Quelles sont les implications réglementaires et juridiques de l'assurance sous-traitance

FSA exigences

La FSA a mis au point des ensembles détaillés de principes que les entreprises d'assurance devraient adopter dans les arrangements d'impartition. Elles décrivent:

- Les facteurs à considérer avant de décider d'externaliser toutes les activités;

- Les questions à couvrir dans le contrat avec le prestataire de services;

- La gestion continue de la relation avec le prestataire de service.

Derrière eux, le principe général selon lequel une société n'est pas abdiquer la responsabilité d'un service de les remettre à quelqu'un d'autre. L'obligation impérative d'une entreprise d'assurance est de prendre un soin raisonnable d'organiser et de contrôler ses activités de manière responsable et efficace avec les systèmes RiskManagement adéquate.

Les compagnies d'assurance doivent veiller à ce que:

- Les réclamations sont traitées de façon équitable;

- Les créances sont réglées rapidement;

- Les clients sont fournis avec des informations sur la procédure de traitement des réclamations, et avec une explication si une réclamation est rejetée, ou ne sera pas réglé dans son intégralité;

- Les intermédiaires d'assurance divulguer et gérer les conflits d'intérêt. Une entreprise d'assurance ne peut pas, en externalisant ou en déléguant ses activités à un prestataire de services, d'éviter un quelconque de ses obligations légales ou réglementaires.

Les entreprises sont donc conseillé par la FSA pour avoir des «garanties appropriées» pour toute la sous-traitance ou la délégation d'activités à un prestataire de services, en gardant à l'esprit que des garanties différentes seront appropriées aux différentes activités, et dépendra de l'ampleur, la nature et la complexité des activités. Des garanties devraient être globale et proportionnée, et devrait être soutenue par des évaluations régulières de savoir si le prestataire de services est d'atteindre les normes appropriées. Les entreprises devraient:

- Identifier, évaluer et gérer les risques découlant d'une entente d'impartition;

- De s'assurer, à la fois contractuelle et opérationnel, qu'il ya des droits d'accès approprié aux locaux du prestataire de services, des personnes et l'information pour eux-mêmes, leurs auditeurs et les régulateurs;

- Considérer les risques pour protéger la continuité des affaires;

- Avoir une stratégie de sortie.

En vertu des règlements de la FSA, si une entreprise d'assurance est l'intention d'entrer dans, ou de modifier sensiblement, une matière d'externalisation à l'arrangement qu'il est tenu de notifier à la FSA et de veiller à ce que l'externalisation ne restreint pas la FSA dans l'exercice de ses pouvoirs de contrôle. Les entreprises sont tenues de prendre un soin particulier à gérer les matériaux de modalités d'externalisation.

Un matériau de l'externalisation est celui où les services sont d'une importance telle que leur faiblesse ou un échec aurait jeté un sérieux doute sur la satisfaction permanente de l'entreprise des conditions d'autorisation de la FSA.

Importance besoin d'être jugé par la firme en ce qui concerne l'impact de la prestation externalisée sur ses activités. L'externalisation de l'audit interne ou le respect et la plupart des fonctions de front-office est considéré comme un matériau. Beaucoup d'entreprises ce qui concerne la délégation de pouvoirs de souscription à une échelle importante en tant que matière d'externalisation car elle les expose à des risques accrus. Un organisme membre de la haute direction de l'entreprise doit assumer la responsabilité pour chaque matériau la fonction externalisée. Lignes de communication directe entre cette personne désignée et les personnes responsables pour le matériel des services externalisés devrait être établi. Les parties devraient être conscients du fait que la matière d'externalisation mai être le signe d'une relation d'agence et mai être traités différemment en droit.

Selon la nature de la fonction qui sont sous-traitées, le prestataire de services de mai lui-même comme exerçant une activité réglementée. Si tel est le cas, le prestataire de service doit être soit autorisée par la FSA pour exercer cette activité sous-traitée ou à l'automne dans l'une des exceptions pertinentes (par exemple, en étant le représentant désigné d'une autre entreprise autorisée). L'entreprise d'assurance a la responsabilité de vérifier que son fournisseur de services proposée repose sur les autorisations de droit FSA ou des exemptions. Le fait que le prestataire lui-même est réglementé pour les services externalisés ne libère pas l'entreprise d'assurance à partir de ses propres obligations réglementaires.

Exigences de la protection des données

L'impartition assurance décrites ci-dessus ont des implications évidentes pour la protection des données. Ils seront inévitablement par le transfert d'informations sur les clients et leurs politiques - en grande partie à caractère personnel et / ou sensibles dans la nature. Par exemple, dans certains cas, les détails des dossiers médicaux devront être transmises. Dans la plupart des cas, le prestataire de services seront traitement de cette information au nom de la compagnie d'assurance (à savoir en tant que processeur de données) et les observations ci-après s'appliquent à un tel scénario.

Si une compagnie d'assurance demande à un prestataire de service pour traiter des informations personnelles sur son nom, elle demeure responsable de la sécurité des données et est réputé pour conserver le contrôle sur elle. Ceci, bien sûr, reflète le principe selon lequel on ne peut pas externaliser la responsabilité réglementaire.

Le Data Protection Act 1998 (DPA) exige que le contrat entre le client et le prestataire de services de données d'imposer certaines exigences de sécurité. Les entreprises doivent obtenir des garanties de la part du prestataire de services qu'il ya des projets de plans spécifiques pour protéger les renseignements des clients. Mais en s'appuyant sur le contrat n'est pas suffisant: ils doivent aussi effectuer des vérifications et des tests d'assurance qualité afin de vérifier que les exigences de sécurité sont respectées.

Les responsabilités du client sous-traitance pour la sécurité des données s'appliquent même si le prestataire de service est basé à l'étranger. Lorsque le contrat d'externalisation est avec une société basées ailleurs dans l'EEE, l'examen de l'adéquation des règles de protection des données dans l'autre pays n'entre pas en jouer. La situation devient plus complexe lorsque le prestataire de services est en dehors de l'EEE. En vertu de la directive sur la protection des données de 1995, mis en œuvre au Royaume-Uni par la DPA, les entreprises européennes sont limitées en termes de données qui peuvent être transférés ou stockés en dehors de l'EEE sans règles équivalentes et d'exécution. Le principe est que les assurés doit être garanti le niveau de protection dont ils auraient l'intérieur de l'EEE. Certains pays ont été considérés comme "sûrs" par la Commission européenne, par exemple, le Canada et l'Argentine.

Souvent, la solution la plus simple de conformité sera la compagnie d'assurances à conclure un contrat qui impose le processeur de données (à savoir le prestataire de services concernés) à respecter les mêmes données, les obligations de protection que la société est en cours. La Commission européenne a publié une série de clauses types des contrats qui devraient être utilisées à cette fin.

L'importance de la protection des données peuvent ne pas être sous-estimée. En 2007, les sociétés de services financiers ont reçu de lourdes amendes pour les données-défaillances de sécurité. La FSA a fait campagne pour des contrôles plus efficaces et, d'avril suivant, publié "la sécurité des données dans les services financiers». Le rapport, qui comprend une section spécifique sur la gestion des fournisseurs tiers, ne représente pas de directives officielles, mais la FSA a fait savoir qu'il s'attend à ce que les entreprises à utiliser ses conclusions dans l'évaluation des risques.

Les entreprises qui ne parviennent pas à protéger les données face à la perspective non seulement de l'action par le Bureau du Commissaire à l'information, qui applique la DPA, les amendes de la FSA et les demandes d'indemnisation émanant de particuliers mais aussi de la publicité dommageable. Peu de gens veulent faire affaire avec quelqu'un qui les exposent aux risques de délinquance financière.