Regeling incidenten kredietinstellingen en verzekeraars

Regeling van De Nederlandsche Bank N.V. en de Pensioen- & Verzekeringskamer ingevolge de artikelen 22a en 30ca Wet toezicht kredietwezen 1992, de artikelen 70a en 98a Wet toezicht verzekeringsbedrijf 1993 en artikel 31a Wet toezicht natura-uitvaartverzekeringsbedrijf in verband met artikel 3, derde lid, en artikel 7 van het Besluit van 10 oktober 2003 (Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars), Stb. 2003, 396, met betrekking tot de omgang met incidenten die een ernstig gevaar vormen voor een integere bedrijfsvoering

De Nederlandsche Bank N.V. en de Pensioen- & Verzekeringskamer,

Gelet op de artikelen 22a en 30ca Wet toezicht kredietwezen 1992, de artikelen 70a en 98a Wet toezicht verzekeringsbedrijf 1993 en artikel 31a Wet toezicht natura-uitvaartverzekeringsbedrijf in verband met artikel 3, derde lid, en artikel 7 Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars;

Na overleg met de betrokken representatieve organisaties;

Besluiten:

Artikel 1 Definities

In deze regeling wordt verstaan onder:

a. toezichthouder:

1° De Nederlandsche Bank N.V. voor zover het kredietinstellingen betreft;

2° de Pensioen- & Verzekeringskamer voor zover het verzekeraars betreft;

b. Besluit: Besluit van 10 oktober 2003, houdende regels ter zake van een integere bedrijfsvoering door kredietinstellingen en verzekeraars alsmede tot wijziging van enkele koninklijke besluiten in verband met de Wet actualisering en harmonisatie financiële toezichtwetten (Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars), Stb. 2003, 396;

c. incident: een incident als bedoeld in artikel 4 van het Besluit;

d. instelling: een kredietinstelling of een verzekeraar;

e. kredietinstelling: een kredietinstelling zoals bedoeld in artikel 1, eerste lid, onder a, Wet toezicht kredietwezen 1992 en ingeschreven in het register, bedoeld in artikel 52, tweede lid, onder a, b en e, van de Wet toezicht kredietwezen 1992;

f. verzekeraar: de verzekeraar die in het bezit is van een vergunning hem door de Pensioen- & Verzekeringskamer verleend op grond van de Wet toezicht verzekeringsbedrijf 1993 of de Wet toezicht natura-uitvaartverzekeringsbedrijf dan wel de verzekeraar waarvan deze vergunning is ingetrokken of vervallen.

Artikel 2 Beleid incidenten

1. De instelling stelt beleid vast ter zake van de omgang met incidenten. Het beleid omvat ten minste:

a. de administratieve vastlegging van incidenten;

b. de wijze van afhandeling van incidenten;

c. de informatieverstrekking over incidenten.

2. De instelling draagt zorg voor de uitwerking en implementatie van het beleid in organisatorische en administratieve procedures en maatregelen. Deze procedures en maatregelen zijn geïntegreerd in de bedrijfsprocessen en dragen bij aan een integriteitsbewuste bedrijfscultuur.

Artikel 3 Administratieve vastlegging van incidenten

De instelling zorgt voor administratieve vastlegging van incidenten die ten minste omvat de kenmerken van het incident, gegevens over degene of degenen die het incident heeft of hebben bewerkstelligd, en de maatregelen die naar aanleiding van het incident zijn genomen.

Artikel 4 Wijze van afhandeling van incidenten

De instelling neemt naar aanleiding van een incident passende maatregelen. Deze maatregelen zijn ten minste gericht op:

a. beheersing van het optredende risico;

b. bevestiging van de geldende normen;

c. beperking van negatieve interne en externe effecten van het incident.

Artikel 5 Informatieverstrekking aan de toezichthouder

1. De instelling informeert de toezichthouder onverwijld omtrent incidenten indien:

a. aangifte van een incident bij justitiële autoriteiten zal plaatsvinden of is gedaan;

b. het voortbestaan van de instelling wordt bedreigd of zou kunnen worden bedreigd;

c. er sprake is van een ernstige tekortkoming in de opzet en werking van de maatregelen ter bevordering of handhaving van een integere bedrijfsvoering door de instelling;

d. mede gelet op verwachte publiciteit rekening behoort te worden gehouden met een ernstige mate van reputatieschade aan de instelling; of

e. de ernst, de omvang of de overige omstandigheden van het incident in aanmerking genomen, de toezichthouder in verband met haar toezichtstaak redelijkerwijs behoort te worden geïnformeerd.

2. De in het eerste lid bedoelde informatie betreft ten minste:

a. de feiten en omstandigheden van het incident;

b. informatie over de functie, hoedanigheid en positie van degene of degenen die het incident heeft of hebben bewerkstelligd.

3. Op verzoek van de toezichthouder informeert de instelling de toezichthouder over de maatregelen die naar aanleiding van het incident zijn genomen.

Artikel 6 Inwerkingtreding en overgangsbepaling

1. Deze regeling treedt in werking met ingang van de tweede dag na de datum van uitgifte van de Staatscourant waarin zij wordt geplaatst dan wel, indien deze datum voor 1 januari 2004 ligt, op 1 januari 2004.

2. Een instelling die op de datum van inwerkingtreding van deze regeling werkzaam is, voldoet op 1 juli 2004 aan het bepaalde in deze regeling.

Artikel 7 Citeertitel

Deze regeling wordt aangehaald als: Regeling incidenten kredietinstellingen en verzekeraars.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

Toelichting

Algemeen

Op grond van de artikelen 22a en 30ca Wet toezicht kredietwezen 1992, de artikelen 70a en 98a Wet toezicht verzekeringsbedrijf 1993 en artikel 31a Wet toezicht natura-uitvaartverzekeringsbedrijf in verband met artikel 3, derde lid, en artikel 7 Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars (het Besluit) hebben De Nederlandsche Bank N.V. en de Pensioen- & Verzekeringskamer (hierna: de toezichthouders) de opdracht om regels uit te vaardigen met betrekking tot het beleid, de organisatorische en administratieve procedures en maatregelen ter voorkoming van:

- betrokkenheid van de instelling bij strafbare feiten die het vertrouwen in de instelling of in de financiële markten in het algemeen schaden;

- betrokkenheid van de instelling bij handelingen die anderszins in het maatschappelijk verkeer zodanig onaanvaardbaar zijn dat deze het vertrouwen in de instelling of in de financiële markten in het algemeen schaden.

Artikel 4, onder a, van het Besluit stelt vast dat de procedures en maatregelen in ieder geval de behandeling en administratieve vastlegging van incidenten betreffen. De toezichthouders geven invulling aan de genoemde wettelijke opdracht door het uitvaardigen van deze regeling betreffende de omgang met incidenten die een ernstig gevaar vormen voor een integere bedrijfsvoering.

Bij het opstellen van de regeling is, naast de uitgangspunten die de wet en het Besluit aanreiken, gebruik gemaakt van de door de Nederlandsche Bank, de Pensioen- & Verzekeringskamer en de Autoriteit Financiële Markten gezamenlijk vastgestelde Aanbevelingen ten aanzien van een integere bedrijfsvoering op het gebied van incidenten en integriteitsgevoelige functies. Deze aanbevelingen zijn per circulaire in januari 2002 aan de instellingen aangeboden. Bij de inwerkingtreding van deze regeling komen de genoemde aanbevelingen te vervallen.

De uitvoering van de onderhavige regeling betekent dat er verwerking van persoonsgegevens zal plaatsvinden door de betrokken instellingen. Dat betekent dat de Wet Bescherming Persoonsgegevens (WBP) van toepassing zal zijn. Het is de verantwoordelijkheid van de afzonderlijke instellingen om de volgens de WBP vereiste formaliteiten te verrichten.

De toezichthouders zijn zich ervan bewust dat instellingen reeds beschikken over beleid, procedures en maatregelen met betrekking tot incidenten. Het is dan ook van belang om op te merken dat deze regeling `risicogebaseerd' is. Dit houdt mede in dat in de uitvoering van deze regeling aansluiting gezocht wordt bij de eigen beheerssystemen van de instelling inzake incidenten. In het toezicht zal de uitvoering van de regeling beoordeeld worden in het licht van de eigen aard van de instelling. De toezichthouders zullen, in overleg met de representatieve organisaties, de feitelijke uitwerking van de regeling volgen en evalueren, waarbij ook de administratieve lasten zullen worden meegewogen.

Incidenten

Integriteit van de financiële sector houdt onder meer in dat instellingen niet betrokken raken bij de strafbare feiten en maatschappelijk onaanvaardbare handelingen. Dit vereist een integere bedrijfsvoering. Incidenten in het kader van het Besluit zijn `incidenten die een ernstig gevaar vormen voor een integere bedrijfsvoering van de instelling, voor zover het betreft een gedraging van een personeelslid of van een persoon die het dagelijks beleid bepaalt dan wel mede bepaalt van de instelling, dan wel van een gekwalificeerde aandeelhouder of van een natuurlijke persoon of rechtspersoon die werkzaamheden verricht ten behoeve van de instelling'. Het is een gegeven dat incidenten optreden, het gaat erom hoe ermee wordt omgegaan. Omdat blijkens de definitie `incidenten' een ernstig gevaar vormen voor een integere bedrijfsvoering is het van groot belang dat incidenten zorgvuldig worden afgehandeld en dat er aangaande incidenten een correcte informatieverschaffing plaatsvindt aan de toezichthouders. Incidentmanagement is een wezenlijk aspect van een integere bedrijfsvoering.

Uit de verplichting een integere bedrijfsvoering zoveel mogelijk te waarborgen vloeit voort dat de instelling dient te zorgen dat het risico op niet-integer optreden van personeelsleden van de instelling en (rechts)personen die werkzaamheden ten behoeve van de instelling verrichten of een relatie met de instelling onderhouden of wensen aan te gaan, zoveel mogelijk wordt beperkt en beheerst. Dit betekent onder andere dat de interne organisatie van de instelling zodanig moet zijn opgezet dat incidenten die inbreuk kunnen maken of hebben gemaakt op de integriteit van de instelling, worden geconstateerd, vastgelegd en aanleiding zijn tot het nemen van corrigerende maatregelen. Dit laat onverlet dat de instelling op basis van een risicoanalyse preventief maatregelen neemt ter beheersing van dit integriteitsrisico.

De reikwijdte van de definitie van het begrip `incident' is bepalend voor het antwoord op de vraag op welke soorten incidenten deze Regeling betrekking heeft. Daarbij wordt in de `incident'-definitie onder `gedraging' zowel een doen als een nalaten verstaan. Indien de gedraging afkomstig is van een persoon of rechtspersoon waarvan de werkzaamheden onder verantwoordelijkheid van de instelling vallen, dient de niet-integere gedraging in het kader van de uitoefening van die werkzaamheden plaats te hebben gevonden. Onder een persoon of rechtspersoon waarvan de werkzaamheden onder verantwoordelijkheid van de instelling vallen, wordt zowel een persoon in dienst van de instelling begrepen als bijvoorbeeld ook een tussenpersoon of een (rechts)persoon die in het kader van uitbesteding voor de instelling werkzaamheden verricht. In dat laatste geval kan in dit kader worden gedacht aan een contractuele regeling in de vorm van een informatieplicht van de derde aan de uitbesteder. Indien het activiteiten betreft die zelf vergunningsplichtig zijn, zal de tussenpersoon c.q. de partij aan wie wordt uitbesteed zelf rechtstreeks aan een (soortgelijke) regeling zijn onderworpen.

Artikelsgewijze toelichting

Artikel 2 Beleid incidenten

Uit de definitie van incident blijkt dat het gaat om gebeurtenissen die een ernstig gevaar vormen voor de integere bedrijfsvoering. Een eigenschap van incidenten is dat ze optreden op momenten die niet van tevoren door de instelling zijn voorzien. Daarom wordt van de instelling verwacht dat zij systematisch nadenkt over de omgang met incidenten. De regeling spitst dit toe op drie concrete punten die minimaal benodigd zijn voor een adequate omgang met incidenten, namelijk: de administratieve vastlegging van incidenten, de wijze van afhandeling van incidenten en de informatieverstrekking over incidenten aan de toezichthouder. De uitwerking en implementatie van het beleid in organisatorische en administratieve procedures en maatregelen is een cruciale stap. De procedures en maatregelen moeten bijdragen aan een integriteitsbewuste bedrijfscultuur én moeten geïntegreerd zijn in de bedrijfsprocessen.

Artikel 3 Administratieve vastlegging van incidenten

De administratieve vastlegging is in de eerste plaats een instrument ten behoeve van de instelling zelf. De regeling geeft aan hetgeen de instelling minimaal moet vastleggen. De toezichthouder zal de administratieve vastlegging weliswaar in het kader van het lopende toezicht kunnen inzien op grond van zijn inlichtingen- en inzagerecht, maar dit toezicht zal er vooral op gericht zijn te verifiëren of de instelling op de juiste manier met de onderhavige verplichting omgaat.

Artikel 4 Wijze van afhandeling van incidenten

Naar aanleiding van een incident zijn gepaste maatregelen nodig: er is immers een ernstig gevaar voor de integere bedrijfsvoering. Gepaste maatregelen zijn erop gericht dat de integere bedrijfsvoering ongehinderd voortgang heeft. In het kader van deze regeling is met name van belang dat die maatregelen passend zijn die het optredende risico beheersen, normbevestigend zijn en die de negatieve interne en externe effecten van het incident beperken. Dit houdt enerzijds in bevordering van een integere bedrijfsvoering en anderzijds beperking van reputatieschade. Van belang is ook dat de maatregelen de norm bevestigen: de betrokkenen moet duidelijk zijn dat normovertredingen niet worden getolereerd. Maatregelen met een verhullend karakter worden dan ook in de regel niet beschouwd als passend vanwege het ontbreken van het normbevestigende karakter. Interne informatieverstrekking over afgehandelde incidenten kan ook normbevestigend werken. Gepaste maatregelen kunnen bijvoorbeeld bestaan in (arbeidsrechtelijke) maatregelen jegens degene die het incident heeft bewerkstelligd, uit het verbeteren van interne procedures, het aanpassen van beleid, of uit het geven van openheid van zaken aan personeelsleden, de toezichthouder en aan het publiek.

Artikel 5 Informatieplicht

Het eerste lid van artikel 5 geeft aan in welke situaties de toezichthouder geïnformeerd dient te worden. Dit is een informatieplicht die inhoudt dat de instelling op eigen initiatief onverwijld de toezichthouder informeert omtrent opgetreden incidenten. Voor alle duidelijkheid: deze meldingsplicht heeft betrekking op incidenten in de zin van deze regeling, d.w.z. incidenten die een ernstig gevaar vormen voor een integere bedrijfsvoering. Dit betekent ook dat niet alle gebeurtenissen die bij justitiële autoriteiten worden aangegeven ook aan de toezichthouder gemeld moeten worden; het gaat ook hier om aangifte bij justitiële autoriteiten van incidenten. Het tweede lid geeft aan welke informatie ten minste aan de toezichthouder ter hand moet worden gesteld.

Artikel 6 Inwerkingtreding en overgangsbepaling

De overgangsbepaling houdt in dat beleid, procedures en maatregelen als bedoeld in deze regeling dienen te zijn geïmplementeerd per 1 juli 2004. De instelling kan in deze overigens ook tot de conclusie komen dat het staande beleid reeds voldoet aan de bepalingen in deze regeling.