Resolução de entidades: a mesma pessoa em quatro sistemas

Resumo executivo

• O dado de saúde de um colaborador já existe. Ele está em quatro ou cinco sistemas diferentes, e em cada um a mesma pessoa aparece com um identificador diferente: CPF aqui, nome ali, número de carteirinha lá, matrícula no quarto.
• Juntar esses registros na mesma pessoa tem nome técnico: resolução de entidades. É o primeiro trabalho de qualquer gestão de saúde baseada em dado — e é o que quase nunca é feito.
• Sem essa chave, quatro coisas quebram ao mesmo tempo: o denominador fica errado, o hiperutilizador se esconde repartido entre fontes, a série histórica se rompe a cada troca de operadora e o silêncio vira falso sinal de saúde.
• O padrão de troca de dados existe e é obrigatório na saúde suplementar. O que não existe é qualidade uniforme de preenchimento — e é por isso que a conferência vem antes da análise.
• Resolver entidade não exige o RH ver nome. A chave pode ser construída sob pseudônimo, com o dado identificado sob responsabilidade clínica, como o art. 11 da LGPD exige.

Resposta direta: resolução de entidades é o processo de reconhecer que registros vindos de sistemas diferentes pertencem à mesma pessoa, mesmo quando cada sistema a identifica de um jeito. Na saúde corporativa, é o passo que transforma quatro bases desconexas — sinistro, saúde ocupacional, exames e dado declarado — em um histórico único. Sem ele, cada análise devolve um pedaço da pessoa e nenhuma devolve a pessoa.

Onde o dado de saúde de um colaborador está espalhado

Antes do problema técnico, o inventário. A tabela abaixo lista as fontes que descrevem a saúde da mesma população, o identificador que cada uma costuma usar e o que só ela enxerga.

Nenhuma dessas fontes está errada. Todas estão incompletas. E a coluna do identificador explica por que elas não conversam: não há um único campo presente e confiável em todas as cinco.

O problema tem nome: resolução de entidades

A descrição mais direta do problema saiu no webinar Dos Dados à Decisão. "O primeiro trabalho nosso é colocá-los no mesmo lugar, garantir que existe uma chave única para que todos esses registros sejam resolvidos para uma mesma pessoa", explicou o CPTO da Axenya. "Esses registros pertencem a alguém, só que de vez em quando ele tá identificado pelo CPF aqui, pelo nome acolá, pelo número da carteirinha em outro lugar. Então você tem um desafio aqui de resolução de entidades."

A frase que fecha o raciocínio é a mais dura: sem isso, "é quase injusta a missão que a gente passa para um RH, que é falar assim: você tem que ter controle sobre a inflação médica, sobre as coisas que estão dando errado na sua conta no fim do ano, mas você não tem as ferramentas. Você vai pra guerra, mas você vai levar uma colher como arma."

Vale separar dois problemas que costumam ser tratados como um só. Integração é fazer o dado chegar. Resolução de entidades é fazer o dado que chegou pertencer a alguém. É perfeitamente possível ter integração funcionando e resolução falhando — e esse é, na prática, o estado mais comum: os arquivos chegam, e o painel mostra uma população maior do que a empresa tem.

Por que o identificador não resolve sozinho

"Use o CPF" é a resposta óbvia, e ela falha por quatro motivos concretos.

O CPF nem sempre está lá. Extrato de operadora frequentemente identifica o beneficiário só pelo número da carteirinha. Dependente menor pode não ter CPF registrado no cadastro do plano, ainda que tenha CPF.

A carteirinha muda. Ela é identificador de contrato, não de pessoa. Troca de operadora, troca de plano dentro da mesma operadora, migração de titularidade — cada uma dessas emite número novo. Quem usa carteirinha como chave perde o histórico exatamente no momento em que ele seria mais útil: a comparação entre o antes e o depois da troca.

O nome não é chave. Grafia com e sem acento, nome social, sobrenome de casamento adotado ou abandonado, abreviação em um sistema e nome completo em outro. Nome sozinho gera falso casamento entre homônimos e falha em casar a mesma pessoa escrita de dois jeitos.

A matrícula é local. Ela identifica o vínculo, não a pessoa. Um colaborador que muda de CNPJ dentro do mesmo grupo ganha matrícula nova; a pessoa é a mesma, o histórico se parte em dois.

Some-se a isso a variação de qualidade entre fontes. Como descrito no mesmo webinar, quem administra mais de uma operadora convive com formatos diferentes: "tem aquela operadora que o código está super bem descrito e tem aquela outra que você vê muito mais não conformidade, então você não pode confiar que o código padronizado ali é o que você pode usar de fato para uma análise". O Padrão TISS é obrigatório na saúde suplementar; quem o institui é a RN 501/2022 da ANS, que inclui a TUSS como terminologia de procedimentos e materiais. Mas padrão obrigatório existir não garante preenchimento igual: a conferência de qualidade precisa vir antes da análise, não depois.

As quatro coisas que quebram sem chave única

1. O denominador fica errado. Toda taxa de saúde corporativa é uma divisão, e o divisor é a população. Se a mesma pessoa entra duas vezes — uma pelo sinistro, outra pelo cadastro — a cobertura de qualquer programa aparece menor do que é, e a despesa per capita, menor também. O erro é silencioso porque produz números plausíveis.

2. O hiperutilizador se esconde repartido. É o efeito mais caro. Uma pessoa com três passagens por pronto-socorro registradas sob carteirinha antiga e duas sob a nova não aparece em nenhuma lista de cinco eventos. Aparece como dois casos moderados. O critério de priorização olha para ela e não vê nada.

3. A série histórica se rompe na troca de operadora. É justamente quando a empresa mais precisa comparar: mudou de operadora, quer saber se melhorou. Se a chave é a carteirinha, o antes e o depois viram duas populações distintas e a comparação não existe.

4. O silêncio vira falso sinal. Sem chave, ausência de registro em uma fonte não distingue "não aconteceu" de "aconteceu e não casou". É o problema tratado no bloco seguinte, e é o mais perigoso porque se disfarça de boa notícia.

Sinistro zero não é sinônimo de saúde

Alguém sem nenhuma linha de sinistro há muito tempo produz reação automática de alívio. A leitura correta é outra. "Não tem alguma coisa muito errada?", provocou o CPTO no webinar. "Se o sinistro dela não tem nenhuma linha, eu não sei se é porque a saúde dela é de ouro ou porque ela nunca pisou no consultório médico (...) ela vai vir com uma fatura assim, é sempre um evento agudo".

Zero registro tem três explicações possíveis, e elas exigem ações opostas:

• A pessoa está bem e não precisou usar. Ação: nada além do rastreamento da faixa etária.
• A pessoa não acessa — não conhece o benefício, não sabe usar, ou a rede não a atende bem. Ação: comunicação e revisão de rede.
• A pessoa acessou e o registro não casou com ela. Ação: corrigir a chave, porque o problema é de dado, não de saúde.

As três aparecem idênticas num painel que não resolve entidade. E há um recorte demográfico conhecido para a segunda hipótese: a população masculina de meia-idade é a que menos procura o médico e a que concentra risco cardiovascular. No mesmo webinar: "quando eu pintei na minha cabeça essa figura que não tem uma linha de sinistro, naturalmente me veio aqui um homem de 50 anos". Um sinal parecido aparece do outro lado do fluxo: parcela relevante de quem faz exame não retorna ao médico com o resultado, e o exame feito e não lido não produz nem diagnóstico nem sinistro — produz silêncio.

Distinguir as três hipóteses é o que separa um painel de um instrumento. Quem não distingue trata a terceira como se fosse a primeira e comemora o número.

Como se faz, em seis passos

1. Inventarie as fontes antes de pedir qualquer arquivo. Para cada fonte: quem é o dono, com que periodicidade chega, em que formato e qual identificador traz. Uma página resolve. Sem esse inventário, o projeto começa negociando acesso a uma base que não é a mais útil.

2. Escolha a chave âncora — e ela não é a carteirinha. Na prática, a combinação que mais resiste é CPF quando existe, com data de nascimento como confirmação. A carteirinha vira atributo com vigência, não chave: registra-se de quando até quando aquele número pertenceu àquela pessoa. É esse desenho que preserva o histórico na troca de plano.

3. Pseudonimize antes de cruzar. A chave pode ser um identificador interno sem significado, gerado a partir dos campos de identificação e mantido em ambiente segregado. Quem opera a análise trabalha sobre o pseudônimo; a tabela que liga pseudônimo a pessoa fica sob responsabilidade clínica. Esse desenho é o que torna o cruzamento compatível com o art. 11 da Lei 13.709/2018, que só admite tratar dado sensível de saúde por tutela da saúde exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

4. Case em duas etapas: determinística primeiro, probabilística depois. A primeira passada casa por igualdade exata de identificador forte e resolve a maior parte. A segunda trata o resto por similaridade — nome normalizado, data de nascimento, sexo, unidade — e devolve um grau de confiança. Registros abaixo do corte de confiança não entram na base: ficam numa fila de exceção para conferência humana. Casar errado é pior que não casar, porque mistura o histórico de duas pessoas.

5. Trate a taxa de casamento como indicador de qualidade. Quantos registros de cada fonte foram atribuídos a uma pessoa, e quantos ficaram órfãos. Essa taxa precisa ser reportada junto com qualquer análise, do mesmo jeito que se reporta o período. Um painel de sinistralidade construído sobre 71% de casamento diz uma coisa diferente de um construído sobre 98%, e a diferença não aparece no gráfico.

6. Reprocesse o histórico a cada correção. Chave corrigida hoje precisa valer para trás. Se a correção só vale do mês corrente em diante, a série temporal ganha um degrau artificial — e alguém vai interpretar esse degrau como resultado de uma ação.

O que exigir de quem faz isso por você

Se um fornecedor de gestão de saúde opera a sua base — e a leitura desse dado costuma desembocar em estratificação de risco —, quatro perguntas separam quem resolve entidade de quem só empilha arquivo:

• Qual é a chave âncora e o que acontece na troca de operadora? Se a resposta for "a carteirinha", o histórico se perde na próxima renovação.
• Qual é a taxa de casamento por fonte, no último ciclo? Quem mede responde com número. Quem não mede responde com processo.
• O que acontece com o registro que não casa? A resposta certa é fila de exceção com conferência. A resposta errada é descarte silencioso — e descarte silencioso some com sinistro que existiu.
• Quem tem acesso à tabela que liga pseudônimo a pessoa? Precisa ter nome, cargo e vínculo clínico. Se a resposta for vaga, o desenho de LGPD não está resolvido.

Vale lembrar o limite do outro lado: o art. 12 da LGPD estabelece que dado anonimizado não é dado pessoal — salvo quando a anonimização puder ser revertida com esforços razoáveis. Numa população de trezentas vidas, um recorte por unidade, cargo e faixa etária identifica gente sem citar nome. O corte mínimo de agregação faz parte do desenho, não é detalhe de relatório.

Com a chave de pé, o resto do trabalho fica possível: estratificar a população por necessidade clínica, como descreve o guia de estratificação de risco, e ler o número da carteira com denominador confiável, como no material sobre dashboard de sinistralidade. Sem ela, todo indicador construído em cima é uma opinião com casas decimais.