Norme din 7 septembrie 2009 (actualizate)

Capitolul IDefiniţii

Articolul 1

În sensul prezentelor norme, termenii şi expresiile de mai jos au următoarele semnificaţii:

1.profil de risc - o descriere a riscurilor la care asigurătorul/reasigurătorul este expus. Profilul de risc exprimă natura riscurilor care ameninţă societatea, în funcţie de complexitatea activităţii şi de obiectivele sale strategice;

2.toleranţa faţă de risc - suma la risc pe care asigurătorul/reasigurătorul este dispus să o accepte în desfăşurarea activităţii sale, în concordanţă cu obiectivele sale strategice. Toleranţa faţă de risc va specifica limitele de risc stabilite ca parte a politicilor de management al riscului;

3.teste de stres - analize cantitative sau calitative efectuate cu scopul de a evalua impactul unor evoluţii nefavorabile ale factorilor de risc, luaţi individual sau combinaţi într-un scenariu unic, asupra situaţiei financiare a asigurătorilor/reasigurătorilor;

4.risc de subscriere - posibilitatea înregistrării de pierderi sau a nerealizării profiturilor estimate din cauza stabilirii inadecvate a tarifelor de primă şi/sau a rezervelor tehnice comparativ cu obligaţiile asumate şi care poate să rezulte, fără a fi limitativ, din fluctuaţii în frecvenţa şi severitatea evenimentelor asigurate în raport cu estimările din momentul subscrierii;

5.risc de piaţă - posibilitatea înregistrării de pierderi sau a nerealizării profiturilor estimate, care rezultă, direct ori indirect, din fluctuaţiile în nivelul şi volatilitatea preţului de piaţă al activelor, obligaţiilor şi instrumentelor financiare. Riscul de piaţă cuprinde riscul valutar şi riscul ratei dobânzii;

6.risc de credit - posibilitatea înregistrării de pierderi sau a nerealizării profiturilor estimate, care rezultă din fluctuaţiile în ratingul emitenţilor de valori mobiliare şi al oricăror debitori faţă de care societăţile de asigurare sunt expuse sau din neîndeplinirea obligaţiilor contractuale de către intermediari, asiguraţi, reasigurători sau alţi debitori;

7.risc operaţional - posibilitatea înregistrării de pierderi sau a nerealizării profiturilor estimate, care apare din procesele interne inadecvate, din vina angajaţilor sau din erorile generate de sistemul informatic, precum şi din factori externi;

8.risc de lichiditate - posibilitatea înregistrării de pierderi sau a nerealizării profiturilor estimate, ce rezultă din imposibilitatea asigurătorilor de a valorifica active pentru a onora în orice moment şi cu costuri rezonabile obligaţiile de plată pe termen scurt sau din încasarea cu dificultate a creanţelor din contractele de asigurare/reasigurare;

9.risc de concentrare - expunerea la un risc cu un potenţial de generare de pierderi suficient de mari încât să ameninţe solvabilitatea sau situaţia financiară a asigurătorului/reasigurătorului;

10.risc de contagiune - posibilitatea înregistrării de pierderi generate de apartenenţa la grup, apărută ca urmare a raporturilor pe care societatea le are cu alte entităţi din grup, situaţiile de dificultate care apar într-o entitate putând să se propage cu efecte negative asupra solvabilităţii societăţii de asigurare/reasigurare;

11.risc reputaţional - posibilitatea înregistrării de pierderi sau a nerealizării profiturilor estimate, ca urmare a deteriorării imaginii şi/sau a managementului societăţii (publicităţii negative) care conduce la lipsa încrederii publicului în integritatea societăţii;

12.tehnici de diminuare a riscului - toate procedurile care dau posibilitatea asigurătorului să transfere parţial sau total riscurile sale către o altă entitate;

13.externalizare - un acord încheiat între asigurător/reasigurător şi un furnizor de servicii, în baza căruia furnizorul execută în numele şi/sau pentru asigurător/reasigurător un serviciu ori o activitate, chiar dacă aceasta nu priveşte direct activitatea de asigurare;

13^1.externalizare în lanţ - operaţiune prin care furnizorul de servicii subcontractează către alţi furnizori serviciile sau unele componente ale serviciilor ori activităţilor prestate asigurătorului/reasigurătorului;

Pct. 13^1 al art. 1 a fost introdus de pct. 1 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

14.control intern - proces continuu la care participă conducerea administrativă, conducerea executivă, precum şi întregul personal al asigurătorilor, prin care se furnizează o asigurare rezonabilă asupra atingerii obiectivelor prevăzute la art. 3;

15.conducerea administrativă - consiliul de administraţie sau consiliul de supraveghere, pentru societăţile care au adoptat sistemul dualist de conducere;

16.conducerea executivă - astfel cum este definită la art. 2 din Legea nr. 32/2000 privind activitatea de asigurare şi supravegherea asigurărilor, cu modificările şi completările ulterioare;

17.conducerea operativă - persoanele care asigură conducerea nemijlocită a compartimentelor din cadrul asigurătorului, al sucursalelor şi al altor sedii secundare;

18.managementul riscului - un proces prin care se evaluează, se monitorizează şi se controlează riscurile (generate de factori interni sau de factori externi) care ar putea avea un impact negativ asupra activităţii asigurătorului/reasigurătorului. Sistemul de management al riscului cuprinde reguli şi proceduri necesare pentru identificarea, măsurarea, administrarea şi raportarea riscurilor la care asigurătorul ar putea fi expus, luând în considerare şi interdependenţa dintre riscuri;

19.audit intern - activitate independentă constând într-o examinare obiectivă a modului de realizare a administrării riscurilor, sistemului de control intern şi proceselor de conducere ale societăţilor, în scopul furnizării unei asigurări rezonabile că acestea funcţionează corespunzător şi vor permite atingerea obiectivelor societăţii de asigurare/reasigurare.

Capitolul IISistemul de control intern

Articolul 2

Sistemul de control intern cuprinde ansamblul activităţilor de control intern din cadrul tuturor structurilor societăţii de asigurare/reasigurare, corespunzător dimensiunii, naturii şi complexităţii activităţii, cu scopul de a contribui la realizarea obiectivelor societăţii de asigurare/reasigurare.

Articolul 3

În cadrul sistemului de control intern, asigurătorii/reasigurătorii trebuie să definească reguli, proceduri şi o structură organizatorică ierarhizată care să asigure o funcţionare corectă a activităţii în cadrul societăţii şi să urmărească:

a)desfăşurarea activităţii în condiţii de eficienţă şi rentabilitate;

b)controlul adecvat al riscurilor care pot afecta atingerea obiectivelor societăţii;

c)furnizarea unor informaţii corecte, relevante, complete şi oportune structurilor implicate în luarea deciziilor în cadrul societăţilor şi utilizatorilor externi ai informaţiilor;

d)protejarea patrimoniului;

e)conformitatea activităţii societăţii cu reglementările legale în vigoare, politica şi procedurile societăţii.

Articolul 4

Activităţile de control intern includ cel puţin următoarele:

a)analize la nivelul conducerii administrative şi al conducerii executive;

b)analize operative la nivelul compartimentelor şi al structurilor teritoriale ale asigurătorilor;

c)controale faptice care au în vedere restricţionarea accesului la active, cum ar fi disponibilităţi băneşti etc.;

d)analiza încadrării în limitele impuse expunerilor la risc şi urmărirea modului în care sunt soluţionate situaţiile de neconformitate;

e)aprobări şi autorizări, în cazul operaţiunilor ce depăşesc anumite limite de sume, asigurându-se astfel controlul asupra realizării operaţiunilor respective de către nivelul de conducere competent şi stabilirea responsabilităţilor;

f)verificări ale tranzacţiilor efectuate la nivelul asigurătorului şi efectuarea de reconcilieri, în special acolo unde există diferenţe între metodologiile sau sistemele de evaluare utilizate în compartimentele responsabile cu iniţierea tranzacţiilor (front office) şi compartimentele responsabile cu înregistrarea şi monitorizarea tranzacţiilor iniţiate (back office). Rezultatele verificărilor vor fi comunicate nivelului de conducere superior competent.

Articolul 5

Asigurătorii/Reasigurătorii trebuie să revizuiască activităţile de control intern, cel puţin anual, pentru a identifica şi a evalua în mod corespunzător orice riscuri nou-apărute ca urmare a dezvoltării activităţii.

Articolul 6

În vederea organizării unui sistem de control intern eficient, asigurătorii/reasigurătorii trebuie să urmărească:

a)repartizarea corespunzătoare a atribuţiilor la toate nivelurile organizatorice, asigurându-se că personalului nu îi sunt alocate responsabilităţi care să conducă la conflicte de interese. Domeniile care pot fi afectate de potenţiale conflicte de interese trebuie să fie identificate şi supuse unei monitorizări independente exercitate de persoane neimplicate direct în activităţile respective, a căror informare este efectuată pe baza unor linii de raportare stabilite în mod corespunzător;

b)adoptarea unui cod etic pentru personalul propriu, care să definească reguli comportamentale, de disciplină şi situaţii de potenţiale conflicte de interese şi să prevadă acţiuni corective adecvate, în cazul în care se încalcă procedurile societăţii sau codul etic;

c)evitarea politicilor sau practicilor de remunerare ce pot favoriza activităţi ilegale, care nu respectă standardele etice sau care presupun riscuri faţă de interesele societăţii;

d)stabilirea unor canale de comunicare care să asigure un flux corespunzător de informaţii, la toate nivelurile, care să garanteze că personalul propriu cunoaşte politicile şi procedurile cu implicaţii asupra atribuţiilor şi responsabilităţilor sale, că orice informaţii relevante ajung în timp util şi să permită:

–informarea conducerii administrative şi a conducerii executive asupra riscurilor aferente activităţii şi funcţionării asigurătorilor/reasigurătorilor;

–informarea nivelurilor inferioare de conducere operativă şi a personalului atât asupra strategiilor asigurătorilor/reasigurătorilor, cât şi asupra politicilor şi procedurilor stabilite;

–difuzarea informaţiilor între compartimentele şi structurile teritoriale ale asigurătorilor/reasigurătorilor pentru care respectivele informaţii au relevanţă;

e)elaborarea de planuri alternative care să permită reluarea activităţii în cazul apariţiei unor situaţii neprevăzute, pentru evitarea pierderilor generate de întreruperea activităţii datorită unor factori externi ce nu pot fi controlaţi de către asigurători/reasigurători. Replicarea sistemelor critice trebuie asigurată fie prin existenţa unor sisteme de rezervă situate într-o altă locaţie aparţinând asigurătorilor/reasigurătorilor, fie prin intermediul unui furnizor extern de servicii. Funcţionarea planurilor alternative trebuie testată periodic prin simularea operaţiunilor pe sistemele de rezervă, în scopul verificării disponibilităţii acestora;

f)elaborarea unor proceduri privind tehnologia de informare şi comunicare, menită să asigure existenţa şi menţinerea unui sistem informatic adecvat nevoilor societăţii, corespunzător cu dimensiunea şi activitatea societăţii, care să asigure:

1.separarea mediului de dezvoltare de cel de operare. Accesul la diversele medii trebuie reglementat şi controlat prin proceduri întocmite, ţinând cont de exigenţa de limitare a riscurilor şi a fraudei. Aceste proceduri garantează siguranţa datelor, limitând accesul persoanelor neautorizate din mediul de operare şi înregistrând toate tentativele de acces neautorizate;

2.elaborarea de proceduri pentru aprobarea şi achiziţia sistemelor hardware şi software, precum şi externalizarea serviciilor din sistemul informatic;

3.elaborarea de proceduri ce asigură siguranţa fizică a sistemelor hardware, software şi a băncilor de date, precum şi prevenirea utilizării necorespunzătoare a informaţiei de către personalul asigurătorilor pentru obţinerea unor beneficii personale sau prejudicierea reputaţiei societăţii;

4.asigurarea condiţiilor de securitate pentru zonele în care sunt accesate informaţii cu caracter confidenţial;

5.adoptarea de proceduri pentru identificarea şi gestionarea evenimentelor care pot prejudicia continuitatea activităţii, cum ar fi: incendii, defecţiuni la sistemele hardware sau software, erori operaţionale din partea utilizatorilor, introducere involuntară de componente străine care să creeze daune sistemului informatic sau reţelei etc.

Procedurile sunt supuse verificării din partea auditului intern.

Articolul 7

(1)În vederea evitării disfuncţionalităţilor în cadrul activităţii şi a eventualelor pierderi generate de acestea, asigurătorii/reasigurătorii trebuie să controleze eficient riscurile implicate de utilizarea sistemelor informatice. În acest scop se vor efectua atât controale generale la nivelul întregului sistem informatic, cât şi controale la nivelul fiecărei aplicaţii informatice din componenţa acestuia.

(2)Controalele generale se efectuează asupra infrastructurii hardware şi de comunicaţii a sistemelor informatice, precum şi asupra sistemelor de operare care asigură funcţionarea acestora. Controalele au drept scop verificarea funcţionării continue şi corespunzătoare a acestora.

(3)Controalele generale includ şi verificarea existenţei şi aplicării procedurilor interne de salvare şi restaurare a datelor, a politicilor de efectuare a achiziţiilor, a procedurilor de dezvoltare a aplicaţiilor informatice, a procedurilor de administrare şi întreţinere, precum şi a politicilor de securitate vizând accesul fizic şi logic la resursele sistemului informatic.

(4)Controalele efectuate la nivelul aplicaţiilor informatice presupun verificarea existenţei unor proceduri de validare şi control incluse în codul aplicaţiilor informatice utilizate, precum şi a unor proceduri/manuale de verificare a modului de procesare a tranzacţiilor şi efectuării operaţiunilor.

Articolul 8

(1)Deficienţele identificate în legătură cu sistemul de control intern trebuie să fie raportate imediat nivelului de conducere competent, care trebuie să ia măsuri pentru remedierea cu promptitudine a acestora.

(2)Deficienţele majore ale sistemului de control intern trebuie să fie raportate conducerii executive a asigurătorilor/reasigurătorilor şi conducerii administrative a acestora.

(3)Conducerea executivă a asigurătorilor/reasigurătorilor are responsabilitatea de a stabili un sistem de detectare a deficienţelor sistemului de control intern şi de a întreprinde măsuri pentru soluţionarea respectivelor deficienţe.

Capitolul IIISistemul de management al riscului

Articolul 9

Asigurătorii/Reasigurătorii trebuie să dispună de un sistem de management al riscurilor proporţional cu dimensiunea, natura şi complexitatea activităţii exercitate.

Articolul 10

Politica privind managementul riscurilor trebuie să fie transpusă în mod clar şi transparent în norme interne şi manuale de proceduri, făcându-se distincţie între standardele generale aplicabile întregului personal şi regulile specifice aplicabile anumitor categorii de personal care utilizează informaţii confidenţiale sau au responsabilităţi de a angaja societatea.

Articolul 11

Pentru asigurarea unui sistem de management al riscului eficient, asigurătorii/reasigurătorii trebuie să stabilească, după caz:

a)un sistem de proceduri de autorizare a operaţiunilor afectate de riscuri;

b)un sistem de stabilire a limitelor expunerii la risc şi de monitorizare a acestora, care să reflecte profilul de risc ales şi care să fie în conformitate cu legislaţia şi cu reglementările în vigoare; limitele stabilite la nivelul activităţilor şi/sau compartimentelor/sediilor secundare trebuie corelate cu cele stabilite la nivel de ansamblu al asigurătorilor/reasigurătorilor;

c)un sistem de raportare a expunerilor la riscuri, precum şi a altor aspecte legate de riscuri de la fiecare compartiment către nivelurile de conducere corespunzătoare;

d)criterii de recrutare şi remunerare a personalului, care să stabilească standarde ridicate pentru pregătirea, experienţa şi integritatea acestuia;

e)un program de instruire a personalului.

Articolul 12

Asigurătorii/Reasigurătorii trebuie să opteze pentru un profil de risc, stabilind obiectivul şi strategia de administrare a fiecărui risc, inclusiv în ceea ce priveşte activităţile externalizate.

Articolul 13

Societăţile de asigurare/reasigurare trebuie să fie capabile, printr-un proces adecvat de analize, să înţeleagă natura riscurilor identificate, originea lor, posibilitatea de a le controla şi efectele care pot deriva din acestea. Procesul de analiză include evaluări calitative şi evaluări cantitative, prin adoptarea unor metodologii de măsurare a expunerii la risc, inclusiv sisteme de determinare a pierderii maxime posibile, unde este cazul.

Articolul 14

Analizele includ cel puţin următoarele riscuri: riscul de subscriere, riscul de piaţă, riscul de credit, riscul operaţional, riscul de lichiditate, riscul de concentrare, riscul de contagiune şi riscul reputaţional.

Articolul 15

Pentru măsurarea expunerii la risc societăţile vor ţine cont de relaţia dintre riscuri, evaluându-le atât separat, cât şi sub o bază agregată.

Articolul 16

(1)Identificarea şi evaluarea riscurilor trebuie să se realizeze cu luarea în considerare a factorilor interni (complexitatea structurii organizatorice, natura activităţilor desfăşurate, calitatea personalului şi fluctuaţia acestuia) şi a factorilor externi (condiţii economice, schimbări legislative sau legate de mediul concurenţial în sectorul de asigurări, progrese tehnologice).

(2)Procesul de evaluare a riscurilor trebuie să includă identificarea atât a riscurilor care sunt controlabile de către asigurători/reasigurători, cât şi a celor necontrolabile. În cazul riscurilor controlabile, asigurătorii/reasigurătorii trebuie să stabilească dacă îşi asumă integral aceste riscuri sau măsura în care doresc să le reducă prin proceduri de control. În cazul riscurilor necontrolabile, asigurătorii trebuie să decidă dacă le acceptă sau dacă elimină ori reduc nivelul activităţilor afectate de riscurile respective.

(3)Evaluarea riscurilor trebuie efectuată şi în condiţiile unor scenarii alternative, inclusiv în condiţii de criză.

Articolul 17

Pentru fiecare dintre sursele de risc identificate, societăţile de asigurare/reasigurare trebuie să efectueze analize cantitative utilizând teste de stres.

Articolul 18

Testele de stres vor fi create şi dezvoltate în concordanţă cu dimensiunea şi natura activităţii societăţii şi vor avea o frecvenţă specifică tipului de risc, evoluţiei dimensiunii activităţii societăţii şi contextului pieţei, dar cel puţin cu o scadenţă anuală.

Articolul 19

Rezultatele acestor teste sunt făcute cunoscute conducerii administrative, în scopul de a oferi informaţii pentru revizuirea şi îmbunătăţirea politicii de gestiune a riscurilor, liniilor operative şi limitelor de expunere fixate.

Articolul 20

Dacă rezultatele acestor analize de stres indică o vulnerabilitate faţă de anumite riscuri, asigurătorii adoptă imediat măsuri pentru gestionarea adecvată a acestor riscuri.

Articolul 21

În ceea ce priveşte activitatea de investiţii, asigurătorii/reasigurătorii trebuie să întocmească proceduri pentru monitorizarea şi administrarea activelor, în corelaţie cu natura şi scadenţa obligaţiilor, şi să se asigure că activitatea de investiţii este potrivită profilului de risc aprobat.

Articolul 22

Politicile de identificare, evaluare şi gestiune a riscurilor aferente activităţii de investiţii trebuie definite şi implementate având o viziune integrată asupra activelor şi a obligaţiilor din bilanţul contabil. Dezvoltarea unor tehnici şi modele de management al activelor şi al obligaţiilor este fundamentală pentru o corectă înţelegere şi gestiune a expunerii la risc, care poate să derive din lipsa unui echilibru între partea de active şi cea de obligaţii.

Articolul 23

Procesele de identificare şi evaluare a riscurilor trebuie să se desfăşoare continuu, pentru a ţine cont de modificările intervenite în natura şi dimensiunea afacerii şi în contextul de piaţă, precum şi de apariţia unor noi riscuri sau de schimbarea celor existente. O atenţie deosebită trebuie acordată evaluării riscurilor care apar odată cu oferta de noi produse sau cu intrarea pe alte pieţe, şi modului în care poate fi afectată administrarea activelor şi a obligaţiilor.

Articolul 24

Asigurătorii/Reasigurătorii trebuie să definească o procedură prin care să se evidenţieze cu operativitate apariţia unor riscuri care pot afecta situaţia patrimonială şi economică sau care depăşesc limitele de toleranţă fixate. Pentru surse de risc majore identificate, societatea trebuie să dispună măsuri de intervenţie imediate.

Articolul 25

(1)Asigurătorii/Reasigurătorii trebuie să dispună de un sistem informatic auditat în conformitate cu reglementările în vigoare privind tehnologia informaţiei, care să certifice adecvarea acestuia la specificul şi volumul activităţii, gradul de securitate a informaţiei, capacitatea de a furniza raportările solicitate de Comisia de Supraveghere a Asigurărilor, capacitatea de conectare la reţea pentru transmiterea electronică a raportărilor, capacitatea de stocare/arhivare a datelor, îndeplinirea de către sistemele informatice a criteriilor minimale prevăzute de reglementările în vigoare pentru prelucrarea automată a datelor în domeniul financiar-contabil.

(2)Auditarea sistemelor informatice conform prevederilor alin. (1) se va efectua de către un auditor financiar, altul decât cel care auditează situaţiile financiare ale societăţii, membru activ al Camerei Auditorilor Financiari din România şi care trebuie să dispună de personal specializat, cu experienţă în ceea ce priveşte sistemele informatice.

Articolul 26

Asigurătorii/Reasigurătorii trebuie să dispună de un sistem adecvat de control intern asupra procesului de management al riscurilor, care implică analize independente şi regulate, evaluări ale eficacităţii sistemului şi, acolo unde se impune, asigurarea remedierii deficienţelor constatate. Rezultatele unor astfel de analize trebuie să fie comunicate în mod direct conducerii administrative, comitetului de management al riscurilor şi comitetului de audit.

Articolul 27

În procesul de management al riscurilor, asigurătorii/reasigurătorii trebuie să constituie un comitet de management al riscurilor.

Articolul 28

(1)Comitetul de management al riscurilor este un comitet permanent, ale cărui funcţionare şi atribuţii sunt reglementate de prezentele norme şi de regulamentele interne ale fiecărui asigurător/reasigurător.

(2)Comitetul de management al riscurilor îşi poate desfăşura lucrările în subcomitete, în funcţie de mărimea şi de complexitatea asigurătorului/reasigurătorului.

(3)Comitetul de management al riscurilor se constituie prin decizie a conducerii administrative şi trebuie să cuprindă minimum 3 membri, în funcţie de dimensiunea activităţii societăţii.

Articolul 29

Asigurătorii/Reasigurătorii trebuie să dispună de un regulament al comitetului de management al riscurilor, aprobat la nivelul conducerii administrative şi revizuit periodic, după caz, care să indice componenţa, autoritatea şi responsabilităţile acestuia şi modul de raportare către conducerea administrativă.

Articolul 30

(1)Membrii comitetului de management al riscurilor trebuie să aibă o experienţă compatibilă cu responsabilităţile lor în cadrul acestuia.

(2)Comitetul de management al riscurilor este format din membri ai conducerii executive şi operative a asigurătorului/reasigurătorului.

Articolul 31

Comitetul de management al riscurilor va avea cel puţin următoarele atribuţii:

a)să informeze conducerea administrativă asupra situaţiei expunerilor societăţii la riscuri, ori de câte ori intervin schimbări semnificative în expunerea la riscuri, dar cel puţin trimestrial, informări suficient de detaliate şi oportune care să permită conducerii să cunoască şi să evalueze performanţa în monitorizarea şi controlul riscurilor, potrivit politicilor aprobate;

b)să informeze conducerea administrativă asupra problemelor şi evoluţiilor semnificative care ar putea influenţa profilul de risc al asigurătorului/reasigurătorului;

c)să dezvolte politici şi proceduri adecvate pentru identificarea, evaluarea, monitorizarea şi controlul riscurilor şi să stabilească limite corespunzătoare privind expunerea la riscuri, inclusiv pentru condiţii de criză, în conformitate cu mărimea, complexitatea şi situaţia financiară a asigurătorului/reasigurătorului, precum şi proceduri necesare pentru aprobarea excepţiilor de la respectivele limite;

d)să aprobe metodologii şi modele adecvate pentru evaluarea riscurilor şi limitarea expunerilor la riscuri;

e)să aprobe angajarea asigurătorului/reasigurătorului în noi activităţi specifice domeniului de activitate, pe baza analizei riscurilor aferente acestora;

f)să analizeze măsura în care planurile alternative de care dispune asigurătorul/reasigurătorul corespund situaţiilor neprevăzute cu care acesta s-ar putea confrunta;

g)să stabilească sisteme de raportare în cadrul societăţii privind aspecte legate de riscuri;

h)să stabilească competenţe şi responsabilităţi la nivel de compartimente privind administrarea şi controlul expunerilor la riscuri.

Structura de management al riscului

Articolul 32

Societăţile de asigurare/reasigurare trebuie să instituie o structură de management al riscului, corespunzător naturii, dimensiunii şi complexităţii activităţii, care:

a)contribuie la definirea metodologiei de măsurare a riscurilor;

b)avizează fluxurile informaţionale necesare pentru asigurarea controlului operativ al expunerilor la risc şi ia măsuri imediate pentru corectarea acestora;

c)întocmeşte rapoartele către conducerea administrativă şi conducerea executivă privind evoluţia riscurilor şi depăşirea limitelor de toleranţă aprobate;

d)contribuie la efectuarea analizelor de stres.

Articolul 33

Structura de management al riscului trebuie să nu fie subordonată funcţiilor operative. Poziţia organizatorică a structurii de management al riscului este lăsată la autonomia societăţilor de asigurare, acestea trebuind să respecte principiul de separare între funcţiile operative şi cele de control.

Articolul 34

Persoana desemnată de asigurători/reasigurători pentru conducerea acestei structuri trebuie să îndeplinească criteriile de aprobare prevăzute de Normele privind autorizarea asigurătorilor, puse în aplicare prin Ordinul preşedintelui Comisiei de Supraveghere a Asigurărilor nr. 16/2009, publicat în Monitorul Oficial al României, Partea I, nr. 569 din 14 august 2009.

Capitolul IVRolul şi responsabilităţile conducerii administrative şi ale conducerii executive

Secţiunea 1Rolul şi responsabilităţile conducerii administrative şi ale conducerii executive în ceea ce priveşte controlul intern

Articolul 35

(1)Conducerea administrativă a asigurătorilor/reasigurătorilor este responsabilă pentru stabilirea şi menţinerea unui sistem de control intern adecvat şi eficient.

(2)În contextul prevederilor alin. (1), conducerea administrativă a asigurătorilor/reasigurătorilor are următoarele atribuţii:

a)aprobă structura organizatorică a societăţii, precum şi atribuţiile şi responsabilităţile unităţilor operative;

b)se asigură că sunt adoptate procese decizionale adecvate şi că se efectuează o separare corectă a funcţiunilor;

c)aprobă sistemul de delegare a puterii şi a responsabilităţilor, evitând concentrarea excesivă a puterii într-o singură persoană şi punând în execuţie instrumente de verificare a respectării puterilor delegate;

d)defineşte şi evaluează cel puţin o dată pe an strategia şi politica de identificare, evaluare şi gestiune a riscurilor semnificative şi aprobă nivelurile de toleranţă pe care le revizuieşte cel puţin anual;

e)aprobă politica şi strategia societăţii, revizuindu-le cel puţin anual, şi urmăreşte evoluţia activităţii societăţii şi a condiţiilor externe;

f)verifică dacă conducerea societăţii implementează corect sistemul de control intern şi de gestiune a riscurilor conform politicilor stabilite;

g)cere să fie periodic informată despre eficacitatea sistemului de control intern şi de gestiune a riscurilor.

(3)Pentru îndeplinirea atribuţiilor ce îi revin, conducerea administrativă trebuie să întreprindă cel puţin următoarele măsuri:

a)discuţii periodice, cel puţin trimestrial, cu conducerea operativă privind eficienţa sistemului de control intern;

b)analiză periodică, cel puţin trimestrial, a evaluărilor sistemului de control intern efectuate de conducerea operativă şi de auditul intern;

c)urmărirea implementării de către conducerea operativă a recomandărilor formulate de auditul intern, de auditorul financiar extern şi de Comisia de Supraveghere a Asigurărilor cu privire la deficienţele sistemului de control intern şi examinarea efectului măsurilor implementate.

Articolul 36

(1)Conducerea executivă a asigurătorului/ reasigurătorului are responsabilităţi pe linia monitorizării funcţionării adecvate şi eficiente a sistemului de control intern.

(2)În contextul prevederilor alin. (1), conducerea executivă are cel puţin următoarele atribuţii:

a)defineşte în detaliu structura organizatorică a societăţii, drepturile şi responsabilităţile unităţilor operative şi procesele decizionale, în concordanţă cu politica stabilită de conducerea administrativă; asigură o separare a obligaţiilor şi a responsabilităţilor între funcţii în scopul de a evita situaţiile de conflict de interese;

b)realizează politica de evaluare şi de gestiune a riscurilor aprobată de conducerea administrativă, asigurând definirea limitelor operative, şi verifică încadrarea în aceste limite; monitorizează expunerea la riscuri şi respectarea nivelurilor de toleranţă aprobate de organul administrativ;

c)se asigură că responsabilităţile delegate conducerii operative cu privire la stabilirea politicilor şi procedurilor de control intern sunt îndeplinite în mod corespunzător;

d)verifică dacă conducerea administrativă este periodic informată despre eficienţa şi funcţionalitatea sistemului de control intern şi de gestiune a riscurilor;

e)urmăreşte dacă personalul societăţii îşi cunoaşte propriul rol şi propriile responsabilităţi, cu scopul de a fi efectiv implicat în desfăşurarea controlului ca şi cum ar face parte din propria sa activitate;

f)stabileşte procese operative şi canale de raportare;

g)promovează continuu comunicarea în cadrul societăţii cu scopul de a favoriza adeziunea întregului personal la principiile de integritate morală şi valorile etice;

h)propune conducerii administrative iniţiative menite să îmbunătăţească sistemul de control intern şi de gestiune a riscurilor;

i)asigură instruirea corespunzătoare a personalului.Secţiunea a 2-a Rolul şi responsabilităţile conducerii administrative şi ale conducerii executive în ceea ce priveşte managementul riscului

Articolul 37

În domeniul managementului riscurilor, conducerea administrativă a asigurătorilor/reasigurătorilor are cel puţin următoarele atribuţii:

a)să aprobe şi să reconsidere profilul de risc al acestora;

b)să aprobe politicile privind managementul riscurilor, să le analizeze periodic, cel puţin anual, şi să dispună revizuirea acestora, după caz;

c)să asigure luarea de către conducerea executivă a măsurilor necesare pentru identificarea, evaluarea, monitorizarea şi controlul riscurilor, inclusiv pentru activităţile externalizate;

d)să aprobe procedurile de stabilire a competenţelor şi a responsabilităţilor în domeniul managementului riscurilor;

e)să aprobe externalizarea unor activităţi;

f)să aprobe politica de instruire a personalului.

Articolul 38

În domeniul managementului riscurilor, conducerea executivă a asigurătorilor/reasigurătorilor este responsabilă cel puţin pentru următoarele:

a)implementarea strategiilor aprobate de conducerea administrativă şi asigurarea comunicării acestora personalului implicat în punerea lor în aplicare;

b)asigurarea comunicării politicilor şi procedurilor pentru identificarea, evaluarea, monitorizarea şi controlul riscurilor personalului implicat în punerea lor în aplicare;

c)menţinerea unor sisteme de raportare corespunzătoare a expunerilor la riscuri, precum şi a altor aspecte legate de riscuri;

d)menţinerea limitelor corespunzătoare privind expunerea la riscuri, inclusiv pentru condiţii de criză, în conformitate cu mărimea, complexitatea şi cu situaţia financiară a asigurătorilor/reasigurătorilor;

e)menţinerea eficienţei şi eficacităţii sistemului de control intern;

f)analizarea oportunităţii externalizării unor activităţi prin prisma riscurilor implicate de externalizare;

g)supravegherea şi monitorizarea contractelor de externalizare;

h)urmărirea instruirii corespunzătoare a personalului;

i)asigurarea concordanţei politicilor de remunerare a personalului cu strategia asigurătorului/reasigurătorului privind riscurile.

Capitolul VAudit intern

Articolul 39

Asigurătorii/Reasigurătorii au obligaţia, conform reglementărilor în vigoare privind auditul intern, să instituie o funcţie/structură de audit intern cu scopul de a monitoriza şi evalua eficacitatea şi eficienţa sistemului de control intern şi a celorlalte activităţi din cadrul societăţii.

Articolul 40

Funcţia de audit intern trebuie organizată respectându-se următoarele cerinţe:

a)poziţia funcţiei în cadrul structurii organizatorice trebuie să fie astfel încât să garanteze independenţa şi autonomia, pentru a nu fi compromisă obiectivitatea procesului de audit; funcţia de audit intern nu depinde ierarhic de niciun responsabil din aria operativă; personalului implicat în auditul intern nu trebuie să îi fie încredinţate responsabilităţi operative sau acesta nu trebuie să verifice activitatea desfăşurată în trecut, dacă nu a trecut cel puţin un an de la schimbarea activităţii;

b)funcţia de audit intern trebuie să aibă legături cu toate structurile de control din cadrul societăţii;

c)responsabilul cu funcţia de audit intern este numit de conducerea administrativă. El trebuie să aibă competenţa profesională pentru a realiza această activitate, conform reglementărilor Camerei Auditorilor Financiari din România. Atribuţiile persoanei responsabile cu funcţia de audit intern trebuie clar definite, iar responsabilitatea şi modalitatea de raportare către conducerea administrativă trebuie precizate în fişa postului. Responsabilul cu funcţia de audit intern este împuternicit cu autoritatea necesară pentru a garanta independenţa sa;

Litera c) a art. 40 a fost modificată de pct. 2 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

d)personalului implicat în activitatea de audit intern trebuie să i se asigure accesul la toate structurile societăţii şi la întreaga documentaţie, inclusiv informaţii privind activităţile externalizate;

e)structura trebuie să fie corespunzătoare dimensiunii societăţii şi obiectivelor stabilite, în ceea ce priveşte resursele umane şi tehnologia.

Articolul 41

Funcţia de audit intern va include în principal următoarele activităţi:

a)evaluarea eficienţei şi a gradului de adecvare a sistemului de control intern;

b)evaluarea modului de aplicare şi a eficacităţii procedurilor de management al riscurilor;

c)analizarea relevanţei şi integrităţii datelor furnizate de sistemele informaţionale financiare şi de gestiune, inclusiv sistemul informatic;

d)verificarea funcţionării şi eficienţei fluxurilor informaţionale între sectoarele activităţii;

e)evaluarea acurateţei şi credibilităţii înregistrărilor contabile care stau la baza întocmirii situaţiilor financiare şi a raportărilor contabile;

f)evaluarea modului în care se asigură protejarea elementelor patrimoniale bilanţiere şi extrabilanţiere şi identificarea metodelor de prevenire a fraudelor şi pierderilor de orice fel;

g)evaluarea modului în care sunt respectate dispoziţiile cadrului legal, cerinţele codurilor etice, precum şi evaluarea modului în care sunt implementate politicile şi procedurile asigurătorului/reasigurătorului;

h)testarea integrităţii şi credibilităţii raportărilor, inclusiv a celor destinate utilizatorilor externi;

i)eficienţa controalelor efectuate asupra activităţilor externalizate.

Articolul 42

Funcţia de audit intern îşi planifică activitatea astfel încât să identifice zonele care vor fi supuse cu prioritate auditului. Planul de audit este supus aprobării conducerii administrative şi identifică activităţile, operaţiunile şi procesele supuse auditului, operaţiunile şi sistemele de verificare, descriind criteriile sub care acestea au fost selecţionate şi specificând resursele necesare executării planului.

Articolul 43

Funcţia de audit intern va comunica cel puţin trimestrial conducerii administrative, conducerii executive şi funcţiei de control intern rezultatele verificării şi eventualele disfuncţiuni. Este obligatoriu să semnaleze imediat conducerii administrative şi conducerii executive situaţiile de o gravitate specială. Rapoartele de audit trebuie să fie obiective, clare, concise, oportune şi să conţină propuneri pentru eliminarea lipsurilor întâlnite.

Articolul 44

Asigurătorii/Reasigurătorii trebuie să elaboreze norme de audit intern, unde vor stabili cel puţin următoarele:

a)obiectivele şi sfera de cuprindere ale auditului intern;

b)poziţia auditului intern în cadrul societăţii, competenţele şi responsabilităţile acestuia;

c)responsabilităţile coordonatorului activităţii de audit intern;

d)termenii şi condiţiile în care auditorii interni pot furniza servicii de consultanţă sau pot îndeplini alte sarcini speciale.

Articolul 45

Normele de audit intern trebuie să fie revizuite periodic, dacă este cazul, şi comunicate structurilor organizatorice ale societăţii. Ele trebuie aprobate de conducerea administrativă, cu avizul comitetului de audit.

Articolul 46

Normele de audit intern trebuie să prevadă dreptul de iniţiativă al auditorului intern şi autoritatea acestuia de a comunica cu orice membru din cadrul conducerii societăţii, de a examina orice activitate, compartiment sau sediu secundar al societăţii, precum şi accesul acestuia la orice înregistrări, fişiere şi informaţii interne, inclusiv la informaţii destinate conducerii, precum şi la procese-verbale şi alte materiale cu caracter similar ale tuturor organelor de decizie şi consultative, care prezintă relevanţă în îndeplinirea atribuţiilor sale.

Articolul 47

Asigurătorii/Reasigurătorii trebuie să se asigure că auditorii interni răspund din punct de vedere profesional obiectivelor prevăzute de normele de audit intern şi că sunt competenţi pentru îndeplinirea responsabilităţilor individuale.

Articolul 48

Pentru a nu fi afectată capacitatea de evaluare critică a auditorilor interni, ca urmare a rutinei şi executării permanente a aceloraşi sarcini, societăţile de asigurare trebuie să asigure, în măsura posibilităţilor, rotirea responsabililor misiunilor de audit intern, cu condiţia respectării principiului obiectivităţii şi imparţialităţii.

Articolul 49

(1)Auditorii interni trebuie să fie prudenţi în utilizarea informaţiilor colectate în exercitarea activităţii şi să asigure protejarea acestor informaţii.

(2)Este interzis ca auditorii interni să utilizeze informaţiile colectate pentru obţinerea unor avantaje personale sau în orice mod care ar fi contrar prevederilor legale ori în detrimentul obiectivelor societăţii de asigurare.

Articolul 50

Auditorii interni trebuie să fie corecţi, oneşti şi incoruptibili, să respecte prevederile legale şi ale Codului privind conduita etică în activitatea de audit intern şi să comunice informaţii potrivit cerinţelor legale şi ale profesiei.

Articolul 51

Asigurătorii/Reasigurătorii trebuie să dispună de un comitet de audit, constituit conform reglementărilor în vigoare, şi să dispună de un regulament al comitetului de audit, aprobat la nivelul conducerii administrative şi revizuit periodic, dacă este cazul, care să indice componenţa, competenţele şi atribuţiile acestuia, modul de raportare către conducerea administrativă, precum şi periodicitatea întrunirilor comitetului de audit.

Articolul 52

Structurile de audit intern, control intern, management al riscului şi actuariat, precum şi orice alt organ de control căruia îi este atribuită o funcţie specifică de control colaborează între ele, schimbând orice informaţii utile necesare pentru îndeplinirea atribuţiilor.

Capitolul VIExternalizarea activităţilor

Articolul 53

(1)Asigurătorii/Reasigurătorii trebuie să dispună de politici şi proceduri scrise privind administrarea activităţilor externalizate.

(2)Externalizarea unor activităţi nu trebuie să afecteze desfăşurarea activităţii asigurătorului/reasigurătorului şi nici supravegherea prudenţială exercitată de Comisia de Supraveghere a Asigurărilor.

(3)Conducerea asigurătorului/reasigurătorului rămâne răspunzătoare pentru toată activitatea societăţii, inclusiv pentru activităţile externalizate.

(4)Asigurătorul/Reasigurătorul trebuie să dispună permanent de un sistem alternativ adecvat de competenţe care să permită evaluarea calităţii serviciilor executate de furnizorii de servicii şi reluarea în orice moment a controlului direct asupra activităţilor externalizate, în cazul rezilierii contractelor cu furnizorii de servicii.

(5)Procedurile privind administrarea activităţilor externalizate vor include cel puţin următoarele informaţii:

a)hotărârea organului competent privind aprobarea externalizării unor activităţi;

b)descrierea activităţilor, prezentarea riscurilor care derivă din externalizare;

c)procedura de selectare şi evaluare a furnizorilor care preiau activităţile de la asigurători/reasigurători, cu privire la: poziţia acestora pe piaţa în care îşi desfăşoară activitatea, reputaţia, experienţa în colaborarea cu sectorul asigurărilor, calitatea serviciilor prestate, organizarea activităţii şi controlul intern, existenţa unui personal competent, existenţa unui plan alternativ de redresare a activităţii, asigurarea confidenţialităţii informaţiei, jurisdicţia aplicabilă;

d)procedura de monitorizare şi evaluare a modului în care furnizorii de servicii desfăşoară activităţile externalizate;

e)elaborarea de planuri alternative şi estimarea costurilor şi a resurselor necesare în caz de încetare a prestării serviciilor de către furnizorul extern.

Art. 53 a fost modificat de pct. 3 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Articolul 54

(1)Asigurătorii/Reasigurătorii nu pot externaliza fără notificarea prealabilă a Autorităţii de Supraveghere Financiară următoarele activităţi: activitatea de investiţii, în ceea ce priveşte plasarea şi gestionarea activelor admise să acopere rezervele tehnice brute, administrarea bazelor de date şi a sistemelor informatice, administrarea portofoliului de asigurări, generare de rapoarte sau date statistice privind informaţiile electronice asociate contractelor de asigurare, activitatea de constatare şi lichidare a daunelor.

Alin. (1) al art. 54 a fost modificat de pct. 1 al art. I din NORMA nr. 25 din 11 noiembrie 2014, publicat în MONITORUL OFICIAL nr. 835 din 17 noiembrie 2014.

(2)În temeiul prezentelor norme, nu se consideră externalizare contractarea unor servicii de consultanţă fără a externaliza într-un mod continuu respectiva activitate sau respectivul serviciu.

(3)În cazul în care externalizarea are loc către o societate dintr-un stat terţ, este necesară aprobarea Comisiei de Supraveghere a Asigurărilor pentru semnarea contractului de externalizare.

(4)Notificarea va fi efectuată cu cel puţin 60 de zile anterior datei la care se intenţionează încheierea contractului de externalizare, astfel încât Comisia de Supraveghere a Asigurărilor să poată evalua în ce măsură sunt respectate cerinţele de natură prudenţială şi, dacă este cazul, să poată dispune măsurile necesare.

(5)Notificarea va fi însoţită de următoarele documente şi informaţii:

a)hotărârea organului competent privind aprobarea externalizării activităţilor respective;

b)o descriere a activităţilor externalizate;

c)fundamentarea oportunităţii externalizării activităţilor în cauză, inclusiv din perspectiva riscurilor implicate de externalizare;

d)o prezentare a furnizorului extern, care să cuprindă cel puţin informaţii privind: denumirea şi sfera de activitate, piaţa de operare şi poziţia de piaţă a acestuia, jurisdicţia aplicabilă, acţionariatul şi, dacă este cazul, indicarea apartenenţei furnizorului extern la grupul din care face parte asigurătorul şi precizarea includerii sau nu a acestuia în supravegherea consolidată la nivel de grup;

e)proiectul contractului de externalizare.

(6)În cazul externalizării unei activităţi, Comisia de Supraveghere a Asigurărilor poate impune anumite condiţii ţinând seama de factori cum ar fi: volumul şi natura activităţii care se intenţionează a fi externalizată, durata contractului, conflictele de interese ce ar putea fi generate de externalizare, poate impune anumite condiţii pentru a fi cuprinse în contractul de externalizare sau se poate opune motivat operaţiunii de externalizare.

(7)Comisia de Supraveghere a Asigurărilor are dreptul de a se adresa în scris direct furnizorului de servicii referitor la activitatea desfăşurată pentru societăţile de asigurare.

(8)Ulterior externalizării unei activităţi, asigurătorii vor comunica Comisiei de Supraveghere a Asigurărilor următoarele:

a)intenţia de schimbare a furnizorului extern către care a fost externalizată activitatea, cu motivarea acestei schimbări, caz în care se aplică în mod corespunzător prevederile alin. (3);

b)intenţia de reintegrare în cadrul asigurătorului a activităţilor supuse externalizării;

c)informaţii privind evoluţia activităţii furnizorului extern şi/sau capacitatea acestuia de a-şi îndeplini obligaţiile faţă de asigurător, eventuale măsuri adoptate de asigurător în aceste cazuri, inclusiv schimbarea furnizorului de servicii.

(9)În cazul prevăzut la alin. (8) lit. a), notificarea va fi efectuată cu 30 de zile anterior datei la care se intenţionează încheierea noului contract de externalizare, astfel încât Comisia de Supraveghere a Asigurărilor să poată efectua evaluarea noilor circumstanţe şi, dacă este cazul, să poată dispune măsurile necesare.

(10)Contractele de externalizare trebuie să fie încheiate în formă scrisă şi să cuprindă în mod clar responsabilităţile fiecărei părţi:

a)asigurarea respectării de către furnizorul de servicii a prevederilor legislaţiei în vigoare şi a normelor emise de Comisia de Supraveghere a Asigurărilor;

b)asigurarea furnizării de către societatea prestatoare de servicii a tuturor datelor solicitate de asigurător/reasigurător şi de către Comisia de Supraveghere a Asigurărilor privind desfăşurarea activităţii externalizate;

c)stabilirea obligaţiei furnizorului de servicii de a nu subcontracta servicii fără acordul prealabil scris al asigurătorului;

d)existenţa prevederii referitoare la obligaţia furnizorului extern de a permite accesul complet la datele/informaţiile sale referitoare la activitatea externalizată organelor competente ale asigurătorului în vederea verificării, auditării şi inspectării activităţii externalizate;

e)stabilirea obligaţiei furnizorului de a permite accesul complet la datele sale în legătură cu serviciile externalizate, funcţiei de audit intern din cadrul asigurătorului/reasigurătorului, respectiv de a permite, fără restricţii, inspectarea şi auditarea respectivelor date de către auditorul financiar al asigurătorului/reasigurătorului, precum şi accesul reprezentanţilor Comisiei de Supraveghere a Asigurărilor pentru efectuarea în orice moment a inspecţiilor la faţa locului;

f)prevederi cu privire la obligaţia furnizorului extern de a asigura securitatea/confidenţialitatea datelor asigurătorului/ reasigurătorului, existenţa angajamentului acestui furnizor, precum şi a măsurilor aplicabile în cazul nerespectării angajamentului;

g)prevederi că furnizorul deţine planuri de intervenţie adecvate pentru a face faţă situaţiilor de urgenţă sau întreruperilor de activitate şi testează periodic sistemele de stocare şi arhivare a datelor.

Art. 54 a fost modificat de pct. 3 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Articolul 54^1

(1)Asigurătorii/Reasigurătorii trebuie să ia în considerare riscurile asociate unei externalizări în lanţ.

(2)Asigurătorii/Reasigurătorii pot consimţi la o externalizare în lanţ doar dacă subcontractorul îşi asumă aceleaşi obligaţii ca şi cele stabilite în sarcina furnizorului extern principal, inclusiv obligaţiile în relaţie cu Comisia de Supraveghere a Asigurărilor.

(3)Subcontractarea este permisă doar cu acordul prealabil al asigurătorilor/reasigurătorilor şi în aceleaşi condiţii ca externalizarea către furnizorul extern principal.

(4)Asigurătorii/Reasigurătorii trebuie să ia măsurile corespunzătoare cu privire la riscurile decurgând din neîndeplinirea sau îndeplinirea necorespunzătoare a activităţilor subcontractate, care are un impact semnificativ asupra capacităţii furnizorului extern principal de a-şi respecta obligaţiile asumate prin contract.

Art. 54^1 a fost introdus de pct. 4 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Articolul 55

Asigurătorii/Reasigurătorii nu pot externaliza următoarele activităţi:

a)activitatea de audit intern;

b)organizarea şi conducerea contabilităţii proprii, respectiv contabilitatea financiară şi contabilitatea de gestiune adaptate la specificul activităţii de asigurare/reasigurare;

c)organizarea şi desfăşurarea activităţii juridice curente, în conformitate cu dispoziţiile Legii nr. 514/2003

privind organizarea şi exercitarea profesiei de consilier juridic, cu completările ulterioare;

d)abrogată;

Lit. d) a art. 55 a fost abrogată de pct. 2 al art. I din NORMA nr. 25 din 11 noiembrie 2014, publicat în MONITORUL OFICIAL nr. 835 din 17 noiembrie 2014.

Art. 55 a fost modificat de pct. 5 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Articolul 56

(1)Pentru investirea fondurilor proprii sau atrase prin activitatea desfăşurată asigurătorul/reasigurătorul poate utiliza serviciile unui furnizor de servicii autorizat să desfăşoare activitate de investiţii, prevăzând în contract un nivel de protecţie ridicat. Pentru externalizarea acestei activităţi este necesară notificarea Comisiei de Supraveghere a Asigurărilor, în conformitate cu prevederile prezentelor norme.

(2)Conducerea asigurătorului va desemna o persoană din cadrul societăţii care va monitoriza evoluţia portofoliului de tranzacţionare externalizat, conformitatea cu cerinţele privind dispersia activelor şi alte limite dispuse de legislaţia în domeniul asigurărilor şi va informa cel puţin trimestrial conducerea executivă asupra acestei evoluţii.

Art. 56 a fost modificat de pct. 5 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Capitolul VIIRaportări

Articolul 57

(1)Asigurătorii/Reasigurătorii trebuie să întocmească anual un raport asupra condiţiilor în care este desfăşurat controlul intern. Acest raport trebuie să cuprindă cel puţin:

a)o inventariere a principalelor deficienţe identificate în cadrul sistemului de control intern şi măsurile întreprinse pentru corectarea acestora;

b)o descriere a modificărilor semnificative intervenite în sistemul de control intern în perioada respectivă, în special axate pe evoluţia activităţii şi a riscurilor;

c)o descriere a condiţiilor de aplicare a procedurilor de control aferente noilor activităţi;

d)modul de desfăşurare a controlului intern în cadrul structurilor teritoriale ale asigurătorilor/reasigurătorilor din străinătate.

(2)Raportul întocmit de către asigurători/reasigurători trebuie să includă şi condiţiile în care se desfăşoară controlul intern la nivelul entităţilor cuprinse în perimetrul lor de consolidare şi al societăţilor prestatoare de servicii auxiliare sau conexe.

Articolul 58

(1)Asigurătorii/Reasigurătorii trebuie să întocmească anual un raport privind măsurile luate pe linia managementului riscurilor la care sunt expuşi aceştia şi, după caz, măsurile luate de entităţile cuprinse în perimetrul lor de consolidare şi societăţile prestatoare de servicii auxiliare sau conexe.

(2)Raportul trebuie să fie aprobat de comitetul de management al riscului şi trebuie să cuprindă cel puţin:

a)profilul de risc al societăţii şi politica de management al riscurilor, cu specificarea toleranţei asigurătorului/reasigurătorului la principalele riscuri şi limitele stabilite pentru gestionarea acestora;

b)metodologia folosită în evaluarea fiecărei categorii de risc, testele de stres folosite şi rezultatele acestora, frecvenţa şi conţinutul rapoartelor interne privind analiza şi administrarea riscurilor;

c)detalii ale politicilor de investiţii, incluzând procedurile de identificare, monitorizare şi control al riscurilor, detalii referitoare la strategiile investiţionale cu produse derivate sau produse cu efect similar, precum şi procedurile referitoare la introducerea de noi instrumente de investiţii şi de monitorizare a riscurilor asociate cu utilizarea acestora;

d)informaţii despre managementul intern al portofoliilor de active şi al obligaţiilor: detalii despre administrarea activelor în corelaţie cu natura şi scadenţa obligaţiilor, detalii despre investiţiile intragrup realizate;

e)procedurile asigurătorului/reasigurătorului pentru alegerea partenerilor, cu specificarea detaliilor procedurilor de selectare şi monitorizare a administratorilor de fonduri şi a societăţilor de servicii de investiţii financiare;

f)o prezentare a modului de abordare şi a politicilor asigurătorului/reasigurătorului referitoare la produsele de asigurare, procesul de subscriere, activitatea de reasigurare şi solvabilitate;

g)detalii referitoare la salarizarea personalului pentru a stabili dacă compania acordă prime sau alte stimulente salariale mari care determină o mărire nejustificată a expunerii la risc a societăţii;

h)un plan de afaceri global al asigurătorului/reasigurătorului pentru anul următor, care cuprinde informaţii referitoare la noile produse lansate de societate, strategia de distribuţie a produselor, procesul de subscriere şi activitatea de reasigurare;

i)planurile elaborate de asigurător/reasigurător pentru împrejurări neprevăzute;

j)lista tuturor deciziilor consiliului de administraţie/consiliului de supraveghere;

k)detalii referitoare la serviciile externalizate;

l)eventuale modificări în organigrama societăţii şi în sistemul de delegare a responsabilităţilor faţă de cele comunicate anterior către Comisia de Supraveghere a Asigurărilor;

m)planul de activitate al comitetului de management al riscului în perioada analizată.

Articolul 59

Asigurătorii/Reasigurătorii trebuie să întocmească anual un raport privind acţiunile de audit desfăşurate, din care să reiasă constatările şi recomandările auditului intern şi modul de implementare a recomandărilor respective la nivelul structurii auditate.

Articolul 60

Rapoartele menţionate la art. 57-59 trebuie să fie transmise Comisiei de Supraveghere a Asigurărilor în termen de 6 luni de la încheierea exerciţiului financiar.

Articolul 60^1

(1)Asigurătorii trebuie să întocmească anual un raport privind programul de reasigurare utilizat pentru riscurile cedate în exerciţiul financiar precedent, pe care trebuie să îl transmită Comisiei de Supraveghere a Asigurărilor.

(2)Raportul trebuie să fie asumat de conducerea asigurătorului, reprezentată de consiliul de administraţie/ supraveghere sau de directorat, care este deplin răspunzătoare de eficienţa programului de reasigurare utilizat în perioada de referinţă a raportului.

(3)Raportul trebuie să prezinte informaţii referitoare la următoarele aspecte:

a)strategia aprobată de conducere în exerciţiul financiar precedent şi explicaţii cu privire la adecvarea programului de reasigurare în funcţie de profilul de risc al asigurătorului, descrierea procedurilor menite să asigure prudenţa alegerii programului de reasigurare, evitarea concentrării riscurilor cedate pe o singură piaţă şi unui singur reasigurător;

b)criteriile calitative şi cantitative care au stat la baza selectării formelor de reasigurare şi la adoptarea programului de reasigurare;

c)criteriile de selectare a reasigurătorilor, piaţa de operare, jurisdicţia aplicabilă, indicarea apartenenţei reasigurătorilor la grupul din care face parte asigurătorul, analizarea riscului de credit al acestora;

d)descrierea detaliată a programului de reasigurare cu referire la riscurile cedate, la acumularea răspunderilor asumate prin contractele de asigurare pentru fiecare clasă de asigurare, la nivelul reţinerii proprii, pe total activitate şi pe fiecare clasă de asigurare, a sumelor cedate în reasigurare, descrierea modului de înregistrare în evidenţele tehnice şi contabile a poliţelor acoperite de reasigurare şi de gestionare a acestora, descrierea decontărilor realizate cu reasigurătorii conform contractelor încheiate, procedurile de monitorizare a daunelor apărute şi de recuperare a sumelor care sunt în sarcina reasigurătorilor;

e)menţionarea departamentelor şi a persoanelor care monitorizează şi răspund de îndeplinirea prevederilor contractelor de reasigurare, descrierea procedurilor de evaluare periodică a performanţelor acestora şi măsurile luate de conducerea societăţii în funcţie de rezultatele evaluării;

f)descrierea rezultatelor testelor de stres sau a scenariilor derulate de societate pentru evaluarea riscurilor rezultate din contractele de reasigurare;

g)precizarea (dacă este cazul) a valorii sumelor derulate prin alte forme de acoperire a riscurilor care nu sunt aferente reasigurărilor tradiţionale;

h)descrierea riscurilor de catastrofe naturale subscrise, a capacităţii contractului de reasigurare distinct pe fiecare clasă de asigurare, a calculului daunei maxime posibile şi a modului în care a fost constituită, menţinută şi eventual eliberată rezerva de catastrofă pe fiecare clasă de asigurare;

i)rezultatele analizei comparative a programelor de reasigurare derulate în anul de referinţă al raportului şi în anul anterior acestuia;

j)descrierea strategiei de reasigurare pentru anul în curs şi a motivelor care au condus la menţinerea unei strategii similare din anul anterior sau la o eventuală modificare a acesteia.

Art. 60^1 a fost modificat de pct. 6 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Articolul 60^2

(1)În urma analizării raportului de reasigurare, Comisia de Supraveghere a Asigurărilor evaluează în ce măsură sunt respectate cerinţele de natură prudenţială, adecvarea programului de reasigurare la profilul de risc al asigurătorului, evitarea concentrării riscurilor, transferarea efectivă a riscurilor etc.

(2)În cazul în care Comisia de Supraveghere a Asigurărilor constată că strategia de reasigurare şi programul utilizat nu corespund cerinţelor de natură prudenţială prevăzute de legislaţia în vigoare, poate dispune măsurile necesare modificării acestei strategii, urmând ca asigurătorul să implementeze modificările în exerciţiul financiar următor celui în care transmite raportul menţionat la art. 60^1 alin. (1).

Art. 60^2 a fost modificat de pct. 6 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Articolul 60^3

(1)Raportul menţionat la art. 60^1 alin. (1) trebuie transmis la sediul Comisiei de Supraveghere a Asigurărilor în termen de 120 de zile de la încheierea exerciţiului financiar, primul raport fiind emis pentru anul 2011. (2) Prevederile art. 60^1, 60^2 şi art. 60^3 alin. (1) se aplică şi reasigurătorilor pentru programul de retrocesiune.

Art. 60^3 a fost modificat de pct. 6 al art. I din ORDINUL nr. 15 din 16 decembrie 2011, publicat în MONITORUL OFICIAL nr. 915 din 22 decembrie 2011.

Articolul 61

Pentru controlul intern al activităţii, managementul riscului şi desfăşurarea activităţii de audit intern, asigurătorii/reasigurătorii vor avea în vedere atât prevederile legislaţiei naţionale, cât şi standardele internaţionale în materie.

Articolul 62

Asigurătorii/Reasigurătorii vor transmite Comisiei de Supraveghere a Asigurărilor, până la data de 31 decembrie 2010, dovada auditării sistemului informatic conform cerinţelor art. 25.

Articolul 63

Asigurătorii/Reasigurătorii au obligaţia să îşi revizuiască/elaboreze normele interne privind organizarea controlului intern al activităţii, normele interne privind organizarea sistemului de management al riscurilor, regulamentul comitetului de management al riscurilor, normele de audit intern şi regulamentul comitetului de audit, în concordanţă cu prevederile prezentelor norme, şi să le transmită Comisiei de Supraveghere a Asigurărilor până la data de 31 decembrie 2009. Orice revizuire ulterioară a normelor interne va fi transmisă în termen de 30 de zile de la aprobare.

Articolul 64

Nerespectarea prevederilor prezentelor norme constituie contravenţie şi se sancţionează conform prevederilor art. 39 din Legea nr. 32/2000, cu modificările şi completările ulterioare.