Principes Interne Beheersing pensioenfondsen Aan de geadresseerde Datum: 23 maart 2001 Kenmerk: 3.01/2001-1621 Onderwerp: Principes Interne Beheersing Geacht bestuur, Hierbij sturen wij u de concept Principes Interne Beheersing. De Pensioen- & Verzekeringskamer heeft, gelet op diverse ontwikkelingen binnen de onder toezicht staande bedrijfstakken, besloten nadere invulling te geven aan haar bevoegdheid om eisen te stellen aan de administratieve organisatie van verzekeringsmaatschappijen en pensioenfondsen. Deze bevoegdheid ontlenen wij voor verzekeringsmaatschappijen aan artikel 70 van de Wet toezicht verzekeringsbedrijf 1993 en voor pensioenfondsen aan de Nota van Toelichting van het Koninklijk Besluit van 21 november 2000 houdende regels omtrent de inhoud van de actuariële en bedrijfstechnische nota. Het uitgangspunt van de Principes is dat de administratieve organisatie van verzekeringsmaatschappijen en pensioenfondsen onderdeel dient uit te maken van een binnen de instelling te onderkennen proces van interne beheersing dat wordt aangestuurd door de hoogste leiding van de instelling. In het bijgevoegde concept zijn regels opgenomen om dit proces vorm te kunnen geven. Wij zullen op een later tijdstip voor (een deel van) de primaire en ondersteunende processen nadere voorschriften opstellen. Om de toepasbaarheid van de Principes in de praktijk te toetsen houden wij een consultatieronde met de Vereniging voor Bedrijfspensioenfondsen, de Stichting voor Ondernemingspensioenfondsen, het Verbond van Verzekeraars, het Koninklijk NIVRA en het Actuarieel Genootschap. Daarnaast stellen wij ook u in de gelegenheid te reageren op de concept-principes. Dit is op twee manieren mogelijk. Bij voorkeur maakt u uw reactie aan de koepels kenbaar, maar desgewenst kunt u ook reageren via het e-mailadres pib@pvk.nl Sluitingsdatum is 1 oktober 2001. Met vriendelijke groet, Pensioen- & Verzekeringskamer Bijlage: - concept Principes Interne Beheersing
Principes Interne Beheersing ( Bijlage bij de brieven van 23 maart 2001 ) Een goede beheersing van de interne bedrijfsprocessen door en bij verzekeringsmaatschappijen en pensioenfondsen is noodzakelijk om de aangegane verplichtingen te allen tijde te kunnen nakomen. De Pensioen- & Verzekeringskamer geeft in de daartoe door haar opgestelde Principes Interne Beheersing regels waarnaar de leiding van de instellingen bij de beheersing van de organisatie dient te handelen. Verzekeringsmaatschappijen en pensioenfondsen zijn actief op markten in beweging. Toenemende concurrentie noopt tot samenwerkingsverbanden en productinnovatie, aspecten die onder meer tot uitdrukking komen in een toenemende complexheid van verzekerings - en beleggingsproducten. De rol van de automatisering en communicatietechnologie is drastisch toegenomen. Verder leiden tal van maatschappelijk-politieke wensen, bijvoorbeeld ten aanzien van verantwoording en openheid, tot wijzigingen in relevante wetgeving. Een goede beheersing van de interne bedrijfsprocessen draagt bij aan het verantwoord omgaan met deze ontwikkelingen. Bij de totstandkoming van de Principes Interne Beheersing is aansluiting gezocht bij bestaande interne beheersingsmethoden zoals verwoord in het COSO-( Committee of Sponsoring Organizations of the Treadway Commission, Internal Control- Intergrated Framework, AICPA, New York, September 1992 / July 1994) en CoCo-( CICA, Control and Governance-number 1: Guidance on Control, The Canadian Institute of Chartered Accountants, November 1995) rapport en het rapport Via Interne Beheersing naar Corporate Governance ( Koninklijk NIVRA, Via Interne Beheersing naar Corporate Governance, Amsterdam, 1999) van het Koninklijk NIVRA. Bij de opstelling van de Principes Interne Beheersing is rekening gehouden met de specifieke kenmerken van verzekeringsmaatschappijen en pensioenfondsen. De Principes bestrijken zes verschillende terreinen. Per onderwerp stelt de Pensioen- & Verzekeringskamer beheersingseisen aan de organisatie. Deze vereisten zijn eerst in hoofdlijnen omschreven en vervolgens uitgewerkt. Het geven van invulling aan de Principes is op meer dan één wijze mogelijk. Hierdoor kan elke organisatie op een voor haar zo efficiënt en effectief mogelijke wijze voldoen aan de Principes. De Principes behandelen de volgende aspecten van het interne beheersingtraject. De leiding van de organisatie stelt de doelstellingen van de onderneming vast, en de wijze waarop deze moeten worden bereikt (principe 1). Daarnaast is zij verantwoordelijk voor de analyse van alle risico s die de onderneming loopt (2), het op basis van deze analyse treffen van goede beheersingsmaatregelen (3) en het verzorgen van toereikende verantwoordings - en sturingsinformatie (4). Zonodig zal zij de organisatie op grond van deze informatie bijsturen (5). Bij een aantal rechtsvormen van de onder toezicht staande instellingen fungeert een intern toezichthoudend orgaan, meestal een Raad van Commissarissen. De Pensioen- & Verzekeringskamer vindt dat dit interne toezichthoudende orgaan een wezenlijke bijdrage moet leveren aan het goed functioneren van het systeem van interne beheersing (6). Dit geldt ook voor vergelijkbare interne toezichthoudende organen met een andere benaming dan Raad van Commissarissen. Vanaf 1 januari 2002 zal de Pensioen- & Verzekeringskamer bij onderzoeken en periodieke gesprekken aandacht besteden aan de wijze waarop de Principes worden ingevuld. De Principes hebben nu de status van Aanbeveling. Na een noodzakelijke gewenningsperiode krijgen de Principes de status van Richtlijn, en zullen de instellingen volledig aan de Principes moeten voldoen. Principes Interne Beheersing (concept) 1. Beheersingskader van de organisatie 1.1 Het bestuur van de verzekeringsmaatschappij en het pensioenfonds is verantwoordelijk voor het formuleren en regelmatig evalueren van strategische en beleidsmatige doelstellingen en de opzet van de organisatie van de instelling op een zodanige wijze dat genoemde doelstellingen realiseerbaar zijn. 1.2 Het bestuur van de instelling draagt zorg voor een bedrijfscultuur waarin, ter bewaking van zijn reputatie, integriteitsnormen op een hoog niveau staan. Binnen deze bedrijfscultuur zijn de aandacht voor interne controle en het voldoen aan wettelijke en overige externe regelgeving wezenlijke onderdelen van
het dagelijkse handelen van de medewerkers. Het bestuur vervult hierbij een voorbeeldfunctie. Toelichting op principe 1.1 Het bestuur van de instelling is verantwoordelijk voor de implementatie van adequate beheersingsmaatregelen voor de realisatie van de doelstellingen van de instelling. Hij draagt er zorg voor dat deze doelstellingen en de opzet van de organisatie bekend zijn bij de medewerkers. Voorts is het de verantwoordelijkheid van het bestuur dat de hieronderstaande maatregelen worden nagekomen. -Het bestuur is zodanig samengesteld dat het over voldoende deskundigheid beschikt om de aard van de risico s die zijn verbonden aan de verscheidene activiteiten die de instelling uitoefent afdoende te kunnen identificeren. -Het bestuur verzorgt een verantwoorde delegatie van bevoegdheden. Hierbij wordt rekening gehouden met de geaccepteerde risico s en de aard en complexiteit van de activiteiten en de financiële positie. -Het bestuur vergewist zich ervan dat het personeel zich houdt aan het vastges telde beleid en dat het management voldoende capabel is om de risico s die het bedrijf loopt te beheersen. -Binnen het bestuur is op basis van deskundigheden een taakverdeling overeengekomen, die op schrift is gesteld. -Het bestuur maakt schriftelijke verslagen van zijn vergaderingen. Het bestuur ziet er eveneens op toe dat ook bij dochtermaatschappijen adequate beheersingsmaatregelen zijn getroffen. Toelichting op principe 1.2 Binnen de bedrijfscultuur is voldoende aandacht voor de belangen van de polis houders. De leden van het bestuur (en een eventueel aanwezig intern toezichthoudend orgaan) alsmede functionarissen op belangrijke sleutelfuncties dienen in ieder geval (elke schijn van) belangenverstrengeling te vermijden tussen privé-belangen en de zakelijke belangen van de verzekeringsmaatschappij en het pensioenfonds. 2. Analyse van het geaccepteerde ondernemingsrisico 2.1 Aan de structuur van de beheersingsmaatregelen, vervat in de interne organisatie van de instelling, ligt een analyse van risico s ten grondslag. De op de risico-analyse gebaseerde beheersingsmaatregelen waarborgen dat de nakoming van de verplichtingen jegens polishouders en (gewezen) deelnemers bij pensioenfondsen zoveel mogelijk is verzekerd. 2.2 Het bestuur stelt per activiteit de maximaal acceptabele risico s (limieten) en budgetten vast met inachtneming van de aard en complexiteit van de activiteiten en de financiële positie en informeert het management hier juist, tijdig en volledig over. Toelichting op principe 2.1 en 2.2 De instelling is onderhevig aan zowel interne als externe risico s die het realiseren van de organisatiedoelstellingen in de weg kunnen staan. Het bestuur draagt zorg voor het voortdurend identificeren, analyseren en beheersen van risico s die verbonden zijn aan verzekerings - en pensioenactiviteiten, alsmede van risico s die verbonden zijn aan het uitbesteden van werkzaamheden aan groepsmaatschappijen (bijvoorbeeld binnen conglomeraten) of bij derden (outsourcing). Inventarisatie van de bedreigingen dient bij voortduring plaats te vinden. Wijziging van risico s leidt tot adequate aanpassing van te nemen beheersingsmaatregelen. 3. Beheersingsmaatregelen 3.1 De bedrijfsdoelstellingen zijn per marktsegment, branchegroep, product of activiteit of een combinatie daarvan uitgewerkt in een ondernemingsplan voor de middellange termijn, de actuariële en bedrijfstechnische nota (abtn) alsmede de jaarbegroting. Het ondernemingsplan wordt opgesteld (namens) en bekrachtigd door de hoogste leiding. 3.2 Het ondernemingsplan vormt de basis voor het jaarlijkse operationele plan per marktsegment, branchegroep, product of activiteit of een combinatie daarvan en is richtinggevend voor de aansturing en uitvoering van de dagelijkse activiteiten van de instelling. 3.3 Bij de inrichting van de organisatie treft het bestuur zoveel als nodig maatregelen die bijdragen aan de beheersing van de inherente en de geaccepteerde risico s. Toelichting op principe 3.1, 3.2 en 3.3 De organisatie dient maatregelen te treffen om te zorgen dat hetgeen in het kader van het bereiken van de doelstellingen moet gebeuren ook daadwerkelijk wordt uitgevoerd. Formele bekrachtiging van de bedrijfsdoelstellingen en financiële mogelijkheden, rekening houdend met aard en omvang van de verzekeringsmaatschappij en het pensioenfonds, is een eerste vereiste ter beheersing van de processen binnen een instelling. Als beheersingsmaatregelen zijn onder meer te noemen het toekennen van verantwoordelijkheden en bevoegdheden, het vastleggen van normen, taken, functies en procedures, en de analyse van
informatievoorziening en de te ondernemen vervolgacties. De beheersingsmaatregelen binnen de instelling dienen qua opzet en werking inzichtelijk te worden vastgelegd. Zij dienen alle relevante processen te omvatten en te worden afgestemd op de omvang van de processen. Indien delen van processen zich afspelen bij buitenlandse vestigingen, bij andere groepsmaatschappijen van het concern waarvan de instelling deel uitmaakt dan wel bij derden wordt afdoende rekening gehouden met de uit dien hoofde optredende complicaties. Bij de inrichting van de organisatie bepaalt het bestuur of een verbijzonderde interne controlefunctie noodzakelijk is. Delegatie van taken, functies en bevoegdheden aan binnen de organisatie werkzame functionarissen behoort schriftelijk te worden vastgelegd. Deze vastlegging dient continu geactualiseerd te worden. 4. Managementinformatie en communicatie 4 Het bestuur en management ontvangen tijdig betrouwbare informatie omtrent de voor hen relevante ondernemingsdoelstellingen en operationele processen. Toelichting op principe 4 Om de activiteiten goed te kunnen uitvoeren is het noodzakelijk dat de juiste en volledige informatie tijdig bij de juiste personen binnen de organisatie beschikbaar is. Vastgelegd moet worden welke informatie welke functionarissen moeten ontvangen en welke acties daaruit moeten voortvloeien. De inhoud, adressering en frequentie van de informatie is gedefinieerd. Waarderingsgrondslagen moeten worden opgesteld. Daarnaast moet zorg worden gedragen voor het informeren van belanghebbenden buiten de organisatie. Het bestuur en het management zijn tijdig geïnformeerd over ontwikkelingen en belangrijke afwijkingen van het ondernemingsplan of het operationele plan, over grote of bijzondere risico s en over bedrijfsvreemde transacties. Bij gebruikmaking van informatie- en communicatietechnologie draagt de instelling er zorg voor dat continuïteit en betrouwbaarheid van de gegevensverwerking zijn gewaarborgd. Een calamiteitenplan dient inzicht te geven in hoe de instelling de continuïteit van de gegevensverwerking waarborgt. 5. Bewaking 5 De instelling toetst periodiek en systematisch de effectiviteit van de interne beheersingsmaatregelen. Gerapporteerde tekortkomingen in het functioneren van deze interne beheersingsmaatregelen worden zo spoedig als mogelijk en nodig is opgelost. Toelichting op principe 5 De instelling stelt vast dat de beheersingsmaatregelen in de praktijk conform de opzet functioneren en een weerspiegeling zijn van de risico s die de onderneming loopt. De rapportage van belangrijke bevindingen van de evaluatie, indien die plaatsvindt via een interne accountantsdienst, dan wel via verbijzonderde interne controle of anderszins, geschiedt rechtstreeks aan het bestuur van de instelling en aan de Raad van Commissarissen. 6. De Raad van Commissarissen 6.1 De Raad van Commissarissen hecht zijn goedkeuring aan de strategische en beleidsmatige uitgangspunten en het daaruit voortvloeiende risicoprofiel van de activiteiten van de instelling alsmede aan de door de instelling ingestelde beheersingsmaatregelen terzake. 6.2 Minimaal jaarlijks beziet de Raad van Commissarissen of de instelling de gestelde doelen heeft weten te realiseren. Toelichting op principe 6.1 en 6.2 De Raad van Commissarissen hecht zijn goedkeuring aan de strategische en beleidsmatige doelstellingen en de activiteiten van de instelling, waarbij hij rekening houdt met de daarmee samenhangende risico s. Hij stelt vast dat het bestuur van de instelling heeft zorggedragen voor de implementatie van adequate beheersingsmaatregelen. Voorts is de Raad van Commissarissen verantwoordelijk voor het verkrijgen van betrouwbare informatie over de mate waarin de strategische en operationele doelstellingen worden gehaald. Voorts dient de Raad van Commissarissen: -zo vaak als nodig bijeen te komen doch ten minste tweemaal per jaar. Hij bespreekt ten minste eenmaal
per jaar ex ante de bedrijfsdoelstellingen, de strategie, het beleid, de daarmee samenhangende risico s en de mechanismen tot beheersing van de ris ico s van de instelling; -een reglement op te stellen waarin zijn taakverdeling en werkwijze is vastgelegd. Hij maakt een schriftelijk verslag van haar vergaderingen; -minimaal jaarlijks te bezien of de instelling de gestelde doelen heeft weten te realis eren. Wezenlijke wijzigingen in het beleid van de instelling moeten door de Raad vooraf worden goedgekeurd.