Regeling uitbesteding verzekeraars

Regeling van de Pensioen- & Verzekeringskamer van 22 januari 2004, nr. 0.1/2004-724, houdende uitvoering van de artikelen 70, tweede lid, en 98, tweede lid, van de Wet toezicht verzekeringsbedrijf 1993, artikel 31, tweede lid, van de Wet toezicht natura-uitvaartverzekeringsbedrijf, en de artikelen 2, tweede lid, en 3, derde lid, van het Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars

De Pensioen- & Verzekeringskamer;

Gelet op de artikelen 70, tweede lid, en 98, tweede lid, van de Wet toezicht verzekeringsbedrijf 1993, artikel 31, tweede lid, van de Wet toezicht natura-uitvaartverzekeringsbedrijf, en de artikelen 2, tweede lid, en 3, derde lid, van het Besluit integere bedrijfsvoering kredietinstellingen en verzekeraars;

Besluit:

Artikel 1 Definities

In deze regeling wordt verstaan onder:

a. verzekeraar: de verzekeraar die in het bezit is van een vergunning hem door de Pensioen- & Verzekeringskamer verleend op grond van de Wet toezicht verzekeringsbedrijf 1993 of de Wet toezicht natura-uitvaartverzekeringsbedrijf dan wel de verzekeraar waarvan deze vergunning is ingetrokken of vervallen;

b. groep: een groep als bedoeld in artikel 24b van Boek 2 van het Burgerlijk Wetboek, met dien verstande dat indien een natuurlijk persoon, rechtspersoon of vennootschap:

1. via de formele of feitelijke zeggenschapsstructuur invloed kan uitoefenen op een of meer andere rechtspersonen of vennootschappen, of

2. in een of meer andere rechtspersonen of vennootschappen een deelneming heeft als bedoeld in artikel 24c van Boek 2 van het Burgerlijk Wetboek, dan wel, voor zover het natuurlijke personen betreft, een met een deelneming overeenkomende positie, die natuurlijke persoon, rechtspersoon of vennootschap tezamen met die andere natuurlijke persoon, rechtspersoon of vennootschap dan wel natuurlijke personen, rechtspersonen of vennootschappen wordt aangemerkt als een groep;

c. uitbesteding: het door andere entiteiten binnen de groep waartoe de verzekeraar behoort, of door andere onafhankelijke derden, op structurele basis laten leveren van diensten, goederen of faciliteiten die deel uitmaken van de met het leveren van de verzekeringsdienst samenhangende of daaraan ondersteuning verlenende bedrijfsprocessen, behoudens voor zover het betreft inkoop;

d. uitvoerende organisatie: de organisatie die op basis van uitbesteding werkzaamheden verricht voor een verzekeraar;

e. gevolmachtigd agent: degene bedoeld in artikel 1 sub d van de Wet assurantiebemiddelingsbedrijf;

f. volmacht: het voor rekening en risico van de verzekeraar sluiten van overeenkomsten van verzekering en het verrichten van daarmee samenhangende activiteiten;

g. inkoop: het laten leveren van diensten, goederen of faciliteiten door andere groepsentiteiten of door derden:

1. zonder dat informatie over of in het bezit van de verzekeraar in de macht van de leverancier kan komen, of

2. van gestandaardiseerde producten als marktinformatie of kantoorinventaris.

Artikel 2 Beleid terzake van uitbesteding

1. De verzekeraar stelt beleid vast met betrekking tot de beheersing van risico's die samenhangen met de uitbesteding van bedrijfsprocessen.

2. Het beleid betreft in ieder geval:

a. het bepalen dat de verzekeraar voldoende waarborgen verkrijgt voor het handhaven van een beheerste en integere bedrijfsvoering alsmede dat de uitvoerende organisatie maatregelen treft inzake fraudepreventie;

b. het vaststellen dat de verzekeraar niet tot uitbesteding zal overgaan indien niet aan onderdeel a wordt voldaan.

Artikel 3 Beperkingen aan uitbesteding

Onverminderd artikel 2 zijn die vormen van uitbesteding, die de verantwoordelijkheid van de verzekeraar voor de organisatie en beheersing van bedrijfsprocessen en het toezicht daarop kunnen ondermijnen, niet toegestaan.

Artikel 4 Risicoanalyse

De verzekeraar draagt zorg voor een systematische analyse van risico's die samenhangen met de uitbesteding van bedrijfsprocessen. De analyse wordt uitgevoerd zowel op het niveau van de organisatie van de verzekeraar in zijn geheel als op het niveau van de onderscheiden bedrijfsonderdelen.

Artikel 5 Procedures en maatregelen

3. De verzekeraar draagt zorg voor de uitwerking en implementatie van het beleid in organisatorische en admini-stratieve procedures en maatregelen.

2. De in het eerste lid bedoelde procedures en maatregelen omvatten in ieder geval:

a. de procedures inzake de besluitvorming ten aanzien van een voorgenomen nieuwe of gewijzigde uitbesteding, waaronder de in artikel 4 bedoelde risicoanalyse;

b. de beoordeling van de uitvoerende organisatie.

Artikel 6 Controle

De verzekeraar toetst regelmatig of de wijze waarop de uitbestede bedrijfsprocessen worden uitgevoerd nog in overeenstemming is met de gemaakte afspraken. Daartoe beschikt de verzekeraar over toereikende procedures, deskundigheid en informatie om de werkzaamheden van de uitvoerende organisatie op adequate wijze te kunnen beoordelen en zonodig bij te sturen.

Artikel 7 Overeenkomst van uitbesteding

1. De verzekeraar legt de afspraken met de uitvoerende organisatie inzake uitbesteding vast in een schriftelijke overeenkomst. Deze overeenkomst dient het geheel van relevante aspecten betreffende de uitbestede bedrijfsprocessen te omvatten, zoals aard, omvang, kwaliteit, tijdigheid, servicegraad, deskundigheid, informatievoorziening, eigendom van gegevens en verplichting tot naleving van relevante wet- en regelgeving.

2. In het geval van volmacht wordt in de in het eerste lid bedoelde overeenkomst vastgelegd dat de gevolmachtigd agent de financiële jaarrapportage over de volmacht voorziet van een verklaring van een accountant als bedoeld in artikel 2:393, eerste lid, van het Burgerlijk Wetboek.

3. De in het eerste lid bedoelde overeenkomst moet waarborgen dat de verzekeraar de uitbesteding van de bedrijfsprocessen onder bepaalde, van tevoren overeengekomen nauwkeurig omschreven omstandigheden kan beëindigen en dat de verzekeraar de desbetreffende bedrijfsprocessen zelfstandig kan voortzetten of elders kan onderbrengen. De beëindiging dient te zijn omgeven met financiële en uitvoeringstechnische waarborgen.

4. Als onderdeel van de in het eerste lid bedoelde overeenkomst verklaart en garandeert de uitvoerende organisatie, indien zij voor meer dan één opdrachtgever werkt, dat de gegevens en bestanden van de verschillende opdrachtgevers logisch te scheiden zijn, dat de privacy-aspecten zijn gewaarborgd en dat de gescheiden informatieverstrekking naar de verschillende opdrachtgevers voldoende is gewaarborgd.

5. De in het eerste lid bedoelde overeenkomst moet waarborgen dat de uitvoerende organisatie aan de Pensioen- & Verzekeringskamer alle gevraagde inlichtingen - met inachtneming van eventueel bestaande wettelijke geheimhoudingsverplichtingen - verstrekt, de Pensioen- & Verzekeringskamer desgevraagd de toegang verschaft tot de relevante boeken en administratieve bescheiden en de aanwijzingen van de Pensioen- & Verzekeringskamer zal opvolgen die verband houden met de door de verzekeraar uitbestede bedrijfsprocessen.

Artikel 8 Ontheffing

De Pensioen- & Verzekeringskamer kan aan een verzekeraar geheel of gedeeltelijk ontheffing verlenen van de voorschriften van deze regeling. Zij kan aan de ontheffing beperkingen stellen en voorschriften verbinden. Een ontheffing kan worden ingetrokken.

Artikel 9 Inwerkingtreding en overgangsbepaling

1. Deze regeling treedt in werking op 1 februari 2004.

2. Verzekeraars die op 1 februari 2004 als verzekeraar werkzaam zijn, dienen de bestaande overeenkomsten van uitbesteding uiterlijk op 31 januari 2005 aan deze regeling aan te passen.

Artikel 10 Citeertitel

Deze regeling wordt aangehaald als: Regeling uitbesteding verzekeraars.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

Apeldoorn, 22 januari 2004.
Pensioen- & Verzekeringskamer,
Mr. D.E. Witteveen, Voorzitter
Mr. J.Ph.W. Klopper, Bestuur

Toelichting

Algemeen

Uitbesteding is bij verzekeraars een reeds lang voorkomend verschijnsel. Van oudsher komt uitbesteding bijvoorbeeld voor de vorm van het verlenen van volmachten, extern vermogensbeheer en het door derden laten uitvoeren van (delen van) de admini-stratie. Het aantal verschijningsvormen en de omvang van uitbesteding nemen de laatste jaren toe. Aan het uitbesteden van werkzaamheden zijn voor de verzekeraar, en daarmee voor de polishouders, risico's verbonden die adequaat moeten worden beheerst. Hierbij blijft de verzekeraar volledig verantwoordelijk voor de beheersing van het door hem gevoerde beleid, ook als een gedeelte van de werkzaamheden is uitbesteed en ongeacht of er sprake is van uitbesteding binnen de groep waartoe de verzekeraar behoort of naar derden.

Uitgangspunt is dat een effectief toezicht door de Pensioen- & Verzekeringskamer op alle onderdelen van de processen bij de verzekeraar mogelijk moet blijven, ongeacht of deze al dan niet zijn uitbesteed. Voorkomen moet worden dat bepaalde processen aan het toezicht door de Pensioen- & Verzekeringskamer worden onttrokken doordat deze bij een niet onder toezicht staande organisatie zijn ondergebracht. Deze overwegingen hebben ertoe geleid dat de Pensioen- & Verzekeringskamer de onderhavige regeling heeft opgesteld. Daarbij brengt de grote diversiteit binnen de verzekeraars met zich mee dat de Pensioen- & Verzekeringskamer in de praktijk haar toezicht situationeel zal toepassen.

Voorts is een uitgangspunt dat de verzekeraar de Pensioen- & Verzekeringskamer alle informatie verstrekt voor het toezicht op de uitbestede bedrijfsprocessen. Gewaarborgd moet zijn dat de uitvoerende organisatie de verzekeraar die informatie, waar de Pensioen- & Verzekeringskamer om verzoekt, ook verstrekt. Waar nodig dient de Pensioen- & Verzekeringskamer toegang te krijgen tot de relevante boeken en administratieve bescheiden en dienen aanwijzingen van de Pensioen- & Verzekeringskamer, die verband houden met de door de verzekeraar uitbestede activiteiten, te worden opgevolgd. Tenslotte heeft de Pensioen- & Verzekeringskamer binnen het kader van haar bevoegdheden onder meer de mogelijkheid een verzekeraar een formele aanwijzing te geven om de inhoud van de uitbestedingsovereenkomst te wijzigen of deze overeenkomst te ontbinden.

In het kader van uitbesteding aan gevolmachtigd agenten dient de verzekeraar de primaire processen en de daaraan verbonden risico's voldoende te overzien en te beheersen. Criterium is of de facto sprake is van uitbesteding van activiteiten voor rekening en risico van de verzekeraar. In die gevallen dient de Pensioen- & Verzekeringskamer haar toezichtstaak onverkort te kunnen uitoefenen en is en blijft de betreffende verzekeraar verantwoordelijk voor uitbestede activiteiten. De regels zijn dan ook gesteld op basis van het bestaande toezicht van de Pensioen- & Verzekeringskamer op verzekeraars en laten onverlet hetgeen uit andere hoofde, bij of krachtens de wet, ten aanzien van gevolmachtigd agenten wordt bepaald.

Deze Regeling uitbesteding verzekeraars is vastgesteld vooruitlopend op de door de Pensioen- & Verzekeringskamer in de loop van 2004 uit te brengen regeling op het gebied van interne beheersing in brede zin als follow-up op de op 23 maart 2001 uitgebrachte Principes Interne Beheersing. Alsdan zullen de onderhavige voorschriften op het gebied van uitbesteding worden geïntegreerd in de bredere voorschriften inzake interne beheersing. Voorts is voorzienbaar dat in het kader van de hervorming van het toezicht op de financiële marktsector en in het verlengde daarvan van de hervorming van de financiële toezichtswetgeving binnen afzienbare tijd een verdere integratie van de relevante voorschriften op het gebied van het prudentiële toezicht op financiële instellingen zal gaan plaats vinden. Indien en voorzover voorgaande ontwikkelingen zullen leiden tot aanpassing van de bij deze regeling uitgebrachte voorschriften, zullen met het oog op aanpassing van bestaande procedures en regelingen van verzekeraars zonodig opnieuw overgangstermijnen in acht worden genomen.

Toelichting per artikel

Artikel 1 Definities

In deze regeling gaat het om uitbesteding van bedrijfsprocessen op structurele basis en met name om uitbesteding van processen of delen van processen waaraan risico's zijn verbonden die materiële invloed kunnen hebben op de financiële prestaties, financiële positie, continuïteit en/of integriteit van de desbetreffende verzekeraar. Dit betreft dus alle processen die in het kader van het uitoefenen van prudentieel toezicht van belang zijn, zowel waar het gaat om primaire bedrijfsprocessen op het gebied van verzekeren en beleggen als om daaraan ondersteunende activiteiten.

Met gevolmachtigd agent wordt bedoeld degene die als gevolmachtigd vertegenwoordiger van een verzekeraar voor rekening en risico van de desbetreffende verzekeraar het verzekeringsbedrijf uitoefent.

Aan onderuitbesteding worden dezelfde voorwaarden en regels gesteld als aan de (hoofd)uitbesteding. Er is sprake van onderuitbesteding indien andere entiteiten binnen de groep waartoe de verzekeraar behoort of derden, aan wie werkzaamheden zijn uitbesteed, deze werkzaamheden geheel of gedeeltelijk laten uitvoeren door andere entiteiten binnen de groep of andere derden.

Artikel 2 Beleid terzake van uitbesteding

Bij het vaststellen van beleid terzake van uitbesteding dient de verzekeraar in ieder geval vast te leggen dat hij niet tot uitbesteding van werkzaamheden zal overgaan tenzij hij voldoende waarborgen verkrijgt voor het handhaven van een beheerste en integere bedrijfsvoering alsmede terzake van fraudepreventie.

Artikel 3 Beperkingen aan uitbesteding

Die vormen van uitbesteding die de verantwoordelijkheid van de verzekeraar voor de organisatie en beheersing van bedrijfsprocessen en het toezicht daarop kunnen ondermijnen, zijn niet toegestaan. Voorbeelden van dergelijke vormen van uitbesteding zijn:

- uitbesteding van de interne-auditfunctie, indien een verzekeraar over een dergelijke functie beschikt;

- uitbesteding aan de controlerende externe accountant van de verzekeraar, dan wel aan het kantoor waaraan de externe accountant is verbonden van de financiële administratie, het opmaken van de staten als bedoeld in artikel 72, eerste lid en artikel 100, eerste lid van de Wet toezicht verzekeringsbedrijf 1993 en de staten als bedoeld in artikel 33, eerste lid van de Wet toezicht natura-uitvaartverzekeringsbedrijf en het opmaken van de jaarrekening.

Onder het laatstgenoemde voorbeeld kan ook worden begrepen de uitbesteding aan de certificerend actuaris dan wel aan het kantoor waaraan de certificerend actuaris is verbonden van het opmaken van het actuarieel verslag als bedoeld in artikel 72, derde lid en artikel 100, derde lid van de Wet toezicht verzekeringsbedrijf 1993 en artikel 33, derde lid van de Wet toezicht natura-uitvaartverzekeringsbedrijf. De effectuering hiervan zal worden aangehouden zolang nog een discussie loopt over de onafhankelijkheid van de (certificerend) actuaris.

Artikel 4 Risicoanalyse

Risicoanalyse is een continu proces, waarbij ten aanzien van uitbesteding op systematische wijze rekening dient te worden gehouden met de risico's van bestaande uitbestedingen, alsmede van wijzigingen daarin en van nieuwe vormen van uitbesteding.

Artikel 5 Procedures en maatregelen

Bij de procedures en maatregelen wordt aandacht besteed aan aspecten als financiële soliditeit, integere bedrijfsvoering, reputatie, kwaliteit van de dienstverlening, interne organisatie en beheersing, vertrouwelijkheid van informatie, maatregelen die genomen kunnen worden in geval van calamiteiten (waaronder back-up-procedures), beschikbaarheid van deskundig personeel, land van vestiging. De rapportage van de uitvoerende organisatie dient tijdig te worden aangeleverd en dient voldoende informatie te bevatten om de werkzaamheden te kunnen beoordelen

Artikel 7 Overeenkomst van uitbesteding

De verzekeraar overtuigt zich ervan dat de door de gevolmachtigd agent in zijn financiële rapportage verstrekte informatie in overeenstemming is met de gemaakte afspraken. Daartoe vraagt hij aan de gevolmachtigd agent jaarlijks een verklaring van een accountant als bedoeld in artikel 2:393, eerste lid, van het Burgerlijk Wetboek. De verzekeraar overtuigt zich regelmatig van de betrouwbaarheid van de administratieve organisatie en interne controle van de gevolmachtigd agent.

Bij die vormen van uitbesteding waarbij er, ten gevolge van het eindigen van een uitbestedingsrelatie, niet te verwaarlozen risico's bestaan met betrekking tot de voortzetting van de betreffende activiteiten, dienen passende maatregelen voorhanden te zijn, ten einde de risico's zo veel als mogelijk te beperken.

Ingeval van intra-groepuitbesteding is een op de individuele situatie toegespitste overeenkomst, ook wel Service Level Agreement (SLA) genoemd, niet per definitie vereist. Denkbaar is bijvoorbeeld dat een groepsbrede dienstverlening plaatsvindt op basis van een standaard-dienstverleningscontract voor de gehele groep. Een dergelijk contract dient evenwel ten minste te voorzien in adequate mogelijkheden voor de verzekeraar binnen de groep om de kwaliteit van de dienstverlening te kunnen meten en beoordelen.

De instantie waaraan is uitbesteed, behoeft aan de Pensioen- & Verzekeringskamer geen informatie te ver-strekken waarop een wettelijke geheimhoudingsverplichting rust. Hierbij kan gedacht worden aan het opvragen van informatie bij een advocatenkantoor waaraan werkzaamheden zijn uitbesteed.

Artikel 8 Ontheffing

Als blijkt dat de verzekeraar met de uitvoerende organisatie geen overeenstemming kan bereiken over de conform deze regeling te stellen eisen, kan de verzekeraar met de Pensioen- & Verzekeringskamer in overleg treden om te bezien welke alternatieve maatregelen tot een passende compensatie kunnen leiden. Indien de compensatie passend wordt geacht, zal de Pensioen- & Verzekeringskamer een gehele of gedeeltelijke ontheffing van de voorschriften van deze regeling kunnen geven. De Pensioen- & Verzekeringskamer kan aan de ontheffing beperkingen stellen en voorschriften verbinden.

Artikel 9 Inwerkingtreding en overgangsbepaling

De regeling treedt in werking op 1 februari 2004. Voor de aanpassing van bestaande overeenkomsten van uitbesteding aan de voorschriften van deze regeling geldt een overgangs-termijn van één jaar.