Neste capítulo analisaremos as principais questões relacionadas com os requisitos de gestão, nomeadamente a gestão de risco, o controlo interno e o governance.

O novo modelo de Solvência assenta no principio de sensibilidade ao risco, isto é, o requisito de capital será estabelecido de acordo com o perfil de risco. Este perfil resultará dos riscos assumidos e dos mecanismos existentes na organização para a sua análise, avaliação e mitigação. Como o próprio CEA reconhece, no comentário à primeira vaga, a forma mais adequada das seguradoras se protegerem contra a insolvência é através da aplicação de uma efectiva gestão interna do risco. A gestão do risco e o controlo interno farão assim parte da rotina e da prática diária. 

Tendo em conta o trabalho desenvolvido pelo Grupo de Madrid (grupo constituído para a análise dos sistemas de controlo interno), os poderes estabelecidos no processo de Lamfalussy  e a necessidade de criação de uma cultura de risco, o ISP elaborou a norma 14/2005-R sobre princípios aplicáveis ao desenvolvimento dos sistemas de gestão de risco e de controlos interno das empresas de seguros de aplicação obrigatória até ao final de 2007. Não obstante desta obrigatoriedade, a norma prevê a apresentação de um plano de implementação detalhado já no exercício de 2005, que será submetido ao ISP e que contemplará uma calendarização das actividades a desenvolver até 2007.

De seguida apresentamos as principais questões relacionadas com esta temática provenientes dos trabalhos desenvolvidos pelo CEIOPS nas 3 vagas emitidas até à data.

Sistema de controlo interno

Um sistema de controlo interno eficaz tornar-se-á fundamental no processo de gestão de risco, na medida que garante um desenvolvimento operacional forte e seguro e o total cumprimento das exigências legais e regulamentares do mercado.

A responsabilidade pela criação de uma cultura forte de controlo interno é do Board of Directors, devendo este estabelecer adequados sistemas de comunicação entre os diversos níveis de gestão.

O relatório apresentado pelos serviços da comissão a 11 de Fevereiro de 2004, chama a atenção para a existência de um conjunto de critérios que devem ser cumpridos pelas companhias por forma a garantir uma correcta avaliação dos riscos incorridos. Estes critérios são:

• Identificação dos maiores tipos de risco, como subscrição, investimentos, resseguro e outros riscos operacionais;

• Existência de um sistema de registo contabilístico que providencie informação completa, exacta, fiável  e atempada;

• Existência de um sistema de controlo interno compreensível;

• Existência de transacções apenas quando existem as autorizações apropriadas;

• Existência de uma definição clara dos níveis hierárquicos, delegações e responsabilidades;

• Existência de um documento aprovado sobre a política de investimentos;

• Existência de um reporte para a gestão compreensível e adequado;

• Existência de revisões regulares sobre os limites e orientações existentes;

• Garantia de que as falhas encontradas são reportadas de forma correcta e atempada;

1ª Vaga de Questões - Primeira Pergunta

A importância do tema ficou patente na primeira call for advice, com a primeira questão a abordar o controlo interno. De acordo com a metodologia seguida no projecto, a Comissão solicitou os seguintes esclarecimentos:

a) Inclusão de um princípio geral de controlo interno na futura Directiva e feed back à proposta de artigo apresentada.

"Insurance undertaking are required to have in place internal controls that are adequate for the nature and scale of the business."

b) Regras detalhadas para os supervisores possam assegurar que as seguradoras dispõem de sistemas de controlo interno apropriados.

O CEIOPS concorda com a inclusão de um high level principle na futura directiva sobre controlo interno, complementada com regulamentação de nível inferior que inclua no nível 2, do processo de Lamfalussy, a definição geral dos controlos internos, uma descrição do papel e responsabilidade do board of directors e do senior management no sistema de controlo interno e os princípios gerais mínimos que deverão ser cumpridos pelas seguradoras. Estes requisitos poderão ainda ser complementados com standards de supervisão ou recomendações de nível 3.

O CEIOPS enumerou, nesta call for advice, um conjunto de medidas que devem ser implementadas ao nível do controlo interno:

• O Controlo interno é um sistema de processos contínuos, realizado pelo board of directors, senior management e todo o pessoal, projectado para assegurar que as estratégias, políticas e procedimentos são implementadas e aplicadas de forma efectiva e eficiente, que a informação financeira e não financeira é de confiança e que se encontra em conformidade com a regulamentação em vigor;

• O board of directors tem a responsabilidade final e total por assegurar o estabelecimento, manutenção e monitorização de um sistema adequado e eficaz de controlo interno. O board of directors é responsável por promover um elevado grau de integridade e pelo estabelecimento de uma cultura organizacional que enfatize e demonstre a importância do controlo interno a todos os colaboradores;

• O senior management é responsável pela implementação do sistema de controlo interno de acordo com as estratégias e políticas estabelecidas pelo board of directors. É ainda responsável por assegurar o envolvimento de todos os colaboradores e a correcta compreensão do sistema criado;

• Um adequado sistema de controlo interno requer a implementação de controlos efectivos e eficientes a todos os níveis, incluindo actividades de outsourcing. Como parte integrada do negócio diário, estas actividades deverão ser revistas e registadas numa base continua;

• O board of directors deverá assegurar a atribuição apropriada de responsabilidades funcionais e individuais, incluindo uma segregação adequada de funções. A função de controlo deve ser separada das funções diárias e operacionais, bem como da função de gestão do risco. A referida segregação de funções dependerá da natureza, escala e complexidade da seguradora;

• O sistema de controlo interno deverá assegurar que o reporte é exacto, completo, atempado e consistente;

• As seguradoras deverão dispor de controlos internos cuja eficácia deve ser monitorizada regularmente, incluindo através da sua avaliação pela função de auditoria. Controlos internos deficientes deverão ser identificados e reportados de forma atempada e apropriada;

• Os sistemas de controlo interno deverão assegurar a eficácia dos procedimentos de comunicação. Responsabilidades, procedimentos e canais de reporte resultantes do sistema de controlo interno devem ser documentados e comunicados a todos os colaboradores;

• As seguradoras deverão implementar sistemas de informação e comunicação apropriados às suas actividades, estratégias e necessidades;

• Como parte integrante do sistema de controlo interno e de acordo com a diversidade e complexidade da actividade da seguradora, deverão estabelecer-se, numa base contínua, controlos eficazes e compreensíveis. Esta função de controlo, deverá ser desenvolvida por pessoal competente, independente em termos operacionais, com competências apropriadas, conduzidos através de um programa profissional e desenhado de acordo com a análise do risco. Este programa deverá providenciar uma razoável segurança de que todas as políticas e procedimentos são aplicados e deverá analisar se as politicas, as práticas e os controlos se mantêm suficientes e apropriadas ao negócio;

• Uma função eficaz de auditoria deverá compreender igualmente o processo de follow up das situações identificadas na auditoria e assegurar que estas são remetidas adequadamente;

O Controlo Interno fortalecerá o ambiente operacional interno da seguradora aumentando a sua capacidade de lidar com falhas e/ou deficiências dos processos e da estrutura sejam eles de natureza interna ou externa.

Gestão de risco

Para além do controlo interno, a companhia deve ainda dispor de politicas e procedimentos que permitam uma gestão adequada do risco. A gestão de risco estabelecerá regras sobre os limites de risco aceite, sobre os  responsáveis pela aceitação do risco e sobre os procedimentos a desenvolver no caso da aceitação de riscos excessivos.

A gestão de risco assegurará a manutenção do risco a um nível aceitável. Pretende-se que a seguradora compreenda a natureza e dimensão do risco assumido e das estratégias definidas pela administração para a sua gestão.

Os serviços da comissão apresentaram no relatório preparatório de 11 de Fevereiro, um conjunto de itens que a seguradora deverá realizar/analisar/deter ao nível desta componente:

• Dispor de uma gestão de risco que identifique, avalie, gera e controle os riscos do negócio;

• Proceder a uma separação da gestão de risco e do controlo interno;

• Dispor de orientações claras, incluindo os limites de risco aceite;

• Realizar periodicamente auditorias internas e assegurar o respectivo follow up das situações identificadas;

• Assegurar a adaptação da gestão às estratégia e circunstâncias;

• Dispor de regras que desencorajem excessivos compromissos financeiros ou riscos assumidos;

• Impor com carácter regular a realização de stress tests regularmente testes de cenário e de sensibilidade.

1ª Vaga Questões - Primeira Pergunta

Para além do controlo interno a primeira vaga abordou ainda o tema da gestão do risco. O CEIOPS foi, também aqui, questionado a dois níveis:

a)  Inclusão de um principio geral de  gestão de riscos na futura norma e opinião sobre a proposta de artigo criada.

"Insurance undertaking shall identify and assess the nature and significance of the risks they face. Insurance undertakings shall manage these risks to provide reasonable assurance of maintaining the undertaking´s overall financial soundness. In order to achieve this, insurance undertakings shall have in place effective strategies and processes, comprehensive and proportionate to the nature and scale of the risks"

b) Regras detalhadas pelas quais os supervisores poderão assegurar que as seguradoras dispõem de sistemas de gestão de riscos apropriados.

O CEIOPS concorda com a inclusão de um high level principle sobre gestão de risco na futura Directiva, sendo da opinião que o regulamento de nível 2 (medidas de implementação) deverá incluir um esboço geral da gestão do risco que permita compreender a descrição do papel e responsabilidades do board of directors e do senior management e  estabeleça os princípios gerais mínimos que serão cumpridos pela seguradora no processo de gestão de risco.

Apresentou ainda um conjunto de medidas de implementação que devem ser tomadas em conta pelas entidades de supervisão aquando da emissão dos normativos nacionais, e que passamos a apresentar:

•  Gestão do risco implica compreender a natureza (causas, efeitos, probabilidades) e dimensão dos riscos encarados pela seguradora. Implica ainda a definição, pelo board of directors, do nível de aceitação de riscos, a tolerância aos mesmos e estratégias de elasticidade. O board of directors é responsável pela promoção de um elevado grau de integridade e pelo estabelecimento de uma cultura que enfatize e demonstre a todos a importância da gestão do risco;

• A gestão do risco é um processo contínuo que utiliza um conjunto de técnicas e instrumentos para assegurar a prossecução das políticas e procedimentos estabelecidos pelo board of directors. A gestão do risco terá influência sobre o perfil de risco determinado com base na identificação, medição e gestão dos riscos assumidos;

• A seguradora deverá dispor, como parte integrante da estratégia global de negócio, de uma estratégia para o capital de Solvência (menção igualmente realizada na call for advice 10) para todos os riscos materiais a que esteja expostas e políticas apropriadas de transferência e mitigação do risco (resseguro, co-seguro, derivados, etc).

•  Deverão ser estabelecidas, monitorizadas e revistas regularmente (pelo menos uma vez por ano) pelo board of directors, estratégias, políticas e processos de gestão do risco que reflictam todos os riscos que possam ter um impacto material na Solvência.

• O senior management é responsável pela implementação das estratégias, políticas e processos de gestão do risco aprovadas pelo board of directors. O senior management deverá ainda dar retorno ao board of directors dos resultados da gestão de risco.

• As seguradoras deverão estabelecer uma função de gestão de risco apropriada à natureza, dimensão e complexidade da sua actividade (principio da proporcionalidade). O papel da função de gestão de risco é identificar, avaliar, controlar e reportar de forma contínua os riscos provenientes do negócio segurador.

• A função de gestão de risco deverá monitorizar a posição em função dos limites de tolerância de risco aprovados, e reportar os resultados dessa monitorização ao senior management e board of directors. Este relatório deverá ser exacto, completo, atempado e consistente. A função de gestão de risco deverá ser separada da função operacional do dia-a-dia.

• As seguradoras deverão obter, numa base contínua, informação sobre os riscos actuais e futuros através de todos os níveis hierárquicos, processos operacionais e áreas funcionais. A identificação sistemática dos riscos inclui o reconhecimento atempado e regular, com registos estruturados, de quaisquer factores que possam ter um efeito relevante no perfil global de risco de uma seguradora e também informação sobre possíveis ligações de riscos e dependências de factores de risco. Isto implica que se tenha, no mínimo, em consideração os factores de risco subscrição, mercado, crédito, operacional e liquidez.

• É requerido que as seguradoras disponham de processos que permitam medir quantitativamente e/ou qualitativamente cada risco identificado, incluindo a probabilidade e impacto sobre o perfil de risco de uma seguradora.

• As seguradoras deverão conduzir, de forma regular, uma avaliação quantitativa prospectiva (stress test) para uma extensão de cenários adversos, por forma a conhecer as repercussões em várias condições das maiores fontes de risco.

• As seguradoras deverão dispor de planos de contingência para actuar em antecipação à deterioração de condições.

• O objectivo do reporte interno pela função de gestão de risco é o de transmitir, de forma contínua, ao board of directors, qualquer informação de risco obtida no processo desenvolvido e definido previamente. O relatório de risco tem em vista a fixação de correcções necessárias na estratégia definida e deve originar resposta ao pessoal envolvido no processo de gestão. A comunicação desta informação serve igualmente para manter consciente toda a seguradora do risco que assume.

Deverá existir uma relação entre a adequação da gestão do risco de uma seguradora, a assunção dos riscos e os seus recursos finais.

Governance

O CEIOPS alerta para a necessidade de inclusão de um principio de high level sobre governance, reconhecendo que esta será essencial para uma gestão e supervisão eficaz. Os aspectos relevantes de governance estão relacionados com o papel do board of directors, do senior management, com o dia-a-dia operacional do negócio, com o reporte, controlo e auditoria. Esta temática encontram-se actualmente na ordem do dia impulsionada pelo escândalos financeiros dos últimos anos que levaram à criação de rigorosas regras no mercado Americano (SoX). Ao nível Europeu pretende-se que estas regras sejam baseados em princípios o que levará a uma menor rigidez e intransigencia.

A inclusão de princípios de governance deverá contribuir para uma gestão sã e prudente, aumentando assim a protecção dos segurados e beneficiários. Deve ainda apoiar o board of directors no estabelecimento e ajustamento do perfil global de risco da seguradora. Uma estrutura adequada de governance deverá facilitar a tomada de decisão reduzindo assim a probabilidade e o impacto da existência de inconformidades.

O CEIOPS salientar que a inclusão deste princípio de governance não tem como objectivo a harmonizar dos regulamentos nacionais de corporate governance, havendo para esse efeito iniciativas mais abrangentes no seio da União Europeia.

A avaliação do processo directivo e de tomada de decisão é uma das componentes do processo de supervisão. Esta questão foi endereçado na call for advice 16, sob o tema Fit and Proper. Serão estabelecidas regras que assegurem que os colaboradores que desempenham funções de gestão dispõem das competências necessárias para o realizar de forma correcta. Estes requisitos obrigarão estes colaboradores a dispor de qualificações técnicas ou de experiência pessoal que assegurem uma gestão forte e prudente. A garantia de que a empresa está a ser gerida por pessoas com as devidas competências reduzirá o risco de falha. 

A definição de pessoas que gerem efectivamente a empresa é algo ambígua, havendo porém a necessidade de se estabelecer alguma orientação no sentido de identificar de forma clara as funções sob as quais irão incidir este requisito. O CEIOPS apresentou uma listagem das funções mais importantes na call for advice 16 e que como tal estarão sujeitas a regras de fit and proper (lista com os cargos mínimos sujeita ainda a discussão), que passamos a apresentar:

1. Funções de governação: Função de administração e função de senior management;

2. Funções requeridas: Função AML (anty money laundering), função compliance e função actuarial;

3.Funções de sistemas e controles: função financeira, função chief risk officer, função controlo interno e função auditoria interna;

4.Funções de gestão significativa (pessoas com responsabilidades por linhas de negócio);

Os requisitos de fit and proper serão aplicados a todas as seguradoras, independentemente da sua dimensão. Não obstante, o CEIOPS reconhece que uma pessoa com responsabilidades numa seguradora de pequena dimensão não necessitará de ter o mesmo nível de perícia que uma pessoa que exerça funções numa empresa de grande dimensão. Os requisitos deverão assim estabelecidos de forma a permitir alguma flexibilidade. A verificação dos requisitos de fit and proper é da responsabilidade da companhia e da autoridade de supervisão, devendo esta última avaliar no mínimo, se as pessoas com funções de governação cumprem os requisitos exigidos. Os poderes da supervisão relacionados com o incumprimento das regras de fit and proper foram endereçados na call for advice 14, contemplado neste site no capitulo transparência.