewerkers in lijn met de visie op compliant registreren en declareren? Incidenteel De houding en het gedrag van medewerkers zijn niet of beperkt in lijn met de visie op compliant registreren en declareren. De organisatie is afhankelijk van individuen om de gewenste houding en het gewenste gedrag te laten aansluiten bij de compliance strategie. Informeel De houding en het gedrag van medewerkers sluiten op onderdelen aan bij de visie op compliant registreren en declareren. Medewerkers weten wat de gewenste houding en het gewenste gedrag omvat, maar houden bij hun acties niet bewust rekening met de compliance strategie. Medewerkers handelen voornamelijk op basis van hun eigen ervaring met compliant registreren en declareren. Gestandaardiseerd De houding en het gedrag van medewerkers sluiten consistent en aantoonbaar aan bij de visie op compliant registreren en declareren. De gewenste houding en het gewenste gedrag zijn vooraf gedefinieerd en gedocumenteerd. In deze documentatie is de koppeling gemaakt met de visie op compliant registreren en declareren. Het handelen conform gewenste houding en gewenst gedrag wordt, indien dit noodzakelijk wordt geacht, door leidinggevenden besproken met medewerkers. Beheerst De houding en het gedrag van medewerkers sluiten consistent en aantoonbaar aan bij de visie op compliant registreren en declareren. De gewenste houding en het gewenste gedrag zijn vooraf gedefinieerd en gedocumenteerd, en de documentatie wordt periodiek geëvalueerd en verbeterd. Het handelen conform gewenste houding en gewenst gedrag wordt door leidinggevenden geëvalueerd met medewerkers, waarmee medewerkers worden aangespoord hun houding en gedrag op het gewenste niveau te krijgen of te houden. Optimaliserend De houding en het gedrag van medewerkers sluiten consistent en aantoonbaar aan bij de visie op compliant registreren en declareren. De gewenste houding en het gewenste gedrag zijn vooraf gedefinieerd en gedocumenteerd, en de documentatie wordt periodiek geëvalueerd en verbeterd. Hierbij wordt ook geleerd van de ervaringen van branchegenoten. Het handelen conform en elkaar aanspreken op gewenste houding en gewenst gedrag is een continu aandachtspunt voor medewerkers. Medewerkers worden hier door hun leidinggevenden op geëvalueerd, waarmee medewerkers continu worden aangespoord hun houding en gedrag op het gewenste niveau te krijgen of te houden. D16

80 Bedrijfsvoering Inleiding Normen Bedrijfsprocessen 2.1 Essentie van de organisatie 2.2 Documentatie Functieprofielen en Compliance 2.3 Rollen en verantwoordelijkheden 2.4 Competenties 2.5 Compliancefunctie IT 2.6 General IT Controls D17

81 Inleiding Horizontaal Toezicht is proces- en systeemgericht toezicht. Dit is efficiënter en effectiever dan gegevensgerichte controle verderop in de keten. Wanneer de bedrijfsvoering van een organisatie op orde is, zal de invoering van Horizontaal Toezicht bespoedigd worden. In dit thema van het Instapmodel staat bedrijfsvoering centraal met als hoofdvraag: In hoeverre is de bedrijfsvoering ondersteunend bij het proces- en systeemgericht toezicht? Wanneer extern toezicht wordt verplaatst naar intern toezicht, zoals bij Horizontaal Toezicht, is het van essentieel belang dat intern toezicht ook mogelijk wordt gemaakt. Binnen Horizontaal Toezicht wordt daarom gewerkt op basis van het three-lines-of-defence principe. Daarbij is het belangrijk dat taken en verantwoordelijkheden van deze drie lijnen duidelijk en beschreven zijn, waarbij functiescheiding van groot belang is. Om een goed proces- en systeemgericht toezicht tot stand te brengen is samenwerking tussen afdelingen belangrijk. Dit betreft niet alleen afdelingen die zich direct bezighouden met registraties en declaraties, maar ook afdelingen als IT, datawarehouse en het technisch beheer van applicaties. Een basisprincipe van Horizontaal Toezicht is dat goede registraties en declaraties zo vroeg mogelijk in de keten, aan de bron, plaatsvinden. Om dit zo efficiënt mogelijk te verwezenlijken is het inbedden in de (zorg)processen het meest optimaal. Dit vraagt om een infrastructuur en/of methoden waarin processen in kaart kunnen worden gebracht en beschreven. D18

82 ESSENTIE VAN DE ORGANISATIE In hoeverre sluiten de bedrijfsprocessen aan bij de aard van de organisatie? Incidenteel De organisatie is zich niet of nauwelijks bewust van de aard van de organisatie bij het bepalen van de bedrijfsprocessen. Bij het management wordt niet de noodzaak gevoeld om de essentie van de organisatie, namelijk het leveren van zorg, te hanteren voor het bepalen van de bedrijfsprocessen. Informeel De organisatie is zich bewust van de aard van de organisatie bij het bepalen van een beperkt aantal onderdelen van de bedrijfsprocessen. Bij het management wordt informeel de noodzaak gevoeld om de essentie van de organisatie, namelijk het leveren van zorg, te hanteren voor het bepalen van de bedrijfsprocessen. Zij hebben echter nog niet de stap genomen om dit te formaliseren. Gestandaardiseerd De organisatie is zich bewust van de aard van de organisatie bij het bepalen van de bedrijfsprocessen. Door het management worden vanuit de essentie van de organisatie, namelijk het leveren van zorg, de bedrijfsprocessen geïdentificeerd en ingericht. Beheerst De organisatie blijft zich bewust van de aard van de organisatie bij het bepalen en evalueren van de bedrijfsprocessen. In alle lagen van de organisatie wordt gestuurd op handelen vanuit de belangrijkste drijfveer, namelijk zorg leveren. Door het management worden vanuit de essentie van de organisatie, namelijk het leveren van zorg, de bedrijfsprocessen geïdentificeerd en ingericht. Optimaliserend De organisatie blijft zich continu bewust van de aard van de organisatie bij het bepalen en evalueren van de bedrijfsprocessen. In alle lagen van de organisatie wordt gestuurd op handelen vanuit de belangrijkste drijfveer, namelijk zorg leveren. Door het management worden vanuit de essentie van de organisatie, namelijk het leveren van zorg, de bedrijfsprocessen geïdentificeerd en ingericht. Er wordt bij het bepalen van de bedrijfsprocessen ingespeeld op ontwikkelingen of uitdaging vanuit de branche, breder dan de eigen organisatie. D19

83 DOCUMENTATIE In hoeverre worden processen en ondersteunende documenten (instructies, checklists, etc.) toegankelijk vastgelegd en beheerd? Incidenteel Het vastleggingsproces is niet gedefinieerd. Er is geen aandacht voor het actueel houden van documentatie. De organisatie vertrouwt volledig op het initiatief van individuele personen voor vastlegging van documentatie. Informeel Het vastleggingsproces is niet vooraf gedefinieerd, er zijn hierover informele afspraken. Ook het actueel houden van documentatie blijft een aandachtspunt. De organisatie vertrouwt nog regelmatig op het initiatief van individuele personen voor vastlegging van documentatie. Gestandaardiseerd Het vastleggingsproces is vooraf gedefinieerd, hierin is ook aandacht besteed aan het actueel houden van documentatie. De toegankelijkheid van de documentatie voor alle medewerkers is gewaarborgd. De waarborging is vastgelegd in het vaststellingsproces. Alle relevante medewerkers binnen de organisatie kennen dit vastleggingsproces en handelen hier consistent en gestructureerd naar. Beheerst Het vastleggingsproces is vooraf gedefinieerd en dit proces wordt actief onderhouden. Er is binnen dit proces aandacht besteed aan het actueel houden van documentatie. De toegankelijkheid van de documentatie voor alle medewerkers is gewaarborgd. De waarborging is vastgelegd in het vaststellingsproces. Alle relevante medewerkers binnen de organisatie kennen dit vastleggingsproces, handelen hier consistent en gestructureerd naar en reflecteren hierop. De input van de medewerkers wordt aantoonbaar meegenomen bij de verbetering van het vastleggingsproces. Optimaliserend Het vastleggingsproces is vooraf gedefinieerd en dit proces wordt actief onderhouden. Er is binnen dit proces aandacht besteed aan het actueel houden van documentatie. De toegankelijkheid van de documentatie voor alle medewerkers is gewaarborgd. De waarborging is vastgelegd in het vaststellingsproces. Het vastleggingsproces wordt in- of extern gevalideerd op toereikendheid en er wordt gereflecteerd aan de hand van best practices. Alle relevante medewerkers binnen de organisatie kennen dit vastleggingsproces, handelen hier consistent en gestructureerd naar en reflecteren hierop. De input van de medewerkers wordt aantoonbaar meegenomen bij de verbetering van het vastleggingsproces. D20

84 ROLLEN EN VERANTWOORDELIJKHEDEN In hoeverre zijn processen rondom rollen en verantwoordelijkheden vastgelegd en bekend? Incidenteel Rollen en verantwoordelijkheden zijn onvoldoende bekend en niet vastgelegd. Als gevolg daarvan is functiescheiding niet of nauwelijks ingericht. Naar aanleiding van incidenten kunnen rollen en verantwoordelijkheden duidelijk worden gemaakt, maar is er geen sprake van een structurele inbedding van rollen en verantwoordelijkheden in de cultuur en structuur van de organisatie. Informeel Rollen en verantwoordelijkheden zijn informeel bekend. Als gevolg hiervan is functiescheiding bekend binnen de organisatie, maar niet ingericht. Informeel wordt gehandeld volgens rollen en verantwoordelijkheden. Er is echter geen sprake van een structurele inbedding van rollen en verantwoordelijkheden in de cultuur en structuur van de organisatie. Gestandaardiseerd Rollen en verantwoordelijkheden en de daarbij behorende functiescheiding zijn ingericht en vastgelegd en bekend in de organisatie. Rollen en verantwoordlijkheden worden consistent, structureel en aantoonbaar nageleefd. Er is sprake van een structurele inbedding van rollen en verantwoordelijkheden in de inrichting van de organisatie en er is daarbij aandacht voor competenties en (bij-) scholing van medewerkers. Beheerst Rollen en verantwoordelijkheden en de daarbij behorende functiescheiding zijn ingericht en vastgelegd en bekend in de organisatie. Rollen en verantwoordlijkheden worden consistent, structureel en aantoonbaar nageleefd. Er is sprake van een periodieke toetsing op de naleving. Betrokkenen worden in staat gesteld actief op de rollen en verantwoordelijkheden te reflecteren. Er is sprake van een structurele inbedding van rollen en verantwoordelijkheden in de inrichting van de organisatie en er wordt actief gestuurd op ontwikkeling van competenties en (bij-)scholing van medewerkers. Optimaliserend Rollen en verantwoordelijkheden en de daarbij behorende functiescheiding zijn ingericht en vastgelegd en bekend in de organisatie. Rollen en verantwoordelijkheden worden consistent, structureel en aantoonbaar nageleefd. Er is sprake van een periodieke toetsing op de naleving. Betrokkenen worden in staat gesteld actief op de rollen en verantwoordelijkheden te reflecteren. Ook wordt er gereflecteerd op basis van best-practices in andere organisaties. Doel van deze activiteiten is een continue verbetering in het naleven van rollen en verantwoordelijkheden. Er is sprake van een structurele inbedding van rollen en verantwoordelijkheden in de inrichting van de organisatie. en het ontwikkelen van competenties en (bij-)scholing van medewerkers is opgenomen in het personeelsbeleid. D21

85 COMPETENTIES In hoeverre wordt door middel van kennis, vaardigheden en gedrag invulling gegeven aan rollen en verantwoordelijkheden? Incidenteel Competentieprofielen bij de verschillende functies zijn niet of beperkt gedefinieerd. Er is niet of beperkt duidelijk welke kennis, vaardigheden en gedrag nodig zijn om invulling te geven aan betreffende rol/verantwoordelijkheid. Aan rollen en verantwoordelijkheden wordt invulling gegeven op basis van aanwezige ervaring en toevallig aanwezige competenties. Er wordt incidenteel gekeken of kennis, vaardigheden en gedrag passend zijn bij de rollen en verantwoordelijkheden. Informeel Competentieprofielen bij de verschillende functies zijn aanwezig, maar niet gestandaardiseerd. Er is informeel duidelijk welke kennis, vaardigheden en gedrag nodig zijn om invulling te geven aan betreffende rol/ verantwoordelijkheid, maar de aanwezige ervaring is het meest bepalend. De competentieprofielen worden door de organisatie wel gebruikt, maar doorgaans op een informele wijze en niet aantoonbaar. Ook worden deze competentieprofielen beperkt onderhouden. Gestandaardiseerd Competentieprofielen bij de verschillende functies zijn aanwezig en gestandaardiseerd. Er is duidelijk welke kennis, vaardigheden en gedrag nodig zijn om invulling te geven aan betreffende rol/verantwoordelijkheid. De competentieprofielen worden aantoonbaar door de organisatie gebruikt en onderhouden. Hier is een proces voor opgesteld. Beheerst Competentieprofielen bij de verschillende functies zijn aanwezig en gestandaardiseerd. Er is duidelijk welke kennis, vaardigheden en gedrag nodig zijn om invulling te geven aan betreffende rol/verantwoordelijkheid. De competentieprofielen worden door de organisatie aantoonbaar en gestructureerd gebruikt en onderhouden. Hier is een proces voor opgesteld. Op de aanwezige functieprofielen wordt gereflecteerd door betrokkenen, zodat deze verbeterd kunnen worden. Optimaliserend Competentieprofielen bij de verschillende functies zijn aanwezig en gestandaardiseerd. Er is niet of beperkt duidelijk welke kennis, vaardigheden en gedrag nodig zijn om invulling te geven aan betreffende rol/ verantwoordelijkheid. De competentieprofielen worden door de organisatie aantoonbaar en gestructureerd gebruikt en onderhouden. Hier is een proces voor opgesteld. Op de aanwezige functieprofielen wordt gereflecteerd door betrokkenen, ook op basis van best practices vanuit andere organisaties. Er is sprake van een continue verbetering. D22

86 COMPLIANCE FUNCTIE In hoeverre is de compliance functie ingebed in de organisatie? Incidenteel Er is niet of beperkt belegd wie verantwoordelijk is voor compliance binnen de organisatie. Als gevolg hiervan is de permanente monitoring van de wijzigingen van wet- en regelgeving beperkt. Het bijhouden van deze wijzigingen gebeurt inconsistent en is afhankelijk van individuen. Informeel Er is informeel belegd wie verantwoordelijk is voor compliance binnen de organisatie. Er wordt zorggedragen voor permanente monitoring van de wijzigingen in wet- en regelgeving, zonder eindverantwoordelijke. Gestandaardiseerd Er is vooraf gedefinieerd en vastgelegd wie verantwoordelijk is voor compliance binnen de organisatie. Er wordt zorggedragen voor permanente monitoring van de wijzigingen in wet- en regelgeving, met een aangewezen eindverantwoordelijke. Beheerst Er is vooraf gedefinieerd en vastgelegd wie verantwoordelijk is voor compliance binnen de organisatie. Er wordt zorggedragen voor permanente monitoring van de wijzigingen in wet- en regelgeving, met een aangewezen eindverantwoordelijke. De organisatie reflecteert op de effectiviteit van de compliancefuntie en voert op basis daarvan verbeteringen door. Optimaliserend Er is vooraf gedefinieerd en vastgelegd wie verantwoordelijk is voor compliance binnen de organisatie. Er wordt zorggedragen voor permanente monitoring van de wijzigingen in wet- en regelgeving, met een aangewezen eindverantwoordelijke. De organisatie reflecteert, onder meer op basis van best-practices, op de effectiviteit van de compliancefuntie en voert op basis daarvan continu verbeteringen door. D23

87 IT GENERAL CONTROLS In hoeverre zijn IT General Controls geïmplementeerd die van belang zijn voor de betrouwbaarheid van de geautomatiseerde gegevensverwerking? Incidenteel De organisatie denkt niet bewust na over de inrichting van IT General Controls. Het inbedden of aanpassen van IT General Controls gebeurt enkel naar aanleiding van incidenten. Er zijn mogelijk IT General Controls aanwezig, maar de kwaliteit en werking hiervan is onduidelijk. Er is geen of beperkt beleid gedefinieerd ten aanzien van IT General Controls en voor zover aanwezig wordt dit inconsistent uitgevoerd. Informeel De organisatie heeft aandacht voor de inrichting van IT General Controls, maar de inrichting is niet gedocumenteerd. Het inbedden of aanpassen van IT General Controls gebeurt voornamelijk op basis van ervaring. Er zijn IT General Controls aanwezig, maar de kwaliteit en werking wordt niet vastgelegd. Er is informeel beleid ten aanzien van IT General Controls aanwezig. Gestandaardiseerd De organisatie is bewust bezig met het implementeren van IT General Controls en heeft deze ook gedocumenteerd. Het inbedden of aanpassen van IT General Controls gebeurt op basis van een vooraf gedefinieerd proces. Er zijn IT General Controls aanwezig, de kwaliteit en werking wordt aantoonbaar vastgelegd. Beheerst De organisatie heeft IT General Controls geïmplementeerd, gedocumenteerd en gecommuniceerd naar relevante stakeholders. Het inbedden of aanpassen van IT General Controls gebeurt op basis van een vooraf gedefinieerd proces. Er zijn IT General Controls aanwezig, de kwaliteit en werking wordt aantoonbaar vastgelegd. Er is sprake van regelmatige toetsing en verbetering van IT General Controls. Optimaliserend De organisatie heeft IT General Controls geïmplementeerd, gedocumenteerd en gecommuniceerd naar relevante stakeholders. Het inbedden of aanpassen van IT General Controls gebeurt op basis van een vooraf gedefinieerd proces. Er zijn IT General Controls aanwezig, de kwaliteit en werking wordt constant gemonitord, structureel getoetst met externe stakeholders en waar mogelijk continu verbeterd. IT General Controls zijn flexibel opgesteld, zodat deze kunnen worden aangepast aan toekomstige wensen. D24

88 Registratie en Declaratie Inleiding Normen Wet- en regelgeving 3.1 Bekendheid en implementatie van wet- en regelgeving 3.2 Wet- en regelgeving binnen het zorginhoudelijk proces Registratie en declaratie 3.3 Registratie- en declaratieprocessen 3.4 Rollen en verantwoordelijkheden binnen de registratieen declaratieprocessen. D25

89 Inleiding In één keer juist en tijdig registreren en declareren van rechtmatig geleverde zorg staat centraal binnen Horizontaal Toezicht. Dit is ingebed in de zorgprocessen. In dit thema van het Instapmodel staat registratie en declaratie centraal met als hoofdvraag: In hoeverre zijn registratie- en declaratieprocessen op orde, beschreven en transparant? Om registraties first time right plaats te laten vinden dienen de processen waarbinnen deze registraties plaatsvinden op orde te zijn en vastgelegd, zodat alle betrokken medewerkers hiernaar handelen. Wet- en regelgeving dient bekend en ingebed te zijn in de organisatie. Onder wet- en regelgeving worden enerzijds registratie- en declaratievoorschriften verstaan en anderzijds zorginhoudelijke standaarden. In de beschreven registratieprocessen komen niet alleen de taken en verantwoordelijkheden terug van de betrokken medewerkers, maar ook de functionele werking van systemen. Het is belangrijk processen op praktische wijze te vertalen naar de werkvloer en deze te gebruiken als basisdocumentatie voor het functioneel beheer van systemen en applicaties. Binnen Horizontaal Toezicht is het van belang dat de interne beheersing van organisaties aantoonbaar en inzichtelijk is. Bij het vastleggen van deze processen dient al nagedacht te worden over de aantoonbaarheid van de werking van deze processen. Proces- en systeemgericht toezicht kan immers gegevensgericht toezicht op onderdelen overbodig maken. D26

90 BEKENDHEID EN IMPLEMENTATIE VAN WET- EN REGELGEVING In hoeverre zijn wet- en regelgeving bekend en hoe wordt dit geïmplementeerd binnen de organisatie? Incidenteel Naleving van wet- en regelgeving heeft geen prioriteit voor het management. Wet- en regelgeving zijn incidenteel geïntegreerd en beperkt vastgelegd binnen de werkprocessen. De medewerkers zijn hier onvoldoende bekend mee. De actualiteit van de in processen toegepaste wet- en regelgeving wordt niet getoetst en hier is geen verantwoordelijke voor aangewezen. Informeel Management erkent het belang van de naleving van wet- en regelgeving. Wet- en regelgeving zijn informeel geïntegreerd, maar beperkt vastgelegd binnen de werkprocessen. De medewerkers geven hier informeel invulling aan, primair gebaseerd op ervaring. De actualiteit van de in de processen toegepaste wet- en regelgeving wordt, aangezien er geen standaardprocedure is, nog niet altijd getoetst. Op een aantal onderdelen is een verantwoordelijke aangewezen. Gestandaardiseerd Management kent zijn verantwoordelijkheid als het gaat om de naleving van wet- en regelgeving en handelt hier ook naar. Wet- en regelgeving zijn gestructureerd geïntegreerd en consistent vastgelegd binnen de werkprocessen. De medewerkers geven hier aantoonbaar invulling aan. De actualiteit van de in de processen toegepaste wet- en regelgeving wordt periodiek getoetst. Er is een verantwoordelijke aangewezen voor de toetsing op dit proces. De verantwoordelijke(n) delen de resultaten met relevante stakeholders. Beheerst Management kent zijn verantwoordelijkheid als het gaat om de naleving van wet- en regelgeving en handelt hier ook naar. Wet- en regelgeving zijn gestructureerd geïntegreerd en consistent vastgelegd in de werkprocessen. De medewerkers geven hier aantoonbaar invulling aan. De actualiteit van de in de processen toegepaste wet- en regelgeving wordt aantoonbaar getoetst en verbeterd. Er is een verantwoordelijke aangewezen voor de toetsing en verbetering van dit proces. De verantwoordelijke(n) delen de resultaten met relevante stakeholders. Optimaliserend Management en kent zijn verantwoordelijkheid als het gaat om de naleving van wet- en regelgeving en handelt hier naar en zijn constant op zoek naar verbetering. Wet- en regelgeving zijn gestructureerd geïntegreerd en consistent vastgelegd in de werkprocessen. De medewerkers geven hier aantoonbaar invulling aan. De actualiteit van de in de processen toegepaste wet- en regelgeving wordt aantoonbaar getoetst en verbeterd. Er is een verantwoordelijke aangewezen voor de toetsing en continue verbetercyclus van dit proces. De verantwoordelijke(n) delen de resultaten met relevante stakeholders. D27

91 WET- EN REGELGEVING BINNEN DE ZORGINHOUDELIJKE PROCESSEN In hoeverre is wet- en regelgeving ingebed in de zorginhoudelijke processen? Incidenteel In de zorginhoudelijke processen wordt incidenteel rekening gehouden met de naleving van wet- en regelgeving en dit is hooguit beperkt vastgelegd. De zorgprofessionals zijn onvoldoende bekend met de uitwerking van wet- en regelgeving op hun eigen proces. Er worden weinig tot geen eisen gesteld aan de toepassing van de zorginhoudelijke processen, waardoor integratie van wet- en regelgeving enkel ad-hoc plaatsvindt. Informeel In de zorginhoudelijke processen wordt op een informele manier rekening gehouden met het naleven van wet- en regelgeving. De zorgprofessionals zijn bekend met de uitwerking van wet- en regelgeving op onderdelen van hun proces, maar overzien het niet volledig. Er worden eisen gesteld aan de toepassing van de zorginhoudelijke processen, maar de uitvoering is voornamelijk gebaseerd op ervaring. Hierdoor vindt integratie van wet- en regelgeving nog niet altijd eenduidig plaats. Gestandaardiseerd In de zorginhoudelijke processen wordt op een gestructureerde en gestandaardiseerde wijze rekening gehouden met het naleven van wet- en regelgeving. Wet- en regelgeving is geïntegreerd en gedocumenteerd in de zorginhoudelijke processen. De zorgprofessionals zijn in voldoende mate bekend met de uitwerking van wet- en regelgeving op hun eigen proces. De eisen voor de toepassing van de zorginhoudelijke processen zijn gedocumenteerd en sluiten aan op wet- en regelgeving. Beheerst In de zorginhoudelijke processen wordt op een gestructureerde en gestandaardiseerde wijze rekening gehouden met het naleven van wet- en regelgeving. Wet- en regelgeving is nauwkeurig geïntegreerd en gedocumenteerd in de zorginhoudelijke processen. Zorgprofessionals zijn hier nadrukkelijk bij betrokken en reflecteren actief op de toepassing van de wet- en regelgeving in het zorginhoudelijk beleid. De eisen voor de toepassing van de zorginhoudelijke processen zijn gedocumenteerd, sluiten aan op wet- en regelgeving en wordt getoetst en verbeterd. Optimaliserend In de zorginhoudelijke processen wordt op een gestructureerde en gestandaardiseerde wijze rekening gehouden met het naleven van wet- en regelgeving. Wet- en regelgeving is nauwkeurig geïntegreerd en gedocumenteerd in het zorginhoudelijk beleid. Zorgprofessionals zijn hier nadrukkelijk bij betrokken en reflecteren actief op de toepassing van de wet- en regelgeving in de zorginhoudelijke processen. Op basis van de reflectie van zorgprofessionals vindt continu verbetering van het beleid plaats. De eisen voor de toepassing van de zorginhoudelijke processen zijn gedocumenteerd, sluiten aan op wet- en regelgeving en worden getoetst en verbeterd. De zorginhoudelijke processen en de inrichting hiervan zijn hiermee dynamisch en actueel. D28

92 REGISTRATIE- EN DECLARATIEPROCESSEN In hoeverre zijn registratie- en declaratieprocessen beschreven en wordt hiernaar gehandeld? Incidenteel Er zijn hooguit beperkt registratie- en declaratieprocessen die borgen dat aan wet- en regelgeving wordt voldaan. Voor het opstellen van deze processen is geen verantwoordelijke aangesteld. Werkzaamheden vinden naar eigen inzicht plaats en zijn vormvrij. Er is onvoldoende bewustzijn bij medewerkers van hun rol in het proces. Als gevolg hiervan is er geen aandacht voor foutieve uitkomsten volgend uit het registratie en declaratieproces. Informeel Er is informeel aandacht voor registratie- en declaratieprocessen waarin wordt meegenomen dat aan wet- en regelgeving wordt voldaan. Inbedding in de reguliere werkzaamheden vindt informeel plaats, waardoor de aanpak van medewerkers niet uniform is, wat kan zorgen voor misverstanden. Medewerkers zijn bewust van de wet- en regelgeving en hun rol in het proces en hier wordt op basis van ervaring invulling aan gegeven. Foutieve uitkomsten volgend uit het registratieen declaratieproces komen door de informele invulling van het proces niet altijd naar voren. Gestandaardiseerd Registratie- en declaratieprocessen zijn vooraf gedefinieerd en vastgelegd en de organisatie handelt hier gestructureerd en consistent naar. Medewerkers weten waar ze documentatie en handleidingen van het proces kunnen vinden en maken hier aantoonbaar gebruik van. Beheerst Registratie- en declaratieprocessen zijn vooraf gedefinieerd en vastgelegd en de organisatie handelt hier gestructureerd en consistent naar. Medewerkers weten waar ze documentatie en handleidingen van het proces kunnen vinden en maken hier aantoonbaar gebruik van. Medewerkers worden gestimuleerd om feedback te geven op het proces. Registratie- en declaratieprocessen worden geëvalueerd en waar nodig verbeterd. Optimaliserend Registratie- en declaratieprocessen zijn vooraf gedefinieerd en vastgelegd en de organisatie handelt hier gestructureerd en consistent naar. Medewerkers weten waar ze documentatie en handleidingen van het proces kunnen vinden en maken hier aantoonbaar gebruik van. Medewerkers worden gestimuleerd om feedback te geven op het proces. Registratie- en declaratieprocessen worden geëvalueerd en waar nodig verbeterd. Er is sprake van monitoring en een voortdurend verbeter- en feedbackproces. D29

93 ROLLEN EN VERANTWOORDELIJKHEDEN BINNEN DE REGISTRATIE- EN DECLARATIEPROCESSEN In hoeverre zijn rollen en verantwoordelijkheden binnen de registratie- en declaratieprocessen vastgelegd en bekend? Incidenteel Rollen en verantwoordelijkheden binnen het registratie- en declaratieproces zijn niet duidelijk. Vastlegging van rollen en verantwoordelijken zijn niet aanwezig of niet passend bij de functie. Werkzaamheden worden inconsistent uitgevoerd en het handelen is incident gedreven. Functiescheiding is onvoldoende geborgd. Het belang van de eigen rol in het registratie en declaratieproces als geheel is onduidelijk en er wordt weinig tot geen verantwoordelijkheid gevoeld voor het gehele proces. Informeel Rollen en verantwoordelijkheden zijn informeel verdeeld en bekend. Er is een bepaalde mate van functiescheiding, maar dit wordt informeel en niet aantoonbaar nageleefd. Er wordt op basis van ervaring gekeken waar de verantwoordelijkheid in de keten ligt. Rollen en verantwoordelijkheden worden informeel gerelateerd aan het registratie- en declaratieproces als geheel. Medewerkers vervullen een rol en nemen verantwoordelijkheid binnen deze rol, maar het al wordt het totale proces wordt nog niet geheel overzien. Gestandaardiseerd Rollen en verantwoordelijkheden binnen het registratie- en declaratieproces zijn vooraf gedefinieerd, gedocumenteerd en gecommuniceerd. Er is aandacht voor functiescheiding en dit komt tot uiting in de beschreven rollen en verantwoordelijkheden. Deze functiescheiding is gedeeltelijk ingebed in de systemen. Medewerkers zijn zich bewust van hun rol in het totale registratie- en declaratieproces en voelen zich hier ook verantwoordelijk voor. Beheerst Rollen en verantwoordelijkheden binnen het registratie- en declaratieproces zijn vooraf gedefinieerd, gedocumenteerd en gecommuniceerd. De rollen en verantwoordelijkheden worden periodiek nagelopen en indien nodig bijgewerkt. Functiescheiding is beschreven en bekend bij de medewerkers en is doorgevoerd in de registratie- en declaratiesystemen. De organisatorische inbedding en het naleven van de functiescheiding is aantoonbaar. Medewerkers zijn zich bewust van hun rol in het totale registratie- en declaratieproces, voelen zich hier ook verantwoordelijk voor en reflecteren hier ook op richting elkaar en richting de organisatie. Optimaliserend Rollen en verantwoordelijkheden binnen het registratie- en declaratieproces zijn vooraf gedefinieerd, gedocumenteerd en gecommuniceerd. De rollen en verantwoordelijkheden worden periodiek nagelopen en indien nodig bijgewerkt. Functiescheiding is beschreven en bekend bij de medewerkers en is optimaal doorgevoerd in de registratieen declaratiesystemen. De organisatorische inbedding en het naleven van de functiescheiding is aantoonbaar. Dit wordt ook getoetst en continu verbeterd. Medewerkers zijn zich bewust van hun rol in het totale registratie en declaratieproces, voelen zich hier ook verantwoordelijk voor en reflecteren hier ook op richting elkaar en richting de organisatie. D30

94 Risico Management Inleiding Normen Risicobeleid 4.1 Houding ten aanzien van risicomanagement Risico identificatie en prioritering 4.2 Risico identificatie 4.3 Risicoprioritering Risicobeheersing 4.4 Risicobeheersing D31

95 Inleiding Organisaties die aan de slag gaan met Horizontaal Toezicht dienen zich bewust te zijn van risico s die zich kunnen voordoen rondom de registratie- en declaratieprocessen. Het beheren en beheersen van deze risico s vraagt een professionele aanpak. In dit thema van het Instapmodel staat risicomanagement centraal met als hoofdvraag: In hoeverre gaat de organisatie bewust en professioneel om met risico s rondom registratie en declaratie en welke (modelmatige) aanpak wordt hiervoor toegepast? Horizontaal Toezicht is een uitermate geschikt middel om risico s te beheren en te beheersen, maar waarschijnlijk hebben organisaties in aanloop naar Horizontaal Toezicht ook al hun eigen modellen die worden toegepast. De vraag die voorligt is of er inderdaad sprake is van risicomanagement binnen de organisatie. Dit betekent dat we kijken naar hoe bewust een organisatie omgaat met risicomanagement en hoe zij de onderdelen identificatie, prioritering en beheersing hebben ingestoken binnen de organisatie. Binnen thema 5 zal verder worden ingegaan op de effectiviteit van risicobeheersing. D32

96 HOUDING TEN AANZIEN VAN RISICOMANAGEMENT Wat is de houding binnen de organisatie ten aanzien van risicomanagement? Incidenteel De organisatie bereidt zich niet bewust voor op risico s ten aanzien van rechtmatig declareren. Het bestuur en management doen richting interne stakeholders geen uitspraken over de mate van risicobereidheid en ziet geen noodzaak voor risicomanagement. De organisatie vertrouwt op de eigen creativiteit en het oplossend vermogen van individuen. Informeel De organisatie is zich bewust van risico s voor rechtmatig declareren, maar heeft hiervoor geen formeel risicomanagementproces ingericht. Het bestuur en management erkennen de noodzaak van een risicomanagementproces en dragen dit ook uit binnen de organisatie. Binnen de organisatie zijn enkel de grootste risico s informeel gedeeld met interne stakeholders, en men vertrouwt bij het beheersen hiervan op de ervaring en het oplossend vermogen van individuen. Gestandaardiseerd De organisatie is zich bewust van risico s voor rechtmatig declareren. Het bestuur en management hebben beheersdoelstellingen vastgesteld en het risicomanagementproces is geformaliseerd en gedeeld in de organisatie. De grootste risico s zijn afgestemd met externe stakeholders. De uitvoering van het risicomanagementproces vindt aantoonbaar plaats. Beheerst De organisatie is zich bewust van risico s voor rechtmatig declareren. Het bestuur en management hebben beheersdoelstellingen vastgesteld en het risicomanagementproces is geformaliseerd en gedeeld in de organisatie. Het proces is afgestemd met externe stakeholders. De uitvoering en evaluatie van het risicomanagementproces vindt aantoonbaar plaats. Periodiek wordt beoordeeld of dit proces nog aansluit bij de beheersdoelstellingen van de organisatie. Optimaliserend De organisatie is zich bewust van risico s voor rechtmatig declareren. Het bestuur en management hebben beheersdoelstellingen vastgesteld en het risicomanagementproces is ingebed in de bedrijfsprocessen en gedeeld in de organisatie. Het proces is afgestemd met externe stakeholders. De uitvoering en evaluatie van het risicomanagementproces vindt aantoonbaar plaats. Periodiek wordt beoordeeld of dit proces nog aansluit bij de controledoelstellingen van de organisatie. Aan relevante medewerkers wordt regelmatig gecommuniceerd over het beleid op risicobeheersing, aan de hand van best practices. Monitoring op risicomanagement is geborgd en er is sprake van een voortdurend verbeterproces. D33

97 RISICO IDENTIFICATIE In hoeverre worden risico s geïdentificeerd binnen de keten van registratie en declaratie? Incidenteel De organisatie identificeert de risico s binnen de keten van registratie en declaratie niet of nauwelijks. De organisatie identificeert gebeurtenissen niet structureel als potentiële risico s of kansen en is hierbij afhankelijk van het inzicht van individuele medewerkers. Risico identificatie vindt voornamelijk plaats wanneer een risico zich reeds heeft voorgedaan. Informeel De organisatie identificeert de risico s binnen de keten van registratie en declaratie informeel, en niet via een geformaliseerd proces. De organisatie identificeert gebeurtenissen niet structureel als potentiële risico s of kansen en is hierbij afhankelijk van de ervaring van individuele medewerkers. Risico identificatie vindt dan ook voornamelijk plaats op basis van ervaring en nog vaak in reactie op gebeurtenissen. Gestandaardiseerd De organisatie identificeert de risico s binnen de keten van registratie en declaratie via een vooraf gedefinieerd en gedocumenteerd proces. Risicomanagement wordt binnen de organisatie systematisch en aantoonbaar ingezet om onzekerheden binnen de keten van registratie en declaratie te identificeren. Beheerst De organisatie identificeert de risico s binnen de keten van registratie en declaratie via een vooraf gedefinieerd en gedocumenteerd proces. Risicomanagement wordt binnen de organisatie systematisch en aantoonbaar ingezet om onzekerheden binnen de keten van registratie en declaratie te identificeren. De kwaliteit van risicoidentificatie wordt periodiek geëvalueerd op basis van relevante wijzigingen in omgevingsfactoren. Risico identificatie is ingebed in het risicomanagementproces en dit proces wordt organisatiebreed toegepast. Optimaliserend De organisatie identificeert de risico s binnen de keten van registratie en declaratie via een vooraf gedefinieerd en gedocumenteerd proces. Risicomanagement wordt binnen de organisatie systematisch en aantoonbaar ingezet om onzekerheden binnen de keten van registratie en declaratie te identificeren. De kwaliteit van risicoidentificatie wordt samen met externe stakeholders periodiek geëvalueerd en verbeterd op basis van relevante wijzigingen in omgevingsfactoren. Risico identificatie is aan de hand van best practices ingebed in het risicomanagementproces en dit proces wordt organisatiebreed toegepast. D34

98 RISICOPRIORITERING In hoeverre worden geïdentificeerde risico s geprioriteerd binnen de keten van registratie en declaratie in de organisatie? Incidenteel De organisatie heeft wanneer zij een risico heeft geïdentificeerd geen duidelijk beeld van de kans en impact van een dergelijk risico. Risicoprioritering vindt dan ook plaats op basis van een onderbuikgevoel. Er is geen duidelijke methodiek voor het prioriteren van risico s en men vertrouwt op het eigen inzicht van medewerkers bij de risicoprioritering. De organisatie houdt geen of beperkt rekening met de eigen risicobereidheid. Informeel De organisatie heeft wanneer zij een risico heeft geïdentificeerd een duidelijk beeld van de kans en impact van een dergelijk risico. Risicoprioritering vindt plaats op basis van ervaring. Er is een methodiek voor het prioriteren van risico s, maar deze is niet vastgelegd. Bij het prioriteren vertrouwt men op de ervaring en het voortschrijdend inzicht van de medewerkers. De organisatie houdt bij de risicoprioritering gedeeltelijk rekening met de eigen risicobereidheid. Gestandaardiseerd De organisatie heeft wanneer zij een risico heeft geïdentificeerd een duidelijk beeld van de kans en impact van een dergelijk risico. Risicoprioritering vindt plaats op basis van een vooraf gedefinieerd en gedocumenteerd proces. De overwegingen bij het prioriteren van risico s zijn vastgelegd en derhalve navolgbaar. Risico-prioritering is ingebed in het risicomanagementproces en dit proces wordt organisatiebreed toegepast. De organisatie houdt bij de risicoprioritering aantoonbaar rekening met de eigen risicobereidheid. Beheerst De organisatie heeft wanneer zij een risico heeft geïdentificeerd een duidelijk beeld van de kans en impact van een dergelijk risico. Risicoprioritering vindt plaats op basis van een vooraf gedefinieerd en gedocumenteerd proces. De overwegingen bij het prioriteren van risico s zijn vastgelegd en derhalve navolgbaar. De overwegingen voor risicoprioritering worden geëvalueerd en indien nodig wordt de prioritering op basis van de evaluatie aangepast. Risico-prioritering is ingebed in het risicomanagementproces en dit proces wordt organisatiebreed toegepast. De organisatie houdt bij de risicoprioritering aantoonbaar rekening met de eigen risicobereidheid. Op de risicobereidheid wordt gereflecteerd en deze wordt eventueel herzien. Optimaliserend De organisatie heeft wanneer zij een risico heeft geïdentificeerd een duidelijk beeld van de kans en impact van een dergelijk risico. Risicoprioritering vindt plaats op basis van een vooraf gedefinieerd en gedocumenteerd proces. De overwegingen bij het prioriteren van risico s zijn vastgelegd en derhalve navolgbaar. De overwegingen voor risicoprioritering worden geëvalueerd en indien nodig wordt de prioritering op basis van de evaluatie aangepast. De risicoprioritering wordt afgestemd met interne en externe stakeholders. De risicoprioritering wordt door de organisatie continu gemonitord, geanalyseerd en getoetst aan best practices. Deze informatie is de basis voor een voortdurend verbeterproces. De organisatie is hiermee in staat zich aan te passen aan veranderende omgevingsfactoren. Risico-prioritering is ingebed in het risicomanagementproces aan de hand van best-practices en dit proces wordt organisatiebreed toegepast. De organisatie houdt bij de risicoprioritering aantoonbaar rekening met de eigen risicobereidheid. De risicobereidheid wordt voortdurend aangescherpt. D35

99 RISICOBEHEERSING In hoeverre worden de risico s beheerst binnen de keten van registratie en declaratie in de organisatie? Incidenteel De organisatie definieert beheersmaatregelen niet of nauwelijks of er wordt niet of beperkt rekening gehouden met de risicoprioritering. In de besluitvorming rondom risicobeheersing wordt eerdere kennis over risico s en succesvolle beheersmaatregelen niet of nauwelijks meegenomen. Beheersmaatregelen worden dan ook voornamelijk ad hoc en binnen de reikwijdte van het proces/project genomen. Voor de inrichting van risicobeheersing vertrouwt de organisatie op het eigen inzicht van medewerkers. Informeel De organisatie is zich bewust van het belang van beheersmaatregelen en stuurt hier informeel op. Er is geen gedocumenteerd proces aanwezig, maar er wordt wel rekening gehouden met de risicoprioritering. In de besluitvorming rondom risicobeheersing wordt eerdere kennis over risico s en succesvolle beheersmaatregelen meegenomen. Vanwege het ontbreken van een gedocumenteerd proces is er echter nog onzekerheid over de toereikendheid van de beheersmaatregelen. Voor de inrichting van risicobeheersing vertrouwt de organisatie op de ervaring van medewerkers. Gestandaardiseerd De organisatie is zich bewust van het belang van beheersmaatregelen en heeft derhalve een vooraf gedefinieerd en gedocumenteerd proces beschreven. In de risicobeheersing wordt rekening gehouden met de risicoprioritering. In de besluitvorming rondom risicobeheersing wordt eerdere kennis over risico s en succesvolle beheersmaatregelen meegenomen. Vanwege het beschikken over een gedocumenteerd proces is er aantoonbaar zekerheid bij de toereikendheid van risicobeheersing. Risicobeheersing is ingebed in het risicomanagementproces en dit proces wordt organisatiebreed toegepast. Beheerst De organisatie is zich bewust van het belang van beheersmaatregelen en heeft derhalve een vooraf gedefinieerd en gedocumenteerd proces beschreven. Risicoprioritering is het uitgangspunt voor het bepalen van de mate van risicobeheersing. In de besluitvorming rondom risicobeheersing wordt eerdere kennis over risico s en succesvolle beheersmaatregelen meegenomen. Vanwege het beschikken over een gedocumenteerd proces is er aantoonbaar zekerheid bij de toereikendheid van risicobeheersing. Risicobeheersing is ingebed in het risicomanagementproces en dit proces wordt organisatiebreed toegepast. De efficiency van de beheersmaatregelen wordt periodiek geëvalueerd met interne stakeholders. Optimaliserend De organisatie is zich bewust van het belang van beheersmaatregelen en heeft derhalve een vooraf gedefinieerd en gedocumenteerd proces beschreven. Risicoprioritering is het uitgangspunt voor het bepalen van de mate van risicobeheersing. In de besluitvorming rondom risicobeheersing wordt eerdere kennis over risico s en succesvolle beheersmaatregelen meegenomen. Vanwege het beschikken over een gedocumenteerd proces is er aantoonbaar zekerheid bij de toereikendheid van risicobeheersing. Risicobeheersing is ingebed in het risicomanagementproces en dit proces wordt organisatiebreed toegepast. De efficiency van de beheersmaatregelen wordt periodiek geëvalueerd met interne en externe stakeholders. De beheersmaatregelen worden kritisch vergeleken met best practices in de branche. De organisatie maakt optimaal gebruik van IT-oplossingen en aantoonbaar toereikende General IT Controls. D36

100 Monitoring en testing Inleiding Normen Methodologie 5.1 Methodiek monitoren en testen Opvolging resultaten, monitoren en testen 5.2 Opvolging resultaten, monitoren en testen Communicatie 5.3 Interne communicatie 5.4 Externe communicatie D37

101 Inleiding Binnen Horizontaal Toezicht is het van belang dat de effectiviteit van de risicobeheersing wordt getoetst en opgevolgd. Mogelijk maakt dit al (deels) onderdeel uit van het risicomanagement binnen de organisatie. In dit thema van het Instapmodel staat monitoren en testen centraal met als hoofdvraag: In hoeverre is de organisatie in staat invulling te geven aan het monitoren en testen van de risicobeheersing op het gebied van registratie en declaratie? Binnen de organisatie zijn wellicht al procedures aanwezig die de werking van beheersmaatregelen evalueren. Of dit ook de manier van toezichthouden ondersteunt die binnen Horizontaal Toezicht wordt beoogd zal verschillen per procedure. Maar deze procedures kunnen wel bijdragen aan een effectieve risicobeheersing. Een belangrijke voorwaarde voor een effectieve risicobeheersing is niet alleen constateren van verbeterpunten binnen de risicobeheersing, maar ook opvolging geven aan deze punten. Verder is het van belang dat het rapportageproces voldoende borgt dat alle stakeholders, zowel intern als extern, worden geïnformeerd over de resultaten van de risicobeheersing op het gebied van registratie en declaratie. D38

102 METHODIEK MONITOREN EN TESTEN In hoeverre is er een procedure vastgesteld, om de werking van de risicobeheersing te monitoren en te testen? Incidenteel De organisatie heeft geen proces opgesteld voor het monitoren en testen van de beheersmaatregelen. Of er sprake is van monitoren en testen wordt naar aanleiding van incidenten bepaald. De manier waarop gemonitord en getest wordt is afhankelijk van de behoeften van specifieke projecten en processen. Informeel De organisatie heeft een proces voor het monitoren en testen van de beheersmaatregelen, maar deze is niet geformaliseerd en wordt dus informeel uitgedragen. De methodiek voor monitoren en testen wordt bepaald op basis van eerdere ervaring, niet op basis van een formeel proces. Gestandaardiseerd Er is een vooraf gedefinieerd organisatiebreed proces voor monitoren en testen. De methodiek en vereisten voor monitoren en testen zijn helder, de middelen zijn beschikbaar en de procedure is bekend binnen de organisatie en wordt aantoonbaar nageleefd. Beheerst Er is een vooraf gedefinieerd organisatiebreed proces voor monitoren en testen. De organisatie is in staat om voor alle processen, aantoonbaar cijfers en data (informatie) aan te sluiten. De methodiek en vereisten voor monitoren en testen zijn helder, de middelen zijn beschikbaar en de procedure is bekend binnen de organisatie. Het management streeft naar verbetering en toetst de prestaties op basis van met stakeholders overeengekomen eisen en criteria. Optimaliserend Er is een vooraf gedefinieerd organisatiebreed proces voor monitoren en testen wat continu wordt geoptimaliseerd. Procesbewaking en -verbetering zijn onderdeel van organisatiebrede procesverbeterplannen. De organisatie is in staat om voor alle processen, aantoonbaar cijfers en data (informatie) aan te sluiten. De methodiek en vereisten voor monitoren en testen zijn helder, de middelen zijn beschikbaar en de procedure is bekend binnen de organisatie. Medewerkers reflecteren op dit proces. Het management streeft naar verbetering en toetst de prestaties op basis van met stakeholders overeengekomen eisen en criteria. Benchmarking met de branche en belangrijke concurrenten gebeurt regelmatig. D39

103 OPVOLGING RESULTATEN MONITOREN EN TESTEN In hoeverre wordt er opvolging gegeven aan de resultaten van het monitoren en testen? Incidenteel De organisatie heeft geen volledig proces waarbij resultaten die voortkomen uit monitoren en testen worden opgevolgd, verbeterd en/of geëscaleerd. Er wordt selectief gevolg gegeven aan de uitkomsten van monitoren en testen. Hierbij is de organisatie afhankelijk van het initiatief van individuen. Informeel De organisatie heeft een proces voor de opvolging van resultaten van monitoren en testen, maar deze is niet geformaliseerd. De resultaten en bevindingen worden informeel opgevolgd, op variërende wijze. De organisatie is in staat om deze resultaten en bevindingen indien nodig te escaleren, dit wordt op basis van ervaring ingezet Gestandaardiseerd De organisatie beschikt over een geformaliseerd en gecommuniceerd proces om opvolging te geven aan resultaten van monitoren en testen, of deze te escaleren. De benodigde werkzaamheden worden opgepakt onder verantwoordelijkheid van de tweede lijn en zij bewaken aantoonbaar de opvolging. De benodigde werkzaamheden zijn vastgelegd in een vastgestelde methodiek. Beheerst De organisatie beschikt over een geformaliseerd en gecommuniceerd proces om opvolging te geven aan resultaten van monitoren en testen, of deze te escaleren. De benodigde werkzaamheden worden opgepakt onder verantwoordelijkheid van de tweede lijn en zij bewaken aantoonbaar de opvolging. De benodigde werkzaamheden zijn vastgelegd in een vastgestelde methodiek. De tweede lijn evalueert periodiek het proces van monitoren en testen en gebruikt de uitkomsten als input voor procesverbetering. Optimaliserend De organisatie beschikt over een geformaliseerd en gecommuniceerd proces om opvolging te geven aan resultaten van monitoren en testen, of deze te escaleren. De diepgang van dit proces stelt de organisatie in staat om de eigen bedrijfsvoering en bedrijfsprocessen voortdurend te verbeteren. De benodigde werkzaamheden worden volgens een vaste methodiek opgepakt onder verantwoordelijkheid van de tweede lijn en zij bewaken aantoonbaar de opvolging. De tweede lijn evalueert periodiek het proces van monitoren en testen en gebruikt de uitkomsten als input voor procesverbetering. De tweede lijn beschikt over een extern netwerk voor de dialoog over best-practices. D40

104 INTERNE COMMUNICATIE In hoeverre is er sprake van interne informatieverschaffing en verantwoording over de werking van de beheersmaatregelen met betrekking tot het registratie- en declaratieproces? Incidenteel De organisatie erkent onvoldoende de noodzaak van een juiste en volledige informatieverschaffing. Rapportages worden incidenteel gedeeld binnen de organisatie. Het is niet duidelijk welke eisen worden gesteld aan managementinformatie. Voor interne communicatie inzake het registratie- en declaratieproces is de organisatie afhankelijk van individuen die hiertoe het initiatief nemen. Informeel De organisatie erkent de noodzaak van een juiste en volledige informatieverschaffing. Interne rapportage vindt op informele wijze plaats, en dus niet via een geformaliseerd proces. Rapporteren gebeurt periodiek, maar niet op vooraf vastgestelde wijze. De eisen die interne stakeholders stellen zijn bekend, maar worden niet altijd opgepakt. Gestandaardiseerd Er is een gedocumenteerd en functionerend standaard rapportageproces. Dit rapportageproces staat de organisatie ter beschikking en wordt effectief gecommuniceerd. De organisatie is transparant in hun communicatie over de werking van het registratie- en declaratieproces is. Beheerst Er is een gedocumenteerd en functionerend standaard rapportageproces. Het rapportageproces staat de organisatie ter beschikking en wordt effectief gecommuniceerd. Het rapportageproces wordt aantoonbaar geëvalueerd en het proces wordt indien nodig aangescherpt. Het rapportageproces is binnen de gehele organisatie bekend. De organisatie is transparant in hun communicatie over de werking van het registratie- en declaratieproces. Optimaliserend Er is een gedocumenteerd en functionerend standaard rapportageproces. Het rapportageproces wordt voortdurend aangescherpt om maximale transparantie, duidelijkheid en vergelijkbaarheid met best practices uit de branche mogelijk te maken. Het rapportageproces is binnen de gehele organisatie bekend. De organisatie is transparant in hun communicatie over de werking van het registratie- en declaratieproces. D41

105 EXTERNE COMMUNICATIE In hoeverre is er sprake van externe informatieverschaffing en verantwoording over de werking van de beheersmaatregelen met betrekking tot het registratie- en declaratieproces? Incidenteel De organisatie erkent onvoldoende de noodzaak van een juiste en volledige informatieverschaffing. Voor de organisatie is het niet duidelijk wat de eisen zijn van de externe stakeholders rondom de informatieverschaffing. Voor externe communicatie inzake het registratie- en declaratieproces is de organisatie afhankelijk van individuen die hiertoe het initiatief nemen. Informeel De organisatie erkent de noodzaak van een juiste en volledige informatieverschaffing. Externe rapportage vindt op informele wijze plaats, en dus niet via een geformaliseerd proces. De externe stakeholders ontvangen niet stelselmatig juiste en volledige informatie. De eisen die externe stakeholders stellen zijn bekend, maar worden niet altijd opgepakt. Gestandaardiseerd De organisatie beschikt over een gedocumenteerd en functionerend rapportageproces. De eisen die de externe stakeholders stellen aan informatieverschaffing zijn bekend en daar wordt naar gehandeld. De communicatie over de werking van het registratie- en declaratieproces is gebaseerd op externe standpunten over de wenselijkheid van transparantie. Beheerst De rapportage richting de externe stakeholders vindt plaats op basis van een overeengekomen wijze en standaard proces. Informatieverschaffing vindt aantoonbaar plaats op een tijdige en juiste manier. Het rapportageproces is volledig en wordt aangepast bij incidenten. De wijze van informeren van externe stakeholders wordt onderling afgestemd en vindt proactief en gestructureerde plaats. Optimaliserend De rapportage richting externe stakeholders vindt plaats op basis van een overeengekomen wijze en standaard proces. De eisen voor informatieverschaffing zijn helder en worden op een juiste en volledige wijze ingevuld door de organisatie. Informatieverschaffing naar externe stakeholders heeft een plaats binnen de strategie van de organisatie. Processen zijn gedocumenteerd en gecommuniceerd en worden aangepast bij veranderende omstandigheden. De dialoog met externe stakeholders sluit aan op de processen van de organisatie, en samen met deze stakeholders wordt gezocht naar best-practices die gericht zijn om het proces continue te verbeteren. D42

106 Assurance Inleiding Normen Intern toezicht 6.1 Intern toezicht 6.2 Opvolging intern toezicht Extern toezicht 6.3 Controlemethodiek extern accountant D43

107 Inleiding Thema 4 en 5 benadrukken de verschillende facetten van risicomanagement binnen de organisatie. Welke zekerheid ontleend kan worden aan de invulling van risicomanagement in de organisatie, dient onafhankelijk te worden vastgesteld. In dit thema van het Instapmodel staat assurance centraal met als hoofdvraag: In hoeverre is het risicomanagement op orde en kan hierop gesteund worden? Ook binnen dit thema wordt onderzocht in welke mate nu al sprake is van een onafhankelijke toets op het risicomanagement binnen de organisatie en in hoeverre hier op gesteund kan worden. Er wordt hiermee niet beoogd dat dit al volledig volgens de wijze van Horizontaal Toezicht is ingericht. Belangrijk binnen dit thema is enerzijds de wijze waarop en door wie de toetsing wordt uitgevoerd, anderzijds de wijze waarop wordt omgegaan met de bevindingen. Dit bepaalt mede de mate waarin de extern accountant een systeemgerichte aanpak kan hanteren. D44

108 INTERN TOEZICHT In hoeverre vindt onafhankelijk intern toezicht plaats op de processen rondom correct registreren en declareren? Incidenteel De organisatie heeft het proces voor een onafhankelijke derde lijn niet of beperkt ingeregeld. De functie van onafhankelijk intern toezichthouder is niet bij een functionaris of afdeling belegd. Intern toezicht komt derhalve voornamelijk voort uit signalen of verantwoordelijkheidsgevoel van individuele medewerkers. Het toepassen van een onafhankelijke interne controle vindt soms selectief plaats, al naar gelang de behoeften van specifieke projecten en processen. Informeel De organisatie heeft geen gedefinieerd proces ingeregeld voor een onafhankelijke derde lijn, maar bepaalde interne toezichttaken behoren wel tot de werkzaamheden van medewerkers. Deze medewerkers hebben echter geen onafhankelijk rapporterende functie binnen de organisatie en maken veelal deel uit de zorgadministratie. Het toepassen van een onafhankelijke interne controle vindt selectief plaats, al naar gelang de behoeften van specifieke projecten en processen. Gestandaardiseerd De organisatie heeft een gedefinieerd proces voor een onafhankelijke derde lijn ingeregeld, en de taken zijn belegd bij medewerkers met een onafhankelijk rapporterende functie binnen de organisatie. De organisatie geeft de ruimte om deze positie onafhankelijk te kunnen invullen. Er zijn standaard opdrachten geformuleerd in een intern controleplan en interne controle vindt dan ook niet louter selectief plaats. Beheerst De organisatie heeft een gedefinieerd proces voor een onafhankelijke derde lijn ingeregeld, en de taken zijn belegd bij medewerkers met een onafhankelijk rapporterende functie binnen de organisatie. Er zijn standaard opdrachten geformuleerd in een intern controleplan en interne controle vindt dan ook niet louter selectief plaats. Deze standaard opdrachten worden periodiek geëvalueerd en aangepast. Bevindingen worden consequent teruggelegd in de organisatie en opdrachten om opvolging te geven aan bevindingen zijn onderdeel van de standaardprocedure. Er vindt periodiek monitoring plaats op de opvolging. Optimaliserend De organisatie heeft een gedefinieerd proces voor een onafhankelijke derde lijn ingeregeld en heeft een plan voor voortdurende verbetering ontwikkeld om toezicht te houden op het functioneren van belangrijke beheersmaatregelen en invoeren van best practices uit de branche. Er zijn standaard opdrachten geformuleerd in een intern controleplan en interne controle vindt dan ook niet louter selectief plaats. Deze standaard opdrachten worden periodiek geëvalueerd en aangepast en maken onderdeel uit van organisatiebrede procesverbeterplannen. Bevindingen worden consequent teruggelegd in de organisatie en opdrachten om opvolging te geven aan bevindingen zijn onderdeel van de standaardprocedure. Er vindt periodiek monitoring plaats op de opvolging. D45

109 OPVOLGING INTERN TOEZICHT In hoeverre worden geconstateerde bevindingen uit intern toezicht gemonitord en opgevolgd? Incidenteel De organisatie heeft geen of beperkt processen of relevante activiteiten ingeregeld om uitkomsten van interne controle te rapporteren. Relevante informatie wordt ad hoc gedeeld. Informeel De organisatie heeft intern afspraken gemaakt om opvolging te geven aan de tijdens de interne controle geconstateerde uitzonderingen, echter de wijze van opvolging is niet gestandaardiseerd. Opvolgingstrajecten worden gestart, maar het totaaloverzicht ontbreekt. Gestandaardiseerd De organisatie heeft intern afspraken gemaakt om opvolging te geven aan de tijdens de interne controle geconstateerde uitzonderingen. Deze afspraken zijn gestructureerd vastgelegd en gecommuniceerd met de betrokken afdelingen. Opvolgingstrajecten volgen een adequaat functionerend proces, hierop wordt aantoonbaar regie gevoerd. Beheerst De organisatie heeft intern afspraken gemaakt om opvolging te geven aan de tijdens de interne controle geconstateerde uitzonderingen. Deze afspraken zijn gestructureerd vastgelegd en gecommuniceerd met de betrokken afdelingen. Opvolgingstrajecten volgen een adequaat functionerend proces en worden periodiek centraal gemonitord. Alle belangrijke elementen zoals opgenomen in het interne controleplan worden bewaakt. Van reeds afgesloten opvolgingstrajecten wordt door een onafhankelijk intern toezichthouder ad-hoc getoetst of de situatie nog steeds in orde is (buiten het intern controleplan om). Optimaliserend De organisatie heeft intern afspraken gemaakt om opvolging te geven aan de tijdens de interne controle geconstateerde uitzonderingen. Deze afspraken zijn gestructureerd vastgelegd en gecommuniceerd met de betrokken afdelingen. De organisatie bewaakt en toetst alle belangrijke elementen uit het interne controleplan en is in staat de eigen bedrijfsvoering en bedrijfsprocessen voortdurend tot verbetering te laten leiden en hierover gestructureerd met stakeholders te communiceren. Het interne controleplan van de onafhankelijk controleafdeling wordt continu gevoed vanuit de organisatie en externe stakeholders. D46

110 CONTROLEMETHODIEK EXTERN ACCOUNTANT In hoeverre hanteert de extern accountant systeemgerichte werkzaamheden ten behoeve van de jaarrekeningcontrole gericht op het registratie- en declaratieproces? Incidenteel De extern accountant hanteert nauwelijks een systeemgerichte aanpak en verricht grotendeels of primair gegevensgerichte werkzaamheden. Als gevolg hiervan kan de accountant niet of nauwelijks steunen op de systeemgerichte werkzaamheden ten behoeve van de jaarrekeningcontrole. De accountant doet een groot aantal aanbevelingen ter verbetering van de processen, waaronder kritieke aanbevelingen. Informeel De extern accountant hanteert op onderdelen een systeemgerichte aanpak, maar verricht voor een groot deel gegevensgerichte werkzaamheden. Als gevolg hiervan kan de accountant enkel op onderdelen steunen op de systeemgerichte werkzaamheden ten behoeve van de jaarrekeningcontrole. De accountant doet een aanzienlijk aantal aanbevelingen ter verbetering van de processen, waarvan enkele aanbevelingen mogelijk kritiek. Gestandaardiseerd De extern accountant is in staat om een gezonde balans te hanteren tussen systeemgerichte en gegevensgerichte werkzaamheden. Als gevolg hiervan kan de accountant (gedeeltelijk) op de systeemgerichte werkzaamheden steunen ten behoeve van de jaarrekeningcontrole. De accountant doet aanbevelingen ter verbetering van de processen. Er worden door de accountant geen kritieke aanbevelingen gedaan. Beheerst De extern accountant is in staat om voor een groot deel systeemgerichte werkzaamheden te hanteren waardoor gegevensgerichte werkzaamheden kunnen worden beperkt. Als gevolg hiervan kan de accountant voor een groot deel steunen op de systeemgerichte werkzaamheden ten behoeve van de jaarrekeningcontrole. De accountant doet enkele aanbevelingen ter verbetering van de processen. Er worden door de accountant geen kritieke aanbevelingen gedaan. Optimaliserend De extern accountant is in staat om grotendeels systeemgerichte werkzaamheden te hanteren waardoor gegevensgerichte werkzaamheden kunnen worden geminimaliseerd. Als gevolg hiervan kan de accountant voor het overgrote deel steunen op de systeemgerichte werkzaamheden ten behoeve van de jaarrekeningcontrole. De accountant doet minimale aanbevelingen ter verbetering van de processen. Er worden door de accountant geen kritieke aanbevelingen gedaan. D47

111 medisch specialistische zorg en geestelijke gezondheidszorg Control Framework (versie 3.0 definitief) juli 2019 E1

112 Control Framework E2

113 Control Framework (1) Inhoud In het Control Framework worden de beheersdoelstellingen, de bijbehorende risico s en beheersmaatregelen opgenomen. Het doel is om op een uniforme wijze hierover verantwoording af te leggen in de keten. Om de zorgverzekeraars voldoende zekerheid te bieden ten behoeve van hun verantwoording verder in de keten is assurance een sluitstuk, zodat de wettelijke controletaken vanuit de verzekeraars zijn geborgd. Assurance is geen doel op zich, maar kan helpen het opgebouwde vertrouwen te funderen. Het Control Framework beschrijft de processtappen die een zorgaanbieder, verzekeraar en een assurance provider moeten zetten om Horizontaal Toezicht in de praktijk vorm te geven. Wat is het Control Framework? Het Control Framework is een gestructureerd beheersingskader dat in de praktijk de uitvoering van Horizontaal Toezicht faciliteert. Het maakt inzichtelijk of met de interne beheersing de onderkende beheersdoelstellingen voor het rechtmatig registreren en declareren van zorg in toereikende mate worden behaald. En het Control Framework faciliteert de dialoog daarover tussen een zorgaanbieder en de representerende zorgverzekeraar. Er zijn zeven processtappen gedefinieerd: 0. Identificatie hoofd- en deelprocessen 1. Benoemen van beheersdoelstellingen 2. Identificeren van risico s 3. Uitvoeren risicoanalyse 4. Bepalen beheersmaatregelen 5. Beoordelen opzet en bestaan van de beheersmaatregelen 6. Verantwoorden over opzet, bestaan en werking. Hierbij staat voorop dat de zorgaanbieder zelf aantoont dat de beheersdoelstellingen in voldoende mate zijn gerealiseerd, door het aantonen van opzet, bestaan en werking van de beheersmaatregelen. Door het afleggen van verantwoording over de beheersing van de hoge en midden risico s wordt voldoende zekerheid verkregen over de beheersdoelstellingen. In dit document is per stap uit het Control Framework opgenomen welke werkzaamheden de zorgaanbieder, de representerende zorgverzekeraar en de tweede zorgverzekeraar uitvoert. De rol van de tweede zorgverzekeraar is hoofdzakelijk gericht op een eenduidige toepassing van Horizontaal Toezicht door de representerende zorgverzekeraar. E3

114 Control Framework (2) Relatie met het implementatieplan Het Control Framework wordt toegepast door zorgaanbieders die zich bevinden in de implementatiefase (fase D) of in de verantwoordingsfase (fase E). Ook in fase A t/m C kunnen voorbereidende stappen gezet worden om te komen tot een Control Framework. VERKENNINGSFASE afweging maken op basis van Afwegingskader INVENTARISATIESFASE toetsing van geschiktheid op basis van Instapmodel VERBETERFASE verbetertraject n.a.v. bevindingen Instapmodel IMPLEMENTATIEFASE invoering Control Framework & Horizontaal Toezicht in de praktijk beoefenen VERANTWOORDINGSFASE verantwoording op basis van aantoonbaar werkzaam en effectief Horizontaal Toezicht Bij bepaalde stappen wordt er een go/ no go gegeven door de representerende zorgverzekeraar en de tweede zorgverzekeraar. De rol van de tweede verzekeraar is vaststellen dat de representerende verzekeraar zijn werkzaamheden uitvoert in lijn met het landelijk raamwerk en met voldoende kwaliteit. Het dossier van de representerend zorgverzekeraar is inzichtelijk voor de tweede zorgverzekeraar, zodat hij zijn rol kan uitvoeren. De overige zorgverzekeraars hebben alleen de beschikking over het verslag van de representerende zorgverzekeraar met daarin opgenomen de overwegingen en conclusies van de uitgevoerde werkzaamheden. Dit verslag wordt het topmemo genoemd. A B C D E 4 3 BUSINESSCASE INSTAPMODEL CONTROL FRAMEWORK In de implementatiefase doorloopt de zorgaanbieder de stappen 0 t/m 6 uit het Control Framework. De overgang naar processtap 6 is tegelijk ook de overgang naar fase E uit het implementatieplan en dus de overgang naar Horizontaal Toezicht. Wanneer een zorgaanbieder eenmaal de stap heeft gemaakt naar de verantwoordingsfase (fase E) worden de processtappen 0 t/m 6 uit het Control Framework jaarlijks toegepast. Het Control Framework blijft dus continue van toepassing als vast onderdeel binnen de bedrijfsvoering van de zorgaanbieder C HTZ A B 0 1 A B C D E VERKENNEN INVENTARISEREN VERBETEREN IMPLEMENTEREN VERANTWOORDEN 2 E4

115 0 1 2 Identificeren hoofden deelprocessen Benoemen van beheersdoelstellingen Identificeren van risico s 3 Uitvoeren risicoanalyse Bepalen beheersmaatregelen Beoordelen opzet en bestaan van de beheersmaatregelen Verantwoorden over opzet, bestaan en werking E5

116 1 Benoemen 0 van Identificeren hoofdbeheersdoelstelling en deelprocessen en De zorgaanbieder start met het identificeren van de hoofdprocessen voor het registreren en declareren van zorg die valt onder de Zvw. Een hoofdproces bestaat uit verschillende stappen die bij een zorgaanbieder doorlopen worden, dit zijn deelprocessen. Voor elk hoofdproces worden de stappen 1 t/m 6 van het Control Framework doorlopen. Processen die niet leiden tot een financiële impact hoeven niet in het Control Framework te worden opgenomen. Voorbeelden MSZ Voorbeelden hoofdprocessen: het polikliniekproces, het OK-proces en het proces dagverpleging. Voorbeelden deelprocessen: afspraakplanning, identificatie van de patiënt, diagnosestelling en registratie, uitvoeren van onderzoeken en/of verrichtingen en registratie daarvan en het aanmaken van een DBC-subtraject. GGZ Voorbeelden hoofdprocessen: het polikliniekproces, crisisbeoordeling proces en het klinische opname proces. Voorbeelden deelprocessen: afspraakplanning, identificatie van de patient, diagnosestelling en registratie, klinische aan- en afwezigheidregistratie en het (her)openen van een (crisis) DBC. Stappenplan Zorgaanbieder Identificeren van hoofdprocessen en deelprocessen voor het registreren en declareren van zorg aan de zorgverzekeraar. E6

117 1 Benoemen 1 van Benoemen van beheersdoelstellingen beheersdoelstellingen In stap 1 worden de van toepassing zijnde beheersdoelstellingen benoemd bij de geïdentificeerde hoofdprocessen in stap 0. Dit zal op grond van wet- en regelgeving en de specifieke situatie van de zorgaanbieder worden gedaan. Bij de totstandkoming van een declaratie spelen diverse registratie- en declaratieprocessen een rol. Ieder proces kent zijn eigen beheersdoelstellingen en bijbehorende risico s, die beheerst moeten worden om een rechtmatige declaratie te waarborgen. Dit zal per zorgaanbieder verschillend zijn. De beheersdoelstellingen hebben betrekking op de activiteiten rondom rechtmatige registraties en declaraties en zijn gebaseerd op juiste, tijdige en volledige registraties en declaraties van de zorgaanbieder. Een voorbeeld van een beheersdoelstelling is Patiëntgegevens zijn juist, volledig en tijdig geregistreerd. Stappenplan Zorgaanbieder Benoemen van beheersdoelstellingen en deze opnemen in het Control Framework. E7

118 2 Identificeren 2 Identificeren van risico s van risico s De beheersdoelstellingen worden bedreigd door risico s binnen en tussen processen. De zorgaanbieder identificeert per hoofd- en deelproces risico s. Horizontaal Toezicht is maatwerk en het is van groot belang dat ook zorgaanbiederspecifieke risico s door de zorgaanbieder worden geïdentificeerd. Om het identificeren van risico s zo volledig mogelijk uit te voeren, is het goed om dit vanuit meerdere invalshoeken te bekijken. Denk hierbij aan het proces, de techniek, wet- en regelgeving, wie zijn er bij betrokken, etc. De landelijke risicolijst kan als hulpmiddel worden gebruikt. Een risico is een onzekere gebeurtenis met mogelijke gevolgen voor de beheersdoelstelling. Voor het identificeren van de risico s is het van belang te denken vanuit deze beheersdoelstellingen en de processen die hier aan ten grondslag liggen. Voor het identificeren en definiëren van de risico s is het raadzaam een vast format te hanteren. Het opnemen van de oorzaak van het risico en het gevolg van het risico is van belang voor het later bepalen van de juiste beheersmaatregelen. Het mitigeren van de impact of de kans van een risico vraagt om verschillende beheersmaatregelen. Stappenplan Zorgaanbieder Identificeren van risico s en deze opnemen in het Control Framework. Onderbouwen van de aanpak en de uitvoering van de risico-identificatie (met het oog op een zo volledig mogelijke identificatie). E8

119 3 Uitvoeren risicoanalyse Het classificeren van de geidentificeerde risico s gebeurt aan de hand van de methodiek opgenomen in deze stap. Bij het classificeren van risico s wordt uitgegaan van bruto risico s, dat wil zeggen de risico s voor het inrichten van beheersmaatregelen. Het indelen van de risico s wordt tevens gedaan op basis van Professional Judgement, in samenspraak met de representerende zorgverzekeraar en de zorgaanbieder. De inschatting van de kans en de impact levert een risico-inschatting op in één van de volgende categorieën: laag midden hoog Vervolgens wordt deze score afgezet tegen onderstaande tabel. De risico-inschatting gebeurt op basis van de categorieën impact (kwantitatief en kwalitatief) en kans (kwantitatief en kwalitatief). In onderstaande schaalindeling zijn de mogelijke scores bij deze vier categorieën opgenomen. Schaalindeling Voor de categorieën kans en impact wordt een schaal van 1 t/m 4 gebruikt. De niveaus in de schaal hebben onderstaande betekenis: Niveau Betekenis 1 Niet waarschijnlijk/weinig 2 Mogelijk/af en toe 3 Waarschijnlijk/regelmatig 4 Zeer waarschijnlijk/vaak IMPACT (kwalitatief + kwantitatief) KANS (kwalitatief + kwantitatief) Voor het bepalen van de score per risico kan gebruik worden gemaakt van het schema op de volgende pagina. Classificatie risico Laag: 4 t/m 8 Middel: 9 t/m 12 Hoog: 13 t/m 16 E9

120 3 Stappenplan Zorgaanbieder Prioriteren van risico s (laag/midden/hoog) en per risico onderbouwen hoe tot deze prioritering is gekomen. Zowel prioritering als onderbouwing opnemen in het Control Framework. Op bladzijde 11 zijn voor de vier categorieën (impact kwantitatief/kwalitatief en kans kwantitatief/kwalitatief) handvatten opgenomen. Met inachtneming van deze handvatten bedenkt de zorgaanbieder zelf hoe zij invulling geeft aan de vier categorieën voor het classificeren van risico s. Vooraf kan in samenspraak met de zorgverzekeraar worden bepaald om bepaalde risico s buiten scope te plaatsen wegens geringe omzet. In het proces van het invulling geven aan de handvatten vindt regelmatig afstemming plaats tussen de zorgaanbieder en representerende zorgverzekeraar. In samenspraak tussen zorgverzekeraar en zorgaanbieder kunnen risico s anders geclassificeerd worden. Ook wordt de zorgaanbieder geadviseerd om bij de totstandkoming van het model contact te hebben met gelijksoortige zorgaanbieders. Representerende zorgverzekeraar Beoordeling volledigheid risico-identificatie en integrale beoordeling classificatie risico s (laag/midden/hoog) op basis van professional judgement. Opstellen topmemo t.b.v. dossier zorgverzekeraars. In topmemo wordt vermeld: proces en conclusies op hoofdlijnen ten aanzien van volledigheid risico-identificatie en beoordeling classificatie risico s (laag/midden/hoog) en vastlegging go/no go. Tweede zorgverzekeraar Beoordeling van representerende zorgverzekeraar op zijn werkzaamheden ten aanzien van volledigheid risico-identificatie en beoordeling classificatie risico s (laag/midden/hoog). Ten aanzien van beoordeling classificatie risico s worden een aantal midden en lage risico s beoordeeld. Doel: go/no go van tweede zorgverzekeraar. Vastlegging go/no go in dossier. E10

121 3 Categorie Onderwerpen/hulpvragen Niveau kwalitatief Heeft het risico impact op de afleiding van een DBC-zorgproduct / leidt het tot een fout in de factuurregel? Hoe groot is de financiële fout? Kan het risico tot imagoschade leiden voor de zorgaanbieder? 1 t/m 4 IMPACT kwantitatief Zorgt dit proces voor een belangrijke bijdrage aan de omzet? 1 Op welke percentage van de omzet heeft dit risico impact? 1 t/m 4 KANS* kwalitatief Handmatig/geautomatiseerd proces. In hoeverre is het mogelijk om het risico met geautomatiseerde beheersmaatregelen (application controls) af te dekken, of moet er al snel worden overgegaan op handmatige beheermaatregelen/ IT afhankelijke handmatige beheersmaatregelen. Soort software die de zorgaanbieder gebruikt/ volwassenheid systeem, ofwel de mogelijkheid om beheersmaatregelen adequaat in te kunnen richten. 2 Aantal verschillende toolings die worden gebruikt. Vergt de registratie een inhoudelijke afweging van de registrerende zorgprofessional om vast te stellen of de declaratie rechtmatig is? (Bijv. wel of niet terecht parallelle trajecten) Complexiteit van het proces/zorgactiviteit en de geldende wet- en regelgeving en/of eventuele wijzigingen hierin. 1 t/m 4 kwantitatief Hoe vaak wordt de zorgactiviteit geregistreerd? Hoe groot is de foutkans? (Hoe vaak leidt dit daadwerkelijk tot een registratiefout?) 1 t/m 4 Totaal *De volgende incidentele ontwikkelingen kunnen een kansverhogend effect hebben en leiden tot een hogere kans kwantitatief/kwalitatief: Wisselingen in kritieke functies van het personeel; Fusies/overnames/samenwerkingsverbanden; Grote wijzigingen in systeem/software. 1 Voor bepaling van de bijdrage aan de omzet wordt gekeken naar de omzetstroom waarin het betreffende proces waardebepalend is. De bijdrage aan de omzet is gebaseerd op de risicogerichte massa vóór het inrichten van beheersmaatregelen. 2 Het betreft het basis registratiesysteem van de zorgaanbieder. Wat is het volwassenheidsniveau van dit systeem en in hoeverre is het mogelijk om adequate beheermaatregelen in het systeem in te richten. Hiermee wordt niet bedoeld een eventuele daily auditing tool welke aan het einde van het proces wordt ingezet. E11

122 3 Voorbeelden MSZ Voorbeeld 1 Risico: Poliklinisch consult is geregistreerd terwijl er geen contact is geweest tussen patiënt en de zorgaanbieder die de poortfunctie vervult. Voorbeeld 2 Risico: Het is niet toegestaan een verpleegdag te registreren op een polikliniek, een afdeling voor spoedeisende hulp of een afdeling voor dagverpleging indien niet is aangetoond dat deze afdeling voor verpleging is ingericht. IMPACT kwalitatief kwantitatief Heeft niet vaak impact op de afleiding van een DBC-zorgporduct, maar als het impact heeft is het effect groot. De omzetstroom van de DBC-zorgproducten waarin de poliklinische consulten waardebepalend zijn, heeft een belangrijke bijdrage in de omzet MSZ. 4 2 IMPACT kwalitatief kwantitatief Heeft redelijk vaak impact op afleiding en als het impact heeft is het effect groot De omzetstroom van de DBC-zorgproducten waarin de verpleegdagen waardebepalend zijn, heeft een belangrijke bijdrage in de omzet MSZ. 4 3 KANS kwalitatief kwantitatief Dit risico kan niet geheel geautomatiseerd worden afgedekt, er zullen altijd handmatige acties/controles benodigd zijn. De zorgaanbieder maakt gebruikt van een volwassen systeem waarin beheersmaatregelen goed kunnen worden ingericht. Behoorlijk complex aangezien niet elke arts bevoegd is om een face-to- face vast te leggen en de regelgeving is recent gewijzigd, bepaalde e-consulten worden vanaf 1 januari 2018 vergoed door de zorgverzekeraar. Gezien de recente wijzigingen en het feit dat niet alle e-consulten meetellen als consult, is het waarschijnlijk dat hier fouten in worden gemaakt. De registratie van het poliklinisch consult vergt geen inhoudelijke afweging van de zorgprofessional. De zorgactiviteit wordt veel geregistreerd en de foutkans is iedere keer aanwezig. 4 4 KANS kwalitatief kwantitatief Dit risico kan redelijk goed geautomatiseerd worden afgedekt, door afdelingen die niet hiervoor zijn ingericht niet te accepteren. De zorgaanbieder maakt gebruik van Hix, hetgeen een volwassen systeem is, waarin beheersmaatregelen goed kunnen worden ingericht. Redelijk eenvoudig proces, gezien afdelingen aangemerkt kunnen worden als geschikt/ ongeschikt. De registratie van de vergpleegdag vergt geen inhoudelijke afweging van de zorgprofessional. Een verpleegdag wordt regelmatig geregistreerd, echter de kans dat foutief geregistreerd wordt is er alleen op een afdeling die niet voor (dag) verpleging is ingericht. Er zijn slechts een paar afdelingen binnen de zorgaanbieder niet ingericht voor (dag)verpleging. 2 2 Totaal E12

123 3 Voorbeelden GGZ Voorbeeld 1 Risico: Het risico dat een verblijfsdag met overnachting wordt geregistreerd waarbij niet aan de voorwaarden van een verblijfsdag is voldaan. Voorbeeld 2 Risico: Het risico dat de verwijzer bij de gespecialiseerde GGZ niet bevoegd is. IMPACT kwalitatief kwantitatief Heeft impact omdat op de factuur staan meer verblijfsdagen dan geleverd (zorgvraag/ zwaarte lijkt groter). Verblijfsdagen vormen een groot gedeelte van de Zvw-omzet. 3 4 IMPACT kwalitatief kwantitatief Heeft geen impact op de afleiding, maar de DBC is onterecht geopend wat leidt tot afkeur van de gehele DBC s. Initiële DBC s vormen een groot deel van de omzet. 4 4 KANS kwalitatief kwantitatief Dit risico kan niet geautomatiseerd afgedekt worden, er zullen altijd handmatige acties/ controles benodigd zijn. De registratie van de verblijfsdag vergt geen inhoudelijke afweging van de zorgprofessional. Het proces is redelijk complex omdat er op meerdere momenten getoetst moet worden op aanwezigheid. Een verblijfsdag wordt dagelijks per bed geregistreerd, echter de kans op verlof komt vaker voor bij lagere verblijfsdagen 4 4 KANS kwalitatief Dit risico kan gedeeltelijk geautomatiseerd afgedekt worden, bij Zorgdomein wel, maar bij papieren verwijzingen niet. De zorgaanbieder maakt gebruik van een volwassen systeem waarin beheersmaatregelen goed kunnen worden ingericht. De registratie vergt geen zorginhoudelijke afweging van de zorgprofessional. Redelijk eenvoudig proces, gezien verwijzers aangemerkt kunnen worden als bevoegd en onbevoegd. 2 kwantitatief Een verwijzer wordt één keer per zorgtraject geregistreerd, de kans dat dit foutief wordt geregistreerd is relatief klein E13

124 4 Bepalen 4 van Bepalen beheersmaatregelen beheersmaatregelen Het Control Framework gaat uit van een procesgerichte benadering van beheersmaatregelen vanuit het principe van het three lines-of-defence model. De keuze voor de aard en het type beheersmaatregel is aan de zorgaanbieder. Het doel is om aantoonbaar de beheersdoelstelling op orde te hebben. Logischerswijs zijn de hoge en midden risico s relevant in de beoordeling van het in control zijn op de individuele beheersdoelstelling. De zorgaanbieder kan ook kiezen voor gegevensgerichte werkzaamheden bij ontoereikende beheersmaatregelen. In bijzondere situaties zou een zorgaanbieder een beroep kunnen doen op de representerende zorgverzekeraar om de controle door de zorgverzekeraar te laten uitvoeren. Dit zal met name gelden voor instellingoverstijgende risico s waarbij informatie nodig is van de zorgverzekeraar. In deze stap koppelt de zorgaanbieder zijn beschreven beheersmaatregelen aan de gedefinieerde beheersdoelstellingen en bijbehorende risico s. Hierbij zal de aandacht uitgaan naar de hoge en midden risico s. Bij de beschrijving van de beheersmaatregelen dient de instelling bij de controleactiviteiten aan te geven wie doet wat, wanneer, met welke frequentie en aan de hand waarvan. Beleid en procedures worden door een zorgaanbieder opgesteld, onderhouden en geïmplementeerd om zo de benodigde beheersmaatregelen te verankeren. Randvoorwaardelijk voor het borgen van de juiste en volledige dataverwerking zijn general IT controls. Ook hiervoor geldt het principe van aantoonbaar in control zijn op deze beheersmaatregelen. Stappenplan Zorgaanbieder De zorgaanbieder identificeert de beheersmaatregelen behorend bij de als hoog en midden geclassificeerde risico s en geeft van elke beheersmaatregel aan wie doet wat, wanneer, met welke frequentie en aan de hand waarvan. E14

125 4 Beheersmaatregelen Er bestaan vier soorten beheersmaatregelen, zie onderstaand: Handmatige controles: beheersmaatregelen die buiten de systemen om zijn ingericht; IT-dependent controls: beheersmaatregelen waarbij gebruik wordt gemaakt van lijstwerk uit systemen (bijvoorbeeld controle aan de hand van signaleringslijsten); Application controls: beheersmaatregelen ingebouwd in het systeem (bijvoorbeeld: verplicht in te vullen velden voor BSN); Soft controls: beheersmaatregel die meer dan hard controls ingrijpt op c.q. appelleert aan het persoonlijk functioneren van medewerkers (overtuiging, persoonlijkheid). Soft controls zijn op te vatten als maatregelen die van invloed zijn op bijvoorbeeld de motivatie, loyaliteit, integriteit, inspiratie en normen en waarden van medewerkers. De beheersmaatregelen van de zorgaanbieder kunnen een mix zijn van: hard controls en/of soft controls; preventieve en/of detectieve beheersmaatregelen; geautomatiseerde en/of handmatige beheersmaatregelen. In hoeverre een beheersmaatregel effectief is om het risico af te dekken verschilt per type beheersmaatregel. Hiervoor is ook de professionele inschatting nodig van de representerende zorgverzekeraar en de zorgaanbieder. In het algemeen kan gesteld worden dat: Geautomatiseerde controls (application controls) meer zekerheid geven dan handmatige controles Preventieve beheersmaatregelen meer zekerheid geven dan detectieve beheersmaatregelen Zorgaanbieders kunnen een mix van preventieve en detectieve maatregelen hanteren om de risico s in voldoende mate te mitigeren, waarbij er ook aandacht dient te zijn voor de soft controls. De opzet van de beheersmaatregelen moet blijken uit procesbeschrijvingen, werkinstructies, functionele ontwerpen van systemen, etc. Eén van de principes van Horizontaal Toezicht is dat risico s zoveel mogelijk geborgd worden aan de bron. Dit betekent dat de maatregelen er zoveel mogelijk op gericht moeten zijn om de bronregistratie in één keer goed te laten plaatsvinden. Niet alle risico s kunnen echter aan de bron geborgd worden, hiervoor moeten detectieve beheersmaatregelen worden ingericht. Gegevensgerichte werkzaamheden Indien er risico s zijn die niet of niet volledig beheerst kunnen worden in de bronregistratie beoordeelt de zorgaanbieder middels gegevensgerichte werkzaamheden of de juiste keuzes zijn gemaakt in de registratie. Voorbeeld Een medisch specialist wil een nieuw zorgtraject openen voor een patiënt waarvoor er reeds een lopend zorgtraject bestaat. De medisch specialist moet op dat moment de afweging maken of er sprake is van een nieuwe zorgvraag, eigen diagnosestelling en eigen behandeling. Dit is een medisch inhoudelijke afweging van de specialist. Om vast te stellen of de inhoudelijke afweging juist is geweest kunnen zorgaanbieders ervoor kiezen een deelwaarneming uit te voeren op parallel geopende trajecten. Deze detailcontrole wordt door de zorgaanbieder maandelijks uitgevoerd als beheersmaatregel. E15

126 4 In het voorbeeld zet de zorgaanbieder een detailcontrole in als beheersmaatregel. Deze detailcontrole kan bijvoorbeeld maandelijks uitgevoerd worden door de zorgadministratie. De zorgaanbieder en zorgverzekeraar moeten vooraf afstemming hebben over de opzet van de detailcontroles. Midden/hoog risico opgenomen in Control Framework Application control/ IT dependent control IT General Controls Indien gebruik wordt gemaakt van application controls of IT-dependent controls voor het afdekken van een midden en hoog risico dat is opgenomen in het Control Framework wordt eigenlijk een nieuw risico geïntroduceerd ten aanzien van de integriteit van die beheersmaatregelen gedurende het verantwoordingsjaar; een IT-risico. Deze risico s dienen niet te worden geprioriteerd maar zijn randvoorwaardelijk voor een betrouwbare werking van de application controls. Indien voor de beheersing gesteund wordt op application controls en/of IT dependent controls dienen de relevante IT General Controls (ITGC s) te worden opgenomen in het Control Framework. De effectieve inrichting van application controls kan eenmalig aangetoond worden door het testen ervan. Hiermee bestaat echter geen zekerheid over de effectieve werking van de application control gedurende het gehele verantwoordingsjaar. IT-Risico General IT-control Rondom de ITGC s en de wijze hoe hiermee om te gaan binnen HT volgt een nadere uitwerking waarbij ook gekeken wordt naar de samenhang tussen het toetsen van ITGC s in het kader van de jaarrekeningcontrole en in het kader van HT. Om deze IT-risico s af te dekken en daarmee de continue werking van de application controls te borgen zijn ook beheersmaatregelen nodig. Dit zijn de ITGC s. De samenhang tussen het gebruik van geautomatiseerde beheersmaatregelen (application controls en IT-dependent controls) en ITGC s is weergegeven in het figuur. Samenvattend: voor de continue werking van application controls en IT dependent controls is het van belang dat de ITGC s gedurende het verantwoordingsjaar effectief hebben gewerkt. E16

127 5 Beoordelen opzet en bestaan van de beheersmaatregelen De voorgaande processtappen leiden tot een ingevuld beheersingskader van beheersdoelstellingen, risico s en beheersmaatregelen. Hierna licht de zorgaanbieder toe hoe het bruto risico wordt afgedicht en beschrijft in hoeverre het restrisico acceptabel is. Indien de beheersmaatregelen in opzet het risico niet voldoende afdekken, geeft de zorgaanbieder aan hoe hij dit gaat terug brengen tot een acceptabel niveau. Bij de beoordeling van opzet van de beheersmaatregelen richt de zorgverzekeraar zich op de midden en hoge risico s. De mate van diepgang van de werkzaamheden is afhankelijk van de mix van beheersingsmaatregelen in relatie tot de beheersdoelstellingen die je wilt bereiken. Gedurende het proces past representerende zorgverzekeraar hoor en wederhoor toe bij de tweede zorgverzekeraar voor de go/no go momenten binnen het Control Framework om zo eenduidige toepassing van het Control Framework te borgen. Het beoordelen van de opzet van de beheersmaatregelen is zo n go/no go moment. De go/no go bij deze processtap wordt na hoor en wederhoor met de tweede zorgverzekeraar afgegeven door de representerende zorgverzekeraar. Vaststellen van het bestaan van een beheersmaatregel Onderstaand is per type beheersmaatregel opgenomen hoe het bestaan hiervan wordt vastgesteld. Handmatige controles en IT dependent controls De zorgaanbieder doorloopt middels een lijncontrole het (deel)proces en stelt vast of de beheersmaatregelen in de praktijk bestaan. Application controls De zorgaanbieder toont het bestaan van application controls aan middels testresultaten (positieve en negatieve testen) en stelt hiermee vast of de application control juist is ingericht. Soft controls De zorgaanbieder onderbouwt het bestaan van soft controls door inzicht te geven in onder meer aspecten als opleiding en deskundigheidsbevordering, transparantie in de communicatie, actieve betrokkenheid van verantwoordelijken en de deelname van medisch specialisten in besprekingen inzake het rechtmatig declareren. E17

128 5 Stappenplan Zorgaanbieder Toelichten hoe met de beheersmaatregelen bij de midden en hoog geclassificeerde risico s het (bruto) risico wordt afgedekt en beschrijven in hoeverre het restrisico acceptabel is. Indien de beheersmaatregelen in opzet het risico niet voldoende afdekken (en het restrisico dus niet acceptabel is), geeft de zorgaanbieder aan hoe hij dit risico gaat terug brengen tot een acceptabel niveau, zie ook stap 6. Representerende zorgverzekeraar Inhoudelijke beoordeling of beheersmaatregelen voor midden en hoge risico s in opzet voldoende zijn om risico af te dichten. Beoordelen van restrisico en vaststellen of dit acceptabel is. Deze inhoudelijke beoordeling van de representerende zorgverzekeraar wordt opgenomen in het Control Framework van de zorgaanbieder per midden en hoog risico. In het topmemo worden de conclusies op hoofdlijnen vermeld. Tweede zorgverzekeraar Beoordeling van de waardering van de representerende zorgverzekeraar ten aanzien van de opzet van de beheersmaatregelen. Hiervoor wordt het oordeel van de representerende zorgverzekeraar bij een aantal hoge en midden risico s beoordeeld op navolgbaarheid. Doel: go/no go van tweede zorgverzekeraar. Vastlegging go/no go in dossier. E18

129 5 Stappenplan EENMALIG TIJDENS IMPLEMENTATIEFASE D: Zorgaanbieder Beoordeling bestaan beheersmaatregelen: Het aantonen van het bestaan van de beheersmaatregelen op de midden en hoge risico s. Bij eventuele bevindingen ten aanzien van het bestaan van de beheersmaatregelen op de midden en hoge risico s wordt de impact hiervan bepaald en wordt dit besproken met de representerende zorgverzekeraar. Indien nodig en mogelijk worden aanvullende werkzaamheden uitgevoerd. Voor de hoge risico s wordt getoetst of het bestaan van de beheersmaatregel door de zorgaanbieder is aangetoond middels een assurance rapportage (op basis van de COS 3000 richtlijn). Representerende zorgverzekeraar Inhoudelijke beoordeling van het bestaan van de beheersmaatregelen op midden risico s. Bij de beoordeling van de hoge risico s neemt de zorgverzekeraar kennis van de COS 3000 rapportage. In het topmemo worden de conclusies op hoofdlijnen vermeld. Tweede zorgverzekeraar Beoordeling van de oordeelsvorming van de representerende zorgverzekeraar ten aanzien van bestaan van de beheersmaatregelen. Hiervoor wordt het oordeel van de representerende zorgverzekeraar bij een aantal hoge en midden risico s beoordeeld op navolgbaarheid. Afstemming met representerende zorgverzekeraar over eventuele bevindingen en aanvullende beheersmaatregelen. Doel: go/no go van tweede zorgverzekeraar. Vastlegging go/no go in dossier. Representerende zorgverzekeraar Na het voor het eerst volledig doorlopen van stap 5 (inclusief beoordeling van bestaan van de beheersmaatregelen) is de zorgaanbieder over op Horizontaal Toezicht. Hierover ontvangt hij een bevestigingsbrief van de representerende zorgverzekeraar. Zorgaanbieder en representerend zorgverzekeraar bepalen gezamenlijk vanaf welke periode de zorgaanbieder zich verantwoordt o.b.v. Horizontaal Toezicht. E19

130 6 Verantwoorden over opzet, bestaan en werking Opstellen Controleplan De zorgaanbieder stelt een controleplan op met daarin opgenomen hoe de opzet van beheersmaatregelen is vastgelegd, hoe het bestaan hiervan wordt vastgesteld en hoe de werking van beheersmaatregelen gedurende het jaar getoetst wordt. Dit controleplan wordt afgestemd met de representerende zorgverzekeraar. Ten aanzien van opzet en bestaan zijn in stap 5 processtappen opgenomen. Stap 6 richt zich op de processtappen van het aantonen van de werking en het verantwoorden over bestaan en werking. In dit hoofdstuk zijn hier richtlijnen voor opgenomen. De zorgaanbieder stelt conform de afspraken uit het controleplan het bestaan van de beheersmaatregelen vast en toetst de werking op basis van de hierna beschreven richtlijnen. Aantonen werking beheersmaatregelen Richtlijnen aantonen werking beheersmaatregelen Werking handmatige beheersmaatregelen en IT dependent controls De werking van handmatige beheersmaatregelen en IT dependent controls kan worden aangetoond via een data-analyse en/of deelwaarnemingen. Bij uitvoering van de deelwaarneming wordt onderstaande staffel gehanteerd ongeacht de classificatie van het risico. Frequentie maatregel Omvang deelwaarneming op jaarbasis (Meer dan) Dagelijks 25 Wekelijks 5 Maandelijks 2 Kwartaalbasis 2 Jaarlijks 1 De deelwaarnemingen zijn evenredig verdeeld over het jaar. Werking application controls De werking van application controls wordt eenmaal per assuranceperiode aangetoond ( test-of-one ; positief en negatief), onder de voorwaarde dat de ITGC s gedurende het gehele jaar aantoonbaar hebben gewerkt en de control(s) inhoudelijk niet zijn gewijzigd. Indien de ITGC s niet (aantoonbaar) gedurende het gehele jaar hebben gewerkt, dient de werking van de application controls op een andere wijze te worden aangetoond. Dit kan via een data-analyse en/of deelwaarnemingen. De werking van ITGC s kan tevens worden getest door middel van data-analyse en/of deelwaarnemingen. Bij het gebruik van deelwaarnemingen dient de frequentietabel gehanteerd te worden die is opgenomen bij het aantonen van de werking van handmatige beheersmaatregelen en IT dependent controls. E20

131 6 Indien een risico niet kan worden afgedicht door middel van systeemgerichte (procesgerichte) beheersmaatregelen, is het ook mogelijk dat er voor een risico gegevensgerichte controlewerkzaamheden worden uitgevoerd. Bij het uitvoeren van gegevensgerichte werkzaamheden gebeurt dit op basis van de aantallen opgenomen in onderstaand overzicht. Gegevensgerichte werkzaamheden Voor het bepalen van de omvang van de detailcontroles moet onderscheid gemaakt worden tussen detailcontroles op hoge risico s of detailcontroles op midden risico s. Hoge risico s: Voor hoge risico s is het uitgangspunt dat een detailcontrole op 10% van het aantal items van de risicogerichte massa wordt uitgevoerd, met een minimum van 25 items en een maximum van 250 items per jaar. Midden risico s: Voor midden risico s wordt volstaan met een detailcontrole op 10% van het aantal items van de risicogerichte massa met een minimum van 25 items en een maximum van 100 items per jaar. Indien het risico al deels wordt gemitigeerd door andere beheersmaatregelen kunnen zorgaanbieder en zorgverzekeraar onderling besluiten om het aantal te beoordelen regels te verlagen. Periodieke verantwoording Per kwartaal rapporteert de zorgaanbieder aan de zorgverzekeraar over de voortgang van het controleplan, de eventuele bevindingen die hieruit voortkomen en hoe bevindingen worden opgevolgd. Zorgaanbieder en zorgverzekeraar bespreken deze rapportage elk kwartaal samen door. Zorgverzekeraars en zorgaanbieders hebben een gezamenlijke ketenverantwoordelijkheid voor de verantwoording van de zorgkosten. Dat betekent dat alle partijen (ook de toezichthouder NZa) moeten kunnen steunen op de werkzaamheden die in de gehele keten worden uitgevoerd. De toereikendheid van de opzet van de beheersmaatregelen wordt in onderling overleg tussen de representerende zorgverzekeraar en de zorgaanbieder vastgesteld. De representerende zorgverzekeraar beoordeelt bestaan en werking van de beheersmaatregelen op de midden en hoge risico s. Over de beheersing van de hoge risico s (bestaan en werking) wordt een assurance rapportage op basis van de COS 3000 richtlijn afgegeven. Zie de verder uitwerking onder Assurance. Frequentie midden risico s Indien de werking van beheersmaatregelen twee jaar op een rij is vastgesteld en de controle-omgeving stabiel is, stemt de zorgaanbieder met de representerende zorgverzekeraar of het jaarlijks aantonen van de werking van een beheersmaatregel kan worden gewijzigd naar eens in de twee of drie jaar. E21

132 6 Restrisico s bij onvoldoende of niet werkende beheersing Wanneer een bruto risico voldoende wordt beheerst is er sprake van geen of een laag restrisico (acceptabel). Wanneer sprake is van een onvoldoende of niet werkende beheersing is het restrisico niet acceptabel. Op basis van professional judgement bepaalt de zorgaanbieder of de beheersdoelstellingen op de midden en hoge risico s in voldoende mate zijn behaald en of hiermee sprake is van een acceptabel restrisico. Wanneer dit niet het geval is, overlegt de zorgaanbieder een plan aan de zorgverzekeraar welke aanvullende werkzaamheden worden uitgevoerd. Onder Impactanalyse is opgenomen welke werkzaamheden de zorgaanbieder uitvoert indien beheersmaatregelen niet werken, een of meerdere IT General Controls niet werken (in geval sprake is van IT dependent controls en application controls) of onjuistheden zijn geconstateerd in de uitgevoerde gegevensgerichte werkzaamheden. Afhankelijk van de omvang van het restrisico kan dit leiden tot compenserende gegevensgerichte maatregelen die worden afgestemd met de zorgverzekeraar met als doel het restrisico alsnog naar een acceptabel (laag) niveau te krijgen. Op restrisico s die als laag worden ingeschat, hoeven geen compenserende gegevensgerichte maatregelen te worden getroffen. De term restrisico moet niet verward worden met de term laag bruto risico die voortkomt uit de risicoanalyse. Voor de lage bruto risico s uit de risicoanalyse geldt dat, gegeven een bepaald minimaal volwassenheidsniveau, dit in voldoende mate wordt ondervangen in de bedrijfsvoering van de zorgaanbieders. De elementen hiervoor zijn opgenomen in het instapmodel. Impactanalyse bij systeemgerichte beheersmaatregelen Indien bij het toetsen van de werking van beheersmaatregelen blijkt dat een beheersmaatregel of IT General Control niet werkt, voert de zorgaanbieder een impact-analyse uit. In deze analyse bepaalt de zorgaanbieder op basis van de impact of en welke vervolgwerkzaamheden worden uitgevoerd. De zorgaanbieder stemt de impactanalyse af met de zorgverzekeraar. Voor de ITGC s kan de impact van een bevinding ten aanzien de effectiviteit worden bepaald door het pad uit het schema uit Stap 4 (onder ITGC s) in omgekeerde volgorde te doorlopen. Wanneer blijkt dat een ITGC niet optimaal functioneert, beoordeelt de zorgaanbieder of dit effect heeft op de beheersing van het IT-risico. In dat geval moet gekeken worden of met compenserende maatregelen de betrouwbaarheid van de beheersmaatregelen die afhankelijk zijn van dit IT risico alsnog kan worden vastgesteld. Als dit niet mogelijk is dan wordt het betreffende IT-risico niet voldoende beheerst. Dit betekent dat niet gesteund kan worden op de geformuleerde application control of IT-dependent control voor het risico. De zorgaanbieder bepaalt de impact van het niet kunnen steunen op de betreffende beheersmaatregelen en treedt in overleg met de zorgverzekeraar over deze impact en wanneer van toepassing welke compenserende maatregelen getroffen kunnen worden. Impactanalyse bij gegevensgerichte beheersmaatregelen Indien de zorgaanbieder onjuiste registraties signaleert in de detailcontroles moeten deze onjuistheden gecorrigeerd worden. De zorgaanbieder maakt daarnaast een impactanalyse van de geconstateerde onjuiste registratie. In deze impactanalyse beoordeelt de zorgaanbieder aan de hand van de oorzaak/oorzaken of het een incidentele fout betreft of dat de fout een meer structureel karakter kent. Incidentele fouten worden niet geëxtrapoleerd over de massa, deze fouten worden wel gecorrigeerd. Indien de fout structureel voorkomt in de detailcontroles onderzoekt de zorgaanbieder of dit te isoleren is naar een specifieke afdeling/specialisme/medewerker en vindt hier nader onderzoek op plaats. Onjuiste registraties m.b.t. het verantwoordingsjaar worden voor beide typen fouten door de zorgaanbieder gecorrigeerd. De zorgaanbieder treft maatregelen om de geconstateerde registratiefouten naar de toekomst te voorkomen. E22

133 6 Nieuwe risico s Wanneer de zorgaanbieder gedurende het jaar een nieuw risico constateert dat geen onderdeel uitmaakt van het vastgestelde Control Framework maakt de zorgaanbieder in eerste instantie een inschatting van het risico. Wanneer het risico wordt ingeschat als midden of hoog, zal de zorgaanbieder een impactanalyse maken. Afhankelijk van de omvang van de impact overlegt de zorgaanbieder aan de zorgverzekeraar de vervolg werkzaamheden. Voor het volgende jaar zal het risico worden opgenomen in het Control Framework en worden voorzien van passende beheersmaatregelen die het risico in voldoende mate mitigeren. Assurance De doelstelling van assurance is om de zuivere dialoog tussen zorgaanbieder en representerende zorgverzekeraar te ondersteunen, het onderlinge vertrouwen te versterken en een bepaalde mate van zekerheid te geven voor de andere zorgverzekeraars (niet zijnde de representerende zorgverzekeraar). Ook voor de toezichthouder NZa is assurance belangrijk in de verantwoording. Assurance voor hoge risico s is relevant als extra borging om de werking van de beheersingsmaatregelen vast te kunnen stellen. Partijen uit het landelijk platform HT blijven met elkaar in gesprek over de mogelijkheden en voorwaarden om de lasten van assurance terug te brengen. Er is een werkgroep ingericht om de mogelijke afbouw van assurance uit te werken en hier voorstellen voor te doen. Een assurance rapport geeft een redelijke mate van zekerheid over de werking van de beheersmaatregelen op de hoge risico s; Op een afgesproken tijdstip (COS 3000A type 1), of; Over een afgesproken werkingsperiode (COS 3000A type 2). In dit document wordt gesproken over een type 1 en type 2 rapportage. Deze termen worden gebruikt bij IT assurance rapportages en staan niet direct in relatie met COS Met een type 1 rapportage wordt een rapportage ten aanzien van bestaan bedoeld en met een type 2 rapportage wordt een rapportage ten aanzien van bestaan en werking bedoeld. Assurance in de keten De zorgaanbieder en zorgverzekeraar schatten samen de risico s in op hoog, midden of laag (processtap 3) en kijken gezamenlijk naar de opzet van de beheersmaatregelen (processtap 5). In deze fases is er geen accountantscontrole. De toereikendheid van de opzet van de beheersmaatregelen wordt in onderling overleg tussen de representerende zorgverzekeraar en de zorgaanbieder vastgesteld. De representerende zorgverzekeraar beoordeelt bestaan en werking van de beheersmaatregelen op de midden en hoge risico s. Partijen uit het landelijk platform HT onderkennen de mogelijkheid om ingeval van een derde lijn door hen een audit uit te laten voeren naar de werking van de beheersmaatregelen die horen bij de risico s. De partijen zijn met elkaar in gesprek over de mogelijkheden, randvoorwaarden (o.a. mate van onafhankelijkheid) en kwaliteitsvereisten van deze derde lijn om hier op te kunnen steunen voor Horizontaal Toezicht. Om van processtap 5 (beoordelen opzet beheersmaatregelen) naar processtap 6 (verantwoordingsfase) te gaan dient de opzet en het bestaan van de beheersmaatregelen op de hoge risico s te worden aangetoond en gerapporteerd. De eerste keer zal dit zijn door middel van een COS 3000A type 1 (opzet en bestaan) rapportage. In de reguliere jaarcyclus waarin de zorgaanbieder de processtappen 0 t/m 6 doorloopt wordt over de beheersing van de hoge risico s jaarlijks een COS 3000A type 2 rapportage afgegeven. Daarbij is de aanname dat de beheersing van de hoge risico s ook zijn vruchten afwerpt voor de beheersing van de overige risico s. In 2019 vindt er een evaluatie plaats door de branchepartijen rondom de assurance. E23

134 6 Stappenplan Zorgaanbieder Het opstellen van een controleplan, met daarin opgenomen hoe bestaan en werking gedurende het jaar getoetst wordt. Dit controleplan wordt afgestemd met de representerende zorgverzekeraar. Op pagina 18 worden een aantal handvatten gegeven voor het opstellen van het controleplan. Representerende zorgverzekeraar Beoordelen van het controleplan, waar nodig aanvullen en corrigeren in overleg met de zorgaanbieder, en accorderen. Zorgaanbieder Het aantonen van het bestaan en werking van de beheersmaatregelen op de midden en hoge risico s. De zorgaanbieder toetst de werking van de beheersmaatregelen conform de afspraken uit het controleplan en handvatten en staffel zoals opgenomen in deze stap. Het is ook mogelijk dat er voor een risico geen beheersmaatregel aanwezig is en de zorgaanbieder gegevensgerichte controlewerkzaamheden uitvoert op dit risico. Voor de effectieve werking van application controls en IT-dependent controls is het van belang dat de IT General Controls (ITGC s) effectief zijn ingericht en werken. Zoals opgenomen in deze stap. Per kwartaal rapporteert de zorgaanbieder aan de zorgverzekeraar over de voortgang van het controleplan en eventuele bevindingen die hieruit voortkomen. Zorgaanbieder en zorgverzekeraar bespreken deze rapportage elk kwartaal samen door. Representerende zorgverzekeraar Beoordeelt de kwartaalrapportage van de zorgaanbieder ten aanzien van bestaan en werking van de beheersmaatregelen op de midden en hoge risico s en bespreekt dit met de zorgaanbieder. Beoordeling van het bestaan van de beheersmaatregelen op midden risico s op basis van onderbouwing van de zorgaanbieder. Centraal staat hierbij de navolgbaarheid van deze onderbouwing. E24

135 6 Zorgaanbieder Eén keer per jaar wordt over de beheersing van de hoge risico s (bestaan en werking) een assurance rapportage o.b.v. de COS 3000 richtlijn afgegeven. O.b.v. professional judgement bepaalt de zorgaanbieder of de beheersdoelstellingen op de midden en hoge risico s in voldoende mate zijn behaald en hiermee sprake is van een acceptabel restrisico. Wanneer dit niet het geval is, overlegt de zorgaanbieder een plan aan de zorgverzekeraar welke aanvullende werkzaamheden worden uitgevoerd. Op pagina 20 is opgenomen welke werkzaamheden de zorgaanbieder uitvoert indien beheersmaatregelen niet werken of één of meerdere IT General Controls niet werken (in geval sprake is van IT dependent controls en application controls) Indien gedurende het jaar een nieuw risico wordt ontdekt, voert de zorgaanbieder hier een impactanalyse op uit en overlegt dit met de zorgverzekeraar. Afhankelijk van de omvang van de impact overlegt de zorgaanbieder aan de zorgverzekeraar de vervolg werkzaamheden. Verantwoording over de interne beheersing behorend bij dit nieuwe risico vindt in het nieuwe jaar plaats. Representerende zorgverzekeraar Elk jaar worden een aantal beheersmaatregelen behorende bij de midden risico s nader onderzocht op werking op basis van het dossier van de zorgaanbieder. Afhankelijk van de frequentie van de beheersmaatregel toont de zorgaanbieder meermaals de werking aan. De representerende zorgverzekeraar toetst vervolgens de werking per beheersmaatregel. Partijen uit het landelijk platform HT onderkennen de mogelijkheid om ingeval van een derde lijn door hen een audit uit te laten voeren naar de werking van de beheersmaatregelen die horen bij de risico s. De partijen zijn met elkaar in gesprek over de mogelijkheden, randvoorwaarden (o.a. mate van onafhankelijkheid) en kwaliteitsvereisten van deze derde lijn om hier op te kunnen steunen voor Horizontaal Toezicht. Beoordeling van de uitkomsten van de assurance rapportage o.b.v. de COS 3000 richtlijn op de hoge risico s. Ten aanzien van bevindingen op de hoge en midden risico s die het bestaan en de werking van de beheersmaatregelen ondermijnen worden indien nodig aanvullende werkzaamheden afgesproken. De zorgverzekeraar betrekt hierbij mede de impactanalyse die de zorgaanbieder heeft opgesteld. Representerende zorgverzekeraar schrijft in de topmemo de bevindingen op hoge en midden risico s op samen met eventuele aanvullende werkzaamheden. Tweede zorgverzekeraar Afstemming met representerende zorgverzekeraar over eventuele bevindingen en aanvullend uit te voeren werkzaamheden door de zorgaanbieder. E25

136 Jaarplanning Het Horizontaal Toezicht Control Framework is een beheersingskader dat verankerd wordt in de planning & control cyclus van de zorgaanbieder en de zorgverzekeraar. Jaarlijks keren de meeste activiteiten uit de stappen 0 t/m 6 terug. De benodigde capaciteit die gevraagd wordt zal voor een aantal activiteiten wel sterk afnemen naarmate zorgaanbieder en verzekeraar verder Horizontaal Toezicht ingroeien. Wanneer processen van het ene op het andere jaar niet veranderen hoeft de opzet niet steeds opnieuw te worden beoordeeld. Ook de risico-classificatie zal steeds gemakkelijker worden. Uiteraard kunnen ook nieuwe risico s aan het licht komen. E26

137 Afspraken tussen Zorgverzekeraars Nederland en GGZ Nederland (juni 2019) Partijen begrijpen dat er om van het Advies van de Taskforce Gepast Gebruik GGZ naar verantwoording van gepast gebruik binnen HT te komen nog stappen gezet moeten worden. De criteria staan geformuleerd in onderstaand overzicht Verschillen Taskforce Gepast Gebruik GGZ & Horizontaal Toezicht GGZ. Om dit te bereiken wordt het Advies van de Taskforce als de basis bouwsteen gebruikt. Onder verantwoordelijkheid van de bestuurlijke commissie HT GGZ uitgaande van die bouwsteen en uitgaande dat we Gepast gebruik binnen HT willen verantwoorden, wordt de basis bouwsteen verder ontwikkeld tot de HT methode om gepast gebruik te verantwoorden binnen het Framework HT. De opzet van het HT model gepast gebruik moet binnen twee jaar ontwikkeld zijn. Hierbij wordt gebruikt gemaakt van de ervaringen van de aanbieders en zorgverzekeraars. Deze afspraken inclusief Verschillen Taskforce Gepast Gebruik en HT GGZ (onderstaand overzicht), inclusief het landelijk raamwerk HT GGZ inclusief het Advies van de Taskforce vormen samen 1 set. Verschillen Taskforce Gepast Gebruik & HT GGZ Taskforce Gepast Gebruik 1. Het advies is een tijdelijke regeling welke op elementen een lichter regime impliceert dan het gehele HT proces. 2. Het advies betreft een overgangssituatie van gegevensgerichte naar procesgerichte verantwoording. 3. Onderhandelingsresultaat met voorafgaand vastgelegde kaders. Geen ruimte voor maatwerk. 4. Geen accountantscontrole: er is geen rekening gehouden met COS3000 om uitspraak te doen over opzet, bestaan en werking hoge risico s. 5. Alleen voorgeschreven generieke risico s voor iedereen gelijk en vastgelegd t/m 2022, geen sprake van maatwerk. 6. Advies toetst alleen op werking, bestaan wordt niet als los onderdeel aangetoond. 7. Alle risico s worden generiek opgepakt, leidt tot een algemene beheersing. 8. Verplicht informatieprotocol. 9. Uitvoering niet in representatie. Horizontaal Toezicht 1. HT is een toekomstbestendige regeling welke op elementen een zwaarder regime betreft dan het advies. 2. HT betreft de procesgerichte verantwoordingsmethodiek zonder einddatum. 3. Continu proces van verbetering naar opvolgende jaren op basis van vertrouwen, eigen verantwoordelijkheid en volwassenheid. Gaat uit van maatwerk. 4. Beperkte accountantscontrole: accountants moeten een COS3000 opstellen om uitspraak te kunnen doen over opzet, bestaan en werking hoge risico s. 5. Naast generieke risico s kunnen instellingen zelf ook risico s identificeren. 6. Binnen HT wordt ook bestaan aangetoond om te zien of de theoretische opzet in de praktijk ook echt het specifieke risico afdekt. 7. Prioritering risico s in hoog, midden en laag, leidt tot een instellings-specifieke beheersing. 8. Informatie protocol niet verplicht is al verwerkt in maatwerk. 9. Uitvoering in representatie. F1

138