Vyhláška, kterou se provádějí některá ustanovení zákona o pojišťovnictví

Příloha č. 1

Další požadavky na řídicí a kontrolní systém

Předpoklady řádné správy a řízení tuzemské pojišťovny nebo tuzemské zajišťovnyČást I

(1) Způsob naplňování požadavků na řídicí a kontrolní systém je promítnut v popisu organizačního uspořádání tuzemské pojišťovny nebo tuzemské zajišťovny a dalších vnitřně stanovených zásadách, plánech a postupech (dále jen „vnitřní předpis“). K naplnění předpokladu řádné správy a řízení tuzemské pojišťovny nebo tuzemské zajišťovny jsou do vnitřních předpisů promítnuty jí vybrané uznávané a osvědčené principy a postupy vytvářené a publikované uznávanými osobami.

(2) Tuzemská pojišťovna nebo tuzemská zajišťovna zajistí, aby řídicí a kontrolní systém plnil své funkce i pro činnosti vykonávané na základě smluv o vyčlenění činnosti nebo smluv o vzájemném sdílení nákladů¹⁶) (dále jen „outsourcing“). Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny zejména zajistí, aby outsourcing neomezil soulad činností s příslušnými předpisy, možnost kontroly těchto činností tuzemskou pojišťovnou nebo tuzemskou zajišťovnou a výkon dohledu, včetně případného prověření skutečností, podléhajících dohledu, u jiné osoby zabezpečující pro tuzemskou pojišťovnu nebo tuzemskou zajišťovnu outsourcing. Za účelem zajištění kontrolovatelnosti plnění stanovených funkcí pro takto vykonávané činnosti je řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny nastaven tak, aby forma ujednání upravujícího outsourcing umožnila zaznamenání a zpětné získání informací o obsahu ujednání, včetně jeho změn a určení osoby, která outsourcing poskytuje.

(3) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny umožňuje zaznamenávat a zpětně získávat informace o schvalovacích a rozhodovacích procesech a kontrolní činnosti, včetně souvisejících odpovědností, pravomocí a vnitřních předpisů. K zabezpečení tohoto požadavku slouží též systém a technologie získávání, zpracování, přenosu, sdílení a uchovávání informací v jakékoli formě (dále jen „informační systém“).

(4) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny umožňuje zpětně získat informace, v jaké periodicitě a s jakými závěry dozorčí rada nebo kontrolní komise (dále jen „dozorčí orgán“) dohlíží na

1. a) funkčnost a efektivnost řídicího a kontrolního systému tuzemské pojišťovny nebo tuzemské zajišťovny,
2. b) rozhodnutí a postupy týkající se strategie tuzemské pojišťovny nebo tuzemské zajišťovny.

(5) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny umožňuje zpětně získat informace

1. a) jak představenstvo přijímá rozhodnutí a provádí kontrolní činnosti, pokud jde o
   1. 1. vytvoření řídicího a kontrolního systému a vyhodnocování jeho souladu s požadavky stanovenými zákonem o pojišťovnictví a touto vyhláškou, zejména jeho trvalé funkčnosti a efektivnosti,
   2. 2. stanovení a naplňování celkové strategie tuzemské pojišťovny nebo tuzemské zajišťovny, včetně strategie řízení rizik, investiční strategie, strategie související s kapitálem a solventností, strategie rozvoje informačního systému a strategie pro outsourcing,
   3. 3. nové produkty, činnosti a systémy se zásadním významem, ledaže tuto pravomoc představenstvo přeneslo na jím určený výbor nebo výbory; požadavek na možnost zpětného získání stanovených informací není přenesením pravomoci dotčen,
   4. 4. limity používané pro omezení rozsahu rizik, vždy alespoň pro riziko pojistné, tržní, úvěrové, koncentrace a likvidity, včetně požadavků na strukturu aktiv, závazků a podrozvahových položek, ledaže tuto pravomoc představenstvo přeneslo na jím určený výbor nebo výbory; požadavek na možnost zpětného získání stanovených informací není přenesením pravomoci dotčen,
   5. 5. organizační uspořádání,
   6. 6. zásady systému vnitřní kontroly, včetně zásad pro

      (i) rozpoznávání činností nebo funkcí, jejichž výkon je neslučitelný a zamezování střetu zájmů podle bodu 8 a 9,

      (ii) zajišťování compliance podle části III, bod 2,

      (iii) zajišťování vnitřního auditu, zejména předmět činnosti, organizační, personální a technické zajištění a strategický a periodický plán vnitřního auditu,

   1. 7. bezpečnostní zásady, včetně bezpečnostních zásad pro informační systém,

1. b) o závěrech a případných opatřeních přijatých představenstvem ve vazbě na pravidelné zprávy i mimořádná zjištění zejména dozorčího orgánu, představenstvu přímo podřízených zaměstnanců, odpovědného pojistného matematika, vnitřního auditu, statutárního auditora nebo auditorské společnosti (dále jen „auditor“) nebo příslušného orgánu dohledu,
2. c) zda představenstvo kontroluje celkovou funkčnost a efektivnost řídicího a kontrolního systému a rozhoduje o opatřeních k nápravě zjištěných nedostatků v dostatečném rozsahu a periodicitě.

(6) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny umožňuje zpětně získat informace, jak tuzemská pojišťovna nebo tuzemská zajišťovna po linii řízení

1. a) realizuje představenstvem schválené strategie, zásady a cíle a zajišťuje rozpracování postupů pro jejich naplňování a každodenní vedení tuzemské pojišťovny nebo tuzemské zajišťovny,
2. b) udržuje funkční a efektivní organizační uspořádání, včetně oddělení neslučitelných funkcí a zamezování střetu zájmů podle bodu 8 a 9,
3. c) vytváří a udržuje funkční a efektivní informační systém.

(7) Organizační uspořádání řídicího a kontrolního systému tuzemské pojišťovny nebo tuzemské zajišťovny je nastaveno tak, aby jednoznačně a uceleně vymezovalo odpovědnosti, pravomoci, hlavní informační toky a vnitřní vazby v rámci tuzemské pojišťovny nebo tuzemské zajišťovny, i v rámci dané skupiny.

(8) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny umožňuje včasnou identifikaci oblastí možností vzniku střetu zájmů. Odpovědnosti, pravomoci a postupy jsou stanoveny tak, aby zamezily střetu zájmů podle § 10 zákona o pojišťovnictví a omezily možnosti vzniku jiných střetů zájmů podle § 7 odst. 1 písm. a) bod 2 zákona o pojišťovnictví.

(9) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny zajistí, že

1. a) oblasti střetů zájmů podle bodu 8 a oblasti jejich možného vzniku jsou předmětem průběžného nezávislého sledování,
2. b) nezávisle na činnostech, v jejichž přímém důsledku je tuzemská pojišťovna nebo tuzemská zajišťovna vystavena pojistnému, tržnímu nebo úvěrovému riziku (dále jen „obchodní činnost“), se
   1. 1. řídí rizika a provádějí s tím související činnosti, včetně tvorby zajistných programů,
   2. 2. likvidují pojistné události,
   3. 3. provádí kontrola údajů sjednaných pojištění nebo zajištění,
   4. 4. oceňují transakce uzavřené na finančních trzích, vypořádávají obchody sjednané na finančních trzích a provádí kontrola údajů o obchodech sjednaných na finančních trzích,

1. c) odpovědnost za řízení obchodních činností je oddělena od odpovědnosti za
   1. 1. řízení rizika pojistného, tržního, úvěrového a koncentrace,
   2. 2. vypořádání obchodů sjednaných na finančních trzích,
   3. 3. kontrolu údajů o obchodech sjednaných na finančních trzích,

1. d) je zabezpečena odpovídající nezávislost a zamezování střetům zájmů podle bodu 8 při zajišťování kontrolních mechanismů a činností.

(10) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny je nastaven tak, aby příslušné orgány, zaměstnanci, útvary a výbory, pokud jsou zřízeny, měli pro své rozhodování a další stanovené činnosti aktuální, spolehlivé a ucelené informace. Řídicí a kontrolní systém poskytuje zejména informace o

1. a) skutečnostech, které by mohly nepříznivě ovlivnit finanční situaci tuzemské pojišťovny nebo tuzemské zajišťovny, včetně vlivů změn vnitřního či vnějšího prostředí,
2. b) případném nedodržování požadavků stanovených právními předpisy a postupů stanovených vnitřními předpisy, zejména o případných zjištěných významných rozdílech postupů tuzemské pojišťovny nebo tuzemské zajišťovny oproti požadavkům stanoveným právními předpisy a postupům stanoveným vnitřními předpisy,
3. c) překročení limitů zajišťujících dodržení akceptované úrovně pojistného, tržního, úvěrového a dalších podstupovaných rizik, včetně rizika likvidity,
4. d) výsledcích měření podstupovaného pojistného, tržního, úvěrového a operačního rizika a o podstupovaném riziku koncentrace,
5. e) výsledcích měření likvidity ve vhodně stanovených časových pásmech a členěních podle hlavních měn,
6. f) výsledcích pojistně technických analýz a stresových testů,
7. g) solventnosti a skladbě finančního umístění.

(11) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny zahrnuje systém pro vytváření a kontrolu informací, které tuzemská pojišťovna nebo tuzemská zajišťovna uveřejňuje o své současné situaci a investiční strategii a o předpokládaném vývoji. Řídicí a kontrolní systém zahrnuje mechanismy vnitřní kontroly zajišťující aktuálnost, dostupnost, dostatečnost a vyváženost těchto informací. Informace včetně propagačních sdělení a informací pro klienty jsou objektivní, jasné a neklamavé.

(12) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny zahrnuje systém pro vytváření, kontrolu a předávání informací příslušným orgánům dohledu, který je vytvořen, udržován a uplatňován tak, aby poskytoval orgánům dohledu informace aktuálně, spolehlivě a pravdivě. Řídicí a kontrolní systém zahrnuje mechanismy vnitřní kontroly zajišťující úplnost a správnost veškerých výpočtů, údajů, výkazů a dalších informací na individuálním i skupinovém základě poskytovaných České národní bance. Postupy uplatňované pro vytváření a poskytování údajů České národní bance, včetně předkládání výkazů, lze zpětně zjistit, a to i v rámci skupiny. V rámci řídicího a kontrolního systému tuzemské pojišťovny nebo tuzemské zajišťovny jsou jasně stanoveny odpovědnosti za komunikaci a součinnost s příslušnými orgány dohledu.

Systém řízení rizikČást II

(1) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny je nastaven tak, aby umožňoval soustavné a systematické řízení rizik.

(2) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny je nastaven tak, aby bylo zajištěno, že systém řízení rizik

1. a) odpovídá povaze, rozsahu a složitosti činností a s nimi souvisejících rizik a trvale poskytuje nezkreslený obraz o míře podstupovaných rizik. Proces identifikace rizik je zajištěn u všech činností a na všech řídicích a organizačních úrovních a umožňuje odhalování nových, dosud neidentifikovaných rizik,
2. b) zohledňuje všechna významná rizika a rizikové faktory, kterým je nebo může být tuzemská pojišťovna nebo tuzemská zajišťovna vystavena, s přihlédnutím k povaze, rozsahu a složitosti činností, které vykonává nebo hodlá vykonávat,
3. c) zohledňuje vnitřní a vnější faktory, včetně strategie tuzemské pojišťovny nebo tuzemské zajišťovny, vlivů ekonomického prostředí a změn právních předpisů s dopadem na její činnost, kvantitativní a kvalitativní aspekty rizik, reálné možnosti jejich řízení a náklady a výnosy vyplývající z jejich řízení,
4. d) obsahuje zejména
   1. 1. strategii a postupy pro rozpoznávání, měření, sledování, ohlašování a případné omezování rizik,
   2. 2. soustavu limitů používanou při řízení rizik, včetně postupů a informačních toků při překročení těchto limitů,
   3. 3. zásady kontrolních mechanismů a činností při řízení rizik, včetně kontroly dodržování stanovených postupů a limitů pro řízení rizik a ověřování výstupů hodnocení či měření rizik.

(3) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny je nastaven tak, aby obsahoval základní předpoklady soustavného řízení rizik, kterými jsou zejména stanovení

1. a) vnitřních definic rizik, kterým je nebo může být tuzemská pojišťovna nebo tuzemská zajišťovna vystavena,
2. b) zásad pro určování významnosti jednotlivých rizik,
3. c) zásad a metod řízení jednotlivých rizik, včetně stresového testování, a to vždy rizika pojistného, tržního, úvěrového, operačního, likvidity a koncentrace,
4. d) přijatelné míry rizika,
5. e) zásad pro sestavení a úpravy pohotovostních plánů.

(4) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny je nastaven tak, aby bylo zajištěno, že

1. a) tuzemská pojišťovna nebo tuzemská zajišťovna soustavně řídí
   1. 1. riziko pojistné v členění zejména na neživotní pojištění, životní pojištění a zajištění, tržní, úvěrové, operační, včetně rizika právního, likvidity a koncentrace,
   2. 2. další významná rizika, kterým tuzemská pojišťovna nebo tuzemská zajišťovna je nebo může být vystavena, zejména riziko reputační, strategické, spojené se zdroji kapitálu a financováním nebo spojené s příslušností ke skupině, včetně rizika operací v rámci skupiny, jejíž je součástí, ledaže toto riziko nepřichází v úvahu nebo není významné,

1. b) zásady a postupy pro řízení rizik, kterým je nebo může být tuzemská pojišťovna nebo tuzemská zajišťovna vystavena, jsou ucelené a propojené se zásadami a postupy pro udržování kapitálu ke krytí těchto rizik,
2. c) krytí rizik kapitálem obezřetně zohledňuje faktory, které ovlivňují výsledky vyhodnocování či měření podstupovaných rizik, včetně vlivů
   1. 1. úprav ocenění aktiv a tvorby rezerv,
   2. 2. používání vlastních odhadů a modelů,
   3. 3. zohledňování výsledků testů, včetně stresových, a dalších vlivů předpokládaného nebo alternativního vývoje vnitřního a vnějšího prostředí,
   4. 4. využívání investic do derivátů, zohledňování zajištění a dalších technik snižujících riziko,
   5. 5. případného zohledňování efektů z korelací nebo z diverzifikace rizik.

(5) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny je nastaven tak, aby v případě, kdy podstupovaná rizika nejsou přiměřeně kryta kapitálem nebo jiným způsobem, byla přijata opatření k nápravě.

Systém vnitřní kontrolyČást III

(1) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny zahrnuje kontrolní činnosti. Kontrolní činnosti jsou součástí běžných, zpravidla každodenních činností tuzemské pojišťovny nebo tuzemské zajišťovny, jsou zavedeny a uplatňovány na všech řídicích a organizačních úrovních a zahrnují zejména

1. a) vhodné kontrolní mechanismy pro jednotlivé procesy a činnosti, včetně činností, pro které tuzemská pojišťovna nebo tuzemská zajišťovna využívá outsourcing,
2. b) výkon kontrol po linii řízení,
3. c) zajišťování compliance (bod 2),
4. d) zajišťování výkonu vnitřního auditu.

(2) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny obsahuje zásady a postupy pro zajišťování compliance, které pokrývají uceleně a propojeně veškeré činnosti tuzemské pojišťovny nebo tuzemské zajišťovny a jejichž cílem je zabezpečit alespoň

1. a) soulad vnitřních předpisů s právními předpisy,
2. b) vzájemný soulad vnitřních předpisů,
3. c) soulad vykonávaných činností s právními a vnitřními předpisy.

Při zajišťování compliance se rovněž vytvářejí, využívají a uchovávají související informace, zejména vnitřní hlášení o zjištěných nesouladech, o připravovaných právních předpisech a jejich případných dopadech do činnosti tuzemské pojišťovny nebo tuzemské zajišťovny, hodnotící zprávy, návrhy k zajišťování compliance tuzemské pojišťovny nebo tuzemské zajišťovny a informace o riziku compliance.

(3) Řídicí a kontrolní systém tuzemské pojišťovny je nastaven tak, aby umožňoval řádné a bezodkladné prošetření, zpracování a vyřízení obdržených stížností na postup pojišťovny.

(4) Řídicí a kontrolní systém tuzemské pojišťovny je nastaven tak, aby obsahoval základní předpoklady a zásady pro řádné nakládání se stížnostmi, kterými jsou zejména stanovení

1. a) způsobu transparentního uveřejnění informací o tom, jak lze stížnost podat a jak bude s obdrženými stížnostmi nakládáno,
2. b) postupů pro informování stěžovatele jasným a srozumitelným způsobem o obdržení a vyřízení stížnosti, a to včetně zdůvodnění stanoviska tuzemské pojišťovny a případných dalších možností postupu stěžovatele, a postupů pro případné informování o průběhu zpracování stížnosti,
3. c) interních lhůt a postupů pro příjem, zpracování, vyřízení a uchovávání stížností a s nimi souvisejících informací a
4. d) postupů pro analýzu důvodů podání jednotlivých stížností za účelem identifikace případných opakujících se nebo systémových pochybení a možných rizik tuzemské pojišťovny.

(5) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny zajišťuje soustavný a účinný výkon vnitřního auditu. Nezávislému prověření vnitřním auditem podléhají veškeré činnosti tuzemské pojišťovny nebo tuzemské zajišťovny, zejména

1. a) dodržování povinností stanovených právními předpisy, zejména povinnosti jednat s odbornou péčí a postupovat obezřetně a dodržování vnitřně stanovených zásad, cílů a postupů,
2. b) systém řízení rizik,
3. c) finanční řízení, řízení kapitálu a solventnosti,
4. d) úplnost, průkaznost, správnost a spolehlivost vedení účetnictví a informací poskytovaných orgánům tuzemské pojišťovny nebo tuzemské zajišťovny,
5. e) spolehlivost účetních, statistických a provozních informací, včetně informací pro klienty a spolehlivosti systému sestavování a předkládání výkazů České národní bance,
6. f) funkčnost a bezpečnost informačního systému.

(6) Výkon vnitřního auditu zahrnuje vždy

1. a) sestavení analýzy rizik, a to alespoň jednou ročně,
2. b) sestavení strategického a periodického, zpravidla ročního plánu vnitřního auditu,
3. c) vytvoření a udržování systému sledování plnění opatření k nápravě, uložených na základě zjištění vnitřního auditu,
4. d) průběžné sledování a vyhodnocování funkčnosti a efektivnosti systému vnitřní kontroly a dalších prvků řídicího a kontrolního systému,
5. e) zpracování souhrnného vyhodnocení funkčnosti a efektivnosti řídicího a kontrolního systému, a to alespoň jednou ročně,
6. f) informování orgánů tuzemské pojišťovny nebo tuzemské zajišťovny o výsledcích vnitřního auditu a zjištěných skutečnostech.

Výkon vnitřního auditu je zajištěn tak, aby přispíval ke zdokonalování vnitřních procesů tuzemské pojišťovny nebo tuzemské zajišťovny.

(7) Řídicí a kontrolní systém tuzemské pojišťovny nebo tuzemské zajišťovny je nastaven tak, aby sledování a vyhodnocování jeho funkčnosti a efektivnosti bylo prováděno průběžně na všech řídicích a organizačních úrovních. Nedostatky řídicího a kontrolního systému se bez zbytečného odkladu oznamují příslušné řídicí úrovni. Významné nedostatky řídicího a kontrolního systému se oznamují představenstvu a dozorčímu orgánu. Systém odhalování a ohlašování nedostatků řídicího a kontrolního systému je nastaven tak, aby umožňoval jejich včasnou nápravu. Účinnost přijatých opatření k nápravě je následně ověřována.