STAATSCOURANT Officiële uitgave van het Koninkrijk der Nederlanden sinds 1814. Regeling controle en administratie zorgverzekeraars TH/NR-039 Regeling TH/NR-039 Vastgesteld op 17 maart 2026 Grondslag De Nederlandse Zorgautoriteit (NZa) houdt toezicht op de rechtmatige uitvoering van de Zorgverzekeringswet (Zvw). Deze bevoegdheid is gebaseerd op artikel 16, sub b, van de Wet marktordening gezondheidszorg (Wmg). Ingevolge artikel 27, artikel 36 en artikel 68 van de Wet marktordening gezondheidszorg (Wmg), is de Nederlandse Zorgautoriteit (NZa) bevoegd tot het stellen van regels op het gebied van de controle door zorgverzekeraars en de administratie van zorgverzekeraars. 1 Begripsbepalingen In deze regeling wordt verstaan onder: 1.1 Algemene risicoanalyse Een analyse zoals bedoeld in artikel 1, eerste lid, sub y van de Regeling zorgverzekering. 1.2 Algemeen controleplan Een plan van aanpak voor de uitvoering van controleactiviteiten gebaseerd op de algemene risicoanalyse. 1.3 Bzv Besluit zorgverzekering. 1.4 Controleactiviteiten Het geheel van onderzoek door de zorgverzekeraar op het gebied van formele controles, materiële controles, fraudeonderzoek en gepast gebruik. 1.5 Formele controle Een onderzoek als bedoeld in artikel 1, eerste lid, sub t, van de Regeling zorgverzekering. 1.6 Fouten Van een fout in de opgave is sprake wanneer gebleken is dat een post of een gedeelte ervan niet in overeenstemming is met hetgeen bepaald is bij of krachtens de Zorgverzekeringswet, dan wel de voorschriften van het Handboek van Zorginstituut Nederland of het protocol onderzoek Zvw van de NZa. 1.7 Fraudeonderzoek Een onderzoek als bedoeld in artikel 1, eerste lid, sub v, van de Regeling zorgverzekering. 1.8 Gepast gebruik Het onderzoek, waarbij de zorgverzekeraar middels formele controles en materiele controles toetst, of: De zorg die is gedeclareerd voldoet aan de wettelijke indicatievoorwaarden;
  • i) De zorg die is gedeclareerd voldoet aan de stand van wetenschap en praktijk, ook wel effectieve zorg genoemd;
  • ii) De verzekerde redelijkerwijs is aangewezen op de zorg die is gedeclareerd, gezien zijn gezondheidstoestand (ook wel medische noodzaak genoemd).
    • 1.9 Handboek zorgverzekeraars Het 'Handboek zorgverzekeraars informatie Zorgverzekeringswet over jaar t’ van Zorginstituut Nederland waarin voorschriften over de aanlevering van de opgaven zijn opgenomen. 1.10 Interne fraude Fraude als bedoeld in artikel 1, lid 1, onder u, van de Rzv, waarbij de pleger of medepleger een medewerker is van de zorgverzekeraar, dan wel een natuurlijk persoon die op enige andere wijze werkzaamheden verrichting voor of namens de zorgverzekeraar en daar een tegenprestatie voor ontvangt. 1.11 Materiële controle Een onderzoek als bedoeld in artikel 1, eerste lid, sub u, van de Regeling zorgverzekering. 1.12 Onzekerheid Van een onzekerheid in de opgave is sprake als onvoldoende (controle-) informatie beschikbaar is om een (gedeelte van een) post als goed of fout aan te merken. 1.13 Opgaven Gegevens die de zorgverzekeraar voor de uitvoering van de Zvw aan Zorginstituut Nederland en NZa conform de Regeling structurele aanlevering gegevens Zorgverzekeringswet aanlevert. 1.14 Prestatie Een prestatie zoals omschreven in artikel 1, eerste lid, sub q van de Regeling zorgverzekering. 1.15 Specifiek controleplan Een plan van aanpak voor de uitvoering van detailcontroles gebaseerd op de specifieke risicoanalyse. 1.16 Specifieke risicoanalyse Een analyse zoals bedoeld in artikel 1, eerste lid, sub z van de Regeling zorgverzekering. 1.17 Rzv Regeling Zorgverzekering. 1.18 Regeling structurele aanlevering gegevens Zvw De Regeling structurele aanlevering gegevens Zorgverzekeringswet en Wet langdurige zorg 2025. Stcrt. 2025, 11412. 1.19 Signaal In het kader van deze regeling wordt onder signaal verstaan een uiting, in welke vorm dan ook, van (een vermoeden van) een ongewenste situatie met mogelijk nadelige gevolgen voor de uitvoering van de Zvw of de zorgverzekering. 1.20 Wmg Wet marktordening gezondheidszorg 1.21 Zvw Zorgverzekeringswet.     2 Doel van de beleidsregel De regeling controle en administratie zorgverzekeraars heeft tot doel nadere voorschriften te stellen aan de uitvoering van controles door zorgverzekeraars ten behoeve van de rechtmatige uitvoering van de Zvw. Daarnaast stelt deze regeling voorschriften aan de administratie die een zorgverzekeraar voert ten behoeve van de uitvoering van controles, als ook de verzekerdenadministratie. 3 Reikwijdte Deze regeling is van toepassing op verzekeraars voor zover deze zorgverzekeringen als bedoeld in artikel 1, sub d, van de Zorgverzekeringswet (Zvw), aanbieden en uitvoeren. 4 Algemene bepalingen 4.1 De zorgverzekeraar voert controleactiviteiten uit om de rechtmatigheid van declaraties van zorgaanbieders en verzekerden te controleren met als doel de juistheid en volledigheid van de administratie en de juistheid van de opgaven te borgen. 4.2 De zorgverzekeraar voert controles uit om de juistheid en volledigheid van de verzekerdenadministratie en de specifieke opgaven over de verzekerden te waarborgen. 4.3 Bij de uitvoering van de controleactiviteiten neemt de zorgverzekeraar de bepalingen in deze regeling in acht. 4.4 Bij de uitvoering van de controleactiviteiten neemt de zorgverzekeraar de wettelijke voorschriften over de verwerking van persoonsgegevens in acht, als ook in het bijzonder hoofdstuk 7 van de Rzv. 4.5 De bepalingen in deze regeling zijn van toepassing op alle controleactiviteiten. Voor zover een voorschrift uit deze regeling alleen van toepassing is op één specifieke controleactiviteit dan is dat bij het betreffende artikel aangegeven. 4.6 De zorgverzekeraar zorgt ervoor dat de opgaven conform het bepaalde bij de Regeling structurele aanlevering gegevens Zvw zijn opgesteld en, voor zover van toepassing, voorzien zijn van een accountantsproduct. 4.7 De accountant voert controles uit met inachtneming van het NZa Protocol onderzoek Zvw voor het betreffende verantwoordingsjaar. 5 Bepalingen over organisatie van controleactiviteiten 5.1 De zorgverzekeraar heeft een toereikende organisatie voor de opzet, uitvoering en evaluatie van de controleactiviteiten. De organisatie van de zorgverzekeraar is dusdanig ingericht, dat de zorgverzekeraar kan voldoen aan de bepalingen in deze regeling en, indien nodig, tijdig kan bijsturen zodat de controledoelen worden bereikt. 5.2 De zorgverzekeraar beschikt over een administratiesysteem dat de goede en tijdige uitvoering van de controleactiviteiten mogelijk maakt. 5.3 De zorgverzekeraar neemt op een voor de toezichthouder inzichtelijke wijze in zijn administratie op:
  • i) Hoe hij zijn controleactiviteiten heeft uitgevoerd;
  • ii) Het onderwerp en object van de controleactiviteiten;
  • iii) Wat de resultaten zijn van die controleactiviteiten;
  • iv) Wat voor gevolgen hij heeft gegeven aan de uitkomsten van de controles.
    • 5.4 De zorgverzekeraar draagt zorg voor voldoende deskundigheid ten behoeve van een goede uitoefening van zijn controleactiviteiten.     6 Bepalingen over controle-aanpak Risicoanalyse 6.1 De zorgverzekeraar stelt de risicoanalyse met voldoende reikwijdte en diepgang op als basis voor het controleplan. De zorgverzekeraar waarborgt daarbij voldoende inbreng van de verschillende organisatieonderdelen (zorginkoop, medisch adviseurs, coördinator fraudebestrijding). 6.2 De zorgverzekeraar betrekt ten minste de volgende aspecten in de risicoanalyse:
  • i) alle zorgsoorten;
  • ii) financiële belang van de schade en mogelijke risico;
  • iii) standpunten van het Zorginstituut Nederland (ten aanzien van de stand van wetenschap en praktijk);
  • iv) uitkomsten uit eigen onderzoek;
  • v) signalen vanuit externe bronnen;
  • vi) klachten van verzekerden.
    • 6.3 De zorgverzekeraar legt de totstandkoming van de risicoanalyse en de keuzes in betrokken onderwerpen op inzichtelijke wijze vast in zijn administratie. 6.4 De zorgverzekeraar waarborgt dat de risicoanalyse actueel is en past daartoe tussentijds de risicoanalyse aan. Controleplan 6.5 De zorgverzekeraar beschikt voor de uitvoering van de controleactiviteiten over een controleplan, gebaseerd op een risicoanalyse. De zorgverzekeraar beschrijft in het controleplan op welke wijze en met toepassing van welke instrumenten hij het controledoel zal realiseren. Specifieke bepalingen formele controle 6.6 De zorgverzekeraar betrekt de geautomatiseerde declaratieverwerking bij de nadere uitwerking van de formele controle, zodanig dat er inzicht is of en op welke geprogrammeerde controles er gesteund wordt, dan wel hoe dit voldoende is ondervangen door de inzet van andere instrumenten. Specifieke bepaling voor materiële controle en fraudeonderzoek 6.7 De zorgverzekeraar baseert haar algemene en specifieke controleplan voor de materiële controle en fraudeonderzoek op de Rzv. Om de daadwerkelijke levering van gedeclareerde zorg te beoordelen, maakt de zorgverzekeraar gebruik van de instrumenten detailcontrole en/of enquête (gericht op risicogebieden) voor zover nodig om de gestelde controledoelen te behalen. 6.8 De zorgverzekeraar beschikt voor de uitvoering van detailcontroles over een specifiek controleplan, gebaseerd op een specifieke risicoanalyse. Specifieke bepalingen voor fraudeonderzoek 6.9 De zorgverzekeraar legt op inzichtelijke wijze in zijn administratie vast of en in hoeverre het controleplan voldoet aan de (inrichtings)eisen van het Protocol verzekeraars & criminaliteit van het Verbond van Verzekeraars en Zorgverzekeraars Nederland. 6.10 De zorgverzekeraar legt op inzichtelijke wijze in zijn administratie vast op welke wijze hij de controle op fraudesignalen heeft uitgevoerd als bedoeld in artikel 1, sub v, van de Rzv. De zorgverzekeraar registreert signalen en onderzoek naar fraude en daarbij legt de zorgverzekeraars ten minste vast: • welke signalen van vermoeden naar fraude hij heeft ontvangen; • welke signalen van vermoeden naar fraude betrekking hebben op de Zvw; • welke signalen van vermoeden naar fraude betrekking hebben op verzekerden en op zorgaanbieders; • in welke mate (aard, aantallen en bedragen) sprake is van daadwerkelijk geconstateerde fraude; • vervolgacties, inclusief de hieraan ten grondslag liggende afwegingen. 6.11 In het fraudeonderzoek besteedt de zorgverzekeraar in voldoende mate aandacht aan signalering, opsporing en afdoening van vermoeden van interne fraude. Specifieke bepaling voor gepast gebruik. 6.12 De zorgverzekeraar legt op inzichtelijke wijze vast in zijn administratie of en voor welke specifieke behandelingen voor de controle op gepast gebruik, gebruik wordt gemaakt van het controle-instrument machtigingen.Aanleveren van de verslagen en bijbehorende stukken     7 Bepalingen over uitvoering van controles 7.1 De zorgverzekeraar voert de controleplannen tijdig uit, waarbij de zorgverzekeraar rekening houdt met de verschillende verantwoordingsjaren van de opgaven. 7.2 Indien de zorgverzekeraar afwijkt van het controleplan neemt hij op inzichtelijke wijze in zijn administratie de reden van de afwijking op. De zorgverzekeraar kwantificeert de afwijking. Specifieke bepaling voor formele controle 7.3 Voor de controleactiviteiten waarbij de zorgverzekeraar steunt op geprogrammeerde controles, moet de zorgverzekeraar een voldoende betrouwbare en continue werking van deze geprogrammeerde controles aantonen. Specifieke bepaling voor materiële controle 7.4 De zorgverzekeraar neemt een reactie van de zorgaanbieder, als bedoeld in artikel 7.8, lid 4, van de Rzv, op inzichtelijke wijze op in zijn administratie en vermeldt daarbij de wijze waarop hij de reactie van de zorgaanbieder bij de vaststelling van de definitieve uitkomsten van de detailcontrole heeft betrokken. Specifieke bepaling voor fraudeonderzoek 7.5 Bij de uitvoering van fraudeonderzoek voert de zorgverzekeraar verdiepend vervolgonderzoek uit op signalen of vermoedens van fraude om vast te stellen of fraude is gepleegd. Specifieke bepaling voor transformatiemiddelen 7.6 De zorgverzekeraar gebruikt bij de de controleactiviteiten ten aanzien van de transformatiemiddelen het verantwoordings- en beoordelingskader transformatieplannen en de brief ‘Herziening nadere duiding Verantwoordingskader transformatieplannen’ van 29 augustus 2025 zoals afzonderlijk door de NZa gepubliceerd op het Publicatieplatform UitvoeringsContent (PUC). Dit houdt in dat de in deze regeling opgenomen reguliere controle-eisen met betrekking tot formele en materiële controles niet van toepassing zijn op transformatiemiddelen. 8 Bepalingen over vervolgacties en evaluatie 8.1 De zorgverzekeraar stelt voor alle uitgevoerde controles een foutenevaluatie op en neemt deze op inzichtelijke wijze in zijn administratie op. Fouten worden in absolute zin opgevat, saldering van fouten is niet toegestaan. 8.2 Als de zorgverzekeraar controles niet of nog niet heeft uitgevoerd, dan maakt hij een zo nauwkeurig mogelijke kwantificering van de correcties die naar verwachting uit de nog uit te voeren controles zullen voortkomen. Dit neemt de zorgverzekeraar mee als onzekerheid in zijn foutenevaluatie. 8.3 De zorgverzekeraar neemt, na constatering van fouten en onzekerheden, op inzichtelijke wijze in zijn administratie op wat zijn vervolgacties zijn en wat zijn afwegingen voor het instellen van vervolgacties zijn geweest. Onder vervolgacties wordt in ieder geval de terugvordering van onrechtmatig bestede Zvw middelen verstaan. 8.4 De zorgverzekeraar onderneemt toereikende maatregelen ten einde te voorkomen dat een fout nogmaals plaatsvindt. 8.5 De zorgverzekeraar corrigeert tijdig alle door hem of door de accountant geconstateerde fouten in de opgaven. De zorgverzekeraar onderzoekt en kwantificeert tijdig de gevolgen voor de rechtmatige uitvoering van de Zvw van alle onzekerheden over de juistheid van de opgaven. 8.6 De zorgverzekeraar treft, op basis van de evaluatie en afhankelijk van de ernst van de bevindingen, zo nodig maatregelen richting externe partijen. Specifieke bepaling voor fraudeonderzoek 8.7 De zorgverzekeraar neemt op inzichtelijke wijze in zijn administratie per geval van vastgestelde fraude op welke maatregelen hij heeft getroffen. Indien de zorgverzekeraar een maatregel achterwege laat neemt de zorgverzekeraar dit feit op in zijn administratie onder vermelding van de reden waarom geen maatregel is getroffen. 8.8 Bij vermoeden van fraude maakt de zorgverzekeraar melding daarvan bij het Kenniscentrum Fraudebeheersing. 9 Bepalingen over sturing en managementinformatie 9.1 Het bestuur van de zorgverzekeraar is verantwoordelijk voor de goede uitvoering van controleactiviteiten en geeft actief sturing aan de uitvoering van de controles. 9.2 De zorgverzekeraar genereert periodiek managementinformatie waarin informatie wordt opgenomen over de voortgang, resultaten en vervolgacties van de controles. 9.3 De zorgverzekeraar betrekt de managementinformatie, bedoeld in artikel 9.2, bij de uitvoering van zijn controle-activiteiten. De zorgverzekeraar breidt zijn controleactiviteiten uit of scherpt deze aan, als uit de managementinformatie blijkt dat dat nodig is. 10 Intrekken oude regeling Gelijktijdig met de inwerkingtreding van deze regeling wordt de Nadere regel controle en administratie zorgverzekeraars, met kenmerk TH/NR-006, ingetrokken. 11 Toepasselijkheid voorafgaande regeling, bekendmaking, inwerkingtreding, en citeertitel Toepasselijkheid voorafgaande regeling De Nadere regel controle en administratie zorgverzekeraars, met kenmerk TH/NR-006, blijft van toepassing op besluiten en aangelegenheden die hun grondslag vinden in die regeling en die betrekking hebben op de periode waarvoor die regeling gold. Inwerkingtreding / Bekendmaking Artikel I. Deze regeling treedt in werking met ingang van de dag na de datum van uitgifte van de Staatscourant waarin de regeling ingevolge artikel 5, aanhef en onder d, van de Bekendmakingswet wordt geplaatst en werkt terug tot en met 1 januari 2024. De regeling ligt ter inzage bij de NZa en is te raadplegen op www.nza.nl. Citeertitel Deze regeling wordt aangehaald als: Regeling controle en administratie zorgverzekeraars.     TOELICHTING Algemeen Deze toelichting bevat een verantwoording van de regeling controle en administratie zorgverzekeraars (hierna: de regeling). In deze toelichting wordt de doelstelling van de regeling genoemd en geeft de NZa een toelichting op de voorschriften. De toelichting op de voorschriften bevat voorbeelden, die zorgverzekeraars kunnen helpen bij het duidelijk maken van de inhoud van het voorschrift. De NZa wijst erop dat dit voorbeelden zijn. De voorbeelden zijn geen norm op zichzelf en een zorgverzekeraar kan andere mogelijkheden kiezen om de voorschriften van deze regeling na te leven. Grondslag De grondslag van deze regeling is de artikelen 27, 36 en 68 van de Wmg. Artikel 27 Wmg De NZa kan op grond van artikel 27 van de Wmg regels stellen met betrekking tot de controles door zorgverzekeraars. Artikel 36 Wmg De NZa kan op grond van artikel 36 Wmg regels stellen over de administratie van zorgverzekeraars. Accountantsonderzoek (artikel 68 Wmg) De NZa kan op grond van artikel 68 van de Wmg regels stellen inhoudende dat een accountant als bedoeld in artikel 2:393 BW de juistheid van de verstrekte gegevens en inlichtingen bevestigt. In artikel 4.6 van deze Regeling is opgenomen dat de accountant de controles uitvoert met inachtneming van het Protocol onderzoek Zvw. Het Protocol onderzoek Zvw geeft voorschriften voor de controle en het onderzoek naar de opgavenen het Uitvoeringsverslag Zorgverzekeringswet en de accountantsproducten die hieruit voortvloeien. Het Protocol is te raadplegen via www.nza.nl. Waarom deze regeling De NZa houdt toezicht op de rechtmatige uitvoering van de Zvw door de zorgverzekeraars. Het toezicht is gericht op uitvoering van de publiekrechtelijke elementen van de Zvw, zoals de acceptatieplicht van zorgverzekeraars en het verbod op premiedifferentiatie. Voor de uitvoering van de zorgverzekering ontvangen zorgverzekeraars een bijdrage uit het Zorgverzekeringsfonds. Deze bijdrage is bedoeld om zorgverzekeraars te compenseren voor verschillen in het risicoprofiel van hun verzekerdenbestand. Zorgverzekeraars ontvangen een bijdrage alleen voor de kosten die zij hebben moeten maken voor zorg die is verzekerd op grond van de Zvw. Het Zorginstituut Nederland beheert het Zorgverzekeringsfonds en keert de vereveningsbijdragen uit. De bijdragen baseert het Zorginstituut Nederland op gegevens die zorgverzekeraars aanleveren. Dit zijn de opgaven. De zorgverzekeraars zijn gehouden de gegevens die zij moeten aanleveren op grond van de Regeling structurele aanlevering gegevens Zorgverzekeringswet juist en volledig aan te leveren. De regeling heeft tot doel voorwaarden te stellen aan de controles en de administratie, die ten grondslag liggen aan de juistheid en volledigheid van die gegevens. De controles moeten door zorgverzekeraars dusdanig worden uitgevoerd en de administratie moet dusdanig zijn ingericht, dat zorgverzekeraars goede en onderbouwde conclusies kunnen trekken over de juistheid en volledigheid van de gegevens in hun administratie en in de opgaven. Daarbij is het van belang dat zorgverzekeraars in control zijn over hun controleactiviteiten en administratie. De zorgverzekeraar moet daarom zijn organisatie dusdanig inrichten, dat de zorgverzekeraar te allen tijde op efficiënte en effectieve wijze controles kan verrichten. Ten aanzien van de voorschriften over de administratie is het van belang dat het voor de zorgverzekeraar en de toezichthouder mogelijk is om inzicht te krijgen in (het verloop van) de controleactiviteiten en de afwegingen die zorgverzekeraars bij de verschillende stappen hebben gemaakt. De voorschriften zien overigens niet alleen op de administratie waarover een zorgverzekeraar moet beschikken ten behoeve van de uitvoering van de controles van declaraties, maar ook over de verzekerdenadministratie, waaronder de administratie die nodig is voor de uitvoering van de zogenoemde wanbetalersregeling. De zorgverzekeraars zijn verantwoordelijk voor de naleving van de voorschriften uit deze regeling. Ook in het geval zij het aanbieden en uitvoeren van zorgverzekeringen hebben belegd bij bijvoorbeeld een volmacht. Principle based De NZa streeft naar een wijze van toezicht die meer ‘principle based’ is. Principle based houdt kort gezegd in dat het gewenste gedrag wordt bevorderd door de nadruk te liggen op de (achterliggende) principes en niet middels gedetailleerde regelgeving. De NZa wil minder tot in detail voorschrijven hoe controles moeten worden uitgevoerd, maar daar waar mogelijk meer vanuit het doelbereik, waarbij de normen wel duidelijk en transparant zijn. De voorschriften van deze regel zijn daarom deels open geformuleerd. Open normen geven de zorgverzekeraar de vrijheid om zijn eigen afwegingen te maken en zijn administratie in te richten en controles uit te voeren op een manier die voor hem het meest efficiënt en effectief is. Het uitgangspunt voor de NZa is of de zorgverzekeraar de juistheid en volledigheid van de administratie en de opgaven kan borgen. Daarbij toetst de NZa niet alleen op procesniveau maar ook aan de hand van concrete casuïstiek. Als zorgverzekeraars onzekerheid ervaren over de vraag of de wijze waarop zij hun controles uitvoeren wel voldoende toereikend is om het beoogde doel te realiseren, kunnen zij zich richten tot de NZa. Handhaving De NZa houdt toezicht op de naleving van de voorschriften uit deze regeling. Daarbij kan de NZa accenten leggen. Zij toetst niet integraal of alle onderdelen van de regeling worden nageleefd, maar kan zich richten tot specifieke onderdelen. De NZa heeft verschillende instrumenten om naleving af te dwingen, zoals de aanwijzing, de last onder dwangsom en de bestuurlijke boete. Artikelsgewijze toelichting Hierna wordt voor zover nodig per artikel(lid) een toelichting gegeven. Artikel 1 In artikel 1 staan definities weergegeven. In artikel 1.19 hanteert De NZa een definitie van een signaal. In het kader van deze regeling is de definitie van een signaal toegespitst op de uitvoering van de Zvw als ook zorgverzekeringen. Signalen kunnen overal vandaan komen en betrekking hebben op onrechtmatig declareren door zorgaanbieder, verzekeringsfraude, fraude door medewerkers van de zorgverzekeraar, ongepast gebruik, en nog veel meer. De definitie moet dan ook ruim worden opgevat. Signalen betrekt de zorgverzekeraar in zijn controleactiviteiten, onder andere zijn risicoanalyse. Artikel 4 Artikel 4.1 geeft aan dat de zorgverzekeraar de rechtmatigheid van declaraties moet controleren en met welk doel de zorgverzekeraar die controles moet verrichten. In artikel 4.2 is bepaald dat de zorgverzekeraar controles uitvoert om de juistheid en volledigheid van de verzekerdenadministratie en de specifieke opgaven over de verzekerden te waarborgen. De waarborg van een juiste en volledige verzekerdenadministratie is van belang voor zowel de rechtmatigheid van de declaraties als voor de specifieke opgaven over de verzekerden. Voor de specifieke opgaven over de verzekerden wordt verwezen naar het Handboek zorgverzekeraars. De specifieke opgaven over de verzekerden zijn conform artikel 4.6 opgenomen in de Regeling structurele aanlevering gegevens Zvw. Voor de invulling van de juiste en volledige verzekerdenadministratie is een toereikende organisatie en toereikende controle van belang. Hierbij kan gedacht worden aan controle op de juistheid en actualiteit van de verzekerdengegevens, onder andere door toetsing aan en signalen uit ‘Basisadministratie Persoonsgegevens en Reisdocumenten’. Bij de controle op declaraties verwerkt de zorgverzekeraar persoonsgegevens. De grondslag voor de verwerking van deze persoonsgegevens is gelegen in artikel 87, Zvw juncto hoofdstuk 7 van de Rzv. In artikel 4.4 is opgenomen dat bij de uitvoering van de controleactiviteiten de zorgverzekeraar de wettelijke voorschriften over de verwerking van persoonsgegevens in acht neemt, als ook in het bijzonder hoofdstuk 7 van de Rzv. Het gaat daarbij onder meer om de voorschriften van de Wet bescherming persoonsgegevens (Wbp). Voor de definitie van verwerking van persoonsgegevens moet aansluiting worden gezocht bij de definitie van verwerking van persoonsgegevens van artikel 1, van de Wbp. Op grond van die bepaling wordt onder verwerking ook het verstrekken van informatie verstaan. Artikel 4.4 beoogt daarmee ook bijvoorbeeld dat de zorgverzekeraar borgt dat bij het verstrekken van persoonsgegevens aan de toezichthouder, die verstrekking voldoet aan de vereisten die onder meer de Wbp daaromtrent stelt. De regeling stelt naast voorschriften voor alle controleactiviteiten ook specifieke voorschriften voor één of meerdere controleactiviteiten. In artikel 4.5 is dit voor de duidelijkheid benoemd. Dit onderscheid komt mede voort uit het gegeven dat hoofdstuk 7 van de Rzv verschillende vereisten bevat voor de uitvoering van formele controles, materiele controles en fraudeonderzoek, waaronder detailcontrole. Artikel 5 De zorgverzekeraar moet beschikken over een gedegen organisatie en administratie, om de goede uitvoering van controleactiviteiten te kunnen borgen. Niet alleen betekent dit dat de zorgverzekeraar moet beschikken over voldoende capaciteit, ook moet hij zorgdragen voor kennis en kunde op het gebied van controles. In artikel 5.1, 5.2 en 5.4 zijn hierover voorschriften gesteld. Omdat in zijn algemeenheid niet kan worden voorgeschreven wat toereikend is, wat tijdig is, of wat voldoende is, zal naar gelang de specifieke feiten en omstandigheden van de situatie de zorgverzekeraar een inschatting moeten maken en daar naar handelen. Daar geldt als uitgangspunt dat de zorgverzekeraar kan voldoen aan de bepalingen in deze regeling en, indien nodig, tijdig kan bijsturen zodat de controledoelen worden bereikt. Zijn overwegingen en afwegingen moet de zorgverzekeraar inzichtelijk maken. Dit is geregeld in artikel 5.3. Onder een toereikende organisatie verstaat de NZa de wijze waarop de zorgverzekeraar zijn controlefunctie vormgeeft. Bijvoorbeeld dat de zorgverzekeraar beschikt over een separate controleafdeling en een administratiesysteem dat de uitvoering van controleactiviteiten ondersteunt. Ook dat de controleafdeling wordt voorzien van adequate informatie om controles te kunnen uitvoeren, zoals bijvoorbeeld informatie van de afdeling zorginkoop. De zorgverzekeraar borgt dat er bij de uitvoering van de controleactiviteiten voldoende functiescheiding aanwezig is tussen de controleafdeling en zorginkoop. Onder tijdig bijsturen verstaat de NZa dat de zorgverzekeraar actief de uitvoering van de controles monitort. Als de zorgverzekeraar constateert dat hij zijn controledoel niet kan bereiken scherpt hij zijn controles aan of breidt hij deze uit. Ook als lopende het jaar signalen binnenkomen over mogelijke onrechtmatigheden neemt hij dit mee in zijn controleactiviteiten. Onder voldoende deskundigheid verstaat de NZa bijvoorbeeld dat de zorgverzekeraar beschikt over een coördinator fraudebestrijding, die beschikt over de benodigde competenties om onrechtmatigheden op te sporen en zelfstandig fraudeonderzoeken in te stellen. In artikel 5.4 is opgenomen dat de zorgverzekeraar zorg draagt voor voldoende deskundigheid ten behoeve van een goede uitoefening van zijn controleactiviteiten. Onder ‘goede’ uitoefening van controleactiviteiten verstaat de NZa dat de gegevens die de zorgverzekeraar opneemt in zijn administratie en de opgaven die hij doet juist en volledig moeten zijn. Daarbij voldoet de zorgverzekeraar in ieder geval aan de voorwaarden opgenomen in deze regeling. Artikel 6 Artikel 6 bevat voorschriften over de wijze waarop de zorgverzekeraar de aanpak van zijn controles bepaalt. Het onderscheid tussen algemeen en specifiek voor zowel de risicoanalyse als het controleplan is in artikelen 6.8 en 6.9 onder de specifieke bepalingen voor de materiële controle en fraudeonderzoek opgenomen. Dit is gedaan omdat dit onderscheid volgt uit de Rzv. Waar in de artikelen 6.1 tot en met 6.7 van deze regeling gesproken wordt over risicoanalyse en controleplan, geldt het onderscheid niet. Artikelen 6.1 tot en met 6.7 zijn van toepassing op de controle-aanpak voor alle controle-activiteiten. In artikel 6.1 zijn voorschriften gesteld over de risicoanalyse. Deze moet van voldoende reikwijdte en diepgang zijn. Dit is nader uitgewerkt in artikel 6.2. De ‘bronnen’ die daarin zijn genoemd zijn niet limitatief bedoeld. De genoemde bronnen kan de zorgverzekeraar eveneens aanwenden om zijn gemaakte risicoanalyse aan te scherpen, dan wel de uitvoering van controles bij te sturen. In artikel 6.5 is opgenomen dat de zorgverzekeraar dient te beschikken over een controleplan. In dit plan beschrijft de zorgverzekeraar de uitvoering van controles. Dit plan is gebaseerd op een risicoanalyse. Uitgangspunt van dit voorschrift is dat het controleplan up-to-date moet zijn. De zorgverzekeraar kan een nieuw plan maken, maar ook een bestaand plan actualiseren. Omdat de verschillende controles verschillende doorlooptijden hebben, schrijft de NZa niet voor op welk moment exact het controleplan opgesteld moet zijn. Uitgangspunt is dat voorafgaand aan de uitvoering van de betreffende controle, de zorgverzekeraar zijn plan moet hebben opgesteld, dan wel hebben geactualiseerd. In artikel 6.6 is opgenomen dat de zorgverzekeraar in het controleplan beschrijft op welke wijze en met toepassing van welke instrumenten hij het controledoel zal realiseren. Onder instrumenten verstaat de NZa onder andere data-analyse. De NZa verwacht dat de zorgverzekeraar declaratiebestanden analyseert met daarvoor ontwikkelde tools en hierop actie onderneemt. Deze vorm van analyse wordt ook wel datamining genoemd. Het gaat daarbij niet alleen om het analyseren van reeds bekende patronen, maar ook dat wordt gezocht naar onbekende patronen (de zogenoemde blanco detectie). In artikel 6.6 is aangegeven dat de zorgverzekeraar inzicht dient te geven of en op welke wijze er op geprogrammeerde controles gesteund wordt. De NZa vindt het belangrijk dat er op de geautomatiseerde omgeving gesteund wordt. Het is aan de zorgverzekeraar om te bepalen op welke wijze hij gebruik maakt van geautomatiseerde declaratieverwerking en geprogrammeerde controles. Ook interne fraude moet de zorgverzekeraar meenemen in zijn risicoanalyse en controleplan. Om dat duidelijk te maken is een verplichting ter zake opgenomen in artikel 6.12. Artikel 7 Artikel 7 bevat voorschriften over de uitvoering van controleactiviteiten. Op grond van artikel 7.1 moet de zorgverzekeraar zijn controleplan tijdig uitvoeren. Een zorgverzekeraar stelt gedurende het jaar meerdere opgaven over verschillende verantwoordingsjaren op. Onder tijdig wordt verstaan dat de zorgverzekeraar bij de planning en uitvoering van de controle activiteiten rekening houdt met het verantwoordingsjaar van de opgaven. Artikel 7.2 staat toe dat de zorgverzekeraar afwijkt van zijn controleplan. Omstandigheden kunnen daartoe aanleiding geven. Wel is het dan van belang dat de zorgverzekeraar op voldoende wijze inzichtelijk maakt wat de overwegingen zijn die hebben geleid tot de afwijking en wat het gevolg daarvan is, door de afwijking te kwantificeren. In artikel 7.6 wordt voor de verantwoording van transformatiemiddelen verwezen naar het verantwoordingskader voor de transformatiemiddelen. Voor transformatiemiddelen geldt een afwijkend verantwoordingskader. De NZa beoordeelt aan de hand van het verantwoordingskader of de transformatiemiddelen plausibel zijn. Indien dat het geval is kunnen die kosten in de risicoverevening worden ingebracht. Artikel 8 In artikel 8 zijn voorschriften opgenomen over acties die de zorgverzekeraar moet nemen nadat hij zijn controles heeft uitgevoerd. Daarnaast bevat het artikel voorschriften over de uitvoering van de foutenevaluatie. In artikel 8.1 is de bepaling opgenomen dat fouten in absolute zin moeten worden opgevat. Het is niet toegestaan dat de zorgverzekeraar positieve en negatieve bevindingen tegen elkaar wegstreept. In artikel 8.2 is opgenomen wat de zorgverzekeraar moet doen in de situatie dat controles niet of nog niet zijn uitgevoerd. De zorgverzekeraar moet de correcties kwantificeren die naar verwachting uit de nog uit te voeren controles zullen voortkomen. De zorgverzekeraar moet zijn raming zo nauwkeuring mogelijk doen. De NZa vindt het van belang dat een vervolg wordt gegeven aan de uitkomsten van controles. In artikel 8.3 is dit bepaald. De NZa heeft er voor gekozen geen lijst op te nemen met mogelijke vervolgacties, maar heeft bepaald dat de zorgverzekeraar in ieder geval onrechtmatig bestede middelen moet terugvorderen. In artikel 8.4 is voorts bepaald dat de zorgverzekeraar toereikende maatregelen moet treffen om te voorkomen dat de fout nogmaals plaatsvindt. Onder toereikende wordt verstaan maatregelen die als resultaat hebben dat de onrechtmatigheid niet nogmaals zal plaatsvinden. In artikel 8.6 is bepaald dat de zorgverzekeraar zo nodig maatregelen neemt richting externe partijen. Dit betekent bijvoorbeeld dat de zorgverzekeraar actie onderneemt richting een zorgaanbieder, of een verzekerde. Bijvoorbeeld door de overeenkomst aan te passen of op te zeggen, of een terugvorderingsactie in te stellen. Ook het doen van een melding bij de NZa valt onder artikel 8.6. De NZa schrijft niet voor welke maatregel in welke omstandigheden jegens welke partij moet worden ondernomen. Dit is afhankelijk van de omstandigheden van het geval en het is aan de zorgverzekeraar om te beoordelen welke maatregel het meest geëigend is. Het uitgangspunt van het voorschrift gegeven in artikel 8.7 is dat de zorgverzekeraar actie moet ondernemen en dit op inzichtelijke wijze in zijn administratie moet opnemen. Omstandigheden kunnen echter zo zijn dat de zorgverzekeraar afziet van (verdere) maatregelen. Als dat het geval is, dan neemt de zorgverzekeraar die overweging op in zijn administratie en vermeldt hij de reden waarom geen (verdere) maatregelen zijn getroffen. Daarnaast is in artikel 8.8 bepaald dat de zorgverzekeraar, conform de afspraken gemaakt in het Convenant aanpak verzekeringsfraude, bij vermoeden van fraude melding daarvan maakt bij het Kenniscentrum Fraudebestrijding. Artikel 9 In artikel 9 is bepaald dat het bestuur van de zorgverzekeraar voor de NZa het aangrijpingspunt is voor de naleving van de voorschriften uit deze regeling. Het bestuur van de zorgverzekeraar is verantwoordelijk voor de goede uitvoering van controles en de inrichting van de administratie. In artikel 9.1 is verder bepaald dat het bestuur van de zorgverzekeraar actief sturing geeft aan de uitvoering van controles. Om ervoor te zorgen dat het bestuur op de hoogte is van en actief sturing kan geven aan de uitvoering van de controleactiviteiten (de organisatie, de controleaanpak, de uitvoering, het resultaat en vervolgacties) is in artikel 9.2 opgenomen dat de zorgverzekeraar moet voorzien in het genereren van managementinformatie. Dit laat onverlet dat daarnaast ook andere manieren van informatiedeling mogelijk is. Artikel 9.3 stelt buiten twijfel dat de zorgverzekeraar de periodiek gegenereerde managementinformatie bij de uitvoering van zijn controle- activiteiten betrekt. Op basis van de managementinformatie kan de zorgverzekeraar besluiten bijvoorbeeld zijn controles uit te breiden, of zijn zijn risicoanalyse aan te scherpen. De NZa schrijft niet voor wat er precies in de managementinformatie moet worden opgenomen. Van belang is dat de zorgverzekeraar in control is en indien nodig zijn controleactiviteiten kan uitbreiden of aanscherpen. Managementinformatie is daarbij een nuttige instrument.