Se sua empresa oferece um plano de saúde coletivo, você deve ao governo federal um arquivamento todo dia 31 de dezembro que nenhum software de impostos lembra você, nenhum convite de calendário anuncia, e seu corretor pode nunca ter mencionado. Ele é chamado de Atestação de Conformidade com a Proibição de Cláusulas de Sigilo, e perdê-lo pode expor seu plano a ações de fiscalização — incluindo, alertam advogados de benefícios, penalidades de até US$ 100 por dia por indivíduo afetado.
A boa notícia: para muitos pequenos empregadores, o arquivamento leva minutos, e se seu plano for totalmente segurado, sua seguradora já pode estar cuidando disso. A má notícia: "pode" está fazendo muito trabalho pesado aí. Este guia explica o que é a atestação, quem realmente precisa apresentar, o que seus fornecedores farão e não farão por você, e a lista de verificação para concluí-lo antes do prazo de final de ano.
O que a Proibição de Cláusulas de Sigilo Realmente Exige
A regra vem da Seção 201 das disposições de transparência na Lei de Apropriações Consolidadas de 2021. Agora está codificada em três lugares paralelos — Seção 9824 do Código da Receita Interna, Seção 724 do ERISA e Seção 2799A-9 da Lei de Serviços de Saúde Pública — o que é a maneira do governo federal garantir que a regra alcance quase todos os planos de saúde coletivos, independentemente de como são financiados ou regulamentados.
A proibição em si é direta. Um plano de saúde coletivo ou emissor de seguro de saúde não pode celebrar um acordo com um prestador de serviços de saúde, uma rede ou associação de prestadores, um administrador terceirizado (TPA) ou qualquer outro prestador de serviços que ofereça acesso a uma rede de prestadores se esse acordo, direta ou indiretamente, restringir o plano de fazer três coisas:
- Compartilhar informações específicas de custos ou qualidade de atendimento do prestador com prestadores de referência, o patrocinador do plano, participantes, beneficiários, inscritos ou pessoas elegíveis para inscrição — por meio de uma ferramenta de engajamento do consumidor ou qualquer outro meio.
- Acessar eletronicamente dados de sinistros e encontros não identificados de cada indivíduo coberto, mediante solicitação, em conformidade com as regras de privacidade da HIPAA, GINA e ADA — incluindo, por sinistro, informações financeiras como o valor permitido e outras obrigações financeiras relacionadas a sinistros no contrato do prestador.
- Compartilhar esses dados com um associado de negócios, ou direcionar que sejam compartilhados, novamente em conformidade com as regras de privacidade aplicáveis.
Em termos simples: os contratos entre seu plano de saúde e todos que administram ou prestam assistência sob ele não podem esconder quanto custa o atendimento, impedir você de ver seus próprios dados de sinistros ou impedir você de entregar esses dados ao seu auditor ou consultor. Qualquer termo contratual que faça isso é uma "cláusula de sigilo", e é proibido desde que a lei entrou em vigor.
A atestação anual é como você comprova isso. Planos e emissores devem enviar uma Atestação de Conformidade com a Proibição de Cláusulas de Sigilo (GCPCA) aos Departamentos de Trabalho, Saúde e Serviços Humanos e Tesouro todos os anos, com os Centros de Serviços Medicare e Medicaid coletando os arquivamentos em nome dos três. A primeira atestação venceu em 31 de dezembro de 2023, e todo 31 de dezembro desde então é seu próprio prazo.
Quem Deve Apresentar — e Quem Está Isento
O requisito de atestação se aplica amplamente a planos de saúde coletivos: planos cobertos pelo ERISA, planos eclesiásticos e planos governamentais igualmente, além de emissores de seguro de saúde. O tamanho do plano não importa. Uma empresa de dez pessoas com um plano de saúde coletivo tem a mesma obrigação de arquivamento que uma de dez mil pessoas.
Alguns arranjos estão fora do escopo da regra. Benefícios excetuados (como planos odontológicos ou de visão autônomos), acordos de reembolso de saúde (HRAs) e outros planos baseados em contas não estão sujeitos à proibição de cláusulas de sigilo, então não atestam. Mas se você oferece um plano médico coletivo padrão — totalmente segurado ou autofinanciado — você está no escopo e precisa de um arquivamento que o cubra.
A distinção mais importante é como seu plano é financiado, porque isso decide em quais mãos recai o arquivamento:
Planos totalmente segurados: sua seguradora arquiva, mas verifique. Se uma seguradora médica apresentar uma atestação cobrindo todos os planos médicos segurados que você patrocina, esse arquivamento o isenta de enviar um separado para esses planos. Na prática, a maioria das seguradoras arquiva para seus blocos totalmente segurados. Seu trabalho é obter isso por escrito — uma confirmação da seguradora de que ela arquivou (ou arquivará) em nome do seu plano, mantida com seus registros do plano de benefícios. Uma suposição não é um arquivo de conformidade.
Planos autofinanciados: você arquiva, a menos que um fornecedor cubra todos os acordos. Empregadores autofinanciados — incluindo arranjos de nível financiado, que são planos autofinanciados para fins de conformidade — devem confirmar se seu TPA, gerenciador de benefícios farmacêuticos (PBM) ou outros fornecedores atestarão em nome do plano. Se um fornecedor atestar para todos os acordos do seu plano, você não precisa de um arquivamento separado. Se ele cobrir apenas alguns, você arquiva para o restante; o formulário web do HIOS permite que você selecione exatamente quais programas e contratos você está atestando. E, crucialmente, mesmo quando um fornecedor arquiva por você, a obrigação legal permanece com o plano. Um arquivamento perdido pelo fornecedor é seu arquivamento perdido.
Ofertas mistas precisam de respostas mistas. Se você oferece tanto um plano médico segurado quanto um autossegurado — digamos, médico segurado com um complemento odontológico autofinanciado — a atestação da seguradora cobre apenas a parte segurada. A parte autossegurada precisa de sua própria cobertura, de você ou de um fornecedor disposto a arquivar por ela.
O Que Seu TPA Não Fará por Você
É aqui que pequenos empregadores se perdem. Muitos assumem que o TPA cuida de "toda a conformidade". Para a atestação de cláusula de sigilo, essa suposição falha de várias maneiras específicas.
Muitos TPAs não arquivarão em seu nome de forma alguma. Arquivar exige que o fornecedor se responsabilize pela atestação em um sistema federal sob sua própria conta de entidade de relatório, e muitos TPAs e PBMs simplesmente recusam. O que eles geralmente fornecem em vez disso é uma declaração confirmando que seu contrato com seu plano não contém cláusula de sigilo. Essa carta é evidência útil para seus arquivos — não é um arquivamento. Se nenhum fornecedor arquivar para um determinado acordo, o patrocinador do plano deve.
Os subcontratados do seu TPA também contam. Sob a orientação tri-agencial, seu plano viola a proibição se seu TPA subcontratar a administração da rede ou do plano a um terceiro e esse acordo downstream restringir seu acesso a dados de custo, qualidade ou sinistros. Você atestou seus próprios contratos; a orientação estende a atestação a contratos que você nunca viu. Pergunte diretamente ao seu TPA se seus acordos downstream preservam seus direitos de dados e obtenha a resposta por escrito.
"A nosso critério" é uma cláusula de sigilo. As agências deixaram claro que, se sua capacidade de compartilhar dados de sinistros não identificados com um associado de negócios for deixada ao critério do prestador, rede, TPA ou fornecedor, o contrato é considerado como contendo uma cláusula de sigilo. Fique atento a linguagem discricionária da mesma forma que ficaria a uma proibição total.
Restrições de acesso a auditorias são cláusulas de sigilo disfarçadas. Auditorias de sinistros são como empregadores detectam pagamentos excessivos e verificam se o que o TPA pagou corresponde ao contrato. A orientação lista vários termos de auditoria que cruzam a linha: limitar o acesso a uma fatia "estatisticamente significativa" ou "mínima necessária" de sinistros, restringir o acesso a propósitos limitados, como apenas auditorias, limitar a frequência de revisão (por exemplo, não mais que uma vez por ano), limitar o número ou os tipos de sinistros que você pode ver, remover elementos de dados dos sinistros que você vê ou permitir acesso apenas nas instalações físicas do fornecedor. Se seu acordo de serviços administrativos contiver qualquer um desses, ele precisa ser renegociado — e, enquanto isso, você ainda precisa arquivar.
Sim, Você Arquiva Mesmo Se Seus Contratos Não Estiverem Limpos
Um dos pontos mais mal compreendidos: descobrir uma cláusula de sigilo em seus acordos não o isenta de atestar. Isso muda o que você atesta.
Patrocinadores de planos cujos acordos de serviço contenham termos proibidos ainda devem concluir a atestação pelo HIOS. Na caixa Informações Adicionais na seção Detalhes da Entidade Responsável, você divulga a situação: quais cláusulas proibidas um prestador se recusou a remover, o nome do TPA ou fornecedor envolvido, conduta mostrando que o fornecedor trata o acordo como restringindo seus direitos de dados, evidência de que você solicitou a remoção da cláusula e quaisquer outras medidas que você tomou para conformidade. A caixa de texto é limitada a 1.000 palavras, então seja sucinto — e mantenha a trilha de documentação completa por trás dela em seus próprios registros.
A mensagem a tirar disso é prática, não punitiva: reguladores preferem ver um plano que arquiva honestamente sobre uma disputa com fornecedor a um plano que fica em silêncio. Documente cada solicitação de remoção por escrito, salve cada resposta e arquive no prazo, independentemente.
O Que um Arquivamento Perdido Pode Custar
O CAA em si não especifica uma penalidade específica para pular a atestação. Em vez disso, os FAQs tri-agenciais afirmam que planos e emissores que perderem o prazo "podem estar sujeitos a ações de fiscalização". Advogados de benefícios interpretam isso como abrindo a porta para os esquemas de penalidade padrão: um imposto especial de consumo de até US$ 100 por dia por indivíduo afetado sob a Seção 4980D do Código da Receita Interna, penalidades civis sob o ERISA, ou ambos.
Igualmente preocupante para uma pequena empresa é o que uma atestação ausente sinaliza. Auditorias federais raramente examinam um requisito isoladamente. Um plano que pulou um arquivamento anual que não sabia que existia parece, aos olhos de um auditor, um plano cujo programa de conformidade tem lacunas — e auditores que encontram uma lacuna tendem a continuar procurando. A atestação também é um seguro barato em litígios de ERISA que tocam a administração do plano: uma GCPCA arquivada com um e-mail de confirmação é um anexo de uma página que prova que seu plano levou suas obrigações de transparência a sério.
Mais uma nota prática: o CMS agora envia um e-mail de confirmação reconhecendo o envio bem-sucedido, e o site do HIOS permite que você imprima ou baixe uma cópia do arquivamento. Salve ambos com seus outros registros do plano de benefícios. Um arquivamento que você não consegue comprovar é quase tão bom quanto um arquivamento que você nunca fez.
Sua Lista de Verificação de 31 de Dezembro
Os envios são aceitos pelo HIOS o ano todo, então não há razão para esperar até dezembro. Aqui está a sequência para trabalhar neste outono:
- Inventarie todos os acordos. Liste sua seguradora, TPA, PBM e qualquer outro fornecedor que ofereça acesso a uma rede de prestadores — além de qualquer plano que você patrocine que seja autofinanciado no todo ou em parte. Ofertas mistas precisam de um arquivamento (ou cobertura de fornecedor) para cada parte.
- Faça duas perguntas a cada fornecedor por escrito. Você arquivará a atestação de 2026 em nome do nosso plano, cobrindo todos os nossos acordos com você? E nossos acordos — incluindo seus acordos downstream — contêm algum termo que restrinja nosso acesso a dados de custo, qualidade ou sinistros não identificados? Salve cada resposta.
- Revise os contratos por trás das respostas. Examine seus acordos de serviços administrativos e de rede em busca de linguagem discricionária de compartilhamento de dados e das restrições de acesso a auditoria descritas acima. Sinalize qualquer coisa questionável para seu advogado de benefícios ou corretor agora, não no final de dezembro.
- Arquive o que é seu no HIOS. Para 2026, a atestação cobre o período desde seu último arquivamento até a data deste — por exemplo, um plano que arquivou em 30 de novembro de 2025 e arquiva novamente em 15 de novembro de 2026 atesta de 1º de dezembro de 2025 a 15 de novembro de 2026, com 2026 como ano da atestação. O CMS publica instruções, um manual do usuário e um modelo de entidade responsável em sua página GCPCA; o Marketplace Service Desk responde perguntas por e-mail e telefone.
- Feche o ciclo no papel. Baixe o envio, salve o e-mail de confirmação do CMS e arquive ambos junto com as confirmações dos fornecedores do passo 2. Se um fornecedor se recusou a remover uma cláusula de sigilo, mantenha o histórico de solicitação e resposta com os mesmos registros.
Se você só tomar uma ação deste artigo, faça o passo 2. Os empregadores que se prejudicam com este requisito não são os que têm contratos imperfeitos — são os que assumiram que outra pessoa estava arquivando.
Mantenha Seus Papéis de Conformidade Tão Organizados Quanto Seus Livros
A conformidade de benefícios funciona com a mesma disciplina da contabilidade: cada obrigação precisa de um responsável, um prazo e uma trilha de papel. Confirmações de fornecedores, envios HIOS e notas de revisão de contratos merecem o mesmo lar versionado e pesquisável que seus registros financeiros — porque a auditoria que pede um eventualmente pedirá o outro.
O Beancount.io fornece contabilidade em texto simples que lhe dá total transparência e controle sobre seus dados financeiros — sem caixas-pretas, sem aprisionamento de fornecedor. Comece gratuitamente e veja por que desenvolvedores e profissionais de finanças estão migrando para a contabilidade em texto simples.
