Vervolgonderzoek naar de inrichting van de sleutelfuncties bij
Wlz-uitvoerders
1 Samenvatting
De Nederlandse Zorgautoriteit (NZa) houdt toezicht op de organisaties (Wlz-uitvoerders) die de Wet langdurige
zorg (Wlz) uitvoeren. In ons toezicht letten wij onder andere op de beheerste en integere bedrijfsvoering van
de Wlz-uitvoerders. Daarvoor is het van belang dat de Wlz-uitvoerders de sleutelfuncties risicobeheer,
compliance en interne audit adequaat hebben ingericht. In 2021 onderzochten wij hoe de Wlz-uitvoerders deze
sleutelfuncties hebben ingericht. Wij concludeerden dat alle Wlz-uitvoerders hun sleutelfuncties (op onderdelen)
onvoldoende hadden ingericht. Zij voldeden hierbij (op onderdelen) niet aan algemene governance vereisten en
aan relevante regelgeving. Wij riepen de Wlz-uitvoerders werk te maken van de verbeterpunten en ons uiterlijk
31 december 2021 daarover schriftelijk te informeren. Alle Wlz-uitvoerders hebben hier tijdig opvolging aan
gegeven.
Wij voerden in 2022 vervolgonderzoek uit om vast te stellen in welke mate de Wlz-uitvoerders hun inrichting
van de sleutelfuncties compliance, risicobeheer en interne audit voor de Wlz-uitvoerder hebben verbeterd naar
aanleiding van het onderzoek in 2021. Ook wilden wij vaststellen of deze inrichting in opzet en bestaan voldoet
aan het gestelde in beleidsregel (TH/BR-027) en of de informatie volgens de nadere regeling (TH/NR-015)
beschikbaar is.
Uit documentatie en gesprekken met de Wlz-uitvoerders is gebleken dat alle Wlz-uitvoerders de aanbevelingen
uit het rapport uit 2021 ter harte hebben genomen. Wij complimenteren de Wlz-uitvoerders met de forse
verbeteringen die zij hebben geboekt in de inrichting van hun sleutelfuncties voor de Wlz-uitvoerder. Alle Wlzuitvoerders hebben de interne positionering van de sleutelfunctiehouders in opzet en bestaan op een passend
niveau geregeld. Bij alle Wlz-uitvoerders zijn de sleutelfunctiehouders onafhankelijk gepositioneerd en niet
hiërarchisch ondergeschikt aan andere personen dan beleidsbepalers. Ook hebben alle Wlz-uitvoerders
aangetoond dat er rechtstreekse rapportagelijnen zijn naar de bestuurlijke en toezichthoudende organen binnen
de Wlz-uitvoerder. Een aantal Wlz-uitvoerders hebben de te claimen capaciteit en/of de opzet en vastlegging
van de (interne) uitbesteding van de sleutelfuncties voor de Wlz-uitvoerder nog niet voldoende ingericht.
Drie Wlz-uitvoerders voldoen aan de algemene governance vereisten en aan de regelgeving voor de inrichting
van de sleutelfuncties binnen de Wlz-uitvoerder. De overige zes Wlz-uitvoerders voldoen grotendeels aan de
gestelde eisen en regelgeving. Zij moeten de te claimen capaciteit en/of de opzet en vastlegging van de
(interne) uitbesteding van de sleutelfuncties voor de Wlz-uitvoerder verder verbeteren om ook volledig te
voldoen aan de gestelde eisen. Wij geven de Wlz-uitvoerders hiervoor in dit rapport concrete verbeterpunten
mee.
De NZa heeft er vertrouwen in dat de Wlz-uitvoerders de in dit rapport genoemde verbeterpunten adequaat
zullen oppakken. We verwachten dat door de verbetering van de inrichting van de sleutelfuncties de eigen
verantwoordelijkheid van de Wlz-uitvoerder niet alleen bij de sleutelfunctiehouders beter wordt geborgd, maar
ook dat de werking hiervan zichtbaar zal zijn bij de bestuurlijke en toezichthoudende organen.
De NZa is toezichthouder voor de Wet langdurige zorg. Die wordt uitgevoerd door Wlz-uitvoerders. Deze
maken allemaal deel uit van een concern met een zorgverzekeraar. Zeven van de negen Wlz-uitvoerders zijn
aangewezen als zorgkantoor in één of meer zorgkantoorregio’s. In totaal zijn er 31 zorgkantoorregio’s.
De Wlz-uitvoerders zijn verantwoordelijk voor de inkoop van langdurige zorg, de informatieverstrekking aan
burgers, cliëntondersteuning, zorgbemiddeling, controle van declaraties en betalingsopdrachten aan het CAK.
Deze taken hebben zij overgedragen aan de zorgkantoren, maar de Wlz-uitvoerder blijft hiervoor
verantwoordelijk.
Wij gebruiken de term zorgkantoren als het gaat om de uitvoering van de Wlz in de zorgkantoorregio’s. Wij
spreken over Wlz-uitvoerders als het over de financiële verantwoording van kosten voor de Wlz gaat of over
de wettelijke taken waarvoor zij de eindverantwoordelijkheid dragen (en niet het zorgkantoor).
In dit rapport hebben wij het over Wlz-uitvoerders omdat zij wettelijk eindverantwoordelijk zijn voor een
professionele bedrijfsvoering.

2 Inleiding
2.1 Aanleiding van het onderzoek

In 2021 onderzochten wij hoe de Wlz-uitvoerders hun sleutelfuncties risicobeheer, compliance en interne audit
hebben ingericht (zie rapport Inrichting van de sleutelfuncties bij Wlz-uitvoerders). Wij concludeerden dat alle
Wlz-uitvoerders hun sleutelfuncties (op onderdelen) onvoldoende hadden ingericht als het gaat om algemene
governance vereisten en voldoen aan relevante regelgeving (Beleidsregel TH/BR-027 en Regeling TH/NR-015).
Daarbij constateerden wij dat de sleutelfuncties primair waren ingericht voor de (zorg)verzekeraar binnen de
groep, en niet voor de Wlz-uitvoerder. Wij gaven elke Wlz-uitvoerder in een individuele terugkoppeling
verbeterpunten mee. Wij riepen de Wlz-uitvoerders werk te maken van de verbeterpunten en ons uiterlijk 31
december 2021 daarover schriftelijk te informeren. De bevindingen uit het onderzoek van 2021 en de
ontvangen schriftelijke informatie en documentatie over uitgevoerde verbeteringen door de Wlz-uitvoerders
waren de aanleiding voor dit vervolgonderzoek naar de inrichting van de sleutelfuncties bij Wlz-uitvoerders.
2.2 Belang van het onderzoek
De NZa houdt onder andere toezicht op de beheerste en integere bedrijfsvoering van Wlz-uitvoerders. Hierbij
beoordelen wij of de Wlz-uitvoerder voldoet aan de vereisten uit artikel 4.1.1 Besluit langdurige zorg. Wij
hebben deze vereisten nader uitgewerkt in de Beleidsregel toetsing eisen Wlz-uitvoerderschap (TH/BR-027) en
de Regeling informatieverstrekking aanmelding en wijzigingen Wlz-uitvoerderschap (TH/NR-015).
De Wlz-uitvoerder is verplicht ondergebracht in een eigen rechtspersoon binnen de groep waartoe ook één of
meer zorgverzekeraars behoren. De bedrijfsvoering van de Wlz-uitvoerder moet aantoonbaar zijn afgescheiden
van de zorgverzekeraar. Deze eigen bedrijfsvoering van de Wlz-uitvoerder moet voldoen aan de normen voor
een beheerste en integere bedrijfsvoering en onder de leiding staan van het bestuur van de Wlz-uitvoerder.
Wij verwachten, als onderdeel van de beheerste en integere bedrijfsvoering, dat de Wlz-uitvoerders de
sleutelfuncties risicobeheer, compliance en interne audit adequaat hebben ingericht. De sleutelfuncties hebben
een controlerende en soms ook adviserende rol. Zij moeten tegenkracht kunnen bieden aan de
bedrijfsonderdelen die belast zijn met de uitvoerende werkzaamheden van de Wlz-uitvoerder. Adequate
inrichting houdt in dat de Wlz-uitvoerder borgt dat de sleutelfunctiehouders hun werkzaamheden op een
objectieve en onafhankelijke wijze kunnen uitvoeren. Hierbij is het belangrijk dat de sleutelfunctiehouders geen
uitvoerende werkzaamheden uitvoeren (adequate functiescheiding). Ook moeten zij toegang hebben tot alle
informatie die zij nodig hebben om hun werkzaamheden goed uit te voeren. Sleutelfunctiehouders moeten
daarbij direct kunnen rapporteren (directe rapportagelijnen) aan het bestuur en in voorkomende gevallen aan
het toezichthoudend orgaan. Wij verwachten dat de Wlz-uitvoerders voornoemde inrichting met daarin de
taken, verantwoordelijkheden en bevoegdheden van de sleutelfuncties ten behoeve van de Wlz-uitvoerder
schriftelijk vastleggen (artikel 5 Beleidsregel TH/BR-027).
Als werkzaamheden van de Wlz-uitvoerder worden verricht door (medewerkers van) een andere rechtspersoon,
is er sprake van uitbesteding door de Wlz-uitvoerder. Dit is ook het geval als deze andere rechtspersoon
onderdeel van de eigen groep is. Hierbij is het belangrijk dat het bestuur van de Wlz-uitvoerder afspraken
maakt met de rechtspersoon aan wie de werkzaamheden worden uitbesteed (uitbestedingspartij). Het gaat
hierbij om afspraken over welke werkzaamheden worden uitbesteed en de capaciteit die nodig is om de
werkzaamheden uit te voeren. Maar ook over de wijze waarop informatie wordt uitgewisseld en de wijze
waarop de Wlz-uitvoerder toezicht houdt op de uitvoering van de werkzaamheden door de uitbestedingspartij
(artikel 8 Beleidsregel TH/BR-027). Wij vinden het belangrijk dat deze afspraken afdwingbaar zijn en schriftelijk
worden vastgelegd. Afdwingbare afspraken doen recht aan de eigen verantwoordelijkheid van de Wlzuitvoerder voor de uitvoering van deze werkzaamheden. Daarnaast kan de Wlz-uitvoerder met afdwingbare
afspraken waarborgen dat zijn belangen niet worden afgewogen tegen de belangen van andere rechtspersonen
binnen de groep.

3 Opzet van het onderzoek
3.1 Doel van het onderzoek
In dit vervolgonderzoek wilden wij vaststellen:
1.
2.

In welke mate de Wlz-uitvoerders hun inrichting van de sleutelfuncties compliance, risicobeheer en
interne audit voor de Wlz-uitvoerder hebben verbeterd naar aanleiding van het onderzoek in 2021;
Of deze inrichting in opzet en bestaan voldoet aan het gestelde in beleidsregel (TH/BR-027) en of de
informatie volgens de nadere regeling (TH/NR-015) beschikbaar is.

3.2 Reikwijdte van het onderzoek

Wij hebben voor dit vervolgonderzoek aangesloten bij de reikwijdte van het onderzoek uit 2021. Dat houdt in
dat het vervolgonderzoek zich uitsluitend richt op de opzet en het bestaan van (de inrichting van) de
sleutelfuncties compliance, risicobeheer en interne audit bij de Wlz-uitvoerders. Het onderzoek is gebaseerd op
de situatie zoals geschetst in de door de Wlz-uitvoerders in december 2021 aangeleverde documenten. In dit
onderzoek is evenals in het onderzoek uit 2021 de werking van de sleutelfuncties bij de Wlz-uitvoerders niet
beoordeeld. In dit rapport worden dan ook wederom geen bevindingen over de werking van de sleutelfuncties
weergegeven.
3.3 Methode van onderzoek
In het onderzoek van 2021 gaven wij elke Wlz-uitvoerder in een individuele rapportage verbeterpunten. Wlzuitvoerders konden verbeteringen doorvoeren op geconstateerde tekortkomingen. Zij konden relevante
documenten en informatie ter onderbouwing van de doorgevoerde verbeteringen uiterlijk voor 31 december
2021 aan de NZa overleggen.
De NZa beoordeelde deze stukken aan de hand van dezelfde (sub)normen uit het onderzoek van 2021. Wij
legden de bevindingen voor elke Wlz-uitvoerder schriftelijk vast in een voorlopige individuele rapportage. De
voorlopige individuele rapportages deelden wij met de Wlz-uitvoerders. In individuele gesprekken met alle Wlzuitvoerders lichtten wij de voorlopige bevindingen toe. Wlz-uitvoerders konden nadere toelichting geven op de
aangeleverde documenten. Zij konden aangeven waar voorlopige bevindingen naar hun mening onjuist waren
en konden reageren op de voorlopige bevindingen en/of onze toelichting. Na het gesprek konden Wlzuitvoerders, waar mogelijk, nieuwe aanvullende documentatie aanleveren ter onderbouwing van hetgeen was
besproken.
De NZa beoordeelde de informatie uit het gesprek en de aangeleverde aanvullende documentatie in het licht
van de in december 2021 aangeleverde documentatie. Waar van toepassing pasten wij de voorlopige
bevindingen in de individuele rapportages aan. Op basis van deze individuele rapporten stelden wij dit
overkoepelende rapport op met de voorlopige bevindingen voor alle Wlz-uitvoerders.
De individuele rapporten en het overkoepelende rapport deelden wij voor formele hoor-wederhoor met de Wlzuitvoerders. Wlz-uitvoerders konden schriftelijk aangeven waar voorlopige bevindingen feitelijk onjuist zouden
zijn en konden aanvullende documentatie ter onderbouwing aanleveren. De NZa beoordeelde de schriftelijke
reacties en aanvullende documentatie in het licht van de eerder aangeleverde documentatie en/of informatie.
Waar relevant pasten wij de bevindingen in de individuele rapportages en het overkoepelende rapport aan en
stelden wij de rapporten vast.

4 Bevindingen
In dit hoofdstuk geven wij een overzicht van onze bevindingen uit het vervolgonderzoek. Wij baseren onze
bevindingen op de in december 2021 aangeleverde documentatie, de informatie uit de gesprekken met de Wlzuitvoerders en daarbij aangeleverde aanvullende documentatie en de schriftelijke reacties met aanvullende
documentatie uit de formele hoor-wederhoor. Wij beperken ons tot de belangrijkste bevindingen. Nadere
bevindingen kunnen nog in direct contact met individuele Wlz-uitvoerders aan de orde komen.
In dit hoofdstuk houden wij voor de vergelijkbaarheid dezelfde indeling aan als in het rapport uit 2021:
1.
2.
3.
4.
5.

Borging van de drie sleutelfuncties en charters ten behoeve van de Wlz-uitvoerder (paragraaf 4.1);
Aanwijzen van sleutelfunctiehouders voor de sleutelfuncties en het borgen van voldoende capaciteit
van de sleutelfuncties ten behoeve van de Wlz-uitvoerder (paragraaf 4.2);
Uitbesteding van werkzaamheden van de sleutelfuncties binnen de groep waarvan de Wlz-uitvoerder
deel uitmaakt (paragraaf 4.3);
Onafhankelijke positionering van de sleutelfuncties en het borgen van duidelijke, evenwichtige en
adequate verdeling van taken, bevoegdheden en verantwoordelijkheden (paragraaf 4.4);
Samenvattend overzicht van de bevindingen (paragraaf 4.5).

Wij drukken daarbij de bevindingen uit in hetzelfde kleurenschema (tabel 1) als gebruikt in het onderzoek uit
2021.
Tabel 1

De inrichting van de sleutelfuncties voor de Wlz-uitvoerder voldoet (op dit onderwerp) aan het gestelde in beleidsregel
(TH/BR-027) en de daarvoor verwachte informatie uit de nadere regeling (TH/NR-015) is beschikbaar.
De inrichting van de sleutelfuncties voor de Wlz-uitvoerder voldoet (op dit onderwerp) ten dele aan het gestelde in
beleidsregel (TH/BR-027) en/of de daarvoor verwachte informatie uit de nadere regeling (TH/NR-015) is ten dele
beschikbaar.
De inrichting van de sleutelfuncties voor de Wlz-uitvoerder voldoet (op dit onderwerp) niet aan het gestelde in
beleidsregel (TH/BR-027) en/of de daarvoor verwachte informatie uit de nadere regeling (TH/NR-015) is niet
beschikbaar.

4.1 Borging sleutelfuncties en charters ten behoeve van Wlz-uitvoerder
Norm
Op grond van artikel 5 van Beleidsregel TH/BR-027 moeten Wlz-uitvoerders ten minste de functies risicobeheer,
compliance en interne audit hebben geborgd. Wlz-uitvoerders moeten daarbij beleid opstellen over de taken,
verantwoordelijkheden en bevoegdheden van deze functies. De sleutelfuncties compliance en risicobeheer
voeren hun werkzaamheden onafhankelijk uit van interne audit. Alle sleutelfuncties moeten onafhankelijk zijn
van de bedrijfsonderdelen die belast zijn met de uitvoerende werkzaamheden van de Wlz-uitvoerder.
Sleutelfunctiehouders kunnen op ieder moment en zonder tussenkomst van derden rapporteren aan het bestuur
of het toezichthoudend orgaan van de Wlz-uitvoerder.
Bevindingen
In dit vervolgonderzoek zien we dat Wlz-uitvoerders deze normen beter naleven dan in het onderzoek van
2021. Alle Wlz-uitvoerders hebben beleid voor (de borging van) de sleutelfuncties opgesteld en aangeleverd. De
basis voor het beleid van de Wlz-uitvoerder is veelal opgenomen in de charters van de betreffende
sleutelfuncties. Voor Stichting Wlz-uitvoerder Zorg en Zekerheid (hierna Zorg en Zekerheid), Salland
Zorgkantoor B.V. (hierna Salland) en Stichting Zorgkantoor Menzis (hierna Menzis) werken de compliance- en
risicobeheerfunctie gecombineerd. Die combinatie is mogelijk en kan passend zijn. Voor kleinere organisaties
kan het een doelmatigheidsvoordeel opleveren, maar ook inhoudelijke keuzes kunnen een rol spelen.
Afhankelijk van de eigen visie op compliance of risicobeheer kan een combinatie van deze sleutelfuncties
meerwaarde bieden. Hiertoe maakt de Wlz-uitvoerder een beargumenteerde keuze en legt deze vast. Bij de
beoordeling van de inrichting wegen wij deze argumentatie mee. In dit onderzoek deden zich hierin geen
bijzonderheden voor.
In alle overgelegde documenten voor dit vervolgonderzoek is opgenomen dat hun reikwijdte ook de uitvoering
van de Wlz betreft. Wij vinden het positief te zien dat Wlz-uitvoerders zich binnen die reikwijdte richten naar de
bijzondere kenmerken van de Wlz en wat die betekenen voor de werkzaamheden van de Wlz-uitvoerder. De
Wlz-uitvoerders verwerken hiermee de specifieke aandacht voor de Wlz als op zichzelf staande taak in de
borging van de sleutelfuncties.
Wij hebben in het rapport van het onderzoek van 2021 niet uitgewerkt op welke wijze charters moeten worden
toegespitst. Dat laat ruimte voor eigen interpretatie, maar zorgt ook voor onduidelijkheid bij de Wlzuitvoerders. Het heeft onze voorkeur dat Wlz-uitvoerders dit beleid in één document vastleggen. We zien in
enkele gevallen dat Wlz-uitvoerders de beleidsuitgangspunten hebben uitgewerkt in meerdere documenten die
in samenhang moeten worden bekeken. Wij begrijpen dat deze uitwerkingen hebben geleid tot meerdere
documenten in dit vervolgonderzoek, gelet op de eerdergenoemde onduidelijkheden. Zo hebben de complianceen risicobeheerfunctie van VGZ Zorgkantoor B.V. (hierna VGZ) samen, naast een algemeen charter voor de
hele groep, eigen afspraken gemaakt met de Wlz-uitvoerder. Daarin is de gevraagde toespitsing zichtbaar
gemaakt. Bij Zorg en Zekerheid blijkt dat door het opnemen van een afzonderlijk hoofdstuk in haar
risicobeheerbeleid over niet-financiële risico’s, met daarbinnen een paragraaf over de Wlz. Zilveren Kruis
Zorgkantoor N.V. (hierna Zilveren Kruis) heeft de generieke en specifieke werkzaamheden van de compliance
en risicobeheerfunctie in kolommen weergegeven. Anderen, zoals Zorgkantoor DSW B.V. (hierna DSW), nemen
een afzonderlijke opdracht op om kritieke risico’s binnen de Wlz-uitvoerder te identificeren.
Tabel 2
Borging sleutelfuncties en
charters ten behoeve van
Wlz-uitvoerder
C harters van toepassing op Wlzuitvoerder
C harters allen volledig
toegespitst op Wlz/Wlzuitvoerder

ASR

CZ

DSW

Menzis

ONVZ

Salland

VGZ

Zilveren
Zorg en
Kruis
Zekerheid

4.2 Sleutelfunctiehouders aangewezen en capaciteit sleutelfuncties geborgd
Norm
Op grond van artikel 8 en 9 van de Regeling TH/NR-015 moeten Wlz-uitvoerders de sleutelfuncties hebben
geborgd. Ook moeten zij eindverantwoordelijken voor deze sleutelfuncties (sleutelfunctiehouders) hebben
aangewezen en gemeld bij de NZa. Daarnaast moeten Wlz-uitvoerders de inrichting van de sleutelfuncties
beschrijven, inclusief de hieraan ten grondslag liggende overeenkomsten.
De wetgever heeft bij de totstandkoming van de Wlz nadrukkelijk gekozen voor zelfstandige
verantwoordelijkheden binnen (de rechtspersoon van) de Wlz-uitvoerder. Eén van de motieven hiervoor was
dat het uitvoeren van de Wlz, als publiekrechtelijke voorziening, voor zorgverzekeraars een verboden
nevenbedrijf is. Dat maakte het noodzakelijk om de uitvoerende organisaties (de Wlz-uitvoerders) af te
scheiden van de zorgverzekeraars.
De Wlz-uitvoerder moet dan ook zijn belangen en risico’s op zichzelf staand behartigen en beheersen. Deze
mogen niet vermengd worden met belangen of risico’s van andere rechtspersonen binnen de groep. Hiertoe
moeten bestuurders van de Wlz-uitvoerder afspraken maken over de beschikbare capaciteit (zowel in tijd als in
kwaliteit) die de sleutelfunctiehouders voor de Wlz-uitvoerder inzetten. Dit bouwt waarborgen in voor
bestuurders én sleutelfunctiehouders in hun hoedanigheid binnen de Wlz-uitvoerders. Het bepalen van de
noodzakelijke capaciteit is afhankelijk van enerzijds de aard, omvang en complexiteit van de organisatie.
Anderzijds is het afhankelijk van de ontwikkelingen in de tijd. Wij hebben daarom in de beoordeling van dit
onderdeel gekeken naar de samenhang tussen door de Wlz-uitvoerder aangeleverde documentatie en
informatie. Die kan, zoals hiervoor beschreven, bestaan uit het geheel van generieke (beleids)documenten en
concrete (jaar)plannen. Ter borging is het daarbij wezenlijk dat de Wlz-uitvoerder zelfstandige sturing kan
geven aan de in te zetten capaciteit, ongeacht de keuzes van de zorgverzekeraar of andere rechtspersonen
binnen de groep.
Bevindingen
In dit vervolgonderzoek zien wij dat Wlz-uitvoerders zich duidelijk hebben verbeterd in de zichtbare
positionering van de sleutelfunctiehouders. Uit de overgelegde informatie en documentatie blijkt duidelijk hoe
de Wlz-uitvoerders de formele aansturing van de sleutelfuncties vanuit het bestuur hebben vormgegeven. De
Wlz-uitvoerders die bij het onderzoek van 2021 de sleutelfunctiehouders binnen de Wlz-uitvoerder nog niet bij
ons hadden gemeld, hebben dit inmiddels gedaan.
Ook zien wij verbeteringen in de borging van afdoende capaciteit van iedere sleutelfunctie voor de Wlzuitvoerder. Wij zien echter duidelijke verschillen tussen de Wlz-uitvoerders. Bij een aantal Wlz-uitvoerders zijn
nog verdere verbeteringen nodig. Op ONVZ Langdurige Zorg B.V. (hierna ONVZ) en CZ Zorgkantoor B.V.
(hierna CZ) na zien wij dat de Wlz-uitvoerders betere afspraken maken over de noodzakelijke capaciteit die de
sleutelfuncties inzetten dan bij het onderzoek uit 2021. Dat is passend, want alle sleutelfuncties van de Wlzuitvoerders zijn ook verantwoordelijk voor de groep waar de Wlz-uitvoerder deel van uitmaakt. DSW heeft
passende afspraken over de in te zetten uren gemaakt met risicobeheer en interne audit, echter de afspraken
over compliance kunnen nog niet concreet genoeg worden aangetoond.
Bij enkele Wlz-uitvoerders ontbreekt de mogelijkheid van sturing. Zij leggen geen concrete afspraken vast
tussen de verschillende rechtspersonen binnen de groep. De Wlz-uitvoerders maken de afspraken met de
sleutelfunctiehouders zelf (zie ook paragraaf 4.3) in plaats van met de bestuurders van de uitbestedingspartij.
ONVZ en CZ geven aan dat de gehele groep centraal wordt aangestuurd of dat men operationeel als één geheel
werkt. In hoeverre daarbij wordt gehandeld op vragen (of sturing) vanuit de Wlz-uitvoerder is bij deze Wlzuitvoerders niet zichtbaar. In dat geval is niet aangetoond dat hierbij wordt gehandeld in het directe belang van
de Wlz-uitvoerder. Er is dan een gerede kans dat de activiteiten voor de Wlz-uitvoerder meelopen in activiteiten
die al voor de zorgverzekeraar zijn ingezet of dat prioriteiten van de Wlz-uitvoerder worden afgewogen met die
van de zorgverzekeraar. Dat sluit niet aan bij de eigen verantwoordelijkheid van de Wlz-uitvoerder.
CZ stelt dat het niets zou toevoegen om als Wlz-uitvoerder inzicht te hebben in de capaciteit van de
sleutelfuncties voor de Wlz-uitvoerder. Deze Wlz-uitvoerder laat werkzaamheden volgens vraag en aanbod
verlopen. Hierbij wordt geen onderscheid gemaakt tussen de zorgverzekeraars en de Wlz-uitvoerder. Deze
informatie geeft aan dat de capaciteit voor de Wlz-uitvoerder niet voldoende kan worden aangetoond. Dit kan
leiden tot ongewenste prioritering waarbij het belang van de Wlz-uitvoerder niet centraal staat. Verbetering van
de inrichting op dit onderdeel is nodig.

Bij het hanteren van een personele unie in een groep dragen de bestuurders, interne toezichthouders of
medebeleidsbepalers verantwoordelijkheid voor verschillende rechtspersonen. Hiertoe hebben zij verschillende
hoedanigheden, die aansluiten bij de (bewust afgescheiden) verantwoordelijkheden van de rechtspersonen
binnen deze groep. In ieder van deze hoedanigheden moeten zij passend handelen. Dat betekent in de borging
van de adequate capaciteit van de sleutelfuncties dat iedere rechtspersoon de aandacht en inzet krijgt die daar
nodig is.
Wij zien bij Zorg en Zekerheid en ONVZ dat voor de capaciteit een percentage van de bezetting van
sleutelfuncties (bijvoorbeeld 15% of 7,5%) wordt toegewezen. Deze benadering gaat voorbij aan de dynamiek
binnen de (uitvoering van de) Wlz. Adequate borging van capaciteit van de sleutelfuncties vraagt een aanpak
waarin beleidsbepalers sturen op de relevante ontwikkelingen, zowel binnen de uitvoerder, als in de omgeving.
Dit vraag om zichtbare en onderbouwde keuzes gedurende het jaar, ook ten aanzien van zaken die (nog) niet
worden opgepakt.
Salland heeft weliswaar uren aangetoond die ingezet worden voor de Wlz-uitvoerder maar scoort toch niet
voldoende. Hierbij is verbetering nodig omdat deze uren door de sleutelfunctiehouder zelf zijn bepaald, en (het
bestuur van) de Wlz-uitvoerder niet zichtbaar betrokken is bij de sturing en in te zetten capaciteit. Welke
verbetering wij hierbij verwachten, zetten wij uiteen in paragraaf 5.2.
Tabel 3
Sleutelfunctiehouders
aangewezen en capaciteit
sleutelfuncties geborgd

ASR

CZ

DSW

Menzis

ONVZ

Salland

VGZ

Zilveren
Zorg en
Kruis
Zekerheid

Het is duidelijk (zichtbaar) waar
de sleutelfuncties formeel zijn
ondergebracht binnen de groep
De Wlz-uitvoerder heeft de te
claimen uren van de
sleutelfuncties ten behoeve van
de Wlz-uitvoerder onderbouwd

4.3 Uitbesteding van werkzaamheden binnen groep
Norm
Op grond van artikel 8 van de Beleidsregel TH/BR-027 moeten Wlz-uitvoerders de administratieve organisatie
inzichtelijk hebben ingericht. Daarbij moeten waarborgen zijn geïmplementeerd met betrekking tot de
werkzaamheden die zijn uitbesteed. Zoals bij de aanleiding voor het onderzoek is toegelicht is ook in de situatie
dat sleutelfuncties van de Wlz-uitvoerder elders in de groep zijn gepositioneerd sprake van (interne)
uitbesteding. De inzet van deze sleutelfuncties binnen de Wlz-uitvoerder moet dan geborgd zijn door een
uitbestedingsovereenkomst tussen de Wlz-uitvoerder en de uitbestedingspartij. Deze overeenkomst moet
duidelijke, afdwingbare afspraken bevatten over de werkzaamheden, informatie-uitwisseling, sturing, toezicht
en rapportage.
Bevindingen
In het vervolgonderzoek zien wij dat vrijwel alle Wlz-uitvoerders zich hebben verbeterd op deze norm. Zoals
gemeld hebben alle Wlz-uitvoerders de sleutelfuncties belegd buiten de eigen rechtspersoon. De Wlzuitvoerders hebben bijna allemaal schriftelijke afspraken gemaakt over deze uitbestedingen. De kwaliteit en de
mate waarin deze afspraken aansluiten bij de norm verschillen sterk. Een goed voorbeeld geeft VGZ die een
uitbestedingsovereenkomst heeft opgesteld en ondertekend, waarin duidelijke afspraken worden gemaakt
tussen het bestuur van de Wlz-uitvoerder (en alle andere werkmaatschappijen in de groep) enerzijds met het
bestuur van de rechtspersoon waar de sleutelfunctiehouders in dienst zijn. Op grond van deze overeenkomst
heeft de Wlz-uitvoerder de mogelijkheid tot adequate sturing en zijn concrete afspraken gemaakt over
rapportage- en informatie-uitwisseling (zowel inhoudelijk, over de frequentie als bij incidenten).
Een aantal Wlz-uitvoerders heeft een overeenkomst of service level agreement overgelegd die verdere
aanpassing behoeven om aan de norm te voldoen. Dit is het geval als een uitbestedingsovereenkomst niet op
gelijkwaardig niveau wordt aangegaan, zoals bij CZ. Een uitbestedingsovereenkomst die wordt gesloten tussen
de Wlz-uitvoerder (de rechtspersoon) en de sleutelfunctiehouder (een natuurlijk persoon, werknemer binnen de
groep), zoals bij ASR Wlz-uitvoerder B.V. (hierna ASR), voldoet eveneens niet aan de norm. Dan ontbreekt de
mogelijkheid van effectieve sturing, doordat de afspraken niet afdwingbaar zijn bij het bestuur van de
uitbestedingspartij. Als het bestuur andere prioriteiten stelt die de uitvoering van de afspraken met de
sleutelfunctiehouder belemmeren, prevaleren deze. De overeenkomsten moeten daarom worden aangegaan
door de rechtspersoon waar de sleutelfunctiehouder is gepositioneerd.

ONVZ heeft een memo overgelegd die beperkt betrekking heeft op de sleutelfuncties. Deze memo beschrijft
vooral de inzet van de eerste lijn (de uitvoering van de primaire activiteiten) ten behoeve van de Wlzuitvoerder. De inzet van de sleutelfunctiehouders (de tweede en derde lijn) wordt onvoldoende vastgelegd.
Daarnaast heeft deze memo niet het karakter van een afdwingbare overeenkomst met rapportageverplichtingen
aan de Wlz-uitvoerder en mogelijkheid tot toezicht of sturing door de Wlz-uitvoerder. Ook de informatieuitwisseling is onvoldoende omschreven.
Zorg en Zekerheid heeft een document met samenwerkingsafspraken overgelegd. Ook dit document bevat
onvoldoende waarborgen en afspraken over sturing, informatie-uitwisseling, rapportage en regievoering door
het bestuur van de Wlz-uitvoerder.
Salland heeft een apart managementteam ingericht binnen de Wlz-uitvoerder. Dat is een positieve
ontwikkeling, in lijn met de verplichte (van andere rechtspersonen) afgescheiden bedrijfsvoering. Daarnaast
worden op grond van een overeenkomst de activiteiten van de Wlz-uitvoerder (volledig) uitbesteed aan een
andere rechtspersoon binnen de groep. Hoe vervolgens de afgescheiden bedrijfsvoering van de Wlz-uitvoerder
binnen deze rechtspersoon wordt gerealiseerd is niet duidelijk. Daardoor is ook niet duidelijk of, en hoe, het
bestuur van de Wlz-uitvoerder sturing geeft aan de inzet van de sleutelfuncties voor de Wlz-uitvoerder.
CZ heeft gevraagd naar de noodzaak van de norm voor afspraken over uitbesteding. Deze noodzaak werd niet
gezien, omdat de activiteiten binnen de groep worden verricht. CZ wees erop dat de bestuurders van de Wlzuitvoerder dezelfde zijn als de bestuurders van de uitbestedingspartij (in een zgn. personele unie). Juist bij
personele unies waarbij het bestuur van verschillende rechtspersonen uit dezelfde personen bestaat, is het
aangaan van een overeenkomst tussen deze rechtspersonen van belang om de eigen bedrijfsvoering van de
Wlz-uitvoerder aan te tonen. Daarnaast wordt daarmee duidelijk dat de prioriteiten van de Wlz-uitvoerder niet
worden afgewogen met prioriteiten van andere rechtspersonen binnen de groep. Zoals ook hiervoor toegelicht,
betekent een personele unie dat personen verschillende hoedanigheden en daarbij behorende verschillende
verantwoordelijkheden bekleden. De invulling hiervan is afhankelijk van de respectieve rechtspersoon namens
wie zij op enig moment handelen. Het aangaan van de uitbestedingsovereenkomst borgt dat deze
verantwoordelijkheden helder afgebakend blijven en niet worden vermengd of tegen elkaar worden
uitgewisseld. Hiermee waarborgt de Wlz-uitvoerder de zelfstandige verantwoordelijkheden van de Wlzuitvoerder.
Welke verbetering wij hierbij verwachten, zetten wij uiteen in paragraaf 5.2.
Tabel 4
Uitbesteding van
werkzaamheden binnen
groep

ASR

CZ

DSW

Menzis

ONVZ

Salland

VGZ

Zilveren
Zorg en
Kruis
Zekerheid

De Wlz-uitvoerder heeft
afspraken gemaakt over de
uitbestede sleutelfuncties

4.4 Onafhankelijke positionering en duidelijke, evenwichtige en adequate verdeling van taken,
bevoegdheden en verantwoordelijkheden
Norm
Op grond van artikel 5 van de Beleidsregel TH/BR-027 moeten de functies van compliance en risicobeheer
enerzijds en interne audit anderzijds operationeel onafhankelijk zijn van elkaar. Ook moeten de sleutelfuncties
onafhankelijk zijn van andere bedrijfsonderdelen die belast zijn met de uitvoerende werkzaamheden van de
Wlz-uitvoerder. De sleutelfuncties mogen niet hiërarchisch ondergeschikt zijn aan elkaar of aan andere functies
dan de beleidsbepalers. Deze functies moeten direct en zonder tussenkomst van derden kunnen rapporteren
aan (mede) beleidsbepalers of interne toezichthouders.
Bevindingen
In dit vervolgonderzoek zien wij dat de Wlz-uitvoerders zich hebben verbeterd op deze normen en hier nu aan
voldoen. De Wlz-uitvoerders hebben beschrijvingen van de positionering van de sleutelfuncties overgelegd
waaruit de opzet in lijn met deze normen is aangetoond. Naast charters ontvingen wij van Zorg en Zekerheid,
ASR, DSW, Salland, Menzis en CZ documenten over de inrichting van de governance en de interne
organisatiestructuur van zowel de groep als de Wlz-uitvoerder. Deze documenten verduidelijken de interne
structuur binnen de groep en de hiërarchische- en rapportagelijnen van de sleutelfunctiehouders. Dit is vooral
het geval als de samenhang tussen governance van de groep, de afzonderlijke rechtspersonen en de
organisatie-inrichting is beschreven.

Binnen de groepen waar sleutelfuncties ten tijde van het onderzoek van 2021 hiërarchisch ondergeschikt waren
(of waar dit onduidelijk was) is dit door Zilveren Kruis, ONVZ, Menzis en CZ aangepast of is verduidelijkt dat dit
niet het geval is. Salland had in het functieprofiel van de sleutelfunctiehouder Risk en Compliance tevens
verantwoordelijkheden in de eerste lijn opgenomen. Deze functie is gewijzigd naar een zuivere tweedelijns
functie.
Inmiddels hebben alle Wlz-uitvoerders aangetoond dat er passende rapportage- en escalatielijnen zijn ingericht
voor de sleutelfuncties. Dit is opgenomen in de charters.
Zoals aangegeven in paragraaf 4.2 zien wij bij Zorg en Zekerheid, Salland en Menzis een combinatie van de
sleutelfunctie risicobeheer en compliance binnen één persoon. Deze opzet vinden wij in de betreffende gevallen
verklaarbaar. Enerzijds omdat deze combinatie binnen de aangegeven (tweede) lijn van het three lines of
defence model blijft. Anderzijds omdat wij deze in de voorkomende situaties passend vinden bij de aard,
omvang en complexiteit van de Wlz-uitvoerder.
Tabel 5
Onafhankelijke
positionering

ASR

CZ

DSW

Menzis

ONVZ

Salland

VGZ

Zilveren
Zorg en
Kruis
Zekerheid

Niet hiërarchisch ondergeschikt
Voldoende adequate rapportageen escalatielijnen

4.5 Samenvattend overzicht van de bevindingen
Tabel 6 geeft een samenvattend beeld van onze bevindingen naar aanleiding van vervolgonderzoek naar de
inrichting van de sleutelfuncties.
Tabel 6
ASR

CZ

DSW

Menzis

ONVZ

Salland

VGZ

Zilveren
Zorg en
Kruis
Zekerheid

C harters van toepassing op Wlzuitvoerder
C harters allen volledig
toegespitst op Wlz/Wlzuitvoerder
Het is duidelijk (zichtbaar) waar
de sleutelfuncties formeel zijn
ondergebracht binnen de groep
De Wlz-uitvoerder heeft de te
claimen uren van de
sleutelfuncties ten behoeve van
de Wlz-uitvoerder onderbouwd
De Wlz-uitvoerder heeft
afspraken gemaakt over de
uitbestede sleutelfuncties
Niet hiërarchisch ondergeschikt
Voldoende adequate rapportageen escalatielijnen

5 Conclusies en verwachtingen
5.1 Conclusies
In dit vervolgonderzoek wilden wij vaststellen:
1. In welke mate de Wlz-uitvoerders hun inrichting van de sleutelfuncties compliance, risicobeheer en
interne audit voor de Wlz-uitvoerder hebben verbeterd naar aanleiding van het onderzoek in 2021;
2. Of deze inrichting in opzet en bestaan voldoet aan het gestelde in beleidsregel (TH/BR-027) en of de
informatie volgens de nadere regeling (TH/NR-015) beschikbaar is.
De NZa constateert dat alle Wlz-uitvoerders de aanbevelingen uit het rapport uit 2021 ter harte hebben
genomen. Wij complimenteren de Wlz-uitvoerders met de forse verbeteringen die zij hebben geboekt in de
inrichting van hun sleutelfuncties voor de Wlz-uitvoerder.
Alle Wlz-uitvoerders hebben de interne positionering van de sleutelfunctiehouders in opzet en bestaan op een
passend niveau geregeld. Bij alle Wlz-uitvoerders zijn de sleutelfunctiehouders onafhankelijk gepositioneerd en
niet hiërarchisch ondergeschikt aan andere personen dan beleidsbepalers. Ook hebben alle Wlz-uitvoerders

aangetoond dat er rechtstreekse rapportagelijnen zijn naar de bestuurlijke en toezichthoudende organen binnen
de Wlz-uitvoerder. Zes (van negen) Wlz-uitvoerders (Zorg en Zekerheid, ASR, DSW, ONVZ, Salland en CZ)
hebben de te claimen capaciteit en/of de opzet en vastlegging van de (interne) uitbesteding van de
sleutelfuncties voor de Wlz-uitvoerder nog niet voldoende ingericht.
Wij concluderen dat drie (van negen) Wlz-uitvoerders (VGZ, Zilveren Kruis en Menzis) voldoen aan de
algemene governance vereisten en aan de regelgeving voor de inrichting van de sleutelfuncties binnen de Wlzuitvoerder. De overige zes Wlz-uitvoerders voldoen grotendeels aan de gestelde eisen en regelgeving. Zij
moeten de te claimen capaciteit en/of de opzet en vastlegging van de (interne) uitbesteding van de
sleutelfuncties voor de Wlz-uitvoerder verder verbeteren om ook volledig te voldoen aan de gestelde eisen.
5.2 Verwachtingen
Wij verwachten dat Zorg en Zekerheid, DSW, ONVZ, Salland en CZ duidelijke afspraken maken over de
noodzakelijke capaciteit van de sleutelfuncties voor de Wlz-uitvoerder. Deze afspraken moeten tegemoetkomen
aan de zelfstandige opdracht van de Wlz-uitvoerders en hun afgescheiden positie. De benodigde capaciteit voor
de sleutelfuncties dient door die opdracht en positie te worden bepaald en te worden afgestemd op de
verantwoordelijkheden van de Wlz-uitvoerder. Gemaakte keuzes moeten concreet en zichtbaar herleidbaar zijn
tot de (wettelijke) taken van Wlz-uitvoerder.
Daarnaast verwachten wij dat Wlz-uitvoerders Zorg en Zekerheid, ASR, ONVZ, Salland en CZ duidelijke
afspraken maken over de uitbesteding van de sleutelfuncties aan andere rechtspersonen binnen de groep.
Naast de geclaimde capaciteit bevatten deze heldere en afdwingbare afspraken over (in ieder geval) de aard
van de werkzaamheden, de wijze van rapportage, de informatie-uitwisseling en de aansturing of regievoering.
Bij uitbesteding van werkzaamheden moet het bestuur van de Wlz-uitvoerder in deze afspraken de belangen
van de Wlz-uitvoerder centraal stellen. Daardoor wordt afweging of prioritering van deze belangen met
belangen van andere rechtspersonen voorkomen. Deze afspraken zijn ook van belang als het bestuur van de
Wlz-uitvoerder uit dezelfde personen bestaat als het bestuur van uitbestedingspartij. Het is immers een
afspraak tussen twee verschillende rechtspersonen met ieder hun eigen doelstellingen. Daarbij is
gelijkwaardigheid in de uitbestedingsovereenkomst van belang. De bestuurders van beide rechtspersonen
dienen betrokken te zijn. In een personele unie zijn zij immers in beide hoedanigheden verantwoordelijk. Door
deze afspraken vast te leggen op het niveau van de betrokken rechtspersonen komt helder vast te staan hoe de
verantwoordelijkheden tussen de betrokken rechtspersonen zijn verdeeld en worden mogelijke dilemma’s
besproken in lijn met de governance van de groep.
Wij verwachten dat voornoemde Wlz-uitvoerders ons in de periodieke overleggen van 2022 informeren over de
voortgang en de resultaten van voornoemde verbeterpunten.
5.3 Afronding van het onderzoek
Wij hebben er vertrouwen in dat de Wlz-uitvoerders de in dit rapport genoemde verbeterpunten adequaat
zullen oppakken. Wij verwachten dat door de verbetering van de inrichting van de sleutelfuncties de eigen
verantwoordelijkheid van de Wlz-uitvoerder niet alleen bij de sleutelfunctiehouders beter wordt geborgd, maar
ook dat de werking hiervan zichtbaar zal zijn bij de bestuurlijke en toezichthoudende organen. Deze organen
zullen immers, nu de opzet is verbeterd, concrete, op de Wlz-uitvoerder toegespitste, rapportages ontvangen
en behandelen. Hiermee beëindigen wij ons vervolgonderzoek naar de inrichting van de sleutelfuncties bij Wlzuitvoerders.