Outsourcing unter Solvency II -

- Auswirkungen auf Versicherungsunternehmen und deren Vertriebspartner Frankfurter Vorträge Frankfurt, 17. November 2016

Agenda Regulatorische Anforderungen Auswirkungen auf Versicherungsunternehmen Auswirkungen auf Vertriebspartner Seite 2

Regulatorische Anforderungen Überblick Outsourcing Solvency II Richtlinie vom 25. November 2009 betreffend die Aufnahme und Ausübung der Versicherungs- und der Rückversicherungstätigkeit Europäische Implementierung Delegierte Verordnung der EU zur Ergänzung der S-II-Richtlinie Leitlinien zum Governance-System der EIOPA Nationale Umsetzung VAG BaFin-Auslegungsentscheidungen Entwurf MaGO 32 Ausgliederung Insbesondere zu: Governance Fit & Proper Outsourcing Risikomanagement Insbesondere: Abschnitt 8 Allgemeine Governance-Anforderungen Abschnitt 10 Risikomanagementsystem Abschnitt 13 Ausgliederung Implementierung innerhalb der VU Seite 4

Regulatorische Anforderungen Outsourcing als Teil des Governance-Systems Three-Lines-of- Defense -Modell Klare Trennung der Funktionen Governance-System nach Solvency II Vorstand Strategie, Risikoappetit und Leitlinien 1. Linie 2. Linie 3. Linie Operative Geschäftsbereiche ( Risk Owner ) Risikomanagement-Funktion Compliance-Funktion Versicherungsmathematische Funktion Risikomanagement System Interne Revision Unternehmenseigene Risiko- und Solvabilitätsbeurteilung (ORSA) Outsourcing Rahmenwerk für Interne Kontrollen / Notfallmanagement Seite 5

Regulatorische Anforderungen Outsourcing-Begriff: Neue Definition Ausgliederung gemäß Solvency II und VAG ( ) eine Vereinbarung jeglicher Form zwischen einem Versicherungsunternehmen und einem Dienstleister, auf Grund derer der Dienstleister direkt oder durch weitere Ausgliederung einen Prozess, eine Dienstleistung oder eine Tätigkeit erbringt, die ansonsten vom Versicherungsunternehmen selbst erbracht werden würde ( ) Kriterien für die Abgrenzung von Ausgliederungen Inhalt der betroffenen Tätigkeit Umfang der betroffenen Tätigkeit Dauer der Inanspruchnahme des Dienstleisters Häufigkeit der Inanspruchnahme des Dienstleisters Bedeutung der betroffenen Tätigkeit für das jeweilige Unternehmen maßgeblich Unter dem Regime von Solvency II bewegen sich die Anforderungen an Outsourcing weg von einem regelorientierten und einfachen hin zu einem prinzipien-orientierten und komplexen Regulierungsansatz. Seite 6

Regulatorische Anforderungen Konzern-/Gruppeninternes Outsourcing 1 Vorgaben zum Outsourcing gelten grundsätzlich auch für konzern-/gruppeninterne Ausgliederungen 2 Im Einzelfall faktische Erleichterungen denkbar (z.b. Vereinbarung Service Level Agreement) 3 Genaue Zuordnung der ausgegliederten Aktivitäten zu den jeweiligen rechtlichen Einheiten 4 Angemessene Berücksichtigung von Besonderheiten der ausgliedernden rechtlichen Einheiten Seite 7

Schematische Darstellung des Outsourcing- Prozesses unter Solvency II Aufbauorganisation Aufbauorganisatorische Einbettung des Outsourcings in das Governance-System Einsatz eines Ausgliederungsbeauftragten Outsourcingentscheidung Due Diligence und Risikoanalyse Vertrags- und Anzeigewesen Steuerung und Überwachung Beendigung Bestimmung des auszugliedernden Bereiches Marktanalyse ( Make-or-Buy- Entscheidung ) Strategische Analyse Ausschreibung Prüfung von potenziellen Dienstleistern (Marktanalyse) Durchführung Risikoanalyse Leistungen und Konditionen Abstimmung hinsichtlich der Leistungserbringung/ -beschreibung Verantwortlichkeiten und Schnittstellen (Rahmen-)Vertrag und SLA Sicherstellung einer adäquaten Steuerung und Überwachung der Ausgliederungen Einbindung in das Risikomanagement und das IKS Exit-Strategien Re-Insourcing versus Neu- Ausgliederung Notfallpläne Laufende Administration Weiterentwicklung der Aufbau- und Ablauforganisation im Bezug auf Outsourcing Vertragsmanagement, Vertragsverwaltung Laufende Überwachung und Steuerung der Outsourcing-Beauftragten, ggf. Unterstützung bei der Durchführung des operativen Outsourcing-Controllings, z. B. hinsichtlich Notfallplänen, Revisionsprüfungen Turnusmäßige Berichterstattung Seite 9

Wann ist ein Ausgliederungsbeauftragter zu benennen? Outsourcing von Schlüsselaufgaben von sonstigen wichtigen Aktivitäten zwingend einzurichtende vier Schlüsselfunktionen weitere andere Schlüsselaufgaben Zwingender Einsatz eines Ausgliederungsbeauftragten: Der Ausgliederungsbeauftragte ist nicht operativ, sondern überwachend tätig. Er trägt die Verantwortung für die ordnungsgemäße Erfüllung des Auftrags. Er muss zuverlässig sein und über eine mindestens seinem Überwachungsauftrag genügende fachliche Eignung verfügen. Er ist bei der BaFin anzuzeigen Prüfung, ob ein Ausgliederungsbeauftragter eingesetzt werden sollte Seite 10

Wann kann ein Geschäftsleiter als Ausgliederungsbeauftragter fungieren? Geschäftsleiter fungiert zugleich als Ausgliederungsbeauftragter Gewährleistung Angemessene Trennung einer dem der Zuständigkeiten Risikoprofil des Unternehmens angemessenen Trennung der Zuständigkeiten Keine Behinderung bei bei der weiteren Ausübung der Aufgaben als Geschäftsleiter Überwachungsintensität zeitliche höher Ausreichende alskapazitäten bei Geschäftsleitung Fachliche Eignung und Zuverlässigkeit Gegebenenfalls Ergreifung von Maßnahmen zur Vermeidung von Interessenkonflikten Personenidentität zwischen Ausgliederungsbeauftragtem und zuständiger Person beim Dienstleister ist unzulässig Entwurf MaGO vom 19.10.2016 Tz. 284 Die BaFin hält es derzeit für vertretbar, dass ein Geschäftsleiter zugleich als Ausgliederungsbeauftragter für eine Schlüsselfunktion oder selbst definierte Schlüsselaufgabe fungiert, ohne dass diese Abweichung von der Zwei-Ebenen-Struktur durch Proportionalitätserwägungen gerechtfertigt sein müsste. Seite 11

Risikoanalyse: Sollte aus Risikosicht ausgegliedert werden? Ziele der Risikoanalyse im Vorfeld von Outsourcing Systematische Bewertung sämtlicher Risiken, die mit einer Übertragung von Tätigkeiten, Funktionen oder Prozessen an Dienstleister einhergehen Die Risikoanalyse dient der Identifikation von Einzelrisiken Definition geeigneter Maßnahmen sowie Über-führung der Outsourcing-Risiken und Maßnahmen in das Risikomanagementsystem Eine umfassende Risikoanalyse sollte beispielsweise enthalten: Allgemeine Informationen zum Outsourcing Grundsätzliche Zulässigkeit; ggf. Bewertung internes vs. externes Outsourcing Bewertung der Wichtigkeit Geeignetheit des potenziellen Dienstleisters (Due Diligence) Mögliche Auswirkungen des Outsourcings auf das VU Beurteilung der Integrationsfähigkeit des Outsourcings in das RMS/ IKS des VU Analyse der wesentlichen Risiken (vor allem operationelle, strategische sowie Reputations- und Konzentrationsrisiken) Gesamtergebnis Dokumentation des Einbezugs von maßgeblichen Geschäftsbereichen Ggf. Anhänge (z. B. Geschäftsberichte, weitere Recherche-Ergebnisse) Da sich die zugrunde liegenden Risikofaktoren im Zeitverlauf ändern können, genügt eine einmalige Betrachtung von Outsourcing-Risiken nicht. Vielmehr sind Ausgliederungen fortlaufend zu beobachten. Seite 12

Prozess zur Identifikation von wichtigem Outsourcing (Beispiel) 1 Handelt es sich um ein Outsourcing gemäß VAG/ eigener Definition? nein Kategorie 1 Fremdbezug von Leistungen ja Outsourcing nicht möglich nein 2 Ist die Tätigkeit, Prozess, Funktion, etc. grundsätzlich ausgliederbar? Regulatorische Anforderungen und Strategiekonformität ja Kategorie 2 Outsourcing Kategorie 3 Wichtiges Outsourcing ja 3 3 Handelt es sich um eine per se wichtige Ausgliederung gem. EIOPA oder BaFin?! Definition von Kriterien für wichtige Ausgliederungen Wichtigkeitsanalyse (BaFin-Kriterium: Unverzichtbarkeit) ja Wichtige Funktionen/ Tätigkeiten gem. EIOPA: Tarifierung Kapitalanlage Schadenbearbeitung Rechnungslegung Schlüsselfunktionen IT-Leistungen ORSA-Prozess Schlüsselfunktionen gem. EIOPA: Risikocontrolling Compliance VMA Interne Revision nein Wichtige Ausgliederung gem. BaFin 4 Handelt es sich um eine intern definierte nein Schlüsselaufgabe oder wichtige Ausgliederung? Alle Schlüsselaufgaben Vertrieb Bestandsverwaltung Leistungsbearbeitung Rechnungswesen Vermögensanlage/ -verwaltung Abschluss von Versicherungsdienstleistungen Schadenregulierung durch Vermittler Seite 13

Due Diligence: Welcher Dienstleister kommt prinzipiell in Frage? Ziele der Due Diligence im Vorfeld von Outsourcing Erlangung eines umfassenden Bildes und Verständnisses von potenziellen Dienstleistern Beantwortung der Frage: Welcher Dienstleister kommt generell in Frage? Prüfung, ob gesetzliche bzw. aufsichtsrechtliche Anforderungen entsprochen werden kann Prüfung der Gewährleistung der Sicherheit und der datenschutzrechtlichen Bestimmungen im Falle des Outsourcings Die Due Diligence sollte in der Praxis insbesondere umfassen die zu berücksichtigenden Aspekte gem. EIOPA: Finanzielle und technische Fähigkeiten des Dienstleisters Einschätzung der Kapazitäten, die entsprechende Leistung zu erbringen Kontrollrahmen des Dienstleisters Einschätzung bzgl. möglicher Interessenkonflikte die zur Leistungserbringung angewandten (IT-)Systeme und org. Regelungen die personelle Ausstattung (quantitativ) und mit der Leistungsübernahme betraute Personal (qualitativ) die Sicherstellung der Vertraulichkeit im Umgang mit Daten Organisationsstruktur, Prozesse und schriftlich fixierte Ordnung (Aufbau- und Ablauforganisation) im Hinblick darauf, ob diese geeignet erscheinen, zugesicherte Leistungen ordnungsgemäß zu erbringen die Beachtung (aufsichts-)rechtlicher Standards der vorgesehenen Vertragsregelungen die erforderlichen Überwachungsmaßnahmen und Kontrollsysteme Die Ergebnisse der Due Diligence sind zu dokumentieren. Das Ergebnis sollte nachvollziehbar darlegen, ob der Dienstleister zur Erbringung der auszugliedernden Leistung geeignet ist oder nicht. Seite 14

Vertragswesen: Welche Vereinbarungen sind vertraglich zu treffen? Mindestvertragsinhalte nach Solvency II Zugangsrechte für VU, externe Prüfer und Aufsichtsbehörde zu allen einschlägigen Daten Möglichkeit direkter Fragen an den DL und Vor-Ort-Prüfungen durch Aufsicht Auskunfts- und Weisungsrechte Informationspflicht über Sub-Outsourcings durch den DL Rechte, Pflichten und Verantwortlichkeiten Maßnahmen zur Vermeidung von Interessenkonflikten Regelung hinsichtlich der Sicherheit und Vertraulichkeit von Informationen Informationspflichten (z. B. Entwicklungen, die eine Leistungs-erbringung beeinträchtigen könnten) Zusätzliche Inhalte bei ADV gem. 11 BDSG (weiterhin anzuwenden) Gegenstand und Dauer des Auftrags sowie Art der Daten und Kreis der Betroffenen Zu treffende technische und organisatorische Maßnahmen Berichtigung, Löschung und Sperrung von Daten Bestehende Pflichten des DL, insb. Kontrollen Berechtigung zur Begründung von Sub-Ausgliederungen Rückgabe überlassener Datenträger und Löschung gespeicherter Daten nach Beendigung des Auftrags Solvency II erfordert in der Regel Anpassungen künftiger (und laufender) Outsourcing-Verträge. Seite 15

Anzeigewesen: Pflicht zur Anzeige wichtiger Ausgliederungen Anzeigepflicht vor Ausgliederung Grundsätzlich Anzeigepflicht von Angaben zu Verträgen über die Ausgliederung von wichtigen Funktionen oder Tätigkeiten Anzeige bei der BaFin muss mind. 6 Wochen vor Inkrafttreten der Ausgliederung erfolgen Bei der BaFin vorzulegende Dokumente / anzuzeigende Informationen: Vertragsentwurf Name und Anschrift des Dienstleisters Beschreibung des Umfangs der Ausgliederung Gründe für die Ausgliederung Zusätzlich bei Ausgliederung von Schlüsselaufgaben: Name des Ausgliederungsbeauftragten des VU sowie des Verantwortlichen auf Seiten des Dienstleisters Anzeigepflicht während der Ausgliederung Unverzügliche Anzeige wichtiger Entwicklungen nach Vertragsabschluss, z.b. wesentliche Veränderungen an der Ausgliederungsvereinbarung (insb. Sub-Outsourcing und Beendigung des Vertrags), gravierende und wiederholte Verstöße des Dienstleisters gegen vereinbarte Vorgaben, unzureichender Zugang des VU zu notwendigen Daten und Informationen, finanzielle Probleme des Dienstleisters etc. Seite 16

Outsourcing-Controlling Kategorie Fremdbezug von Leistungen Outsourcing Wichtiges Outsourcing Intensität Outsourcing-Controlling Allgemeine Anforderungen an Ordnungsmäßigkeit der Geschäftsorganisation Einhaltung gesetzlicher wie regulatorischer Bestimmungen sowie interner Vorgaben Regelmäßige Überwachung und Überprüfung hinsichtlich der erbrachten Leistungsqualität des Dienstleisters Outsourcing-Controlling Angemessener und wirksamer Einbezug in das Risikomanagement und das IKS (Berichterstattung) Steuerung und Überwachung der Prozesse im operativen Geschäft sowie Aufnahme und Nachverfolgung von Schlechtleistungen (z. B. regelmäßige Jour-fixes zwischen Dienstleister und Auftraggeber) Turnusmäßige Prüfung (z. B. über Performance-Reports) und Leistungskontrolle durch Ausgliederungsbeauftragter (z. B. quartalsweise, (halb)jährlich) Ausgeweitetes Outsourcing-Controlling Überprüfung der angemessenen finanziellen, personellen und technisch-organisatorischen Ausstattung des DL Kurzfristiger Turnus hinsichtlich regelmäßiger Leistungsüberprüfungen (z. B. täglich, wöchentlich, monatlich) Sicherstellung, dass der Outsourcing-Beauftragte des Dienstleisters über ausreichende Expertise und Erfahrung für diese Tätigkeit verfügt (insbes. bei der (Teil-) Ausgliederung von Schlüsselfunktionen sind die fit & proper - Anforderungen zu erfüllen und der Aufsicht anzuzeigen) Prüfung, ob RMS und IKS des Dienstleisters angemessen sind (z.b. Revisionsberichte) Sicherstellung angemessener Notfallkonzepte/-pläne für den Umgang mit kritischen Situationen oder Unterbrechungen des Geschäftsbetriebs sowie Verabredung von Testings etwaiger Back-up-Möglichkeiten INTENSITÄT / AUFWAND Die Intensität des Outsourcing-Controlling hängt maßgeblich von der Kategorisierung des Outsourcing als Fremdbezug, Outsourcing oder wichtiges Outsourcing ab. Seite 17

Fazit: Zentrale Handlungsfelder für Versicherungsunternehmen 1 2 3 4 5 Festlegung von Verantwortlichkeiten entlang des Outsourcing- Prozesses Inventarisierung und Kategorisierung bestehender Ausgliederungsvereinbarungen Überprüfung und Anpassung bestehender vertraglicher Ausgliederungsvereinbarungen Überprüfung bestehender Ausgliederungen auf Erfüllung der Due-Diligence-Anforderungen Aufbau systematisches Outsourcing-Controlling Seite 18

Identifizierung von Maklern als (wichtiges) Outsourcing Typische Vermittlungstätigkeiten (OHNE Abschluss- oder Schadenregulierungsvollmacht) unterliegen NICHT den Ausgliederungsanforderungen. Fremdbezug von Leistungen Verfügen Versicherungsvermittler über Abschluss- oder Schadenregulierungsvollmachten handelt es sich IMMER (mindestens) um Outsourcing. Outsourcing Die Entscheidung über die Wichtigkeit von Makler-Tätigkeiten liegt beim VU Erteilt ein VU einer Vielzahl von Versicherungsvermittlern Abschluss- oder Schadenregulierungsvollmachten (Teilausgliederungen), ist die Wichtigkeit im Zuge einer Gesamtbetrachtung zu beurteilen. Unter bestimmten Bedingungen: wichtiges Outsourcing Die Identifizierung von Vermittlertätigkeiten als (wichtiges) Outsourcing hängt sowohl von den jeweils erteilten Vollmachten als auch von einer Einzelfallbetrachtung bei Teilausgliederungen ab. Seite 20

Intensität des vom Makler zu betreibenden Aufwands je Kategorie (Bsp. Vertragswesen) Kategorie Fremdbezug von Leistungen Intensität Vertragswesen Keine regulatorischen Anforderungen Berücksichtigung der Anforderungen an einen ordentlichen Kaufmann Berücksichtigung der Anforderungen der Einkaufs-Richtlinie Outsourcing Wichtiges Outsourcing Berücksichtigung aller regulatorischen Mindestinhalte: Ggf. datenschutzrechtliche Vereinbarungen (gem. BDSG) Grundsätzlich unterliegt der Makler allen Anforderungen wie das ausgliedernde VU im jeweiligen ausgegliederten Gebiet (klare Nennung der Rechten und Pflichten beider Vertragspartner) Regelungen aus 32 Abs. 1, 2 und 4 VAG zu beachten Vertragliche Sicherstellung, dass Makler das VU im Falle von Sub-Ausgliederungen informiert und ggf. eine Zustimmung einholt Regelungen von Vorgehensweisen im Falle von Schlechtleistungen Reg. Mindestinhalte inkl. Inhalte bei wichtigen Ausgliederungen: Zusätzliche Regelungen des 32 Abs. 3 VAG sind zu beachten Klare Anforderungen an das Vertragswerk bei wichtigen Ausgliederungen, insb. auch inwiefern der Makler die Anforderungen an Outsourcing erfüllt INTENSITÄT / AUFWAND Seite 21

Intensität des vom Makler zu betreibenden Aufwands je Kategorie (Bsp. Controlling) Kategorie Fremdbezug von Leistungen Intensität Outsourcing-Controlling Allg. Anforderungen an Ordnungsmäßigkeit: Einhaltung gesetzlicher wie regulatorischer Bestimmungen sowie VU-interner Vorgaben Überwachung der Makler-Qualität Outsourcing Wichtiges Outsourcing Outsourcing-Controlling Angemessener und wirksamer Einbezug in das Risikomanagement und das IKS Steuerung und Überwachung der Prozesse im operativen Geschäft sowie Aufnahme und Nachverfolgung von Schlechtleistungen Turnusmäßige Prüfung und Leistungskontrolle durch das VU Ausgeweitetes Outsourcing-Controlling Kurzfristiger Turnus hinsichtlich regelmäßiger Leistungsüberprüfungen Prüfung des RMS und IKS des DL Prüfung von Revisionsberichten INTENSITÄT / AUFWAND Seite 22

Kontrollhandlungen durch die Aufsicht und das Versicherungsunternehmen Das Versicherungsunternehmen ist für die Anforderung von Nachweisen / für die Durchführung von Kontrollhandlungen zuständig ( Hol-Schuld ) Prüfung der Erfüllung der SLA-Inhalte Prüfung des IKS durch die Interne Revision des Versicherers Nachweise über die finanzielle und technische Ausstattung des Vertriebspartners Nachweis über funktionierendes Risikomanagementsystem Nachweis über das Berichtswesen und Controlling Auskunftsrecht der Aufsichts- Behörden bei Maklern gem. VAG 305 Abs. 1 Nr. 1 i.v.m. Abs. 2 Nr. 1 VAG Befragung, Auskunftspflicht Die Aufsichtsbehörde ist befugt Auskünfte über alle Geschäftsangelegenheiten, die Vorlage oder Übersendung aller Geschäftsunterlagen inkl. der allgemeinen Versicherungsbedingungen, der Tarife, der Formblätter und sonstigen Druckstücke, Unternehmensverträge sowie Verträge über Ausgliederungen zu verlangen. Seite 23

Fazit: Bedeutung von Solvency II für Makler 1 2 3 4 5 Die Gesamtverantwortung für den ausgegliederten Vertrieb verbleibt zu jeder Zeit bei dem Versicherungsunternehmen Die Entscheidung über die Wichtigkeit von Makler-Tätigkeiten liegt bei dem Versicherungsunternehmen Kategorisierung des Outsourcing entscheidet maßgeblich über den vom Makler zu betreibenden Aufwand Hohe Anforderungen infolge Nachweispflichten und Kontrollhandlungen des Versicherers Vor Ort -Prüfungen der BaFin möglich Seite 24

Vielen Dank für Ihre Aufmerksamkeit! Seite 25

EY-Ansprechpartner Dr. Bernd Fröhler Executive Director, Advisory Ernst & Young GmbH Wirtschaftsprüfungsgesellschaft Arnulfstraße 59 80636 München Telefon: +49 89 14331 15811 Mobil: +49 160 939 15811 Mail: Bernd.M.Froehler@de.ey.com Seite 26

EY Assurance Tax Transactions Advisory Die globale EY-Organisation im Überblick Die globale EY-Organisation ist einer der Marktführer in der Wirtschaftsprüfung, Steuerberatung, Transaktionsberatung und Managementberatung. Mit unserer Erfahrung, unserem Wissen und unseren Leistungen stärken wir weltweit das Vertrauen in die Wirtschaft und die Finanzmärkte. Dafür sind wir bestens gerüstet: mit hervorragend ausgebildeten Mitarbeitern, starken Teams, exzellenten Leistungen und einem sprichwörtlichen Kundenservice. Unser Ziel ist es, Dinge voranzubringen und entscheidend besser zu machen für unsere Mitarbeiter, unsere Mandanten und die Gesellschaft, in der wir leben. Dafür steht unser weltweiter Anspruch Building a better working world. Die globale EY-Organisation besteht aus den Mitgliedsunternehmen von Ernst & Young Global Limited (EYG). Jedes EYG-Mitgliedsunternehmen ist rechtlich selbstständig und unabhängig und haftet nicht für das Handeln und Unterlassen der jeweils anderen Mitgliedsunternehmen. Ernst & Young Global Limited ist eine Gesellschaft mit beschränkter Haftung nach englischem Recht und erbringt keine Leistungen für Mandanten. Weitere Informationen finden Sie unter www.ey.com. In Deutschland ist EY an 22 Standorten präsent. EY und wir beziehen sich auf alle deutschen Mitgliedsunternehmen von Ernst & Young Global Limited. 2016 Ernst & Young GmbH Wirtschaftsprüfungsgesellschaft All Rights Reserved. www.de.ey.com Seite 27