Na assistência à saúde, a dependência de fornecedores, prestadores terceirizados e parceiros tecnológicos é crescente. Cada elo externo, por mais especializado e confiável que pareça, pode introduzir variabilidade, vulnerabilidades e eventos adversos com repercussão clínica, regulatória e financeira.
Esse universo é o campo da gestão de riscos de terceiros. Trata-se de um conjunto de processos para identificar, avaliar, mitigar e monitorar riscos gerados por organizações que não fazem parte da instituição de saúde, mas influenciam diretamente a qualidade, a segurança do paciente e a sustentabilidade do negócio.
Riscos de terceiros compreendem ameaças decorrentes de relações contratuais com fornecedores de insumos, medicamentos e dispositivos médicos; prestadores de serviços (diagnóstico, esterilização, limpeza, logística, home care, manutenção, engenharia clínica, facilities, call centers); e empresas de tecnologia e dados (prontuário eletrônico, telemedicina, nuvem, interoperabilidade, analytics).
Em saúde, a sensibilidade é maior por dois motivos. Primeiro, a consequência imediata de falhas recai sobre pacientes e equipes. Segundo, o arcabouço regulatório é robusto (ANVISA, ANS, LGPD, normas ISO), e descumprimentos podem gerar multas, interdições e danos reputacionais profundos.
Os efeitos de um risco de terceiro mal gerido extrapolam o contrato. Um reagente fora de especificação pode provocar resultados falso-negativos e atrasar terapias. Uma pane de fornecedor de TI pode paralisar o fluxo assistencial e afetar desfechos. Um incidente de privacidade com operador de dados expõe a instituição a sanções, além de erosão de confiança.
Financeiramente, o espectro vai de glosas ampliadas e ineficiências operacionais a perdas por interrupção de serviços, recall de produtos, multas regulatórias e litígios. Em termos de segurança do paciente, os desfechos podem incluir eventos adversos evitáveis e não conformidades com acreditações (ONA, JCI), que ampliam o custo da não qualidade.
Classificar riscos ajuda a alocar esforços e priorizar controles. Uma taxonomia eficaz em saúde inclui, ao menos, quatro domínios: qualidade/segurança clínica, regulatório/compliance, cibersegurança/privacidade e continuidade de negócios/suprimentos.
Riscos típicos: variação de qualidade, desabastecimento, falsificação, não conformidade regulatória (RDCs), armazenamento e transporte inadequados, rastreabilidade insuficiente. Consequências comuns: falhas terapêuticas, infecções associadas à assistência, atrasos cirúrgicos e desperdício.
Controles essenciais: qualificação técnica (certificações, lotes-piloto, DQ/IQ/OQ/PQ em equipamentos), auditorias de boas práticas de fabricação e distribuição, contratos com KPIs de qualidade e rastreabilidade por lote/UDI.
Riscos típicos: treinamento insuficiente de equipes alocadas, protocolos desalinhados, falhas de esterilização, tempos de resposta aquém do necessário, subcontratação não autorizada. Impactos: eventos adversos, não conformidades, atrasos de alta, contaminações cruzadas, penalidades contratuais com pagadores.
Controles essenciais: SLAs clínicos (TAT de exames críticos, tempo-porta em serviços de apoio, prazos de manutenção de equipamentos de suporte à vida), validação de competências, integração de protocolos, supervisão in loco e auditorias clínicas periódicas.
Riscos típicos: vazamento de dados pessoais e sensíveis (LGPD), indisponibilidade de sistemas, falhas de interoperabilidade, vulnerabilidades em APIs, backups insuficientes. Impactos: paralisação assistencial, notificação à ANPD, dano reputacional, perda de faturamento, deterioração de indicadores assistenciais.
Controles essenciais: due diligence de segurança (ISO 27001, SOC 2), contratos com cláusulas de operador LGPD, testes de continuidade (DRP/BCP), gestão de acessos baseada em perfis clínicos, pentests regulares e acordos de nível de serviço para disponibilidade e RPO/RTO.
A maturidade em TPRM nasce da disciplina do ciclo de vida. Trate o processo como um fluxo contínuo, alinhado ao mapa de riscos corporativo e ao plano da qualidade e segurança do paciente.
Comece organizando um inventário de terceiros, vinculado a processos assistenciais e unidades críticas. Classifique por impacto potencial: alto (suporte à vida, dados sensíveis, emergências), médio e baixo. Essa priorização orienta o nível de escrutínio.
Ferramentas eficazes: matriz de risco (probabilidade x impacto clínico/financeiro), árvore de falhas (FTA) para processos críticos e FMEA para fluxos de cuidado com múltiplos pontos de terceirização.
Avalie licenças, certificações, histórico de não conformidades, capacidade de resposta, robustez financeira e governança. Em saúde, inclua análise de indicadores clínicos do parceiro (TAT, taxa de rejeição de amostras, falhas de esterilização, taxa de retrabalho) e verificações de compliance com ANVISA, ANS e LGPD.
Para tecnologia, adote questionários padronizados (SIG, HECVAT adaptado à saúde) e valide, sempre que possível, evidências objetivas (relatórios de auditoria, certificações válidas, laudos de testes).
Contratos devem refletir o risco. Defina SLAs que traduzam necessidades clínicas: disponibilidade de sistemas, janelas de manutenção, TAT para exames críticos, tempos máximos de resposta para manutenção de ventiladores, garantias de rastreabilidade por lote, metas de qualidade (p. ex., taxa de inconformidade). Inclua cláusulas de contingência, notificação de incidentes e direito de auditoria.
Na LGPD, especifique o papel de cada parte (controlador/operador), finalidades, base legal, segurança da informação, planos de resposta a incidentes e deveres de notificação. Em dados de saúde, a granularidade dos controles deve ser maior.
Onboarding não é mera troca de documentos. É integrar o terceiro ao seu sistema de gestão da qualidade e segurança do paciente. Treine equipes terceirizadas nos seus protocolos, checklists e cultura de segurança. Valide amostras, pilotos e ambientes de produção controlados antes do go-live.
Padronize comunicações, pontos focais, escalonamento e registros. Regule acessos aos sistemas por princípios de mínimo privilégio e segregação de funções.
Fiscalize com dados. Acompanhe KPIs operacionais (cumprimento de SLA, taxa de avarias, tempo de reposição, taxa de erro) e KRIs (near misses, alertas de segurança, vulnerabilidades abertas, variação de qualidade). Faça auditorias periódicas proporcionais à criticidade.
Automatize sinalizações: dashboards que cruzam consumo, qualidade e eventos clínicos; alertas de cibersegurança; e verificações de certificações com vencimento. Em fornecedores de alta criticidade, inclua visitas técnicas e auditorias in loco.
Quando o incidente ocorre, cada minuto conta. Mantenha um playbook com papéis e responsabilidades, critérios de severidade clínica, fluxos de comunicação interna e externa, procedimentos de contingência e análise de causa (RCA) com plano de ação 5W2H.
No offboarding, revogue acessos, recolha ativos, assegure continuidade (transição assistida para novo fornecedor), garanta destruição/devolução de dados e atualize o inventário de riscos. Documente lições aprendidas para retroalimentar a due diligence.
Mensurar risco em saúde exige combinar granularidade clínica com pragmatismo financeiro. Nem tudo pede modelos sofisticados; o essencial é traduzir risco em priorização clara de recursos.
Qualitativos: escalas de 1 a 5 para probabilidade e impacto clínico/financeiro, mapas de calor por linha de cuidado e categorias de risco padronizadas (qualidade, privacidade, continuidade, regulatório). São rápidos e ótimos para triagem.
Quantitativos: cálculo de perda anual esperada (ALE) para incidentes de TI, análise de cenário para desabastecimento (custo de oportunidade por dia de interrupção), simulações de Monte Carlo para estoques críticos, pontuações ponderadas de fornecedores que combinem desfecho clínico, qualidade e custo total de propriedade.
Integre a pontuação de risco no processo de compras, dando maior peso a critérios clínicos e de compliance que ao preço puro. Para TI, use matrizes de criticidade de aplicações (EHR, PACS, LIS, HIS) e alinhe RPO/RTO do fornecedor com seus requisitos de continuidade assistencial.
Resultados práticos: menor variação de desfechos, redução de paradas assistenciais, compliance mais robusto e previsibilidade de custos indiretos.
Sistemas clínicos e dados sensíveis exigem um programa de segurança que enxergue o perímetro além das paredes do hospital. Parceiros podem ser o vetor mais provável de exploração.
Exija criptografia em repouso e trânsito, MFA, segregação de ambientes, hardening, gestão de vulnerabilidades e logs com retenção e integridade. Valide planos de continuidade (DRP/BCP) e testes reais de restauração. Para APIs e interoperabilidade, padronize contratos com limites de escopo e monitoramento transacional.
Em LGPD, detalhe o tratamento de dados sensíveis de saúde: finalidade, minimização, retenção, anonimização/pseudonimização quando possível, e provas de salvaguardas técnicas e administrativas. Teste a capacidade do operador em detectar, conter e notificar incidentes dentro de prazos acordados.
Desabastecimento pode paralisar cirurgias e emergências. Resiliência depende de diversificação, estoques críticos, planejamento de demanda e visibilidade ponta a ponta.
Implemente multisourcing para itens críticos, com qualificação cruzada de produtos e padronização clínica. Mantenha estoques de segurança baseados em criticidade e lead time. Use contratos com cláusulas de prioridade de fornecimento em crises e mapas de risco geográfico para antecipar rupturas.
Integre previsão de demanda assistencial (sazonalidade, surtos, cirurgias eletivas) com S&OP hospitalar. Monitorar recall e alertas sanitários em tempo real fecha o ciclo preventivo.
Sem governança, TPRM vira burocracia. Com governança, vira vantagem competitiva clínica e financeira. Estabeleça um comitê de riscos de terceiros com representantes de qualidade/segurança do paciente, jurídico/compliance, compras, engenharia clínica, TI e operações assistenciais.
Defina políticas, apetite de risco, critérios de criticidade e um catálogo de controles mínimos. Culturalmente, promova transparência com fornecedores e aprendizado conjunto em análise de incidentes. A capacitação continuada é alavanca para padronizar práticas e linguagem comum sobre risco, compliance e regulação na saúde. Para aprofundar com estrutura e casos aplicados, uma trilha como a Certificação Profissional em Gestão de Riscos, Compliance e Regulação na Saúde oferece arcabouço e ferramentas diretamente transferíveis ao dia a dia assistencial.
Primeiras quatro semanas: inventarie terceiros, classifique por criticidade e aplique questionário de due diligence enxuto nos de alto impacto. Corrija lacunas contratuais críticas (direito de auditoria, notificação de incidentes, SLAs vitais).
Semanas 5 a 8: implemente KPIs/KRIs base e um painel único, defina playbook de incidentes com fornecedores críticos, teste um cenário de contingência (queda de sistema clínico terceirizado ou ruptura de insumo essencial).
Semanas 9 a 12: realize uma auditoria temática (p. ex., esterilização terceirizada ou segurança de APIs), conduza RCA de um near miss envolvendo terceiro e integre aprendizados nos contratos e treinamentos. Feche com um relatório executivo ao board com ganhos rápidos, riscos residuais e próximos passos.
Quer dominar gestão de riscos de terceiros na saúde e se destacar na área? Conheça o curso Certificação Profissional em Gestão de Riscos, Compliance e Regulação na Saúde e transforme sua carreira.
Risco de terceiros impacta diretamente desfechos clínicos; priorize fornecedores que sustentem a segurança do paciente, não apenas o menor preço. Integre SLAs a métricas assistenciais (tempo de porta a agulha depende de TAT laboratorial e disponibilidade de TI). Em dados sensíveis, trate interoperabilidade como superfície de ataque: monitore, limite e teste.
Faça da due diligence um processo contínuo, não um evento de contratação. Adote indicadores de tendência (KRIs) para antecipar falhas e normalize a prática de exercícios de contingência com parceiros críticos. Capacitação consistente multiplica a aderência a processos e dá velocidade à resposta a incidentes.
Especialização para quem já está na assistência e quer avançar.
Ver as pós em Saúde