Ordinul nr. 113117/2006
pentru punerea în aplicare a Normelor privind principiile de organizare ale unui sistem de control intern și management al riscului la asigurători
prezumat în vigoare
În temeiul prevederilor art. 5 lit. a), ale art. 8 alin. (1) și ale
art. 20 alin. (3) lit. c) și c^2) din Legea nr. 32/2000
privind activitatea de asigurare și supravegherea asigurărilor, cu modificările și completările ulterioare,
potrivit Hotărârii Consiliului Comisiei de Supraveghere a Asigurărilor din data de 20 iunie 2006, prin care s-au adoptat Normele privind principiile de organizare ale unui sistem de control intern și management al riscului la asigurători,
președintele Comisiei de Supraveghere a Asigurărilor emite următorul ordin:
Articolul 1
Se pun în aplicare Normele privind principiile de organizare ale unui sistem de control intern și management al riscului la asigurători, prevăzute în anexa care face parte integrantă din prezentul ordin.
Articolul 2
Direcția generală reglementări din cadrul Comisiei de Supraveghere a Asigurărilor va asigura ducerea la îndeplinire a prevederilor prezentului ordin.
Președintele Comisiei de Supraveghere a Asigurărilor, Nicolae Eugen Crișan București, 23 iunie 2006. Nr. 113.117.
Anexa NORME
privind principiile de organizare ale unui sistem de control intern și management al riscului la asigurători
Articolul 1
În sensul prezentelor norme, termenii și expresiile de mai jos au următoarele semnificații:
1. managementul riscului - un set de proceduri prin intermediul cărora asigurătorul ia măsuri pentru a evalua, monitoriza și controla influența evenimentelor trecute și potențial viitoare care ar putea avea un impact negativ asupra activității sale. Procedurile de management al riscului vor include cel puțin: stabilirea strategiilor și politicilor de management al riscului, identificarea riscurilor, criteriile pentru măsurarea riscurilor, controlul riscurilor, incluzând toleranța față de risc și raportarea riscurilor;
2. toleranța față de risc - natura și cantitatea de expunere la risc pe care asigurătorul este dispus să o accepte. Toleranța față de risc va specifică limitele de risc stabilite ca parte a politicilor de management al riscului;
3. testul de senzitivitate:
a) evaluează influența schimbărilor unor factori de risc asupra situației financiare viitoare a asigurătorului;
b) este utilizat de asigurător pentru o mai bună înțelegere a vulnerabilităților cu care se confruntă în condiții atipice;
c) are la bază analiza influenței scenariilor adverse puțin probabile, dar nu imposibile;
d) se aplică oricărui risc ce poate avea o influență economică asupra asigurătorului;
4. control intern - proces continuu la care participă consiliul de administrație, conducerea executivă, precum și personalul asigurătorilor, prin care se furnizează o asigurare rezonabilă asupra atingerii obiectivelor prevăzute la art. 2 alin. (1);
5. conducerea operativă - persoanele care asigură conducerea nemijlocită a compartimentelor din cadrul asigurătorului, al sucursalelor și al altor sedii secundare;
6. sistem informațional - ansamblul de fluxuri informaționale organizate într-o concepție unitară, care asigură legătura dintre nivelul de conducere (decizional) și nivelul de execuție (operațional);
7. risc de credit - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, ca urmare a neîndeplinirii de către debitor a obligațiilor contractuale;
8. risc de țară - risc asociat riscului de credit, care este determinat de condițiile economice, sociale și politice ale țării de origine a debitorului;
9. risc de piață - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, care apare din fluctuațiile pe piață ale prețurilor, ratei dobânzii și cursului valutar;
10. risc de subscriere - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, care apare ca urmare a faptului că situațiile economice sau rata de apariție a incidentelor s-au schimbat față de previziunile făcute la data tarifării primelor de asigurare;
11. risc de lichiditate - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, ce rezultă din imposibilitatea asigurătorilor de a onora în orice moment obligațiile de plată pe termen scurt, fără ca aceasta să implice costuri sau pierderi ce nu pot fi suportate de asigurători.
12. risc operațional - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, care este determinat de factori interni (derularea neadecvată a unor activități interne, existența unui personal sau unor sisteme informatice necorespunzătoare etc.) sau de factori externi (condiții economice, schimbări în mediul financiar, progrese tehnologice etc.);
13. risc juridic - componentă a riscului operațional, apărut ca urmare a neaplicării sau a aplicării defectuoase a dispozițiilor legale ori contractuale, care afectează negativ operațiunile sau situația asigurătorilor;
14. risc reputațional - riscul înregistrării de pierderi sau al nerealizării profiturilor estimate, ca urmare a publicității negative care conduce la lipsa încrederii publicului în integritatea asigurătorilor.
Articolul 2
Obiectivele controlului intern constau în:
a) desfășurarea activității în condiții de eficiență și rentabilitate;
b) furnizarea unor informații corecte, relevante, complete și oportune structurilor implicate în luarea deciziilor în cadrul asigurătorilor și utilizatorilor externi ai informațiilor;
c) asigurarea conformității activităților asigurătorilor cu cadrul legal și cu politicile și procedurile proprii.
În vederea îndeplinirii obiectivelor de control intern, asigurătorii trebuie să își organizeze un sistem de control intern care se compune din următoarele elemente aflate în strânsă corelare:
a) rolul și responsabilitățile consiliului de administrație și conducerii executive;
b) identificarea și evaluarea riscurilor;
c) activitățile de control și separarea responsabilităților;
d) informarea și comunicarea;
e) activitățile de monitorizare și corectare a deficiențelor.
Articolul 3
Consiliul de administrație al asigurătorilor este responsabil pentru stabilirea și menținerea unui sistem de control intern adecvat și eficient.
În contextul prevederilor alin. (1), consiliul de administrație al asigurătorilor trebuie să îndeplinească cel puțin următoarele atribuții:
a) să aprobe și să revizuiască periodic, cel puțin anual, strategiile generale și politicile privitoare la activitatea asigurătorilor;
b) să stabilească toleranța față de risc și să asigure luarea măsurilor necesare de către conducerea executivă pentru identificarea, evaluarea, monitorizarea și controlul riscurilor respective;
c) să supravegheze conducerea executivă în legătură cu modul în care aceasta monitorizează funcționarea adecvată și eficientă a sistemului de control intern;
d) să aprobe acea structură organizatorică ce răspunde cel mai bine obiectivelor propuse.
Pentru îndeplinirea atribuțiilor ce îi revin, consiliul de administrație trebuie să întreprindă cel puțin următoarele măsuri:
a) discuții periodice, cel puțin trimestrial, cu conducerea operativă privind eficiența sistemului de control intern;
b) analiza periodică, cel puțin trimestrial, a evaluărilor sistemului de control intern efectuate de conducerea operativă, de auditul intern și, după caz, de auditorul financiar al asigurătorilor și de Comisia de Supraveghere a Asigurărilor;
c) asigurarea implementării de către conducerea operativă a recomandărilor formulate de auditul intern, de auditorul financiar extern și de Comisia de Supraveghere a Asigurărilor cu privire la deficiențele sistemului de control intern și examinarea efectului măsurilor implementate.
Articolul 4
Conducerea executivă a asigurătorului are responsabilități pe linia monitorizării funcționării adecvate și eficiente a sistemului de control intern.
În contextul prevederilor alin. (1), conducerea executivă are cel puțin următoarele atribuții:
a) să implementeze strategiile generale și politicile privitoare la activitatea asigurătorilor, aprobate de consiliul de administrație;
b) să coordoneze procesul de elaborare a procedurilor de management al riscului și să ia măsurile necesare pentru identificarea, evaluarea, monitorizarea și controlul acestor riscuri;
c) să se asigure că responsabilitățile delegate conducerii operative, cu privire la stabilirea politicilor și procedurilor de control intern, sunt îndeplinite în mod corespunzător;
d) să mențină o structură organizatorică adecvată;
e) să stabilească fluxul informațional necesar;
f) să se asigure că toate activitățile asigurătorilor sunt realizate de personal calificat, având experiență și cunoștințe necesare în domeniul asigurărilor;
g) să asigure instruirea corespunzătoare a personalului propriu.
Articolul 5
În cazul externalizării unor activități, consiliul de administrație și conducerea executivă ale asigurătorilor răspund pentru atingerea obiectivelor controlului intern aferente respectivelor activități.
Articolul 6
Consiliul de administrație și conducerea executivă ale asigurătorilor sunt responsabile pentru promovarea unor standarde de etică și integritate pentru personalul asigurătorilor în ceea ce privește controlul intern, care să evidențieze și să asigure conștientizarea importanței acestuia la toate nivelurile organizatorice.
Articolul 7
Pentru a avea un sistem de control intern eficient asigurătorii trebuie să identifice și să evalueze permanent riscurile care pot periclita atingerea obiectivelor controlului intern.
Identificarea și evaluarea riscurilor trebuie să se facă atât la nivelul de ansamblu al unui asigurător, cât și la toate nivelurile organizatorice ale acestuia, trebuie să acopere toate activitățile și să țină cont de apariția unor noi activități.
Articolul 8
Identificarea și evaluarea riscurilor trebuie să se realizeze cu luarea în considerare a factorilor interni (complexitatea structurii organizatorice, natura activităților desfășurate, calitatea personalului și fluctuația acestuia) și a factorilor externi (condiții economice, schimbări legislative sau legate de mediul concurențial în sectorul de asigurări, progrese tehnologice).
Procesul de evaluare a riscurilor trebuie să includă identificarea atât a riscurilor care sunt controlabile de către asigurători, cât și a celor necontrolabile. În cazul riscurilor controlabile, asigurătorii trebuie să stabilească dacă își asumă integral aceste riscuri sau în măsura în care doresc să le reducă prin proceduri de control. În cazul riscurilor necontrolabile, asigurătorii trebuie să decidă dacă le acceptă sau dacă elimină ori reduc nivelul activităților afectate de riscurile respective.
Evaluarea riscurilor trebuie efectuată și în condițiile unor scenarii alternative, inclusiv în condiții de criză.
Articolul 9
Evaluarea riscurilor se va realiza de către specialiști din cadrul asigurătorilor care nu au responsabilități în realizarea performanței comerciale și financiare.
Articolul 10
Asigurătorii trebuie să revizuiască activitățile de control pentru a identifica și a evalua în mod corespunzător orice riscuri nou-apărute ca urmare a dezvoltării activității.
Articolul 11
Activitățile de control trebuie să se constituie ca parte integrantă a activităților curente desfășurate de asigurători.
Activitățile de control trebuie să aibă în vedere riscurile identificate de asigurători în cadrul procesului de identificare și evaluare a riscurilor.
Articolul 12
Activitățile de control trebuie definite pentru fiecare nivel organizatoric al asigurătorilor și implică două etape:
a) stabilirea politicilor și procedurilor de control;
b) verificarea respectării politicilor și procedurilor de control stabilite.
Articolul 13
Activitățile de control includ cel puțin următoarele:
a) analize la nivelul consiliului de administrație și al conducerii executive;
b) analize operative la nivelul compartimentelor și sediilor secundare ale asigurătorilor;
c) controale faptice care au în vedere restricționarea accesului la active, cum ar fi disponibilități bănești, restricționarea accesului la conturile clienților etc.;
d) analiza încadrării în limitele impuse expunerilor la risc și urmărirea modului în care sunt soluționate situațiile de neconformitate;
e) aprobări și autorizări, în cazul operațiunilor ce depășesc anumite limite de sume, asigurându-se astfel controlul asupra realizării operațiunilor respective de către nivelul de conducere competent și stabilirea responsabilităților;
f) verificări ale tranzacțiilor efectuate de asigurători și reconcilieri, în special acolo unde există diferențe între metodologiile sau sistemele de evaluare utilizate în compartimentele responsabile cu inițierea tranzacțiilor (front office) și compartimentele responsabile cu înregistrarea și monitorizarea tranzacțiilor inițiate (back office). Rezultatele verificărilor vor fi comunicate nivelului de conducere superior competent.
Articolul 14
Asigurătorii trebuie să realizeze o repartizare corespunzătoare a atribuțiilor la toate nivelurile organizatorice și să se asigure că personalului nu îi sunt alocate responsabilități care să conducă la conflicte de interese.
Articolul 15
Domeniile care pot fi afectate de potențiale conflicte de interese trebuie să fie identificate și supuse unei monitorizări independente exercitate de persoane neimplicate direct în activitățile respective, a căror informare este efectuată pe baza unor linii de raportare stabilite în mod corespunzător.
Articolul 16
Asigurătorii trebuie să asigure evidența datelor financiare, operaționale și de conformitate, adecvate și complete, pentru desfășurarea activității lor.
Asigurătorii trebuie să dispună de informații despre piață referitoare la evenimente și condiții care sunt relevante pentru luarea deciziilor.
Informațiile trebuie să fie credibile, relevante, complete, oportune, accesibile și furnizate într-un format consecvent.
Articolul 17
Asigurătorii trebuie să dispună de sisteme informaționale adecvate, care să acopere toate activitățile acestora.
Articolul 18
Asigurătorii trebuie să dispună de proceduri pentru a preveni utilizarea necorespunzătoare a informației, prin care să se evite:
a) prejudicierea, directă sau indirectă, a reputației acestora;
b) dezvăluirea informațiilor secrete sau confidențiale;
c) utilizarea informațiilor de către personalul asigurătorilor pentru obținerea unor beneficii personale.
Articolul 19
În cadrul sistemului informațional asigurătorii trebuie să dispună de sisteme informatice. Formatul acestor sisteme trebuie să asigure un grad adecvat de securitate a informației. Monitorizarea sistemelor informatice va fi asigurată de personal specializat independent și distinct de cel care le utilizează.
Asigurătorii trebuie să dispună de prevederi referitoare la organizarea și controlul intern al procesării informațiilor în formă electronică, astfel încât să fie posibilă obținerea de probe de audit.
Articolul 20
În vederea evitării apariției disfuncționalităților în cadrul activității și a eventualelor pierderi generate de acestea, asigurătorii trebuie să controleze eficient riscurile implicate de utilizarea sistemelor informatice. În acest scop se vor efectua atât controale generale la nivelul întregului sistem informatic, cât și controale la nivelul fiecărei aplicații informatice din componența acestuia.
Controalele generale se efectuează asupra infrastructurii hardware și de comunicații a sistemelor informatice, precum și asupra sistemelor de operare care asigură funcționarea acestora. Controalele au drept scop verificarea funcționării continue și corespunzătoare a acestora.
Controalele generale includ și verificarea existenței și aplicării unei strategii de informatizare, a procedurilor interne de salvare și restaurare a datelor, a politicilor de efectuare a achizițiilor, a procedurilor de dezvoltare a aplicațiilor informatice, a procedurilor de administrare și întreținere, precum și a politicilor de securitate vizând accesul fizic și logic la resursele sistemului informatic.
Controalele efectuate la nivelul aplicațiilor informatice reprezintă proceduri de validare și control incluse în codul aplicațiilor informatice utilizate, precum și proceduri manuale de verificare a modului de procesare a tranzacțiilor și efectuării operațiunilor.
Articolul 21
În vederea evitării pierderilor generate de întreruperea activității datorită unor factori externi ce nu pot fi controlați de către asigurători, aceștia trebuie să elaboreze planuri alternative, care să le permită reluarea activității în cazul apariției unor situații neprevăzute. Replicarea sistemelor critice trebuie asigurată fie prin existența unor sisteme de rezervă situate într-o altă locație aparținând asigurătorilor, fie prin intermediul unui furnizor extern de servicii.
Funcționarea planurilor alternative trebuie testată periodic prin stimularea operațiunilor pe sistemele de rezervă, în scopul verificării disponibilității acestora.
Articolul 22
În vederea organizării unui sistem de control intern eficient, asigurătorii trebuie să dispună de canale de comunicare care să asigure că personalul propriu cunoaște politicile și procedurile cu implicații asupra atribuțiilor și responsabilităților sale și că orice alte informații relevante ajung în timp util la acesta.
Articolul 23
Structura organizatorică a asigurătorilor trebuie să asigure un flux corespunzător de informații, pe verticală, în ambele sensuri, și pe orizontală, care să permită următoarele:
a) informarea consiliului de administrație și a conducerii executive asupra riscurilor aferente activității și funcționării asigurătorilor;
b) informarea nivelurilor inferioare de conducere operativă și a personalului atât asupra strategiilor asigurătorilor, cât și asupra politicilor și procedurilor stabilite;
c) difuzarea informațiilor între compartimentele și sediile secundare ale asigurătorilor pentru care respectivele informații au relevanță.
Articolul 24
Asigurătorii trebuie să monitorizeze permanent eficacitatea sistemului de control intern, cu luarea în considerare a modificărilor intervenite în condițiile interne și externe de desfășurare a activității.
Asigurătorii trebuie să asigure un rol important auditului intern în procesul de monitorizare a sistemului de control intern.
Monitorizarea eficacității sistemului de control intern va fi efectuată atât de personalul responsabil pentru fiecare compartiment și sediu secundar al asigurătorului, cât și de auditul intern.
Monitorizarea eficacității sistemului de control intern trebuie să facă parte din activitățile zilnice ale asigurătorilor și trebuie să includă și evaluări separate ale sistemului de control intern în general.
Evaluările separate, periodice, ale sistemului de control intern vor fi efectuate atât de personalul responsabil pentru fiecare compartiment și sediu secundar (autoevaluare), cât și de auditul intern.
Frecvența cu care trebuie monitorizate diferitele activități ale asigurătorilor depinde de riscurile implicate de activitățile respective, precum și de natura și frecvența schimbărilor din activitatea respectivă.
Articolul 25
Deficiențele identificate în legătură cu sistemul de control intern trebuie să fie raportate imediat nivelului de conducere competent, care trebuie să ia măsuri pentru remedierea cu promptitudine a acestora.
Deficiențele majore ale sistemului de control intern trebuie să fie raportate conducerii executive a asigurătorilor și consiliului de administrație al acestora.
Conducerea executivă a asigurătorilor are responsabilitatea de a stabili un sistem de detectare a deficiențelor sistemului de control intern și de a întreprinde măsuri pentru soluționarea respectivelor deficiențe.
Articolul 26
Asigurătorii trebuie să ia măsuri pe linia administrării următoarelor riscuri: riscul de credit, riscul de piață, riscul de lichiditate, riscul operațional, riscul de subscriere și riscul reputațional.
Articolul 27
În domeniul managementului riscurilor, consiliul de administrație al asigurătorilor are cel puțin următoarele atribuții:
a) să aprobe și să reconsidere profilul de risc al acestora;
b) să aprobe politicile privind managementul riscurilor respective, să le analizeze periodic, cel puțin anual, și să dispună revizuirea acestora, după caz;
c) să asigure luarea de către conducerea executivă a măsurilor necesare pentru identificarea, evaluarea, monitorizarea și controlul riscurilor, inclusiv pentru activitățile externalizate;
d) să aprobe procedurile de stabilire a competențelor și a responsabilităților în domeniul managementului riscurilor;
e) să aprobe externalizarea unor activități;
f) să aprobe politica de instruire a personalului.
Articolul 28
În domeniul managementului riscurilor, conducerea executivă a asigurătorilor este responsabilă cel puțin pentru următoarele:
a) implementarea strategiilor aprobate de consiliul de administrație și asigurarea comunicării acestora personalului implicat în punerea lor în aplicare;
b) asigurarea comunicării politicilor și procedurilor pentru identificarea, evaluarea, monitorizarea și controlul riscurilor personalului implicat în punerea lor în aplicare;
c) menținerea unor sisteme de raportare corespunzătoare a expunerilor la riscuri, precum și a altor aspecte legate de riscuri;
d) menținerea limitelor corespunzătoare privind expunerea la riscuri, inclusiv pentru condiții de criză, în conformitate cu mărimea, complexitatea și situația financiară a asigurătorilor;
e) menținerea eficienței și eficacității sistemului de control intern;
f) analizarea oportunității externalizării unor activități prin prisma riscurilor implicate de externalizare;
g) supravegherea și monitorizarea contractului de externalizare;
h) asigurarea unui personal calificat, având experiența și cunoștințele necesare;
i) asigurarea instruirii corespunzătoare a personalului;
j) asigurarea concordanței politicilor de remunerare a personalului cu strategia asigurătorului privind riscurile.
Articolul 29
În procesul de management al riscurilor, asigurătorii trebuie să constituie un comitet de management al riscurilor.
Articolul 30
Asigurătorii trebuie să opteze pentru un profil de risc, stabilind obiectivul și strategia pentru fiecare risc, inclusiv în ceea ce privește activitățile externalizate.
Asigurătorii vor stabili tipurile de riscuri pe care sunt pregătiți să le asume. La stabilirea acestora se vor avea în vedere natura, dimensiunea și complexitatea activității.
Strategia asigurătorilor privind managementul riscurilor trebuie să determine raportul dintre risc și profit pe care asigurătorul îl consideră acceptabil în condițiile asigurării continuității activității acesteia pe baze sănătoase și prudente.
Articolul 31
Asigurătorii trebuie să adopte politici pentru managementul riscurilor, în vederea implementării profilului de risc ales. Politicile respective trebuie să corespundă strategiilor generale, să fie corelate cu nivelul fondurilor proprii ale asigurătorilor și cu experiența acestora în administrarea riscurilor, precum și cu toleranța față de risc stabilită de consiliul de administrație.
Articolul 32
Politicile privind managementul riscurilor, corespunzătoare naturii, dimensiunii și complexității activităților asigurătorilor, trebuie să fie transpuse în mod clar și transparent în norme interne, proceduri, inclusiv în manuale și coduri de conduită, făcându-se distincție între standardele generale aplicabile întregului personal și regulile specifice aplicabile anumitor categorii de personal.
Articolul 33
Politicile de management al riscurilor trebuie să asigure, după caz, stabilirea cel puțin a:
a) unui sistem de proceduri de autorizare a operațiunilor afectate de riscurile respective;
b) unui sistem de stabilire a limitelor expunerii la risc și de monitorizare a acestora, care să reflecte profilul de risc ales și care să fie în conformitate cu legislația și cu reglementările în vigoare; limitele stabilite la nivelul activităților și/sau compartimentelor/sediilor secundare trebuie corelate cu cele stabilite la nivel de ansamblu al asigurătorilor;
c) unui sistem de raportare a expunerilor la riscuri, precum și altor aspecte legate de riscuri către nivelurile de conducere corespunzătoare;
d) unui sistem de proceduri pentru situații neprevăzute;
e) unor criterii de recrutare și remunerare a personalului, care să stabilească standarde ridicate pentru pregătirea, experiența și integritatea acestuia;
f) unui program de instruire a personalului.
Articolul 34
Asigurătorii trebuie să efectueze sistematic o evaluare a riscurilor.
Evaluarea riscurilor trebuie să țină cont și de:
a) implicațiile corelării fiecărui risc cu celelalte riscuri la care se expune asigurătorul;
b) previzionările profitului și fondurilor proprii pe baza diferitelor scenarii în condiții de criză, inclusiv o cuantificare a pierderilor maxime în condițiile extreme.
Asigurătorii trebuie să efectueze sistematic teste de senzitivitate.
Articolul 35
Asigurătorii trebuie să dispună de un sistem de informare adecvat pentru identificarea, evaluarea, monitorizarea și documentarea sistematică a riscurilor atât la nivelul asigurătorilor, cât și la nivelul compartimentelor și sediilor secundare ale acestora.
Articolul 36
Asigurătorii trebuie să asigure că există o separare corespunzătoare a atribuțiilor în cadrul procesului de administrare a riscurilor, pentru evitarea potențialelor conflicte de interese.
Articolul 37
Asigurătorii trebuie să asigure o monitorizare sistematică a conformității cu procedurile stabilite pentru managementul riscurilor și să soluționeze deficiențele constatate.
Articolul 38
Asigurătorii trebuie să dispună de un sistem adecvat de control intern asupra procesului de management al riscurilor, care implică analize independente și regulate și evaluări ale eficacității sistemului și, acolo unde se impune, asigurarea remedierii deficiențelor constatate. Rezultatele unor astfel de analize trebuie să fie comunicate în mod direct consiliului de administrație, comitetului de administrare a riscurilor și comitetului de audit.
Articolul 39
Asigurătorii trebuie să dispună de politici privind externalizarea activităților auxiliare sau conexe în raport cu activitățile principale.
Asigurătorii trebuie să dispună de proceduri de administrare a riscurilor asociate activităților externalizate.
Procedurile de management al riscurilor asociate activităților externalizate se vor referi cel puțin la următoarele:
a) luarea deciziilor privind externalizarea unor noi activități sau modificarea celor existente;
b) selectarea și evaluarea societăților prestatoare de servicii auxiliare sau conexe în legătură cu aspecte cum ar fi: solvabilitatea, reputația, familiarizarea cu specificul sectorului asigurărilor, calitatea serviciilor prestate, organizarea activității și controlul intern, existența unui personal competent, existența unui plan alternativ de redresare a activității, asigurarea confidențialității informației;
c) monitorizarea modului în care societățile prestatoare de servicii auxiliare sau conexe desfășoară activitățile externalizate;
d) elaborarea de planuri alternative și stabilirea costurilor și resurselor necesare pentru schimbarea societăților prestatoare de servicii auxiliare sau conexe.
Articolul 40
Asigurătorii pot externaliza activități doar în condițiile încheierii de contracte cu societăți prestatoare de servicii auxiliare sau conexe.
Contractele încheiate cu societăți prestatoare de servicii auxiliare sau conexe în legătură cu activitățile externalizate trebuie să fie în formă scrisă și să asigure o alocare clară a responsabilităților fiecărei părți.
Asigurătorii vor putea încheia contracte cu societăți prestatoare de servicii auxiliare sau conexe, în legătură cu activitățile externalizate, în următoarele condiții:
a) asigurarea existenței unor date actualizate și a altor informații la nivelul asigurătorului;
b) asigurarea accesului unor entități din România (autorități sau instituții publice) la datele și informațiile aferente operațiunilor din România, în cazul externalizării unor activități în afara granițelor țării;
c) asigurarea securității/confidențialității datelor cel puțin prin următoarele măsuri: angajamentul societății prestatoare de servicii auxiliare sau conexe și al personalului acesteia de a se supune regulilor de confidențialitate, drepturile contractuale ale asigurătorului de a lua măsuri împotriva societății prestatoare de servicii auxiliare sau conexe în cazul încălcării confidențialității, separarea datelor asigurătorului de cele ale societății prestatoare de servicii auxiliare sau conexe și de cele ale altor clienți ai acesteia.
Articolul 41
Asigurătorii nu pot externaliza următoarele activități:
a) activitatea de audit intern, în condițiile în care furnizorul extern de servicii în domeniul auditului intern are și calitatea de auditor financiar al instituției de credit în cauză;
b) organizarea și ținerea contabilității, în condițiile în care între persoanele cărora le-ar fi externalizată activitatea de ținere a contabilității și auditorul financiar există legături ce afectează independența acestuia în exercitarea mandatului;
c) organizarea și desfășurarea activității juridice curente, în conformitate cu dispozițiile
privind organizarea și exercitarea profesiei de consilier juridic;
d) orice alte activități care în urma externalizării nu mai pot fi controlate și desfășurate în conformitate cu regulile unei practici prudente și sănătoase.
Articolul 42
Asigurătorii trebuie să dispună de un comitet de management al riscurilor. Comitetul de management al riscurilor este un comitet permanent, ale cărui funcționare și atribuții sunt reglementate de prezentele norme și de regulamentele interne ale fiecărui asigurător.
Comitetul de management al riscurilor își poate desfășura lucrările în subcomitete, în funcție de mărimea și complexitatea asigurătorului.
Comitetul de management al riscurilor se constituie prin decizie a consiliului de administrație.
Articolul 43
Asigurătorii trebuie să dispună de un regulament al comitetului de management al riscurilor, aprobat la nivelul consiliului de administrație și revizuit periodic, după caz, care să indice componența, autoritatea și responsabilitățile acestuia și modul de raportare către consiliul de administrație.
Articolul 44
Membrii comitetului de management al riscurilor trebuie să aibă o experiență compatibilă cu responsabilitățile lor în cadrul acestuia.
Comitetul de management al riscurilor este format din membri ai conducerii executive și operative ai asigurătorului.
Articolul 45
Comitetul de management al riscurilor va avea cel puțin următoarele atribuții:
a) să asigure informarea consiliului de administrație asupra problemelor și evoluțiilor semnificative care ar putea influența profilul de risc al asigurătorului;
b) să dezvolte politici și proceduri adecvate pentru identificarea, evaluarea, monitorizarea și controlul riscurilor;
c) să aprobe metodologii și modele adecvate pentru evaluarea riscurilor și limitarea expunerilor;
d) să stabilească limite corespunzătoare privind expunerea la riscuri, inclusiv pentru condiții de criză, în conformitate cu mărimea, complexitatea și situația financiară a asigurătorului, precum și proceduri necesare pentru aprobarea excepțiilor de la respectivele limite;
e) să aprobe angajarea asigurătorului în noi activități, pe baza analizei riscurilor aferente acestora;
f) să analizeze măsura în care planurile alternative de care dispune banca corespund situațiilor neprevăzute cu care aceasta s-ar putea confrunta;
g) să prezinte consiliului de administrație informări suficient de detaliate și oportune, care să permită acestuia să cunoască și să evalueze performanța conducerii în monitorizarea și controlul riscurilor, potrivit politicilor aprobate, precum și performanța de ansamblu a asigurătorului;
h) să informeze regulat consiliul de administrație asupra situației expunerilor asigurătorului la riscuri și imediat, în cazul în care intervin schimbări semnificative în expunerea curentă sau viitoare a asigurătorului la riscurile respective;
i) să stabilească sisteme de raportare corespunzătoare a aspectelor legate de riscuri;
j) să stabilească competențele și responsabilitățile pentru administrarea și controlul expunerilor la riscuri.
Articolul 46
Asigurătorii trebuie să întocmească anual un raport asupra condițiilor în care este desfășurat controlul intern. Acest raport trebuie să cuprindă cel puțin:
a) o inventariere a principalelor deficiențe identificate în cadrul sistemului de control intern și măsurile întreprinse pentru corectarea acestora;
b) o descriere a modificărilor semnificative intervenite în sistemul de control intern în perioada respectivă, în special axate pe evoluția activității și a riscurilor;
c) o descriere a condițiilor de aplicare a procedurilor de control aferente noilor activități;
d) desfășurarea controlului intern în cadrul sediilor secundare ale asigurătorilor din străinătate.
Raportul întocmit de către asigurători trebuie să includă și condițiile în care se desfășoară controlul intern la nivelul entităților cuprinse în perimetrul lor de consolidare și al societăților prestatoare de servicii auxiliare sau conexe.
Articolul 47
Asigurătorii trebuie să întocmească anual un raport privind măsurile luate pe linia managementului riscurilor la care sunt expuși aceștia și, după caz, măsurile luate de entitățile cuprinse în perimetrul lor de consolidare și societățile prestatoare de servicii auxiliare sau conexe.
Raportul întocmit trebuie să cuprindă cel puțin:
a) politicile de management al riscului, cu specificarea toleranței asigurătorului la risc și limitele stabilite pentru gestiunea riscurilor de piață, de credit și de lichiditate;
b) detalii ale politicilor de investiții ale asigurătorului, incluzând procedurile de identificare, monitorizare și control al riscurilor, precum și detalii referitoare la strategiile investiționale cu produse derivate sau produse cu efect similar;
c) procedurile asigurătorului pentru alegerea partenerilor, cu specificarea detaliilor procedurilor de selectare și monitorizare a administratorilor de fonduri și a societăților de servicii de investiții financiare;
d) procedurile asigurătorului referitoare la introducerea de noi instrumente de investiții și de monitorizare a riscurilor asociate cu utilizarea acestora;
e) o prezentare a modului de abordare și a politicilor asigurătorului referitoare la produsele de asigurare, procesul de subscriere, activitatea de reasigurare și solvabilitate;
f) detalii referitoare la salarizarea personalului pentru a stabili dacă compania acordă prime sau alte stimulente salariale mari care determină o mărire nejustificată a expunerii la risc a societății;
g) un plan de afaceri global al asigurătorului care cuprinde informații referitoare la noile produse lansate de societate, strategia de distribuție a produselor, procesul de subscriere și activitatea de reasigurare. Aceste informații vor fi folosite în scopul evaluării gradului de adecvare a sistemului de management al riscului implementat de asigurător la afacerea sa;
h) planurile elaborate de asigurător pentru împrejurări neprevăzute;
i) detalii referitoare la testele de senzitivitate efectuate de asigurător pentru evaluarea riscurilor la care este expus;
j) informații despre managementul intern al portofoliilor de active: detalii despre active și datorii, detalii despre investițiile intragrup realizate;
k) lista deciziilor consiliului de administrație;
l) documente care să ateste pregătirea profesională a persoanelor responsabile cu activitățile de investiții, respectiv cu managementul riscului investițiilor;
m) detalii referitoare la serviciile externalizate;
n) rapoarte referitoare la riscurile de piață, precum și rentabilitatea portofoliului de investiții.
Articolul 48
Rapoartele menționate la art. 46 și 47 trebuie să fie transmise Comisiei de Supraveghere a Asigurărilor în termen de 6 luni de la încheierea exercițiului financiar.
Articolul 49
Pentru controlul intern al activității și managementul riscurilor, asigurătorii vor avea în vedere și prevederile legislației naționale și standardele internaționale în materie.
Articolul 50
În cazul în care asigurătorii nu apelează la un furnizor extern de servicii pentru sistemele informatice, aceștia vor trebui să dispună de sistemele de rezervă prevăzute la art. 21 alin. (1), în termen de 9 luni de la intrarea în vigoare a prezentelor norme.
Articolul 51
În termen de 3 luni de la data intrării în vigoare a prezentelor norme, asigurătorii trebuie să transmită Comisiei de Supraveghere a Asigurărilor normele interne privind organizarea controlului intern al activității, normele interne privind organizarea sistemului de management al riscurilor, precum și regulamentul comitetului de management al riscurilor.
Articolul 52
Nerespectarea prevederilor prezentelor norme constituie contravenție și se sancționează conform prevederilor
art. 39 din Legea nr. 32/2000
privind activitatea de asigurare și supravegherea asigurărilor, cu modificările și completările ulterioare.
Articolul 53
Prezentele norme intră în vigoare începând cu data aderării României la Uniunea Europeană, dată la care se abrogă
Ordinul președintelui Comisiei de Supraveghere a Asigurărilor nr. 3.105/2004
pentru punerea în aplicare a Normei minimale privind activitatea de control intern, publicat în Monitorul Oficial al României, Partea I, nr. 186 din 3 martie 2004.
_________
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.