从1.9亿人数据泄露到110亿美元政策冲击!联合健康(UNH.US)“治理黑箱”被掀开 监管因素不再是尾部风险

（原标题：从1.9亿人数据泄露到110亿美元政策冲击!联合健康(UNH.US)“治理黑箱”被掀开 监管因素不再是尾部风险）

智通财经APP获悉，一项关键股东诉讼指控称，美国医疗保险超级巨头联合健康集团(UNH.US)董事会成员多年来无视一系列公司治理和监督风险，直到灾难性失误爆发，最终给投资者造成数十亿美元损失。

8月7日向明尼苏达州一家联邦法院提交的一份修订版诉状披露了来自公司前内部知情人士的新信息，涉及联合健康在收购一家后来遭遇美国有记录以来最大规模医疗健康数据泄露事件的公司之后，是如何处理网络安全问题的。

诉状还指控称，拥有美国最大医疗保险提供商的联合健康关闭了一项内部审计项目，而该项目此前发现了该公司在Medicare(美国联邦医疗保险)账单申报方面存在问题。联合健康此前已经面临举报人和政府监管机构的指控，称其夸大Medicare付款金额;美国司法部也已经针对其Medicare业务实践展开刑事和民事调查。

联合健康的一名代表拒绝就这些指控置评。被告方律师则没有回应置评请求。

罗得岛州公共雇员退休系统等股东以派生诉讼形式指控现任及前任董事、高管长期忽视重大监管与合规“红线”，涵盖Change Healthcare网络安全缺陷、Medicare风险调整与内部审计问题，以及董事会被指提前知晓却未充分披露的政策冲击。

Change Healthcare 2024年网络攻击最终影响约1.9亿人，成为美国医疗行业史上规模最大的已披露数据泄露事件之一;同时，围绕UnitedHealth Medicare Advantage风险调整实践的政府调查和国会审查仍构成重要监管背景。

这家总部位于明尼苏达州伊甸草原和华盛顿特区的医疗健康集团，目前正在应对多起股东诉讼。这些投资者在该公司股价从2024年的历史高点暴跌之后蒙受了严峻损失。另一起由加州公务员退休系统牵头的证券欺诈诉讼，目前正在等待法官决定是否驳回该诉讼请求。

这些案件总体指控联合健康在有关其业务综合实力与前景相关的问题上误导投资者，并且即使负面媒体报道不断增加，公司仍然无视来自监管机构的风险。这些诉讼主要围绕以下指控展开：联合健康不当操纵Medicare付款、忽视网络安全风险、不恰当地拒绝患者获得医疗服务，以及利用不透明交易来实现盈利目标并掩盖其底层运营的真实疲弱状况。

这些诉讼所描述的许多行为此前已经被媒体报道，包括《华尔街日报》、Stat News以及彭博新闻。联合健康则一直为自身辩护，并否认相关负面指控。尽管如此，公司已经表示，在由公司发起的内部审查发现问题之后，其已经采取了大约二十多项整改行动，其中包括针对多次违反监管规定的问题进行整改。

如上图所示，联合健康股价自2024年高点后崩跌——公司撤回业绩展望后，投资者们遭受重大损失。

最新这份诉讼文件由包括罗得岛州公共雇员退休系统以及瑞典资产管理公司L?nsf?rs?kringar Fondf?rvaltning AB在内的股东提出。根据诉状，后者持有价值超过1.23亿美元的联合健康股票。这些股东代表公司起诉董事会成员，声称董事和多数高管们忽视了“违法行为和严重监管担忧”的危险信号，却没有采取任何行动来确保公司遵守相关规定。在提交最新诉状之前，股东们已经查阅了公司的账簿和记录，不过修订后的公开版本诉状对其中许多细节进行了删节。

据了解，诉状称，董事会早在2023年便已内部量化新版Medicare风险模型带来的巨大财务影响，而公司后来披露相关变化三年累计可能造成约110亿美元冲击;联合健康此后确实公开承认Optum Health受到监管与成本问题影响，形成约110亿美元的三年财务压力。 因此股东诉求已经从损害赔偿进一步上升到要求强化Medicare合规机制、网络安全控制和公司治理，甚至要求限制部分被告未来继续担任董事或高管。这使诉讼真正指向的不是一次利润下修，而是联合健康此前享有的“高质量医疗复利资产”估值框架是否需要永久加入治理折价。

从网络漏洞到Medicare“合规黑箱”：监管风险直击联合健康核心盈利机器

据了解，这份最新的修订版诉状进一步扩充了最初在2024年提起的一起诉讼中所提出的指控。

部分指控来自Change Healthcare前员工的陈述，这些员工在诉状中被列为匿名证人。其中两人谈到了联合健康以78亿美元收购医疗健康数据和支付公司Change Healthcare之后，该公司在网络安全实践方面存在的松懈问题。

Change Healthcare在2024年遭到网络攻击，导致整个医疗健康体系的付款流程陷入混乱，给公司造成数十亿美元损失，并泄露了1.9亿美国人的私人数据，成为美国规模最大的医疗健康数据泄露事件。

修订版诉状援引的内部人士说法显示，这场事件原本可能是可以避免的。

根据一名证人的陈述，联合健康希望在2022年赢得美国政府提起的反垄断诉讼之后，迅速完成对Change Healthcare的整合，这样即使公司后来在上诉中败诉，也会因为业务已经深度整合而很难再拆分这笔交易。诉状称，这名证人在交易前后都担任Change Healthcare的风险管理主管。根据诉状，这名证人表示，这种仓促推进使公司无法看清所涉及的风险，也无法解决其真正需要补强的网络防御问题。

另一名高管在诉状中被描述为曾连续12年担任Change Healthcare的信息服务主管。此人表示，联合健康的领导层知道Change Healthcare的安全系统存在缺陷，而这些缺陷最终导致了数据泄露事件。

诉状称，公司放弃了网络安全公司CrowdStrike提供的防护服务，转而采用微软公司的一项服务，而该证人认为后者的安全能力较弱。这名证人还描述了Change交易中一并收购的一些历史遗留业务所存在的安全风险，其中包括缺乏多因素身份验证，并表示管理层不愿提供大规模资金来解决这些问题。

此次黑客攻击最终被归因于一个没有受到多因素身份验证保护的账户，而多因素身份验证是一项最基本的网络安全防护措施。联合健康当时的首席执行官Andrew Witty在2024年向美国国会表示：“我们正在努力彻底查明，为什么那台服务器当时没有得到保护。”

Witty在公司利润崩塌之后，于去年卸任首席执行官及董事职务。他是此次诉讼列名的12名现任和前任董事及高管之一。诉讼还列出了现任首席执行官兼董事会主席Stephen Hemsley，而在诉讼所覆盖的时期内，他正担任公司董事会主席。

诉状还指控称，联合健康关闭了一项内部审计项目，而该项目发现，公司曾经提交了涉及2亿美元Medicare付款的申报，但这些付款并没有获得患者诊断结果的支持。诉讼将这一决定归咎于Hemsley。

诉状称：“被告Hemsley没有对这一极具杀伤力的审计发现进行整改并要求公司实现合规，反而支持彻底取消这项审计项目的决定，从而确保相关欺诈行为能够继续而不被发现。”诉状没有进一步披露有关这些Medicare申报或该审计项目的更多细节。

治理风险开始变成股东价值风险

诉状指控该公司关闭了一项内部审计计划，而该项目据称曾发现约2亿美元缺乏患者诊断支持的Medicare付款申报;更广泛背景则是监察机构、举报人和国会长期质疑联合健康集团是否通过风险调整编码夸大患者病情，从而提高政府补偿。参议院相关调查在2026年再次把联合健康的风险调整实践置于聚光灯下，而公司一直否认不当行为并为自身业务实践辩护。这里真正影响估值的不是某一笔潜在罚款，而是市场是否开始对UnitedHealth(即联合健康)长期最重要的盈利引擎加入更高的监管风险溢价。

诉状还称，董事会早在2023年便已内部量化新版Medicare风险模型带来的巨大财务影响，而公司后来披露相关变化三年累计可能造成约110亿美元冲击;联合健康此后确实公开承认Optum Health受到监管与成本问题影响，形成约110亿美元的三年财务压力。 因此股东诉求已经从损害赔偿进一步上升到要求强化Medicare合规机制、网络安全控制和公司治理，甚至要求限制部分被告未来继续担任董事或高管。这使诉讼真正指向的不是一次利润下修，而是联合健康此前享有的“高质量医疗复利资产”估值框架是否需要永久加入治理折价。

联合健康长期以来一直因其从Medicare获得的付款而受到广泛批评。联邦监察长报告、举报人诉讼以及国会调查均曾指控，该公司夸大会员病情严重程度，以此提高从政府获得的报销金额。

公司一直对这些指控提出异议，并为自身业务实践进行辩护。在一宗仍在审理中的民事案件里，由法院任命的一名专家认为，美国司法部缺乏足够证据支持其案件主张，并建议法院作出有利于该公司的裁决。联合健康已经披露，司法部目前还在另外针对公司的Medicare业务实践进行独立的民事和刑事调查。

诉讼还指控称，董事会早在公司正式披露其财务影响的数年前就已经知道，一项旨在限制向保险公司付款的联邦政策调整将给公司造成数十亿美元损失。

这一变化涉及新版联邦“风险模型”，该模型根据患者所患疾病，决定Medicare应向保险公司支付多少资金。

2025年，在联合健康利润崩塌之后，公司披露，这些政策变化将在三年内造成约110亿美元的影响。而诉状称，这一数字所代表的“影响规模，董事会自2023年以来就已经一直在内部进行量化评估”。

这起诉讼属于所谓的派生诉讼，其指控董事会成员多年来无视警告信号，损害了公司利益，并令公司数十亿美元市值蒸发。原告要求法官下令联合健康改善公司治理，为其Medicare Advantage业务建立合规项目，建立符合行业标准的网络安全控制体系，并禁止相关被告继续担任公司高管或董事。

据悉，原告写道：“董事会收到了具体的内部警告、政府报告以及大量媒体报道——所有这些信息都已经构成实际知情，或者至少构成了足以提醒董事会注意公司存在系统性违法行为的危险信号。”