La fonction de conformité dans l’assurance

Les assureurs évoluent aujourd’hui dans un environnement économique complexe et de plus en plus réglementé. Ils sont amenés à faire face à de nouveaux risques, à prendre des engagements plus importants, à innover.

C’est dans ce contexte que de nombreux garde-fous ont été mis en place par les autorités. Ceci est d’autant plus d’actualité dans les pays européens où les règles de Solvabilité II, qui sont entrées en application le 1^er janvier 2016, imposent un ensemble d’obligations nouvelles, dont la fonction de conformité.

Dans un monde en mutation constante, les assureurs sont sans cesse tenus par les autorités à maintenir des standards élevés dans la gouvernance de leurs sociétés. Les retentissantes faillites de ces dernières années obligent les entreprises à redoubler de prudence et à prendre les mesures adéquates afin de maintenir leur solvabilité et la confiance des consommateurs d’assurance.

Dans la plupart des pays émergents, des efforts sont également menés en ce sens. De nombreuses réglementations prennent exemple sur Solvabilité II. Les sociétés d’assurance elles-mêmes ont pris des mesures en instaurant des règles internes afin de garantir au mieux la sécurité de leur clientèle et préserver leur image.

Les risques mettant en péril les compagnies d’assurance

Trois grands groupes de risques mettent en péril les assureurs:

• Les risques assurantiels: gestion technique et déroulement d’un contrat d’assurance dans le temps, probabilité de survenance d’un sinistre, etc.
• Les risques financiers: rentabilité des capitaux propres, risques de liquidité, de crédit, de change, etc.
• Les risques opérationnels: risque de perte directe et indirecte dû à des procédures défaillantes, au facteur humain, à des systèmes inadéquats ou à des raisons extérieures.

Le risque de non-conformité concerne en particulier les risques opérationnels, c’est-à-dire ceux responsables des pertes induites par un problème lié aux procédures internes, aux manquements du personnel ou à la défaillance des systèmes d’information. Un simple défaut de conseil peut porter préjudice.

Les sociétés d’assurance et les intermédiaires peuvent être considérés comme responsables des conseils donnés sur les produits commercialisés. A noter également qu’un risque opérationnel peut avoir dans certains cas une origine externe à la compagnie.

Les risques opérationnels résultent donc de l’insuffisance des procédures en place au regard du cadre législatif et réglementaire. Le risque de non-conformité est un sous ensemble des risques opérationnels.

Le risque de non-conformité dans le domaine de l’assurance

On peut définir le risque de non-conformité comme le risque de sanctions légales ou réglementaires, de pertes financières matérielles ou de détérioration de l’image qu’un assureur peut subir par non-respect des lois, règlements et dispositions administratives relatives à l’activité de la compagnie.

Toute déviation à ce principe est passible de sanctions.

Fonction de conformité : Identification et évaluation des risques de non-conformité

Avant même l’apparition des nouvelles réglementations, les assureurs disposaient de certains outils permettant d’évaluer la conformité de leurs actions avec les objectifs arrêtés. La fonction de vérification de la conformité peut donc prendre appui sur des éléments existants. Elle doit uniquement se donner les moyens d’étendre son champ d’intervention par le biais de nouveaux organes.

La fonction de conformité renforce la veille règlementaire. Elle instaure un dispositif permettant de déceler les risques de non-conformité et d’informer tous les niveaux de la compagnie de l’évolution du cadre réglementaire applicable à l’assurance. Cette tâche peut être répartie entre différentes entités. Le service juridique peut prendre en charge le suivi des clauses, l’application des embargos, etc., la direction comptable suit l’évolution des exigences relatives à la présentation des états financiers alors que le département des ressources humaines surveille l’évolution du Code du travail.

Fonction de conformité : La cartographie des risques liés à la non-conformité

Pour entretenir une activité saine et se prémunir contre les sanctions, l’assureur doit identifier puis évaluer l’ensemble des risques de non-conformité. Le but de l’identification et de l’évaluation est de cantonner le risque résiduel à un niveau acceptable pour l’assureur. Cette politique passe par la mise en place d’une cartographie des risques. Celle-ci représente de manière graphique l’ensemble des risques de non-conformité en fonction de leur probabilité de survenance et de leur importance.

Cette démarche suppose une parfaite connaissance du profil stratégique de la compagnie et des buts à atteindre en matière de gestion des risques.

Fonction de conformité : Les principaux dispositifs de la fonction de vérification

Source: Optimind Winter

Le suivi du risque de non-conformité

Le suivi du risque de non-conformité est essentiel à la progression de la qualité et de l’efficacité. Il permet de corriger les anomalies détectées en coordonnant les différents services. Cette situation impose à l’entreprise d’être pro active.

Après détection d’un manquement, l’assureur doit coordonner l’ensemble des organes de la société susceptibles de résoudre le problème identifié. Ceci est particulièrement évident pour le suivi des réclamations des assurés : s’agit-il d’un problème de défaut d’information dans le contrat ? D’un problème de conseil ? Comment le corriger ?

La création d’une base de données « incidents » facilite souvent l’identification des risques de non-conformité.

La formation du personnel est une mission clé de la fonction de vérification de la conformité. Elle a pour but de sensibiliser les employés au risque de non-conformité. Des stages, sessions d’information sont régulièrement organisés par les grands groupes d’assurance. Parmi les thèmes récurrents figurent le blanchiment, la corruption, le respect des procédures et de la déontologie, etc.

Fonction de conformité : Les compagnies d’assurance soumises à Solvabilité 2

Depuis le Comité de Bâle (créé en 1974), les assureurs ont retenu les mêmes catégories de risques opérationnels que les banques:

• pertes dues au mauvais fonctionnement de l’activité, aux systèmes d’information, à la gestion des processus, à l’externalisation des tâches ou à la réalisation d’une transaction,
• fraudes internes et externes, notamment la lutte contre le blanchiment et le financement des personnes/institutions interdites,
• pertes causées par des actes frauduleux en matière de santé ou sécurité dans le cadre du travail ou de l’emploi (discrimination, mauvaise gestion des compétences),
• pertes dues à une faute non intentionnelle d’un employé envers un assuré. A terme, les exigences seront étendues à une complète protection de la clientèle, à la protection des données confidentielles, et aux pratiques commerciales.
• Pertes dues à une catastrophe naturelle ou à un acte d’origine humaine ayant affecté les employés ou endommagé les actifs de la société d’assurance.

Sous Solvabilité II, la gouvernance devient le moyen de garantir une marche prudente et performante des affaires. L’assureur se doit de mettre en place un système de gestion sain permettant de contrôler l’exécution des tâches dans le respect du cadre juridique et autres obligations. Ce système suppose:

• un dispositif assurant la bonne diffusion de l’information,
• une structure d’entreprise où les responsabilités sont clairement définies,
• une bonne gestion des risques,
• un système de contrôle interne continu, efficace et adapté à tous les niveaux de la société.

En matière de contrôle interne, les exigences de Solvabilité II sont très élevées. Les assureurs doivent, par le biais d’autres contrôles, vérifier les performances du contrôle interne continu.

La fonction de vérification de la conformité est un élément incontournable du processus de contrôle interne et se place au second niveau des outils de gouvernance et d’analyse.

Fonction de conformité : Modèle de « contrôle périodique » et « contrôle continu »

Source: AG2R La mondiale

Les sanctions à la non-conformité

Dans les pays émergents, le risque de non-conformité est le plus souvent sanctionné par les autorités de contrôle des assurances. En Europe les sanctions peuvent provenir de :

• l’autorité de tutelle,
• des autorités de Bruxelles,
• l’autorité de contrôle prudentiel,
• la commission nationale informatique et libertés,
• les défenseurs des droits des consommateurs,
• l’autorité de la concurrence,
• les services de répression des fraudes,
• les autorités boursières.

La non-conformité dans les pays émergents

© Andrew Le Sueur, CC BY-SA 3.0

Même s’ils ne disposent pas de systèmes de contrôle aussi contraignants que ceux en vigueur dans l’Union Européenne, les pays émergents se rapprochent progressivement des standards internationaux et des critères imposés par Solvabilité II. La lutte contre le blanchiment se retrouve dans la plupart des législations.

En Arabie Saoudite, la SAMA impose des normes de contrôle contraignantes. L’assureur est tenu de déterminer une politique de contrôle et de lutter efficacement contre le blanchiment d’argent. Ainsi, la réglementation impose aux sociétés d’assurance d’établir des contrôles internes appropriés et de disposer de procédures permettant de vérifier la conformité de leurs activités avec les exigences du cadre réglementaire. De plus, les sociétés d’assurance doivent détenir des archives prouvant la conformité de leurs opérations avec la législation des assurances notamment en matière de stratégie de gestion du risque et d’organisation.

En pratique, les assureurs saoudiens établissent une charte de qualité et de conformité qui définit :

• l’organigramme de la société avec mention du poste du responsable de la conformité,
• l’approche de la clientèle,
• la confidentialité des informations traitées,
• les informations fournies par l’assuré,
• les informations contenues dans la police d’assurance,
• la politique de gestion des sinistres,
• la politique de gestion des réclamations.

Au Maroc, à l’instar des obligations instaurées par Solvabilité II, l’organisme de tutelle du marché, la Direction des Assurances et de la Prévoyance Sociale (DAPS), travaille depuis 2008 sur le chantier du contrôle interne et de la gestion des risques. La mise en place de structures de mesure et de gestion des risques internes (risques financiers, techniques, opérationnels etc.) a été testée. Les compagnies ont été chargées de travailler sur l’élaboration d’une cartographie des risques et sur un dispositif de contrôle interne. Il leur a été demandé d’établir et de suivre des procédures administratives, comptables et d’instaurer un reporting sur le contrôle interne.

L’organisation de la fonction de conformité dans les sociétés d’assurance

La fonction de conformité est une fonction interne de contrôle qui complète celles déjà existantes au sein des sociétés d’assurance : fonction actuarielle, audit interne et gestion des risques.

Elle peut être exercée par une personne, une équipe, un comité. Elle veille au respect :

• des tâches concrètes de gouvernance,
• des règles de procédures internes,
• des directives imposées par les autorités de régulation,
• des bonnes pratiques professionnelles,
• de la déontologie,
• de l’image de l’entreprise.

Les sanctions imposées en cas de manquement varient en fonction de la nature des fautes et de leur gravité. Elles peuvent aller de la simple amende, à la sanction disciplinaire ou administrative. Elles peuvent également donner lieu à des poursuites pénales.

Une fois les risques de non-conformité reconnus et évalués, l’assureur doit en informer les différentes structures de la compagnie. Des échanges avec l’ensemble des organes de direction et de gestion sont alors nécessaires pour lutter contre les risques identifiés, cibler l’impact des changements et conseiller la direction.

Pour mener à bien cette tâche, l’assureur doit disposer d’une équipe indépendante aux ressources et compétences adéquates. Des pouvoirs étendus et un accès illimité aux données internes (filiales comprises) doivent être accordés aux membres du service de contrôle de la conformité. Cette mission peut être exercée au sein même de la société ou décentralisée. Dans une optique de rationalisation des coûts, rien n’empêche l’assureur d’externaliser tout ou partie des tâches. Une autre option consiste à rattacher la fonction à des services déjà existants.

Sous Solvabilité II, la fonction de contrôle de la conformité peut être rattachée au service d’audit qui doit demeurer indépendant. Autre possibilité l’assureur peut désigner un comité constitué de personnes chargées de vérifier la conformité ou remettre ce pouvoir à une direction interne.

Le métier de « compliance officer » : origine et développement

La fonction de « compliance officer » ou responsable de la conformité est apparue dans les pays anglo-saxons au milieu des années 1990. C’est dans les secteurs réglementés comme les banques, les fonds d’investissement spécialisés (hedge funds) et dans certaines industries (pharmaceutiques, énergétiques) que cette discipline a fait ses débuts. Cette nouvelle fonction, s’est ensuite petit à petit ouverte à d’autres secteurs d’activités comme l’assurance.

C’est surtout après les scandales financiers de Enron en 2001, WorldCom en 2002, Parmalat en 2003 et AIG en 2008 que la fonction s’est définitivement imposée et que son rôle a été consacré. De nos jours l’anticipation du risque est devenue un enjeu crucial pour toutes les entreprises. De plus, la multiplication des réglementations a amené les législateurs à imposer des règles de plus en plus drastiques concernant le contrôle interne et le respect des directives en vigueur.

A titre d’exemple, le personnel affecté aux tâches de contrôle de la conformité a augmenté de 160% à 300% dans certains établissements suisses.

Missions du « compliance officer »

Au sein d’une compagnie d’assurance, le «compliance officer» doit vérifier en particulier que :

• la société fonctionne conformément aux standards exigés,
• la société assure des services de qualité aux clients,
• les assurés et le public en général obtiennent une information claire et précise,
• les documents délivrés aux assurés sont complets, bien rédigés, conformes au Code des assurances et à la réglementation,
• les sinistres sont payés à temps,
• toutes les remarques des assurés et des victimes sont prises en considération.