LA CIRCULAIRE SOUS-TRAITANCE EST PARUE

Elle était attendue depuis l’année dernière et la publication en décembre de la circulaire L21/15 relative au cas particulier des services informatiques en nuage (« cloud computing »). La circulaire L22/16 relative à la sous-traitance est parue ce 19 août. Elle s’appliquera à tout accord de sous-traitance conclu, prolongé ou substantiellement modifié à partir du 1er novembre 2022. A noter qu’elle diffère parfois significativement du projet qui circulait depuis le début de l’année.
Remarquons d’emblée que la circulaire s’intéresse exclusivement aux activités et aux fonctions importantes ou critiques (CIFA dans le jargon), une notion définie a minima par une liste dans le règlement délégué, mais étendue à l’appréciation prudentielle de chaque entreprise. Il en est ainsi, notamment, de la souscription ou du règlement de sinistres par un intermédiaire. Lorsqu’un service en nuage est concerné, c’est la circulaire L21/15 qui s’applique. Celle-ci recouvrant partiellement celle qui nous occupe, mais présentant des différences, notamment en matière de notification, il peut être nécessaire de lire les deux circulaires en parallèle et en tirer la bonne option ne relève pas toujours de l’évidence. La circulaire s’applique indifféremment, que le prestataire soit interne ou externe au groupe dont fait partie l’entreprise d’assurance ou de réassurance.
La circulaire s’articule autour de deux thèmes majeurs : d’une part des recommandations, souvent de bon sens, sur l’analyse du besoin de sous-traiter, sur la sélection des fournisseurs et sur les dispositions contractuelles à prévoir, et d’autre part, la notification de la sous-traitance au CAA et sa documentation.
Les recommandations visent toutes à assurer à la compagnie le maintien d’un contrôle adéquat sur l’activité sous-traitée, tant en matière d’efficacité que de respect de la réglementation, en particulier sur la protection des données : « due diligence » a priori, mesures de performance et possibilité d’audit a posteriori, contrôle des éventuelles sous-traitances en cascades, continuité des affaires et procédures de clôture des conventions. Des dispositions particulières traitent de la détermination du caractère « CIFA » de l’activité ou de la fonction à sous-traiter, du secret de l’assurance et des mesures à prendre dans les situations d’urgence. Tout ceci s’inscrit dans une

politique de sous-traitance maintenue à jour par l’entreprise et qui elle-même fait partie du corpus de gouvernance mis en place par la réglementation européenne.
On notera que la notification au CAA n’est pas obligatoire quand le sous-traitant est un Professionnel du Secteur des Assurances au sens de la loi luxembourgeoise, qui agit dans le cadre de son agrément pour la gestion journalière ou l’exercice de fonctions clés de Solvabilité II au profit d’une captive. Un formulaire de notification est annexé à la circulaire, à remplir pour chaque activité sous-traitée. Il comporte six sections : entreprise, activité, sous-traitant (intra- ou extra-groupe), diligence raisonnable, contrat et contrôle, regroupant un vaste ensemble de questions couvrant tous les points d’attention de la réglementation. La notification doit être adressée au moins un mois avant que la sous-traitance prévue ne soit effective. IL existe aussi des obligations en matière de constitution, de conservation et de mise à disposition d’une documentation relative à chaque accord de sous-traitance. Celles-ci ne correspondent pas dans le détail aux exigences de même nature exprimées par la circulaire relative aux services en nuage (L21/15), bien que ceux-ci se rapportent souvent à des activités ou fonctions considérées comme « CIFA ».
Toutes ces dispositions requerront d’autant plus l’attention des compagnies que les éventuelles conventions entrant en vigueur le 1er novembre devront déjà être notifiées le 1er octobre.

L’EIOPA PUBLIE UN DOCUMENT SUR L’INTEGRATION DES CHANGEMENTS CLIMATIQUES DANS L’ORSA

Faisant suite à une consultation du secteur, l’EIOPA a publié ce 3 août un document d’orientation sur l’intégration des changements climatiques dans l’ORSA : détermination de la matérialité et développement de scénarios.
Nous n’entrerons pas aujourd’hui dans le détail de ce document. Mais, de ce sujet très présent aujourd’hui dans les préoccupations tant du public que des acteurs de l’assurance et de la réassurance, nous en parlerons le 10 novembre prochain, avec une conférence qui lui sera dédiée lors de notre événement célébrant les 10 ans du groupe FORSIDES.