Hva er regelverket og juridiske implikasjoner av forsikring outsourcing

Share

|

FSA krav

FSA har utviklet detaljerte sett av prinsipper som forsikring firmaer skal vedta i enhver outsourcing arrangements. De forklarer:

- Faktorer som skal vurderes før man beslutter å outsource alle aktiviteter;

- Problemene skal dekkes i kontrakten med tjenesteleverandøren;

- Den løpende forvaltningen av forholdet til tjenesteleverandøren.

Bak dem er det generelle prinsippet om at et selskap ikke frasi seg ansvaret for en tjeneste ved å overlate det til noen andre. Det overordnede plikt for en forsikring firma er å ta rimelig forsiktighet med å organisere og kontrollere dens anliggender ansvarlig og effektivt med tilstrekkelig riskmanagement systemer.

Forsikringsselskapene er ansvarlig for at:

- Krav behandles rettferdig;

- Fordringer gjøres opp umiddelbart;

- Kundene er forsynt med opplysninger om skadebehandling prosedyren, og med en forklaring om et krav er avvist eller ikke avgjøres i sin helhet;

- Forsikringsformidlere avdekke og håndtere eventuelle interessekonflikter. En forsikring firmaet ikke kan, ved å outsource eller delegere sine aktiviteter til en tjenesteleverandør, unngå noen av deres juridiske eller forskriftsmessige forpliktelser.

Bedriftene er derfor anbefales av Mattilsynet for å ha «riktig beskyttelse" for outsourcing eller delegering av aktiviteter til en tjenesteleverandør, uten å glemme at ulike sikringstiltak vil være passende for ulike aktiviteter, og vil avhenge av omfang, art og kompleksitet aktiviteter. Sikringstiltak skal være omfattende og forholdsmessige og bør sikkerhetskopieres ved regelmessig vurdering av om tjenesteyter er å oppnå riktig standarder. Bedrifter bør:

- Identifisere, vurdere og håndtere risikoene som oppstår fra en outsourcing avtale;

- Sikre, både kontraktsmessig og operasjonelt, at det er hensiktsmessig tilgangsrettigheter til tjenesteleverandørens lokaler, personer og informasjon for seg selv, deres revisorer og regulatorer;

- Vurdere situasjoner for å beskytte virksomheten kontinuitet;

- Har en exit-strategi.

Under FSA forskrifter, hvis en forsikring firma er tenkt inn i, eller vesentlig endring, et materiale outsourcing ordning det er nødvendig å varsle Mattilsynet og sikre at outsourcing ikke begrense FSA i utøvelsen av tilsynsmyndighetene makter. Bedrifter er pålagt å ta spesielt vare for å håndtere materialet outsourcing arrangements.

Et materiale outsourcing er en hvor tjenestene er av en slik betydning at deres svakhet eller svikt ville kaste alvorlig tvil på firmaets fortsatte tilfredsstillelse av vilkårene for FSA autorisasjon.

Vesentlighet må dømmes av selskapet i forhold til virkningen av outsourcet tjenesten på sin virksomhet. Utsettingen av intern revisjon eller etterlevelse og mest front-office funksjonene anses å være vesentlig. Mange bedrifter ser delegasjon av underwriting myndighet på noen betydelig skala som materiale outsourcing siden det utsetter dem for økt risiko. Amember av firmaets ledelse bør ta ansvar for hvert materiale outsourcet funksjon. Direkte kommunikasjonslinjer mellom denne utpekt person og enkeltpersoner ansvarlig for materialet outsourcet tjenester bør etableres. Partene bør være oppmerksom på at materialet outsourcing kan være tegn på et byrå forholdet og kan bli behandlet forskjellig i lov.

Avhengig av hva slags funksjon som blir outsourcet, kan tjenesteleverandøren seg selv være bærer på et regulert aktivitet. Hvis det er tilfelle, tjenesteleverandøren bør enten være autorisert av Mattilsynet å fortsette som outsourcet aktivitet eller faller innenfor en av de aktuelle dispensasjoner (for eksempel ved å være representant for en annen autorisert firma). Forsikringen Firmaet har ansvar for å kontrollere at dens foreslåtte tjenesteleverandøren har rett Mattilsynet tillatelser eller dispensasjoner. Det faktum at tjenesteleverandøren selv er regulert for outsourcede tjenester avgir ikke forsikringen firmaet fra sin egen regulatoriske forpliktelser.

Data-beskyttelse krav

Forsikringen outsourcings beskrevet ovenfor har åpenbare konsekvenser for databeskyttelse. De vil nødvendigvis innebære overføring av informasjon om kunder og deres politikk - mye av det personlige og / eller sensitiv natur. For eksempel, i noen tilfeller vil detaljer om pasientjournal må videre. I de fleste tilfeller vil tjenesteleverandøren behandler informasjonen på vegne av forsikringsselskapet (dvs. som en data-prosessor) og kommentarer nedenfor gjelder for et slikt scenario.

Hvis et forsikringsselskap ber en tjenesteleverandør til å behandle personopplysninger på vegne av, er det fortsatt ansvarlig for sikkerheten til dataene og anses for å beholde kontroll over den. Dette selvfølgelig gjenspeiler prinsippet om at du ikke kan outsource myndighetsansvar.

Data Protection Act 1998 (DPA) krever at kontrakten mellom kunden og tjenesteleverandøren for å innføre visse data-krav til sikkerhet. Bedriftene må innhente garantier fra tjenesteleverandøren at det er prosjekt-spesifikke planer for å beskytte kundeinformasjon. Men å stole på kontrakten er ikke nok: De skal også utføre tilsyn og kvalitetssikring tester for å sjekke at sikkerhetskravene blir oppfylt.

Utsetting klientens ansvar for datasikkerhet gjelde selv om tjenesteyteren er basert utenlands. Når outsourcing ordningen er et selskap basert i andre deler av EØS, vurdering av tilstrekkelighet av data-beskyttelse regler i det andre landet ikke kommer inn i bildet. Situasjonen blir mer komplisert når tjenesteleverandøren er utenfor EØS. Under the Data Protection Directive av 1995, gjennomført i Storbritannia av DPA er europeiske bedrifter begrenset i forhold til data som kan overføres eller lagres utenfor EØS-området uten tilsvarende regler og håndheving. Prinsippet er at forsikringstakere skal være garantert nivå av beskyttelse de ville ha inn i EØS. Noen land har vært ansett å være "trygt" av EU-kommisjonen, for eksempel Canada og Argentina.

Ofte vil den enkleste etterlevelse løsningen må være at forsikringsselskapet til å inngå en kontrakt som krever at dataene prosessoren (dvs. den aktuelle tjenesteleverandøren) å respektere de samme dataene-beskyttelse forpliktelser som selskapet er under. Europakommisjonen har gitt et sett av modell kontrakt klausuler som bør brukes til dette formålet.

Betydningen av databeskyttelse kan ikke være over-vekt. I 2007 mottok finansielle tjenester firmaer heftige bøter for data-sikkerheten bortfaller. FSA kjempet for mer effektive kontroller, og følgende april publiserte "Data Security in Financial Services '. Rapporten, som inneholder en bestemt del på å styre tredjeparts leverandører, representerer ikke formell veiledning, men Mattilsynet har indikert at de forventer bedriftene til å bruke sine funn i å vurdere risiko.

Bedrifter som ikke klarer å beskytte data møte utsiktene ikke bare handling fra Information Commissioner's Office, som håndhever DPA, FSA bøter og erstatningskrav fra enkeltpersoner, men også for skade av publisitet. Få folk ønsker å gjøre forretninger med noen som utsetter dem for risiko for økonomisk kriminalitet.

---