Sist revidert 20.10.2014 Konsernpolicy for risikostyring og internkontroll 1. Formål Denne konsernpolicyen setter krav til risikostyring og internkontroll i Gjensidige. Den definerer grunnleggende prinsipper, prosesser, roller og ansvar. Risikostyring skal bidra til å sikre virksomhetens måloppnåelse gjennom: å identifisere, måle, overvåke og rapportere alle vesentlige risikoer virksomheten er eller kan bli eksponert for å etablere hensiktsmessige risikostrategier for å styre risikotakingen å etablere beredskapsplaner for å håndtere konsekvensene av gjenværende risikoer Internkontroll er et element i virksomhetens risikostyring, og skal bidra til å sikre virksomheten måloppnåelse med fokus på drift og etterlevelse av internt og eksternt regelverk. Risikostyring og internkontroll skal til sammen bidra til å sikre: Målrettet og effektiv drift og en risikoprofil i samsvar med risikoappetitten Pålitelighet og tilgjengeligstyringsinformasjon og ekstern rapportering Etterlevelse av internt og eksternt regelverk Reduksjon av tap og beskytte aktiva (informasjon, systemer, eiendeler og personell) For å sikre forsvarlig og tilstrekkelig risikostyring og internkontroll setter denne konsernpolicyen krav til organisering, funksjoner, styrende dokumenter, rammeverk for risikoappetitt, risikovurderingsprosesser og rapportering av risiko. 2. Virkeområde/målgruppe Konsernpolicyen gjelder for Gjensidige Forsikring ASA (heretter Gjensidige) og alle datterselskaper. Administrasjonen skal påse at datterselskap vedtar denne konsernpolicyen inklusive påkrevde lokale tilpasninger. Alle selskap i Gjensidige er pålagt å sikre drift innenfor respektive lovkrav knyttet til risikostyring og internkontroll. Dersom de lokale reguleringer er lempeligere enn denne konsernpolicy, skal denne konsernpolicyen legges til grunn. Administrasjonen skal påse at det foreligger styrende dokumenter som understøtter og utfyller de krav som stilles her. 3. Risikorammeverket Risikorammeverket er en del av system for risikostyring og internkontroll og inneholder følgende: Risikounivers: Oversikt over hvilke risikotyper Gjensidige er eksponert for i virksomhetens interne og eksterne omgivelser. Risikokapasitet: Virksomhetens evne til å bære risiko målt i dimensjonene finansiell styrke
(solvens, likviditet og resultatvolatilitet), ledelses- og risikostyringskapasitet og operasjonell fleksibilitet. Risikoappetitt: Definerer på et overordnet nivå virksomhetens villighet til å eksponere sin risikokapasitet. Dette innebærer også å avgjøre hvor en ønsker å bruke risikokapasiteten. Risikorammer: Nedbryting av risikoappetitt slik at det blir operasjonaliserbart for divisjoner/segmenter/døtre og lavere nivåer i virksomheten; angir konkrete risikorammer for eksponering mot de ulike elementene som inngår i risikounivers og risikoprofil. Risikoprofil: Vurdering av virksomhetens faktiske eksponering mot de ulike risikotypene i risikouniverset. 4. Ansvarsfordeling Gjensidiges system for risikostyring og internkontroll er organisert etter en modell med 3 forsvarslinjer i samsvar med nedenstående figur. Det primære ansvaret for risikostyring og internkontroll ligger i førstelinjen, gjennom alle ansattes ansvar for å utføre sitt arbeid i tråd med de fullmakter, instrukser og retningslinjer som gjelder for den enkelte. I Gjensidige har alle ledere et særskilt ansvar i forhold til etablering og gjennomføring risikostyring og internkontroll innenfor sitt ansvarsområde. Compliance, risikostyringsfunksjonen og aktuarfunksjonen er definert som andrelinje funksjoner, med ansvar for å overvåke, vurdere, gi råd om, aggregere og rapportere om risikosituasjonen, men uten egne fullmakter til å endre Gjensidiges forretningsmessige risiko. Andre- og tredjelinjefunksjonene i Gjensidige skal være sentraliserte funksjoner med ansvar for hele virksomheten. Tredjelinje består av Gjensidiges internrevisjonsfunksjon, som på vegne av styret og konsernledelsen reviderer om virksomheten har hensiktsmessige og tilstrekkelige prosesser for risikostyring, internkontroll og eierstyring og selskapsledelse.
Styrets ansvar Styret har det overordnede ansvar for at Gjensidige har etablert hensiktsmessige og effektive prosesser for risikostyring og internkontroll, herunder påse: at det er etablert en klar ansvarsfordeling mellom styret og daglig ledelse, fastsatt i godkjente instrukser for styret og konsernsjef at fordeling av roller og ansvar mellom kontrollfunksjonene i andre linje og mellom kontrollfunksjonene i andre og tredje linje er tydelig fastsatt i instrukser at Gjensidige har en klart definert risikoappetitt, herunder krav til kapitalisering definert i kapitalstyringspolicy, som er konsistent med strategi og finansielle mål og som følges opp jevnlig at alle vesentlige risikoer er tilfredsstillende håndtert, med tilstrekkelig hensyn til uavhengig overvåking og i samsvar med overordnet risikoappetitt å vedta policyer på vesentlige risikoområder og å innhente informasjon om at de etterleves Styret skal minimum en gang per år påse at vesentlige risikoer blir identifisert, vurdert og håndtert løpende på en systematisk måte, og at risikoen er eller blir akseptabel og innenfor fastsatte rammer. Konsernsjefens ansvar Konsernsjef sitt primære ansvar er å implementere de føringer styret gir i forhold til risikostyring og internkontroll. Konsernsjef skal sørge for at risikostyring og internkontroll gjennomføres, dokumenteres, overvåkes og blir fulgt opp på en forsvarlig måte i tråd med denne policy. Konsernsjef skal fastsette nødvendige styrende dokumenter for hvordan Gjensidiges risikostyring og internkontroll skal gjennomføres i praksis. Konsernsjef skal løpende vurdere og følge opp endringer i Gjensidiges risikoeksponering og påse at denne er innenfor styrefastsatt risikoappetitt. Ved vesentlige endringer eller brudd skal styret informeres. Konsernsjef skal sørge for at styret får relevant og tidsriktig informasjon om gjennomføringen av Gjensidiges risikostyring og internkontroll, herunder, minimum én gang per år: gi styret en samlet vurdering av Gjensidiges risikosituasjon, samt om det er behov for nye tiltak gi styret en vurdering av om risikostyring og internkontroll har vært gjennomført på en tilfredsstillende måte Compliance-funksjonen Compliance-funksjonen er en uavhengig funksjon, ledet av Chief Compliance Officer, som på vegne av konsernsjefen skal bidra til at Gjensidige ikke pådrar seg offentlige sanksjoner, økonomisk tap eller tap av omdømme som følge av at lover, regler og standarder ikke etterleves. Funksjonen skal identifisere, vurdere, gi råd om, overvåke og rapportere om compliance risikoen i Gjensidiges ulike virksomhetsområder, og skal rapportere eventuelle brudd på lover, regler og standarder til konsernsjefen. Gjensidiges varslingsrutine for misligheter og uregelmessigheter, og funksjonen for forebygging, avdekning og utredning av misligheter og uregelmessigheter, tilligger Compliance Konsern. Compliance skal ha tilgang til all nødvendig informasjon av betydning for utøvelse av compliance funksjonen, herunder saksdokumenter fra konsernledermøter og styremøter.
Risikostyringsfunksjonen Gjensidiges risikostyringsfunksjon er ansvarlig for å overvåke Gjensidiges system for risikostyring og internkontroll, og skal ha oversikt over de risikoer Gjensidige er eller kan bli eksponert for. Dette inkluderer å rapportere om utvikling av risiko på viktigste risikofaktorer og at Gjensidige er innenfor styrevedtatt risikoappetitt. Risikostyringsfunksjonen har hovedansvaret for å kontinuerlig videreutvikle system for risikostyring og internkontroll, og sikre at dette er i samsvar med eksterne og interne krav. Funksjonen skal videre se til at Gjensidiges overordnede prinsipper og retningslinjer for risikostyring, som beskrevet i denne policyen, etterleves. Risikostyringsfunksjonen skal minst en gang i året igangsette og organisere en systematisk og helhetlig prosess for vurdering av risiko og kontroll (risikovurderingsprosessen). Ansvar for prosessen for egenevaluering av risiko- og kapitalsituasjon (ORSA) og internmodell ihht Solvens II regelverket tilligger også risikostyringsfunksjonen. Risikostyringsfunksjonen ledes av Chief Risk Officer (CRO), som for rapportering av risiko har en uavhengig rapporteringslinje til konsernsjef. Aktuar Sjefsaktuar er ansvarshavende aktuar for Gjensidige Forsikring ASA, og skal ivareta de plikter som følger av forskrift om aktuar samt tilpasninger innenfor sitt område til kravene i Solvens II. Gjensidiges sjefaktuar har det samlede ansvar for å beregne og vurdere Gjensidiges forsikringstekniske avsetninger, herunder å utvikle og vedlikeholde modeller og metoder for dette samt belyse usikkerheten i avsetningene. Aktuarfunksjonen skal sørge for nødvendige tilpasninger til nye lover og forskrifter og yte faglig støtte og opplæring innen sitt område. Sjefsaktuar avgir rapport til styret om konsernets forsikringstekniske avsetninger en gang i kvartalet. Internrevisjon Konsernrevisjon er en uavhengig, objektiv bekreftelses- og rådgivningsfunksjon. Mandatet er fastsatt av styret. Konsernrevisjonens arbeid skal være basert på en risiko- og vesentlighetsvurdering og utføres innenfor rammene av styrevedtatt ressurs- og årsplan. Konsernrevisjon skal bidra til at virksomheten oppnår sine målsettinger ved å benytte en systematisk og strukturert metode for å evaluere status og anbefale tiltak som skal forbedre effektiviteten og hensiktsmessigheten av etablerte prosesser for risikostyring, internkontroll, eierstyring og selskapsledelse (governance). Konsernrevisjonen skal rapportere resultatet av gjennomførte revisjoner, status på revisjonsplan og anbefalinger til styret og ledelsen minimum en gang pr år. Konsernrevisjonen ledes av revisjonsdirektør og arbeidet skal gjennomføres i henhold til lover og regler for internrevisjon i finansforetak, herunder etterleve Etiske regler og standarder for profesjonell utøvelse av internrevisjon» utgitt av IIA. 5. Krav og metoder Krav til system for risikostyring og internkontroll Systemet for risikostyring og internkontroll i Gjensidige skal ta utgangspunkt i denne policyen og etablert risikorammeverk. Risikorammeverket skal være gjenstand for oppdatering og vurdering minst én gang årlig.
Krav til risikostrategier Risikostrategiene skal sikre at virksomheten identifiserer, styrer og følger opp risikoene i tråd med godkjente risikorammer, slik at samlet risikoeksponering (risikoprofilen) er i samsvar med Gjensidiges overordnede risikoappetitt. Gjensidige skal ha etablerte risikostrategier på alle vesentlige områder. Risikostrategier skal fastsette hvordan virksomheten innenfor hvert enkelt risikoområde identifiserer, vurderer, måler, kontrollerer, rapporterer og styrer risikoer. Det skal settes krav til klare roller og ansvar innenfor og mellom Gjensidiges tre forsvarslinjer, og at det eksisterer nødvendige verktøy og standarder for effektiv risikostyring. Krav til styrende dokumenter Styrende dokumenter er en viktig del av konsernets utøvelse av risikostyring og internkontroll. Styret vedtar konsernets overordnede strategi, risikoappetitt, konsernpolicyer og øvrige styrende dokumenter på vesentlige risiko- og virksomhetsområder. Konsernsjef er ansvarlig for implementering av alle styrevedtatte konsernpolicyer. Ved behov kan konsernsjef vedta ytterligere konsernpolicyer innenfor den fullmakt styret har delegert. Konsernsjef kan vedta retningslinjer og instrukser med hjemmel i konsernpolicyer, eller delegere dette til konserndirektører. Håndtering av styrende dokumenter skal fastsettes av konsernsjef i egen retningslinje som skal bidra til å sikre effektiv utforming, vedlikehold, tilgjengeliggjøring og gjenfinnbarhet av Gjensidiges styrende dokumenter. 6. Styring av de vesentligste risikoer I dette kapittelet beskrives styringen av Gjensidiges vesentligste risikoer. Inndelingen samsvarer med konsernets risikounivers (se vedlegg). På hvert av områdene er det utarbeidet egne styrende dokumenter som angir rammer for risikostyring og som skal sikre at konsernets risikoprofil ligger innenfor styrets vedtatte risikoappetitt. Forretningsmessig og strategisk risiko Risikoen for tap som følge av manglende evne til å etablere og implementere forretningsplaner og strategier, fatte beslutninger, allokere ressurser eller respondere på endringer i omgivelsene. Det viktigste verktøyet for å kontrollere forretningsmessig og strategisk risiko er en robust strategiprosess og påfølgende mål- og resultatstyring. Den årlige risikovurderingsprosessen skal ta utgangspunkt i Gjensidiges og områdenes mål og planer. Gjensidige skal årlig gjennomføre en strategiprosess, enten gjennom en fullstendig gjennomgang av strategien eller en oppdatering av eksisterende strategi. Strategien skal styrebehandles. Gjensidiges strategi, forretningsplaner i de enkelte forretningsområder, risikoappetitten og de vurderinger som gjøres av risiko- og kapitalsituasjonen i ORSA-prosessen skal være konsistente. Konsernsjef skal vedta styrende dokumenter for gjennomføringen av M&A aktiviteter. Forsikringsrisiko Gjensidige er eksponert for forsikringsrisiko både innen skade- og livsforsikring. I Gjensidiges risikounivers består forsikringsrisiko av følgende risikotyper: premie- og reserverisiko, avgangsrisiko, katastroferisiko og risiko for manglende reassuranse dekning. Under følger en beskrivelse av styringen av forsikringsrisiko.
Underwriting og tariffering Konsernpolicyen for Underwriting i Gjensidige skal godkjennes av styret årlig. Konsernpolicyen skal definere overordnede krav til Gjensidiges underwritingprosess, herunder hvilke type risikoer som skal unngås, dokumentasjonskrav, delegering av fullmakter og avvikshåndtering. Dokumentet skal referere til underliggende tegningspolitikker og guidelines for ulike produkter og ordninger. Konsernsjef vedtar fullmaktstruktur for alle divisjoner og områder. Forsikringstariffene skal sikre at konsernets lønnsomhetskrav tilfredsstilles. Nye produkter og vesentlige endringer i eksisterende produkter Nye produkter skal følge en konsistent godkjennelsesprosess som inkluderer en risikovurdering av produktet, basert på Gjensidiges policy for risikovurdering av nye forsikringsprodukter, samt risikovurderingsverktøy. Forsikringstekniske avsetninger Risikoen omfatter usikkerheten knyttet til størrelsen på de forsikringstekniske avsetninger; det vil si premieavsetning, erstatningsavsetning og øvrige avsetninger. For erstatningsavsetningene omfatter dette både inntrufne, men ikke rapporterte skader (IBNR-skader) og rapporterte, men ikke endelig oppgjorte skader (RBNS-skader). CFO skal vedta Gjensidiges konsernpolicy for forsikringstekniske avsetninger (Group Policy for Technical Provisions). Konsernpolicyen skal angi metoder og prinsipper for hvordan premie- og erstatningsavsetninger, tapsavsetninger for kredittrisiko på reassuranse samt andre forsikringstekniske avsetninger skal beregnes, konsolideres og rapporteres. Reassuranse Det skal finnes en reassuranse strategi som er godkjent av CFO. Rammen for maksimal egenregningseffekt defineres i kapitalstyringspolicy som vedtas av styret. Risikoer relatert til kapitalforvaltnings- og investeringsområdet (finansiell risiko) Finansiell risiko omfatter balansens eksponering mot finansielle risikofaktorer som renter, inflasjon, valutakurser, kredittspreader, eiendoms- og aksjekurser. Dette inkluderer også samspillet mellom faktorene asset-liability management og korrelasjonsrisiko. Videre omfattes motpartsrisiko, konsentrasjonsrisiko og likviditetsrisiko. Under følger en beskrivelse av de viktigste risikoområdene og styringen av finansiell risiko. Kapitalforvaltning Konsernpolicy for investeringsvirksomheten i Gjensidige skal godkjennes av styret årlig. Den setter krav til øvrige styrende dokumenter innen kapitalforvaltningsområdet. Hvert enkelt selskap skal vedta sine styrende dokumenter innenfor rammen av konsernets. Det skal eksistere en sammenhengende fullmaktsstruktur for investeringer (Finansfullmakter) fra styret til CIO. Investeringer Investeringsstrategien skal godkjennes minst årlig av styret. Investeringsstrategien skal sette overordnede mål og rammer for investeringsvirksomheten og definere Gjensidiges risikoappetitt for kapital allokert til investeringsvirksomheten og svingninger i inntjening.
Asset-liability management (ALM) Årlig godkjent Investeringsstrategi skal sette rammer for avvik mellom aktiva og passiva. Kredittrisiko Gjensidige pådrar seg kredittrisiko hovedsakelig gjennom investeringsvirksomheten, reassuranse av forsikringsforpliktelser og utlån til kunder i bankvirksomheten. Rammer for svingninger i markedsverdi av investeringsaktiva på grunn av endringer i kredittspreader skal settes i investeringsstrategien. Kredittgrenser for spesifikke motparter skal settes med basis i instruks vedtatt av konsernsjef. Rammer for kredittrisiko i bank og krav til kreditthåndteringsprosessen skal årlig vedtas av styret i Gjensidige Bank. Likviditetsrisiko Likviditetsrisiko styres gjennom prognoser og løpende oppfølging samt minstekrav til likviditetsbuffer i investeringsaktiva. Kravene til denne bufferen skal settes i investeringsstrategien og skal dekke opp en uforutsett negativ utvikling. Konsernsjef skal vedta en egen likviditetspolicy. Operasjonell risiko og compliance risiko Operasjonell risiko defineres som en potensiell hendelse eller forhold som kan oppstå i driften og gi en økonomisk konsekvens og/eller tap av omdømme. Operasjonell risiko kan skyldes menneskelige feil, svakheter i systemer, feil i prosesser eller eksterne hendelser. Compliance risiko er en del av operasjonell risiko og defineres som risikoen for at Gjensidige pådrar seg offentlige sanksjoner, økonomisk tap eller tap av omdømme som en følge av manglende etterlevelse av lover, forskrifter og internt fastsatt regelverk. Styret gir føringer for styringen av operasjonell risiko gjennom fastsettelse av denne policyen, samt gjennom rammer for risikoappetitt på området. Konsernsjef har ansvar for at system for risikostyring og internkontroll i tilstrekkelig grad hensyntar operasjonell risiko, og skal også sørge for at nødvendige styrende dokumenter og roller/ansvar for styring av operasjonell risiko er på plass. Lederes ansvar Alle ledere i Gjensidige skal kunne demonstrere at hensiktsmessig kontroll av risiko er etablert og fungerer. Dette innebærer blant annet: å sikre at risikotakingen er innenfor gjeldende policyer og retningslinjer å til enhver tid ha oversikt over vesentlige risikoforhold innen eget ansvarsområde å følge opp implementering og etterlevelse av tilhørende kontrolltiltak å tilpasse overordnede krav til risikostyring og internkontroll til art, omfang og kompleksitet på eget område, herunder ta stilling til behovet for utdypende instrukser eller retningslinjer å sørge for at relevant regelverk til enhver tid etterleves innenfor eget ansvarsområde Lederes ansvar for styring av operasjonell risiko skal være konkretisert i instruks for leders styring av operasjonell risiko vedtatt av konsernsjef. Virksomheten skal ha en lav appetitt for operasjonell risiko, slik at uønskede tap og hendelser unngås. Uønskede hendelser En viktig del av internkontrollen og etterlevelsen er registrering av uønskede hendelser, iverksetting av tiltak, eskalering av vesentlige hendelser og tilstrekkelig oppfølging. Dette ansvaret skal være nærmere definert i instruks for registrering, eskalering og rapportering av operasjonelle risikohendelser vedtatt av konsernsjef.
7. Rapportering Risikorapportering i Gjensidige Risikorapportering i Gjensidige skal integreres i den årlige forretningsplan-, rapporterings- og budsjettprosessen. Kvartalsvis risikorapport Styret skal kvartalsvis motta en rapport om den overordnede risikosituasjonen (inkludert operasjonell- og compliancerisiko) i Gjensidige, sett opp mot definert risikoappetitt. Rapporten skal sikre periodisk overvåkning av Gjensidiges viktigste risikofaktorer identifisert i risikovurderingsprosessen, samt eventuelle andre risikofaktorer som vil kunne ha betydning for Gjensidige. Etterfulgt av risikovurderings- og budsjettprosess inkluderes de prioriterte tiltak tilknyttet de viktigste risikofaktorer i målkortene for alle medlemmer av konsernledelsen, og disse følges også opp kvartalsvis basert på identifiserte risikoindikatorer og er en del av grunnlaget for videre rapportering av risikosituasjonen. Compliance rapport Styret skal årlig motta en gjennomgang av compliance risikoen for konsernet. Kvalitet i ekstern og intern rapportering Det skal foreligge prosesser for å sikre pålitelighet, tilstrekkelighet og relevans av intern styringsinformasjon og ekstern rapportering, som skal tilfredsstille lover og regler, samt markedets krav. Det skal foreligge styrende dokumenter for finansiell og annen investorinformasjon.
Vedlegg: Risikokategori Risikotype Forretnings- og strategisk risiko Forsikringsrisiko Finansiell risiko Operasjonell og compliance risiko Immaterielle eiendeler Konkurranse: Nye konkurrenter/ endring i markedet Konkurranse: Regulatorisk endring Konkurranse: Implementering av strategiske valg M&A: Integrering av og lønnsomhet i nye virksomheter Underwritingrisiko: Premier og reserver (Skade) Underwritingrisiko: Avgangsrisiko (Skade) Underwritingrisiko: Katastroferisiko (Skade) Underwritingrisiko: Premier og reserver (Helse) Underwritingrisiko: Avgangsrisiko (Helse) Underwritingrisiko: Katastroferisiko (Helse) Underwritingrisiko: (Liv GPF) Underwritingrisiko: Avgangsrisiko (Liv GPF) Underwritingrisiko: Katastroferisiko (Liv GPF) Mismatch reassuranse Markedsrisiko: Renterisiko Markedsrisiko: Aksjerisiko Markedsrisiko: Eiendomsrisiko Markedsrisiko: Valutarisiko Markedsrisiko: Spreadrisiko Markedsrisiko: Konsentrasjonsrisiko Markedsrisiko: Korrelasjonsrisiko Motpartsrisiko Likviditetsrisiko Pensjonsforpliktelser egne ansatte Bank finansierings-/likviditetsrisiko Bank kredittrisiko Internt bedrageri Eksternt bedrageri Ansettelsesvilkår og sikkerhet på arbeidsplassen Forretningspraksis Skade på fysiske eiendeler Avbrudd i drift og/eller systemer Prosess og rutinefeil Compliance risiko - Brudd på interne/eksterne regler