Nå er det bare 9 måneder til Solvency II trer i kraft er du tilstrekkelig forberedt? kpmg.no

Nå er det bare 9 måneder til Solvency II trer i kraft er du tilstrekkelig forberedt? kpmg.no

Innhold Ni måneder er ikke alltid like lenge... Solvency II i norsk regelverk 4 Solvency II forretningsmessige konsekvenser 5 Pilar 1 8 Pilar 2 10 ORSA 12 Investeringsområdet: «Prudent Person»-prinsippet 14 Pilar 3 16 Hva kan KPMG bidra med? 17 Det er i skrivende stund om lag ni måneder igjen til Solvency II trer i kraft. I noen sammenhenger kan ni måneder føles som en meget lang ventetid. I andre sammenhenger kan de samme ni månedene oppleves å gå ubehagelig fort. Om du og ditt selskap føler at ni måneder er kort eller lang tid, er sannsynligvis i meget høy grad avhengig av hvor langt dere pr dato reelt sett har kommet i forberedelsene. Solvency II skal bidra til å sikre både konkurranselikhet i det europeiske forsikringsmarkedet og finansiell stabilitet, men aller viktigst: å styrke ivaretakelsen og beskyttelsen av forsikringskundenes interesser. Solvency II kan betraktes som et «hus» bygget på tre pilarer. Til sammen skal disse tre pilarene sikre at huset «står stødig»: Pilar 1 er det myndighetsbestemte minstekravet til solvenskapitalen og kvaliteten på kapitalen, basert på betraktninger om hva som kreves av et «gjennomsnittlig» forsikringsselskap. Det kan tenkes at strategi og risikoprofil for det enkelte selskap avviker fra en slik «gjennomsnittsmodell». Derfor pålegger pilar 2 selskapene både strenge krav til styring og kontroll, samt pålegger styret og ledelsen å identifisere selskapets faktiske solvenskapitalbehov basert på strategien og risikoprofilen til selskapet. Gjennom pilar 3 skal det skapes markedsdisiplin og et godt grunnlag for tilsynsmessig oppfølging. Denne pilaren stiller omfattende krav til offentliggjøring av informasjon og myndighetsrapportering. I denne publikasjonen har vi oppsummert sentrale krav i og viktige konsekvenser av Solvency II. Vi håper publikasjonen gir dere som styrer og leder norske forsikringsselskaper et godt grunnlag for å reflektere over Solvency II og for å ta en viktig avsjekk på om dere er «i rute» når det gjelder nødvendig tilpasning innen 01.01.2016. For de som i stor grad har gjennomført sine forberedelser på basis av direktiv-teksten kan det nå være gode grunner til å foreta en revideringsrunde. Nivå 2- og nivå 3-reguleringene som er blitt kjent det siste året innebærer stadig nye og detaljerte krav. God lesning! Are Jansrud, Partner, Head of Financial Services Mars 2015

Solvency II forretningsmessige konsekvenser Solvency II Huset Pilar 1 Pilar 2 Pilar 3 Verdsettelse av aktiva og passiva Kapitalkrav (MCR, SCR) Tekniske avsetninger Kapital Figur 1: «Solvency II-huset» Tilsynsprosessen Krav til risikostyring og internkontroll ORSA Solvency II i norsk regelverk Det samlede europeiske Solvency IIregelverket omfatter følgende nivåer: Nivå 1:Direktivet vedtatt november 2009, samt Omnibus II-direktivet Nivå 2: «Delegated regulation» / forordningen «Nivå 2,5»: Regulatoriske Tekniske standarder (RTS er) / Tekniske ImplementeringsStandarder (ITS er) Nivå 3: Guidelines Solvency II vil tre ikraft 01.01.2016. I Norge vil Solvency II bli innført gjennom den nye Finansforetaksloven. Denne loven vil bare inneholde de aller mest sentrale bestemmelsene. I tillegg vil det derfor trolig komme en «Solvency II»-forskrift. Et utkast til slik forskrift er allerede ute på høring. Offentliggjøring av informasjon Markedsdisiplin Når Solvency II innføres vil ventelig flere eksisterende norske forskrifter bli opphevet for forsikringsselskapenes vedkommende. Dette vil omfatte blant annet likviditetforskriften, kapitalforvaltningsforskriftene, godtgjørelsesforskriften og forskriften om ansvarshavende aktuar. Solvency II representerer utvilsomt nye, viktige rammebetingelser for forsikringsbransjen av flere årsaker. De økte kravene til styring og kontroll, og ikke minst de økte kravene til rapportering, vil være kostnadsdrivende. Selskaper av ulik størrelse vil dog i føle på dette i ulik grad. Enda viktigere er dog endringene i solvenskapitalkravene. Dette innebærer krevende vurderinger, men samtidig må også andre trender og endringer hensyntas. Det er ikke bare regulatoriske endringer som er viktig for selskapets strategivalg, men også sentrale forhold som makroøkonomisk utvikling, teknologiske muligheter, demografiske utviklingstrekk og endringer i kundenes og konkurrentenes preferanser og adferd. I dag er norske forsikringsselskaper pålagt to separate kapitalkrav: Et «aktivakapitalkrav«(kapitaldekningskravet) som er basert på sammensetningen av selskapets eiendeler, og som på en sjablongmessig måte primært påvirkes av kredittrisikoen i investeringene Et «passivakapitalkrav» (solvensmarginkravet) som, litt forenklet sagt, primært avhenger av selskapets størrelse og ikke av hvilken reell underliggende risiko som forsikringsvirksomheten innebærer Overgangen til Solvency II vil representere viktige endringer: Selskapene underlegges ett felles solvenskrav for den samlede eksponeringen for aktiva- og passivarisiko Kapitalkravet blir reelt sett mer risikodrevet Økte forventninger til og krav om at selskapet gjennomfører interne prosesser for å identifisere og fastsette sitt faktiske solvensbehov gitt selskapets faktiske og forventede fremtidige forretningsstrategi og risikoprofil Det faktiske solvenskapitalbehovet kan bli vesentlig forskjellig fra dagens krav I forretningsmessig forstand innebærer dette at: Ulike forretningsmessige og risikomessige beslutninger og valg i større grad får direkte effekt på solvenskapitalbehovet Solvency II og de ulike forretningsmessige valgene vil derfor også mer direkte påvirke mulighetene for å levere tilfredsstillende risikojustert egenkapitalavkastning De viktigste driverne bak fremtidig solvensbehov vil, i tillegg til forretningsmessige veivalg om produkttilbud og vekstambisjoner, være graden av forsikringsrisiko og markedsrisiko som sels kapet påtar seg (se figur 2). Øvrige risikoklasser, samt valget mellom standardmetoden eller interne modeller for å beregne kapitalkravet, vil også ha en viss betydning. Det samlede risikonivået vil selskapet kunne påvirke både gjennom valgte risikostrategier og gjennom bruken av ulike sikringsstrategier (typisk reassuranse på forsikringssiden og derivathandel på investeringssiden). Vi kan også forvente at nye typer sikringsinstrumenter for både aktiva- og passivarisiko vil kunne vokse i omfang. For eksempel kan man se for seg økt omfang av både «katastrofeobligasjoner» («Cat Bonds» rentebærende verdipapirer der utbetalingene til investorene er avhengig av om definerte (natur)katastrofer inntrer eller ikke) og derivater på «langt liv risiko». I Figur 3 og 4 har vi illustrert hvordan ulike beslutninger fra valg av strategi via beslutninger om risikoprofil og risikotoleranse til sikringsstrategier påvirker det endelige solvenskapitalbehovet. Forretningsstrategi («Lines of business» og Vekst) Forsikringsrisiko Markedsrisiko Risikostyring & Hedging (reassuranse, derivater, etc.) Øvrige risikoer Standardmodell eller internmodell Figur 2: De viktigste driverne bak det fremtidige solvenskapitalbehovet 4 5

Strategier Risikostyring ALM Unngå Redusere Unngå aktiviteten. Risikoen er utenfor toleranse og appetitt. Alternativt, velg annen tilnærming som kan gi samme resultat Forbedring av kontroller, rutiner, prosesser, systemer mv. kan redusere risikoen Iverksette strategier som reduserer konsekvensen av hendelser (kriseberedskapsplaner, ansvarsklausuler i kontrakter mv) Forsikringer Derivater Etc Dele/overføre Overføre ansvaret for risikoen til annen part gjennom forsikring, kontrakt eller kapitalmarkeder Kan overføres helt eller delvis Krever kapital Akseptere Etablerte kontroller er tilfredsstillende for håndtering av risikoen. Figur 3: Beslutninger som påvirker solvenskapitalbehovet Risikostyring & Sikring Solvenskravet Produktstrategier ORSA Redusere eller øke risikoen og kapitalbehovet? Risikoposisjonen Standardmodell eller internmodell? Pilar 2-risikoer Risikotoleranse Risikoprofil Figur 4: Strategiske konsekvenser av Solvency II Forstår vi i tilstrekkelig grad hvordan overgangen til Solvency II vil påvirke rammebetingelsene for vår forretningsmodell? Vet vi om lag hvor stort solvenskravet blir i forhold til vår faktisk tilgjengelige kapital? Har vi tilstrekkelig forståelse for hva som vil være et hensiktsmessig internt mål eller en intern nedre grense for solvenskapitalnivået? Vil de kommende solvenskapitalkravene få forretningsmessig betydning for oss? Vil vi måtte endre vår forretningsmodell? Bør vi endre vår risikoprofil og risikostrategi? Har vi drøftet vår fremtidige kapitalstrategi tilstrekkelig? Må vi endre vår kapitalstruktur? Hvilke strategiske og forretningsmessige endringer må vi foreta for å kunne levere en konkurransedyktig egenkapitalavkastning? 6 7

Pilar 1 Pilar 1-delen av Solvency II handler primært om de kommende solvenskapitalkravene og definisjonene av tilgjengelig kapital for å oppfylle kravene. Utgangspunktet er etableringen av den såkalte Solvency II-balansen (se figur 5). Det grunnleggende prinsippet for Solvency II-balansen er at den skal være basert på markedskonsistente verdier for både eiendeler og forpliktelser. For visse balanseposter kan det innebære avvik fra regnskapsførte verdier. Regelverket inneholder dessuten særskilte bestemmelser om verdsettelsen av enkelte poster. Særlig detaljerte regler foreligger for de forsikringsmessige forpliktelsene. Disse skal tilsvare summen av beste estimat for nåverdien av kontantstrømmene fra forsikringskontraktene og den såkalte risikomarginen. Goodwill og immaterielle eiendeler skal verdsettes til kr 0,- som utgangspunkt, mens utsatt skatt beregnes på forskjeller mellom skattemessige verdier og verdier i Solvency II-balansen. Tilgjengelig solvenskapital er per definisjon forskjellen mellom markedsverdien av alle eiendeler og markedsverdien av alle forpliktelser. For enkelte posters vedkommende kan det være uklart om de har en tapsbærende evne (solvenskapitalelement) eller ikke (forpliktelse). Solvency II omfatter derfor nærmere definisjoner av hvilke egenskaper ulike instrumenter må ha for å kunne anses som solvenskapital. Avhengig av instrumentets tapsbærende evne klassifiseres det som hhv Tier 1, 2 eller 3. Instrumenter i klassen Tier 1 har den høyeste tapsbærende evnen. Det er to kapitalkrav som må oppfylles: minimumskapitalkravet (MCR) og solvenskapitalkravet (SCR). MCR beregnes litt forenklet sagt som en lineær funksjon av selskapets størrelse, og skal ligge mellom 25% og 45% av solvenskapitalkravet SCR. SCR er et risikobasert kapitalkrav og er kalibrert for å tilsvare maksimalt forventet tap med 99,5% sannsynlighet de kommende 12 måneder. Det samlede SCR-kravet er bygget opp av ulike delmoduler, som for hver for seg beregner et risikosensitivt kapitalkrav for hhv livsforsikringsrisiko, skadeforsikringsrisiko, helseforsikringsrisiko, markedsrisiko, motpartsrisiko og operasjonell risiko (se figur 6). SCR-kravet må oppfylles med minst 50% Tier 1-kapital, og maksimalt 15% Tier 3-kapital. MCR-kravet må oppfylles med minst 80% Tier 1-kapital. SCR For å sette opp Solvency II-balansen og beregne solvenskravene er det behov for omfattende datatilgang og til dels komplekse beregningsmodeller, samt ikke minst betydelig regelverksinnsikt og aktuarmessig / beregningsteknisk kompetanse. Solvency II stiller også strenge krav til både datakvalitet og «revisjonsspor». Selskapet må etablere policyer for oppsettet av Solvency II-balansen og for beregningsprosessene. Operasjonell risk Risiko-bærende evne i utsatt skatt,mv Som grunnlag for SCRberegningen må det settes opp en Solvency II-balanse Egenkapitalen (Own Funds) er forskjellen mellom eiendeler og forpliktelser Egenkapitalen skal deles i Tiers 1, 2 og 3 ut fra: Sikkerhet Evne til å absorbere (alle) tap Solvens Capital Requirement (SCR) Diversifiserings-effekter Livsrisiko Helserisiko Skaderisiko Markedsrisiko Motpartsrisiko Immaterielle MCR Figur 6: Modulene for beregningen av SCR-kravet Risikomargin.. Best estimate.. Eiendeler som dekker tekniske avsetninger, SCR og MCR Tekniske avsetninger Kilde: CP20 Figur 5: Solvency ll-balansen Har vi fastsatt prinsippene for Solvency II-balansen i vårt selskap? Har vi kompetansen vi trenger for å etablere Solvency II-balansen og beregne MCR og SCR? Har vi tatt et bevisst og informert valg mellom bruk av standardmetoden eller utvikling av interne modeller? Har vi tilgang på nødvendig datagrunnlag for Solvency II-balansen og beregningen av solvenskravene? Har vi tilgang på nødvendige modeller og verktøy for oppsett av Solvency II-balansen og for beregningen av solvenskravene? Har vi sikret datakvaliteten i våre grunnlagsdata? Har vi etablert påkrevde policyer for oppsett av Solvency II-balansen og solvenskravsberegningene? 8 9

Pilar 2 Solvency II stiller en rekke omfattende, og til dels detaljerte krav, til forsikringsselskapenes styring og kontroll. I tillegg til en rekke mer generelle krav om transparent og oversiktlig organisasjonsstruktur, at minst to personer faktisk driver virksomheten og hensiktsmessige systemer og prosedyrer for informasjonsflyt så omfatter det såkalte «system of governance» følgende sentrale hovedelementer (se figur 7): Risikostyring Internkontroll Nøkkelfunksjonene ORSA ORSA er nærmere behandlet i neste kapittel i denne publikasjonen. Kravene til risikostyring omfatter et helt grunnleggende krav om å implementere og gjennomføre et omfattende system for risikostyring for å sikre at alle faktiske og potensielle fremtidige risikoer blir identifisert, vurdert, målt, rapportert og håndtert. Selskapets styre må etablere og vedta en overordnet policy for risikostyring inkludert et dokumentert uttrykk for styrets risiko toleranse samlet sett og per relevant risikoklasse. Styrets ansvar Som styremedlem og administrerende direktør kan man bli personlig ansvarlig for sine handlinger eller unnlatelser. Dette kan dels omfatte et straffeansvar og dels et erstatningsansvar overfor kunder, kreditorer eller andre som er blitt skadelidende. Aktsomhetskravet er spesielt strengt på de områder hvor lover og regler presiserer styrets- og administrerende direktørs plikter og ansvar. Solvency II ikke bare øker omfanget av og detaljeringsgraden i kravene til forsikringsbransjen, men er også på enda flere punkter helt eksplisitt på styrets og ledelsens ansvar og handlingsplikter. Dette kan potensielt øke styreansvaret. Spesielt kan dette kanskje komme til å vise seg relevant i forhold til for eksempel: de konkrete kravene til å vurdere faktisk solvensbehov gjennom ORSA-prosessen økt investeringsfrihet («prudent person»- prinsippet) med potensielle konsekvenser for kundenes avkastning og sikkerhet Hvordan kan styret forsikre seg om at de ivaretar sitt ansvar på en tilstrekkelig god måte? Her kan nøkkelfunksjonene, og ikke minst internrevisjonen, være til god hjelp. Tilstrekkelig godt bemannede og kompetente nøkkelfunksjoner som rapporterer både hyppig og detaljert til styret er en viktig bærebjelke. I en slik styrerapportering er det viktig med klar avrapportering mot risiko toleranse og risikorammer, samt oppfølging av avvik og brudd. Internrevisjonen, som er styrets eget organ, er spesielt viktig. Dimensjoneringen av omfanget av internrevisjon bør ikke ha fokus på hva som er akspetabel «minimumsrevisjon», men på hva som er nødvendig, hensiktsmessig og nyttig for å sikre at styret kan ivareta sitt ansvar på en god måte! Det skal videre foreligge styrevedtatte policyer for alle relevante risikoklasser: Underwriting og forsikringsmessige avsetninger Balansestyring (Asset Liability Management ALM) Investeringer Likviditet Konsentrasjonsrisiko Operasjonell risiko Reassuranse og bruk av andre risikoreduksjonsteknikker Andre relevante risikoklasser Både gjennom selve direktivet, men ikke minst gjennom nivå 2- og nivå 3-reguleringene, er det fastsatt detaljerte krav til innholdet i disse ulike policyene. Investeringsområdet vil få genuint nye rammevilkår. Dette har vi beskrevet nærmere i et eget kapittel nedenfor. Internkontrollen skal omfatte både regnskapsmessige og administrative forhold, samt at det stilles krav om en såkalt compliance-funksjon. Denne compliance-funksjonen er en av de fire obligatoriske nøkkelfunksjonene. Disse fire nøkkelfunksjonene som alle skal være uavhengige av de områder Har vi fastsatt prinsippene for risikostyring og internkontroll i vårt selskap? Har styret uttrykt og vedtatt en klar og relevant risikotoleranse? Er vår risikotoleranse balansert opp mot både avkastningsmål og solvenskapitalkrav? Er risikotoleransen kommunisert til og forstått av organisasjonen? Er alle relevante policyer utarbeidet og vedtatt? Risikostyring Nøkkelfunksjonene de skal kontrollere og følge opp omfatter: System of Governance Figur 7: Hovedelementene i «system of governance» Risikostyringsfunksjonen Compliancefunksjonen Aktuar Internrevisjon Kravene til styring og kontroll omfatter også flere andre relevante momenter, som krav til klagebehandlingsprosedyrer, utkontraktering, Er risikopolicyene tilstrekkelig avstemt mot og integrert med vår strategi og våre forretningsmessige mål og planer? Har vi på plass en velfungerende og effektiv risikostyringsfunksjon? Har vi på plass en velfungerende og effektiv compliancefunksjon? Har vi etablert en aktuarfunksjon som oppfyller Solvency II-kravene? Har vi etablert en hensiktsmessig internrevisjonsordning? Og har vi aktivt tatt stilling til Internkontrollopplegg ORSA etiske retningslinjer, godtgjørelsesordninger og beredskapsplaner. I tillegg stilles det et krav om at styret, ledelsen, nøkkelfunksjonene og andre som faktisk leder og driver virksomheten har hederlig vandel og tilstrekkelig kompetanse. Kompetanse er «ferskvare» og vil kreve at selskapet sikrer en kontinuerlig utvikling og vedlikehold av faktisk kompetanse på alle nivåer i organisasjonen. nødvendig og forsvarlig omfang på internrevisjonen? Har vi gjennomgått og vurdert eksisterende utkontrakteringsavtaler opp mot de nye bestemmelsene? Har vi etablert effektive og kundevennlige klagebehandlingsprosesser? Har vi vurdert vårt opplegg for styring og kontroll mot de stadig mer detaljerte kravene i level 2- og level 3-reguleringene? 10 11

ORSA Own Risk and Solvency Assessment (ORSA) er et av de mest grunnleggende nye kravene som stilles til forsikringsselskapene gjennom Solvency II. Samtidig kan ORSA hensiktsmessig gjennomført også være noe av det nyttigste som et selskap får ut av Solvency II-tilpasningene! ORSA er den prosessen og de prosedyrene som anvendes for å fastsette det nødvendige solvenskapitalnivået og for å sikre at det samlede solvensbehov til enhver tid er oppfylt. Prosessen skal sikre sammenheng mellom strategi, nåværende og fremtidig risikoprofil, kontrollmiljø og kapital. ORSA-vurderingene må dekke den strategiske planleggingsperioden på normalt 3-5 år. ORSA står således sentralt i den solvenskapitaldynamikken som skapes gjennom Solvency II (se figur 8): Pilar 1 etablerer de regulatoriske minstekravene til solvenskapitalen I Pilar 2-prosessen vurderer selskapets styre hvilket solvensnivå man faktisk trenger. Dette kan være høyere enn pilar 1-kravet, men aldri lavere. Et økt solvensbehov under pilar 2 vil være drevet frem enten av risikoer som ikke er inkludert i pilar 1, risikoer som underestimeres i pilar 1 eller som følge av behov for kapitalbuffere for å sikre at SCR-kravet oppfylles også Regulatorisk minimumskrav (MCR / SCR)? ORSA-behovet? Markedskrav? Ratingmål? Eierforventninger? Andre hensyn? MCR? SCR SCR ORSA Markedets krav, f. eks. ratinghensyn Internmodell fremover i tid som følge av enten vekst eller stressede økonomiske rammevilkår Gjennom pilar 3 og offentliggjøring av informasjon kan det tenkes at «markedet» etablerer en enda høyere solvensforventing til selskapet Prosessen må forankres i styret og ledelsen. Figur 9 illustrerer de? Add-on fra Finanstilsynet Pilar 1 Pilar 2 Pilar 3 Figur 8: Dynamikken i det samlede, reelle solvensbehovet Hva er det "riktige" kapitalkravet? Hvilken kapital krever risikoen? Figur 9: De sentrale vurderingene i ORSA-prosessen Hvilke risikoer finnes? ORSA Hva påvirker risikoen? Hva er risikoen? Hvordan styres risikoen? Faktisk kapital sentrale vurderinger som må inkluderes i ORSA-prosessen: Hvilke risikoer er vi eller kan vi bli eksponert for? Hva er denne risikoen egentlig? Hva påvirker risikoen? Hvor gode er vi til å styre og kontrollere risikoen? Hva koster denne risikoen i form av kapitalbehov? Hva er det samlede, «riktige» solvenskapitalbehovet? Det er omfattende krav til dokumentasjon av selskapets ORSA. Dette omfatter: Styrevedtatt ORSA-policy som fastsetter hovedprinsipper for formål, ansvar, prosesser, gjennomføring, stresstester og analyser, forutsetninger og dokumentasjon Dokumentasjon av den enkelte ORSA-prosess Intern ORSA-dokumentasjon Dokumentasjon av rapportering til myndighetene Kravet om at selskapet må etablere en policy for kapitalstyring henger tett sammen med ORSA. En slik policy må omfatte: Beskrivelse av prosedyrene for å sikre at solvenskapitalen, både ved utstedelse og senere, oppfyller kvalitetskravene til slik kapital og reglene for utbetalinger til kapialeierne, samt for å sikre korrekt klassifisering av kapitalen Beskrivelse av prosedyrer for å overvåke utstedelsen av solvenskapital ihht kapitalplanen Beskrivelse av prosedyrer for å sikre at vilkårene for solvenskapitalinstrumenter er klare og utvetydige Beskrivelse av prosedyrer: for å sikre at selskapets utbyttepolitikk hensyntas i vurderinger av kapitalposisjonen Har vi fastsatt policy og prinsippene for ORSA-prosessen? Har styret forstått sin rolle i ORSA-prosessen? Har vi en god og hensiktsmessig ORSA-prosess? Sikrer vår ORSA-prosess og de vurderingene som gjøres at vi faktisk forstår vår reelle risikoeksponering og de reelle driverne for å identifisere, dokumentere og iverksette tiltak for situasjoner der utbetalinger forventes å måtte utsettes eller kanselleres Foretaket må også etablere en kapitalplan for mellomlang sikt som hensyntar: Eventuelle planlagte kapitalutvidelser Forfallsprofiler på solvenskapitalinstrumenter Eventuelle begrensninger i det aktuelle kapitalkravsregimet Utbyttepolitikken Resultatene av ORSA I 2014 har selskapene vært pålagt å gjennomføre en ORSA-lignende prosess: FLAOR Forward Looking Assessment Of Risk. Også i 2015 som kan gjøre at uventede tap materialiseres? Har vi nødvendig datatilgang og hensiktsmessige modeller / verktøy for å analysere, vurdere og beregne risikoeksponering og solvensbehovet? Er vår ORSA-prosess, inkludert vurderinger og konklusjoner, godt integrert med risikotoleransen, skal en tilsvarende FLAOR-prosess gjennomføres som ledd i Solvency IIog ORSA-forberedelsene. Kravene til FLAOR er høyere i 2015 enn de var i 2014, primært på følgende områder: Beregning og dokumentasjon av evnen til å oppfylle kravene til solvenskapital og tekniske avsetninger fremover i tid Vurdering av eventuelle avvik mellom selskapets strategi og risikoprofil og de grunnleggende forutsetningene som ligger til grunn for SCR-beregningene I forhold til sistnevnte krav vil dokumentet fra EIOPA som beskriver SCR-forutsetningene være et særlig viktig utgangspunkt. forretningsstrategien og løpende styring og kontroll? Er vi forbredet på å oppfylle de økte kravene til FLAOR i 2015? Har vi vedtatt en kapitalstyringspolicy? Har vi en hensiktsmessig kapitalplan og beredskapsplan for kapitalisering på plass? 12 13

Investeringsområdet: «Prudent Person»-prinsippet I dag er norske forsikringsselskapers investeringsaktivitet nokså detaljert regulert gjennom kapitalforvaltningsforskriftene. Disse forskriftene inneholder en rekke kvantitative eksponeringsrammer for investeringene. Gjennom Solvency II vil innføringen av Prudent Person -prinsppet kunne øke frihetsgradene for investeringsvirksomheten betydelig. «Prudent Person»-prinsippet innebærer kort fortalt at man ikke skal gjøre noe annet med andre folks penger enn man ville gjort med sine egne, at man skal være forsiktig og ikke minst forstå hva man gjør. Solvency II stiller ingen kvantitative begrensninger for investeringene, men de faktiske investeringer vil jo påvirke størrelsen på det risikobaserte kapitalkravet til solvens. Derimot medfører prinsippet en rekke prosessuelle krav til selskapenes investeringsvirksomhet som også må reflekteres i den styrevedtatte policyen for investeringer og markedsrisiko: Krav om «Due Dilligence»-prosesser og andre prosesser for å sikre at man forstår hva man investerer i Krav til omtanke, forsiktighet, kompetanse, evner og arbeidsdeling/ delegering Plikten til å overvåke og følge opp investeringene Plikten til å beskytte forsikringstager og forsikredes interesser Diversifiseringsprinsippet Utvikling av et eget sett av Key Risk Indicators (KRI) tilpasset egen risikostyringspolicy og forretningsstrategi Ikke bare basere seg på informasjon mottatt fra finansinstitusjoner, kapitalforvaltningsfirmaer og ratingbyråer Hensynta risikoer ved investeringer uten å bygge bare på at risikoen er tilstrekkelig hensyntatt i regulatoriske krav Gjennomføre særlige vurderinger ved investeringer av ikke-rutinepreget karakter Ved investeringer / investeringsaktiviteter som innebærer vesentlig risiko eller endringer i risikoprofilen skal risikostyringsfunksjonen kommunisere dette til styret Særlige aktsomhetskrav til prosedyrer ved investeringer som ikke handles på regulerte markeder og for komplekse produkter som er vanskelige å verdsette Derivater skal fortsatt bare kunne anvendes for å redusere risiko eller effektivisere kapitalforvaltningen. Har vi egentlig forstått og tatt inn over oss hva «Prudent Person»- prinsippet faktisk innebærer og medfører? Har vi revidert våre policyer, retningslinjer og rammer i lys av «Prudent Person»-prinsippet? Har vi revudert våre investeringsstrategier i lys av de nye solvenskravene og hva dette betyr for forholdet mellom kapitalkrav og avkastningsmuligheter? Har vi på plass de nødvendige prosedyrer og prosesser for å oppfylle «Prudent Person»-prinsippet? Har vi nødvendig kompetanse og kapasitet i selskapet for å etterleve «Prudent Person»-prinsippet? 14 15

Pilar 3 Pilar 3-delen av Solvency II øker i betydelig grad kravene til både myndighetsrapportering og offentliggjøring av informasjon, og dermed ikke minst kravene til datatilgang, datakvalitet og IT-løsninger. Rapportering til myndighetene (Reports To Supervisor RTS) omfatter et betydelig antall standardmaler («templates») såkalte QRT er (Quantitative Reporting Templates). Høringsutkast til slike templates foreligger offentlig tilgjengelig. Det vil derfor være mulig for selskapene nå å sette seg detaljert inn i hva disse rapporteringskravene vil omfatte. Hver enkelt mal stiller krav om omfattende og detaljert informasjon. Ikke alle malene og rapporteringskravene er relevante for alle selskaper da dette vil avhenge av type virksomhet som drives. I tillegg til den løpende, kvartalsvise kvantitative rapporteringen til myndighetene så skal det også gis en mer kvalitativ beskrivelse av virksomheten, organisering, styring og kontroll. Også denne skal sendes tilsynsmyndighetene. Rapporteringen til offentligheten (SCFR Solvency and Financial Condition Report) vil være på et mer aggregert nivå og med lavere frekvens enn myndighetsrapporteringen. SCFR skal omfatte beskrivelser av virksomheten, informasjon om risikostyring og internkontroll, forklaringer og analyser av finansiell utvikling, samt utvalgt kvantitativ informasjon. Solvency II legger stor vekt på offentliggjøring av informasjon som et verktøy for markedsdisiplin: Informasjonen som offentliggjøres skal fremstilles på en slik måte at sannsynlige lesere kan forstå det som er offentliggjort. Skal primært gjøres tilgjengelig på selskapets hjemmeside. SFCR skal være et «Stand-alone»-dokument Ved vesentlig endringer i grunnlaget for informasjonen som er offentliggjort i løpet av året, skal selskapene oppdatere informasjonen ut til offentligheten. Også på pilar 3-området stiller regelverket krav om både styrevedtatte policyer for rapporteringsprosessen, datakvalitetskrav og krav til internkontroll og kvalitetssikring. Behovet for grunnlagsdata med høy datakvalitet er omfattende for denne rapporteringen. Hva kan KPMG bidra med? Rapportering til Finanstilsynet (RTS) Figur: Overblikk over pilar 3-rapporteringen Har vi analysert og fortstått omfanget og konsekvensene av pilar 3-kravene? Har vi etablert og vedtatt nødvendige policyer og retningslinjer? Har vi analysert tilgjengelige utkast til rapporteringsmaler for å kartlegge konsekvenser? To separate rapporter: Har vi kartlagt om vi har lett tilgang på nødvendig datagrunnlag for denne rapporteringen? Har vi tilgang på systemløsninger for å sikre effektiv og kvalitetsmessig tilfredsstillende rapportering? Har vi vurdert hvordan og i hvilken grad arbeidet med pilar Offentliggjøring av informasjon (SFCR) 3-rapporteringen også kan legge til rette for bedre og mer effektiv virksomhetsstyring og intern rapportering? Analyser av forretningsmessige konsekvenser Styreopplæring GAP-analyser i forhold til regelverkskravene Etablering av planer for å lukke eventuelle avvik mot regelverkskravene Bistand til oppsett av Solvency II-balansen Bistand til å etablere prosedyrer for solvenskapitalkravsberegningene Utvikling av internmodeller Bistand til å etablere og implementere policyer Utvikling av risikostyringssystemet Utvikling av risikorapporter Utvikling og fasilitering av ORSA-prosessen Utvikling av internkontroll-opplegget Internrevisjonstjenester Risikostyringsfunksjon på utkontraktert basis Compliancefunksjon på utkontraktert basis Prosedyrer for pilar 3-rapportering Maler for SCFR-rapporten Systemanskaffelser og systemimplementering 16 17

Kontakt våre eksperter på forsikringsbransjen og Solvency II: Anfinn Fardal Partner, Audit M: 406 39 769 E: anfinn.fardal@kpmg.no Anne Pettersen Senior manager, Audit M: 406 39 240 E: anna.pettersen@kpmg.no Are Jansrud Partner, Head of Financial Services M: 406 39 512 E: are.jansrud@kpmg.no Arne H Sæther Partner, Audit M: 406 39 817 E: arne.sather@kpmg.no Cathrine Pihl Lyngstad Senior Manager, Financial Management M: 406 39 319 E: cathrine.pihl.lyngstad@kpmg.no Eirik Øsebak Director, leder Financial Risk Management M: 406 39 846 E: eirik.osebak@kpmg.no Geir Moen Partner, Audit M: 406 39 213 E: geir.moen@kpmg.no John Kaspersen Manager, Audit M: 406 39 716 E: john.kaspersen@kpmg.no Nicolai Cappelen Manager, Financial Risk Management M: 406 39 644 E: nicolai.cappelen@kpmg.no Svein Arthur Lyngroth Partner, Audit og Advisory M: 406 39 053 E: svein.lyngroth@kpmg.no Sverre Einersen Partner, Audit M: 406 39 833 E: sverre.einersen@kpmg.no Vegard Bøhnsdalen Senior associate, Financial Risk Management M: 406 36 898 E: vegard.bohnsdalen@kpmg.no kpmg.no 18 19

KPMG AS Sørkedalsveien 6 Postboks 7000 Majorstuen 0306 Oslo Tlf: 04063 kpmg.no The information contained herein is of a general nature and is not intended to address the circumstances of any particular individual or entity. Although we endeavor to provide accurate and timely information, there can be no guarantee that such information is accurate as of the date it is received or that it will continue to be accurate in the future. No one should act on such information without appropriate professional advice after a thorough examination of the particular situation. 2015 KPMG AS, a Norwegian member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative («KPMG International»), a Swiss entity. All rights reserved. Printed in Norway.