ACIS-Symposium Uitbesteding publiekrechtelijk kader. 17 mei 2019 Pien Kerckhaert

Transcriptie

1 ACIS-Symposium Uitbesteding publiekrechtelijk kader 17 mei 2019 Pien Kerckhaert

2 Inhoud 1. Publiekrechtelijk kader verzekeraars / pensioenfondsen 2. Wat is uitbesteding? 3. Kritieke / belangrijke activiteiten 4. Belangrijkste regels

3 1. Publiekrechtelijk kader (1/2) Waar vinden we de uitbestedingsregels voor verzekeraars? SII Richtlijn en Verordening Wft + Bpr + Bgfo EIOPA Richtsnoeren voor het governancesysteem EIOPA report Outsourcing to the Cloud, 27 maart 2019 verzekeraar DNB Good Practice Uitbesteding Verzekeraars (aug 2018) DNB Factsheet Melding DNB Factsheet Governance: Uitbesteding (1 sept 2018) uitbesteding / cloud computing (13 jan 2019) + toelichting bij meldingsformulier

4 1. Publiekrechtelijk kader (2/2) Waar vinden we de uitbestedingsregels voor pensioenfondsen? Pw + lagere regelgving DNB Guidance: Uitbesteding door pensioenfondsen (juni 2014) DNB Factsheet Melding uitbesteding / cloud computing (13 jan 2019) pensioenfonds DNB Factsheet Governance: Uitbesteding (1 sept 2018) DNB Q&A: Melding uitbesteding van werkzaamheden bij DNB door PF en ppi (27 feb 2019)

5 2. Wat is uitbesteding? (1/3) Waarom toezicht Rationale van het toezicht: Beheersen van risico s die met uitbesteding gepaard gaan Uitbesteding mag geen belemmering vormen voor toezichthouders om toezicht uit te oefenen Van belang voor de vraag of een bepaald arrangement uitbesteding oplevert. FINNIUS

6 2. Wat is uitbesteding? (2/3) Definities Pensioenfondsen: Pw: het door een uitvoerder verlenen van een opdracht aan een derde tot het ten behoeve van die uitvoerder verrichten van werkzaamheden die deel uitmaken van: 1. of voortvloeien uit het uitoefenen van het bedrijf; of 2. de wezenlijke bedrijfsprocessen ter ondersteuning daarvan; Verzekeraars: Wft: het door een financiële onderneming verlenen van een opdracht aan een derde tot het ten behoeve van die financiële onderneming verrichten van werkzaamheden: a. die deel uitmaken van of voortvloeien uit het uitoefenen van haar bedrijf of het verlenen van financiële diensten; of b. die deel uitmaken van de wezenlijke bedrijfsprocessen ter ondersteuning daarvan. Solvency II: ovk tussen een verzekeraar en een al dan niet onder toezicht staande dienstverlener op grond waarvan deze dienstverlener een proces, een dienst of een activiteit uitvoert die anders door de verzekeraar zelf zou worden uitgevoerd Materieel dezelfde definitie voor pf en vz

7 2. Wat is uitbesteding? (3/3) Aandachtspunten bij definitie Moet wel gaan om werkzaamheden die een vz / pf in hoedanigheid van vz / pf verricht (dus: geen schoonmaak- of cateringwerkzaamheden) Ook uitbesteding aan een groepsmaatschappij is uitbesteding Sinds SII: geen verlicht regime meer Cloud uitbesteding: specifieke vorm van uitbesteding. DNB hanteert NIST definitie: een on-demand service model voor de levering van IT diensten, veelal gebaseerd op virtualisatie technieken en gedistribueerde computeromgevingen. 27 maart 2019: EIOPA rapport cloud outsourcing à wordt nog geconsulteerd FINNIUS

8 3. Belangrijke / kritieke werkzaamheden (1/2) Welke uitbestedingsregels zijn van toepassing? Uitbesteding (idzv de Wft) Reguliere werkzaamheden (niet-kritiek / belangrijk) Kritieke / belangrijke werkzaamheden Een enkele uitbestedingsregel (10%) Extra regels (90%)

9 3. Belangrijke / kritieke werkzaamheden (2/2) Materialiteitsassessment Solvency II Functies en werkzaamheden die fundamenteel zijn voor het vermogen van de verzekeraar om haar kernactiviteit uit te oefenen EIOPA voorbeelden van niet-belangrijk/kritiek: schoonmaak, catering etc. DNB (good practices) 4 criteria, bepalend is impact van uitbesteding 1. Kritisch karakter (essentieel voor bedrijfsvoering?) 2. operationele effect van onderbrekingen 3. effect van een verstoring op verwachte inkomsten 4. effect van een schending van vertrouwelijkheid, integriteit of beschikbaarheid van data op vz en polishouders.

10 4. Belangrijkste uitbestedingsregels (1/3) Wft + Solvency II Basisprincipe financiële onderneming blijft altijd verantwoordelijk Dus: afdoende deskundigheid in-house is een must Uitbesteding is toegestaan, behalve als de uitbesteding afbreuk doet aan governancesysteem operationeel risico onnodig doet toenemen het toezicht bemoeilijkt de financiële onderneming reduceert tot brievenbusmaatschappij Belangrijke verplichtingen materiele uitbestedingen uitvoerig due diligence onderzoek; monitoren en evalueren; SII-proof uitbestedingscontracten en voorafgaande DNB-melding DNB good practices Voor niet-materiele uitbestedingen hebben van uitbestedingsbeleid en daarnaar handelen; dv moet samenwerken met toezichthouder en toegang (zowel fysiek als mbt info) verschaffen FINNIUS

11 4. Belangrijkste uitbestedingsregels (2/3) De uitbestedingsovereenkomst Key bepalingen (274 SII Verordening) Schriftelijk Instructierecht financiële onderneming Is onderuitbesteding mogelijk? Monitoring door financiële onderneming Informatierecht financiële onderneming Meewerkingsplicht dienstverlener Toegang tot informatie / bedrijfsruimten dienstverlener voor toezichthouder Exit-bepalingen Vergoedingen; at arm s length? FINNIUS

12 4. Belangrijkste uitbestedingsregels (3/3) DNB Good practices - highlights Evaluatie (min. jaarlijks): (i) dv, (ii) eigen uitb. beleid, en (iii) eigen processen voor a. selectie, b. monitoring en c. evaluatie. Voor grote uitbestedingen moet regieorganisatie voor monitoring aanwezig zijn Assurance is nodig. Extern kan (ISAE 3402/SOC1 voor jaarrekening, SOC2/3 voor IT), intern kan ook (audit), overeenkomen in ovk Vz dient SLRs van dv te ontvangen obv SLA + DAP. Good practice geeft detail over SLA Materialiteitsassessment, 4 criteria, bepalend is impact van het uitbesteden Binnen uitbestedingsbeleid is BCM key. BCM vz moet zijn afgestemd op BCM dv, dit moet periodiek gezamenlijk getoetst Eerst risico-analyse, dan selectie dv (concentratierisico, juridisch risico en dd) Uitbestedingsbeleid moet langs risk, JZ, compliance, business onderdelen, IT en Operations Uitbestedingsbeleid behoeft board goedkeuring en moet getoetst door RvC DLT Melding DNB 6 weken voor ingaan ovk, middels formulier op site Concept-ovk eerst langs JZ Niet-naleving AVG door dv kan reden zijn ovk op te zeggen Omgang met en toegang tot kritieke en gevoelige data key in ovk Onderuitbesteding belangrijk onderwerp in ovk Centrale registratie van uitbestedingen Informatievoorziening vanuit risk naar board: overzicht actuele uitbestedingsrisico s Ovk getekend door RvB FINNIUS

13 Contactgegevens Pien Kerckhaert FINNIUS