Finanssivalvonnalle 9/01.00/2014

Transkriptio

1 Lausunto 1 (6) Finanssivalvonnalle 9/01.00/2014 Finanssivalvonta on pyytänyt Finanssialan Keskusliitolta (FK) lausuntoa luonnoksesta henki- ja vahinkovakuutusyhtiön johtoa ja hallintojärjestelmää koskeviksi määräyksiksi. Lausuntonaan FK esittää seuraavaa. FK:N LAUSUNTO HENKI- JA VAHINKOVAKUUTUSYHTIÖN JOHTOA JA HALLINTOJÄRJESTELMÄÄ KOSKEVIIN MÄÄRÄYKSIIN JA OHJEISIIN 1 Rakenne kannatettava, ylisääntely ei FK pitää erittäin kannatettavana MOK-muotoilua, jossa vahinko- ja henkivakuutusyhtiöille on oma sääntelypakettinsa. Uusi rakenne, joka seuraa vakuutusyhtiölakia on selkeä ja helpottaa määräysten ja ohjeiden lukemista. Ehdotettu uusi rakenne mahdollistaa sen, että kansallinen sääntely on yhteensopiva Solvenssi II-sääntelyn täysharmonisoinnin kanssa. Määräyksistä ja ohjeista on kuitenkin vaikea tulkita, miltä osin ne ovat vain ns. välivaiheen sääntelyä. FK:n näkemyksen mukaan kaikki Solvenssi II-sääntelyn ja sitä täydentävien EUasetusten kanssa ristiriitaiset tai päällekkäiset määräykset tulisi poistaa MOK:sta viimeistään Solvenssi II:n tullessa voimaan FK kiinnittää huomiota siihen, että määräysten ja ohjeiden tulisi olla linjassa EIOPAn ohjeiden kanssa. Ehdotettujen säännösten ei pitäisi mennä pidemmälle tai säännellä tiukemmin kuin EIOPAn ohjeet. Esimerkkinä voidaan todeta operatiivisten riskien raportointivaatimus, joka aiheuttaa järjestelmämuutoksia. Järjestelmiä ei pitäisi joutua muuttamaan välivaiheen sääntelyn takia tavalla, joka ei ole enää voimassa Solvenssi II:n tullessa voimaan. Lisäksi kiinnitetään huomiota siihen, että määräyksessä 12.2 (11) ehdotettu euromääräinen alaraja vahingon ilmoittamisvelvollisuudesta on tarpeettoman alhainen. Järjestelmiin ehdotetut muutokset tuovat merkittäviä muutoksia vakuutusyhtiöiden järjestelmiin. Tästä syystä FK ehdottaa, että niiden soveltamisen aloittamiseen tulisi olla riittävä siirtymäaika. Riittävänä siirtymäaikana pidetään Solvenssi II-raporttien valmistelusta soveltamiseen pidettyä 18 kuukauden siirtymäaikaa. FK ehdottaa, että Tietojärjestelmät ja tietoturvallisuus (6.6.3) osiosta tulisi tehdä oma erillinen ohjeensa. FK ei pidä sitä soveltuvana otsikon Henki- ja vahinkovakuutusyhtiön johtoa ja hallintojärjestelmää koskevat ohjeet ja määräykset alle. Ehdotettu osio ei ole Solvenssi II-sääntelyn eikä vakuutusyhtiölain mukainen. FK:n näkemyksen mukaan mahdollista ohjetta tulisi vielä paremmin sopeuttaa soveltumaan vahinko- ja henkiyhtiöiden toimintaan. FK kannattaa ehdotuksia, jotka selventävät ryhmiä koskevia vaatimuksia välivaiheen aikana. FK toteaa, että ryhmän hallintovaatimuksia koskevat ohjeet (kappale 11) vastaavat EIOPAn välivaiheen ohjeita.

2 Lausunto 2 (6) Teksti on suurilta osin vakuutusyhtiölain sekä EIOPAn ohjeiden toistoa. Lisäksi on huomioitava, jos VYLia muutetaan, joudutaan VYLia toistavatkin osat päivittämään. Sama koskee myös EIOPAn ohjeita. FK ehdottaa, että tekstiä lyhennettäisiin sen sijaan, että siinä toistetaan jo muualle kirjattua sääntelyä. Lisäksi FK kiinnittää huomiota siihen, että EIOPAlta on tulossa vielä paljon lisää ohjeita, joita ei ole tarkoituksenmukaista kirjoittaa MOKiin. FK ehdottaa, että tehtäisiin yleinen linjaus, jonka mukaan EIOPAn ohjeisiin vain viitattaisiin MOK:ssa eikä niitä kirjoitettaisi siihen uudelleen. FK kiinnittää erityisesti huomiota MOKin käyttäjiin, vakuutusyhtiöiden henkilöstöön, joiden työ moninkertaistuu, kun pitäisi lukea Fivan MOKin rinnalla myös hieman mahdollisesti eri tavalla kirjoitetut EIOPAn ohjeet sekä EU-asetukset. FK kannattaa sellaista MOK-muotoa, jossa on ainoastaan aidosti ja oikeasti kansalliset määräykset ja ohjeet. Muuhun sääntelyyn voitaisiin viitata esimerkiksi Fivan nettisivuilla. EU-tason sääntelyllä on tärkeä roolinsa eurooppalaisen finanssimarkkinan vakauttamisessa ja sisämarkkinoiden kehittämisessä. Kuitenkin samalla on olemassa suuri riski ylisääntelylle. Ylisääntelyä voidaan FK:n näkemyksen mukaan hillitä kansallisesti kolmella eri tavalla: 1) EU-säännöksiä ei tulisi tulkita kansallisesti tarkoitettua tiukemmin; 2) Toimialalle ei tulisi asettaa mittavan EU-sääntelyn lisäksi kansallisia lisävaatimuksia laissa tai Finanssivalvonnan sitovissa määräyksissä ja 3) EU-tasolla ei-sitovia Eurooppalaisten finanssivalvojien ohjeita ei tulisi muuttaa kansallisesti sitovaksi sääntelyksi laissa tai Fivan määräyksissä. Pelkästään sen, että Fivalle on annettu tiettyyn asiaan liittyen määräyksenantovaltuudet, ei pitäisi olla syy määräysten antamiselle. Isoon EU-tasoiseen sääntelyyn liittyvä kansallisen sitovan sääntelyn tarve tulisi aina miettiä todellisen tarpeen mukaan. Kansalliset lisävaatimukset heikentävät vakuutusyhtiöiden kilpailumahdollisuuksia sisämarkkinoilla, ne lisäävät hallinnollista taakkaa, rajaavat vakuutusyhtiöiden mahdollisuuksia tarjota palveluita asiakkaille ja nostavat viime kädessä vakuutustuotteiden hintoja. 2 Muutosehdotukset Kohta 4.2 (4) c); SII-sääntely eikä sitä täydentävä alemmanasteinen sääntely velvoita ehdotettuun Fit & Proper lisätarkastukseen. F&P-sääntelyä ei siten tule ulottaa direktiivissä tarkoitettua henkilöryhmää laajemmaksi. FK katsoo, että EIOPAn ohjeen tulisi olla riittävä tapa ohjeistaa vakuutusyhtiöitä tässä asiassa. Kohtaa tulisi täsmentää selittämällä tarkemmin mitä muita sellaisia keskeisiä työntekijöitä kohdalla tarkoitetaan. Kohta 4.2 (8); Millä tavalla on suunniteltu tehtäväksi Rehellisyyden ja taloudellisen aseman arvioiminen? Ohjeeksi on kopioitu suoraan EIOPAn hallintojärjestelmiä koskeva ohje 12. Millä tavalla näiden käsitteiden tulkinta tulisi tapahtua? Kohta 4.3 (14); Käsittääksemme omavaraisuustodistusta ei ole enää olemassa vaan sen tilalla on Oikeusrekisterikeskuksen todistus konkurssi- ja yrityssaneerausrekisteristä? Kohta tulisi muotoilla uudelleen. Kohta 5.10; Otsikolla Jatkuvuus- ja valmiussuunnittelu annetaan varsin yksityiskohtaisia määräyksiä yhtiöille. Määräyksistä vain ensimmäinen kohta vastaa EIOPAn ohjetta. Tässä ohje ehdotetaan kuitenkin muutettavaksi määräykseksi, mitä FK ei pidä perusteluna. FK toteaa, että myöskään EU-asetustasolla ei säädetä asiasta.

3 Lausunto 3 (6) Näin ollen määräys olisi alkaen täysharmonisoinnin vastainen. FK katsoo, että EIOPAn ohje tulisi olla riittävä tapa ohjeistaa vakuutusyhtiöitä tässä asiassa. - Kohta 5.10 (26); Voisiko tässä selkeämmin tuoda esiin, millä perusteilla Fiva myöntää poikkeuksia varautumisvelvollisuuteen ts. missä menee raja yrityksen koossa tai toiminnan laajuudessa? - Kohta 5.10 (27); Viittaus valtioneuvoston päätökseen huoltovarmuudesta tulisi poistaa, koska Valtioneuvoston päätös huoltovarmuuden tavoitteista on kirjoitettu koko yhteiskunnan varautumisen näkökulmasta ja asettaa tavoitteita viranomaisille, ei alan toimijoille. Viranomaisen tehtävänä on asettaa tarkemmat varautumistavoitteet alan toimijoille. Yksittäisen toimijan velvollisuus rajoittuu oman toimintansa jatkuvuudesta ja varautumisesta huolehtimiseen. Viittaus vakuutushuoltopoolin varautumisohjeeseen voitaisiin siirtää alaviitteeseen. - Kohta 5.10 (32); Määräystä tulisi täsmentää varmuuskopioiden ja varakeskuksen sijoittelun osalta: mitä käytännössä tarkoittaa "niin kauas" (paljonko esim. kilometreissä)? Kohta 6.1; Miksei tässä listauksessa määritellä myös operatiivista riskiä? - Kohta 6.1 (3); FK ehdottaa kohdan uudeksi selkeämmäksi muotoiluksi: Vakuutusriski on riski tappiosta tai vakuutusvelkojen arvossa tapahtuvasta epäedullisesta muutoksesta, joka johtuu vakuutusliiketoiminnalle luonteenomaisesta satunnaisheilahtelusta. Kohta 6.4 (17); FK ei katso perustelluksi, että EIOPAn ohje muutetaan kansallisesti sitoviksi määräyksiksi välivaiheen aikana. Kohta 6.6.1; Ehdotus operatiivisista riskeistä on suoraan EIOPAn ohjeista, mutta nyt ehdotetaan niitä sitoviksi määräyksiksi. Tulevassa SII-maailmassakin nämä ovat ohjeita, joten ei tulisi olla määräyksiä välivaiheessakaan. Ylimääräisiä järjestelmämuutoksia tulisi välttää. Kohdat 6.2, , 6.6.1,6.6.2, ; Määräyksiä vastaavat kohdat löytyvät EIOPA:n antamasta välivaiheen ohjeesta. Tässä ohjeet on kuitenkin muutettu sitoviksi määräyksiksi, mitä FK ei pidä välivaiheessa perusteltuna. Kohta (19); Ehdotetussa ohjeessa suositetaan, että aktuaaritoiminto antaa tietoja siitä, täyttääkö yhtiö JATKUVASTI Millä tavalla nämä tiedot tulisi formuloida? Kohta 8.2 (4); Määräyksen sisältö on otettu suoraan EIOPAn välivaiheen ohjeesta 33. FK ei pidä tarkoituksenmukaisena muuttaa välivaiheen ohjetta sitovaksi määräykseksi kansallisella tasolla. Kohta 8.3 (11); Ehdotettu velvoite laatia ja ottaa käyttöön tarkastussuunnitelma, jossa vahvistetaan tulevien vuosien tarkastustyö voi aiheuttaa hankaluuksia. Sisäisen tarkastuksen kansainväliset ammattistandardit eivät edellytä pitkän aikavälin suunnitelmia eikä se muuttuvassa toimintaympäristössä ole kovin tarkoituksenmukaistakaan. Tärkeämpää on keskittyä riskikarttaan ja sen muutoksiin. Ehdotus ei ole myöskään Solvenssi II-direktiivin mukainen. Kohta 9; FK ehdottaa lisättäväksi viittauksen henkilötietolakiin ja henkilötietojen käsittelyyn ulkoistamistapauksissa. Myös työelämän tietosuojasäännöksistä aiheutuu tiettyjä rajoitteita. Ei pitäisi määrätä ulkoistamisyrityksen henkilökunnan tietojen käsittelyä laajemmin kuin vakuutusyhtiön oman henkilökunnan tiedot (kohta (11)). - Kohta 9.1; EIOPAn ohjeen 44 mukaan yhtiön tulisi itse määritellä ja dokumentoida, onko ulkoistettu toiminto kriittinen tai tärkeä. Näin ollen Fivan ohjeessa ei tulisi antaa valmista listausta keskeisistä ja ei-keskeisistä ulkoistetuista toiminnoista. Lisäksi

4 Lausunto 4 (6) kohdan terminologia tulisi tarkistaa. - Kohta 9.3: MOK-luonnoksessa ehdotetaan määräyksenantamista ulkoistamisilmoituksesta Fivalle. EIOPAn ohjeet eivät sisällä tällaista sääntelykokonaisuutta. Näin ollen ehdotettu määräys menisi selvästi yli välivaiheen ohjeistuksen asettaman vaatimustason. Myöhemmin samasta asiakokonaisuudesta annetaan suoraan sovellettava EU-asetus, joten määräys olisi lisäksi poistettava viimeistään alkaen päällekkäisen sääntelyn välttämiseksi. Kohta 12; Fiva ehdottaa sitovien määräysten antamista ilmoituksista, jotka koskevat operatiivisen riskin häiriöitä ja virheitä. FK toteaa, että EIOPAn ohjeet eivät sisällä vastaavia vaatimuksia eikä asiasta säädetä myöskään EU-asetustasolla. FK ei pidä ehdotettua määräystä perusteltuna ja se on alkaen Solvenssi II-direktiivin täysharmonisointitavoitteen vastainen. - Kohta 12.1 (2); Ehdotetussa määräyksessä todetaan, että valvottavan tulee ilmoittaa Fivalle asiakkaille tarjotuissa palveluissa sekä maksu- ja tietojärjestelmissä esiintyneistä merkittävistä häiriöistä Merkittävänä häiriönä tulee pitää pitkäaikaista palvelukatkoa tai useisiin asiakkaisiin vaikuttava häiriö Useisiin asiakkaisiin vaikuttava häiriö voi kuitenkin olla vähäpätöinen, eikä täytä määritelmää merkittävä häiriö. FK ehdottaa uudeksi muotoiluksi pitkäaikaista palvelukatkoa tai useisiin asiakkaisiin vaikuttavaa merkittävää häiriötä. - Kohta 12.1 (6); Päteekö näihinkin kohtiin merkittävä häiriö ja miten sitä tulkitaan? Pitääkö ilmoittaa vain vakuutusyhtiöstä tai sen suoranaisesta toimittajasta aiheutuva häiriö? Entä internet yhteyden toimittajan häiriö, joka on virhe esimerkiksi Soneran palvelussa? Mikä on käyttökatkon pituus, josta pitää ilmoittaa? Minuutti, puoli tuntia? Entä jos häiriö vaikuttaa vain vakuutusten hoidon nettipalveluun, mutta esim. puhelinpalvelu toimii koko ajan onko kyseessä merkittävä häiriö? - Kohta 12.2; Ehdotettu määräys vuosi-ilmoituksesta operatiivisen riskin aiheuttamista tappioista ylittää SII-vaatimukset, ja tulisi siitä syystä poistaa. - Kohta 12.2 (11); Kohdassa ehdotettu alaraja ilmoituksen tekemistä vaativalle vahingon suuruudelle on todella alhainen raja. FK ehdottaa, että alaraja olisi esim Kommentteja Tietojärjestelmät ja tietoturvallisuus- osioon FK pitää erittäin tärkeänä, että Fiva ottaa huomioon siirtymäsäännökset järjestelmämuutosten tekemiseen. Sopiva aika olisi 18kk, joka on vakiintunut aika Solvenssi II:ssa. Esim. solvenssi II-raportointitaulukot tulee olla lopullisessa muodossaan valmiina 18 kk ennen kuin niitä aletaan soveltaa. Kohta ; Otsikolla Tietoturvallisuus annetaan varsin yksityiskohtaisia määräyksiä yhtiöille. Määräyksistä mikään kohta ei vastaa EIOPAn ohjeita eikä tulevia EU-asetustason vaatimuksia. FK ei pidä ehdotettuja määräyksiä perusteluina. Kohta (37); Tästä kohdasta tulisi poistaa kaikki viittaukset VAHTI-ohjeisiin. Mainitut ohjeet on laadittu ja tarkoitettu valtionhallinnon käyttöön eivätkä ole yleisesti käytössä finanssialalla. Toimijoilla tulee olla vapaus valita, mitä tarjolla olevista useista suosituksista, ohjeista tai standardeista he haluavat hyödyntää, kunhan lopputulos vastaa viranomaisten lakiin perustuvia vaatimuksia. Myös määritelmien osalta viittaus tulee poistaa, eri standardeissa ym. mainitut termit määritellään eri tavoin. Jos

5 Lausunto 5 (6) määrittely kuitenkin nähdään välttämättömäksi, se on tehtävä MOK:ssa itsessään ja samalla todettava, että kyse on vaatimusten esimerkinomaisesta kuvauksesta (useat yleisesti käytettävät kv. standardit jakavat tietoturvallisuuden kolmeen osa-alueeseen, jotka ovat eheys, käytettävyys ja luottamuksellisuus, ja sisällyttävät tapahtumien kiistämättömyyden ja jäljitettävyyden osaksi eheysvaatimusta). Kohta (43); Määräyksen mukainen tietojärjestelmien tapahtumien aukoton jäljittäminen on varsin iso vaatimus esimerkiksi katselut; miten täsmällisesti pitää jäljittää, mitä katseltiin. Tätä toteutettaessa on otettava perusteellisesti huomioon henkilötietojen käsittelyyn liittyvät seikat ja yksityisyyden vaatimukset Kohta (55); Ohje järjestelmille tehdään tarvittaessa kuormitus- ja kapasiteettitestaukset tulisi ennemmin siirtää kohtaan Tietojärjestelmät. Vaikkakin kysymyksessä on saatavuuteen (tietoturva) liittyvä käytäntö on tämä loppuviimein tietojärjestelmien haaste. Reaalimaailmassa tämä ei ole tietoturvaihmisten vastuulla vaan kuuluu olennaisena osana tietojärjestelmien testaamiseen. Ehdotetussa listauksessa mennään niin detaljitasolle, että luettelo vanhenee menettelyiden ja tekniikoiden muuttuessa. Kohdan 55 viimeisessä bullet pointissa Järjestelmät keräävät lokia palvelun käytöstä Ohje mahdollistaa vaatimuksen kerätä tietoa kaikesta käytöstä, mikä tuo valtavia kustannuksia. FK ei pidä tätä tarkoituksenmukaisena. Sivun 28 ylälaidassa puhutaan asiakkaasta, jolle annetaan riittävästi tietoa. Mitä tällä tarkoitetaan? Onko kyse vakuutusyhtiön asiakkaasta? Samassa kohdassa puhutaan käyttäjästä. Olisi täsmennettävä kenen nimissä toimivasta käyttäjästä tässä on kyse. 4 Täsmennyksiä kaipaavia kohtia Kohta 4.2 (5); Tämä ohje on suoraan EIOPAn hallintojärjestelmän ohje 11, kohta 1.31, mutta lauseen kohta "henkilöt... ottavat huomioon yksittäisille henkilöille osoitetut tehtävät..." on sisällöltään hieman epäselvä. Ohje olisi hyvä muotoilla uudelleen. Kohta 5.4 (11); Tämä ohje vastaa EIOPAn hallintojärjestelmän ohjeen 5 kohtaa Lausunnolla olevasta ohjeluonnoksesta jää epäselväksi, onko ohjeessa tarkoitus sanoa, että ryhmätaso viittaa kaikkiin laissa tarkoitettuihin toimintoihin? FK kannattaa sitä, että ohjeessa otetaan kantaa ryhmätason hallintojärjestelmää koskeviin vaatimuksiin kuten myös EIOPAn ohjeessa tehdään. Riittäisikö ohjeessa olevan sanan ryhmätason muuttaminen sanaksi ryhmätasolla? Kohta 6.1 (8); FK ehdottaa, että alkuun lisättäisiin täsmennys Vakuutusriskien riskienvähentämistekniikoilla, sillä riskienvähentämistekniikat ovat myös muita kuin toiselle osapuolelle siirrettäviä riskejä. Kohta (11); EIOPAn välivaiheen ohjeistuksessa ORSAsta ohjeessa 11 sanotaan: communicates to all relevant staff at least the results and conclusions ei siis koko henkilöstölle vaan relevanteille henkilöille. Ohje tulisi muotoilla uudelleen vastaamaan EIOPAn ohjetta Kohta 7.4; Ehdotetut ohjeet riski- ja vakavaraisuusarvion suorittamisesta ovat suoraan EIOPAn välivaiheen ohjeita onko tarpeen kirjoittaa uudelleen tähän? Kohta 8.3 (10) ( c); Ehdotettua ohjetta tulisi korjata vastaamaan EIOPAn ohjeen 1.71 c- kohtaa, eli alkuun lisättäisiin mikäli mahdollista kuten b-kohdassakin on. Kohta 10.3 (5); Ohje Finanssivalvonta suosittaa, että vakuutusyhtiölain mukaisen

6 Lausunto 6 (6) vastuuvelan laskennan lisäksi yhtiö aloittaa Solvenssi II vastuuvelan laskemisen mahdollisimman aikaisessa vaiheessa. FK esittää terminologian korjausta siten, että kohdassa viitattaisiin kirjanpidon vastuuvelkaan, josta säädetään vakuutusyhtiölain 9 luvussa. Vakavaraisuuslaskennan vastuuvelasta taas säädetään VYL 10 luvussa. Kohta 10.5 (11); Ehdotetun ohjeen mukaan määrittelyn tulisi perustua toiminnon asiantuntijan tekemään tekniseen analyysiin. EIOPAn hallintojärjestelmiä koskevassa ohjeessa nro 42 todetaan, että määrittely perustuu tekniseen analyysiin, ja siinä pitäisi näkyä toiminnon kokemus ja asiantuntemus. Ehdotusta tulisi täsmentää EIOPAn ohjeen mukaiseksi. Ohjeen ei pidä velvoittaa juuri aktuaaritoiminnon asiantuntijaa tekemään teknistä analyysiä. Kohta 11; Ehdotetut ryhmän hallintovaatimukset ovat suoraan EIOPAn välivaiheen ohjeita onko tarpeen kirjoittaa uudelleen tähän? Kohta 12.1; Riskillä tarkoitetaan epävarmuutta, mahdollista (haitallista) tapahtuma, tms tässä kappaleessa puhutaan jo sattuneista, toteutuneista häiriöistä ja virheistä. 5 Kirjoitus- ja muita virheitä Kohta 2.4; pitäisi olla syyskuussa 2013 antamat Kohta 4.3 (14); sana lisättävä: maistraatin antama ote holhousasioiden rekisteristä, josta käy ilmi, onko henkilölle määrätty edunvalvoja tai onko hänen oikeustoimikelpoisuuttaan rajoitettu. Kohta 5.10; otsikon Määräys jälkeen tulisi olla kohdat (ei kohdat 30-38) Kohta 6.1 (7); Kirjoitusvirhe liittyvien pitäisi olla liittyvät. Kohta (20); Kirjoitusvirhe koskevien pitäisi olla koskevissa Kohta (20)(c); Risk tolerance limits pitäisi katsoa että kaikki nämä risk tolerance ja risk appetite-kohdat ovat yhtenäisesti käännettyjä (kts esim kohta 6.2(10)). Riskinkanto ei vastaa risk tolerance:a. Kohta ; Ohjeet ovat kohdat (ei kohdat 31-33) Kohta (60) kohdat a) ja b) sekä (63) (d); availability käännetty kolmella tavalla; saatavuustaso, käytettävyystaso ja käytettävyys. Käännöksen tulisi olla yhtenäinen. Kohta 11.1 (1); Sanan hallintoa tilalla pitäisi olla hallintojärjestelmää. Kohta 12,2 (8); Väärä viittaus, pitäisi olla Lea Mäntyniemi Finanssialan Keskusliitto