Antedecents

Les taxes de descompte a utilitzar en les mesures exigides per IFRS 17 són un dels aspectes en què la norma té més diferències i conseqüències, principalment degut a:

• No estan determinats per la pròpia norma (Solvència II) sinó que han de ser determinades per la pròpia entitat.
• Poden dependre del tipus de fluxos per la mesura dels quals s’estan emprant: fluxos nominals certs per divisa (enfoc Solvència II), fluxos amb inflació, fluxos que depenen del rendiments dels actius subjacents o fluxos amb major/ menor liquiditat.
• No només son emprades per a determinar els valors actuals que es registren en el Balanç (Solvència II) sinó que també determinen determinades partides del compte de resultats.
• Diversos punts d’ancoratge depenent del model emprat o l’objecte de la mesura: actuals (l’únic que coincideix amb Solvència II), ‘’at inception’’, ‘’at ocurrence’’.

En el present article desgranarem cada un dels quatre punts anteriors, tenint sempre com a referència el món de Solvència II degut al seu ampli coneixement ja per la comunitat actuarial. Si bé és cert que tots els punts anteriors estan interrelacionats entre sí, els analitzarem per separat en nom de la simplicitat.

Determinació de la tassa de descompte

A diferència de l’establert per l’ EIOPA, l’IASB no ha establert una metodologia concreta i no té previst, ni molt menys, publicar en els primers dies de cada mes un detall de les taxes de descompte per divisa aplicables.

Contràriament, l’IASB ha establert únicament els principis, la determinació per cada entitat de les taxes de descompte aplicables i que podem resumir en:

1. Enfocament ‘’Top-Down’’: es basa en partir del rendiment d’una cartera d’actius, el més similar possible als passius per als quals s’emprarà, i s’eliminarà/ajustarà tots aquells aspectes no rellevants en dita mesura, especialment, el risc de crèdit esperat i no esperat dels actius. La pròpia norma diu que a l’escollir la cartera d’actius, serà recomanable escollir una cartera d’actius la semblança de la qual amb els passius minimitzi la necessitat dels ajustos esmentats, per exemple pel que fa a moneda, duració o liquiditat.
2. Enfocament ‘’Bottom-Up’’: a partir d’una corba de rendiments lliure de risc i ajustar-la en funció de la liquiditat dels passius a mesurar.

La pròpia norma reconeix que, encara quan es permet que en l’enfocament ‘’Top-Down’’ s'utilitzi un ajust per liquiditat, en la pràctica pot resultar molt difícil que ambdós enfocaments arribin a una mateixa corba degut a l’ús d’ajustaments que no son determinables en base a preus de mercat observables i, per tant, no requereix a les entitats que efectuïn una reconciliació entre ambdós enfocaments.

Taxes de descompte en funció dels tipus de fluxos a mesurar

Una altra de les diferències evidents amb Solvència II és que, en aquesta darrera, al determinar-se una única taxa de descompte per moneda, que ha de ser aplicable a tots els tipus de fluxos que neixen dels contractes de segur, independentment de si es tracta de fluxos que varien en funció dels actius subjacents o de si són fluxos que varien amb la inflació, per exemple. La valoració en Solvència II exigeix que prèviament, aleshores, aquests fluxos siguin ajustats per a convertir-los en fluxos nominals fixos per a que, una vegada convertits en fluxos fixes, descomptar-los amb una corba congruent amb dita tipologia.

En IFRS17, sens dubte, aquesta transformació de fluxos no és ni molt menys obligada, doncs ens permet emprar una corba diferent en funció de la tipologia dels fluxos a mesurar:

1. Si els fluxos son nominals certs, la corba descrita en el punt anterior.
2. Si els fluxos varien en funció dels actius subjacents, una corba que reflecteixi tal variabilitat.
3. Si els fluxos estan referits a la inflació, una corba de rendiments reals.

No obstant, cal puntualitzar que:

1. Donant que, per al cas que els fluxos que varien en funció dels actius existeix l’opció d’ emprar una corba diferent o bé ajustar dits fluxos per a convertir-los en nominals, la lògica operativa sembla indicar que resulta molt més eficient emprar el darrer i fer servir una única corba per a tots els fluxos del contracte. I més quan, normalment, els fluxos esmentats vinguin acompanyats per garanties d’interès mínim la mesura dels quals també exigeix la norma, per la qual cosa gairebé és obligat l’ús de tècniques estocàstiques en què és més habitual l’ús de les corbes de descompte de fluxos de nominals certs.
2. Pel que fa a la inflació, sembla que la norma s’inclina per l’ús d’una corba diferent, si bé, no sembla descabellat pensar que la tècnica de l’ajustament dels fluxos és igualment vàlida en aquest, doncs, dit ajustament en aquest cas és molt més simple i directe, la qual cosa ens cal pensar que no es cita expressament en la norma per evident, i no perquè es vulgui evitar el seu ús.

Ús de la taxa de descompte

A més de per efectuar el càlcul dels valors actuarials dels passius i actius per contractes de segurs, la ‘’LRC’’ i la ‘’LIC’’ en els acrònims de la llengua anglesa, el qual seria equivalent a l’ús que se li dóna a la corba en la determinació del BEL en Solvència II, en IFRS 17 la taxa de descompte s’usa també per:

1. Per a l’acreditació dels interessos sobre el Marge de Servei Contractual, el ‘’CSM’’ en el seu acrònim anglès, en els contractes sense participació directa, és a dir, aquells mesurats pel model ‘’BBA’’ en el seu acrònim anglès (d’ara endavant, contractes BBA).
2. Per a mesurar el valor actual dels canvis en els fluxos futurs que afecten al ‘’CSM’’.
3. Per al registre de la despesa financera per assegurances reconeguda en ‘’Pèrdues i guanys’’ relacionat amb la revaloració de la ‘’LRC’’ en contractes BBA, o mesurats per l’enfocament simplificat de primes o ‘’PAA’’ per les seves sigles en anglès (d’ara endavant, contractes PAA) en què hi hagi un component significatiu de finançament.
4. Per al registre de la despesa financera per assegurances reconegut en ‘’Altres resultats integrals’’ relacionat amb la revaloració de la ‘’LRC’’ en contractes BBA, si l’entitat ha optat per dita opció.
5. Per al registre de la despesa financera per assegurances relacionada amb la revaloració de la ‘’LIC’’ reconegut en ‘’Pèrdues i guanys’’ o, si s’ha optat per aquesta opció, en ‘’Altres resultats integrals’’.

Punts d’ancoratge en la taxa de descompte

A diferència de Solvència II, en què la taxa de descompte només té un punt d’ancoratge o referència, la de la data de valoració corresponent, en IFRS17 existeixen diversos punts d’ancoratge o de determinació de la corba de descompte, així:

1. Corba ‘’inception’’: és la corba de descompte de valors futurs que es determinen en el moment de reconeixement inicial dels contractes. Donat que la mesura de IFRS17 no es fa habitualment a nivell de contracte sinó com a grup de contractes, normalment un grup de contractes comprendrà contractes emesos durant un any, cohort anual, per la qual cosa la determinació de la corba ‘’inception’’ d’aquest grup en qüestió haurà de realitzar-se mitjançant la mitjana ponderada. S’usa per a:
   1. La valoració inicial del contracte, i per tant , el càlcul del ‘’CSM’’ inicial en els contractes BBA o contractes amb participació directa, ‘’VFA’’ per les seves sigles en anglès (d’ara endavant, contractes VFA) i, en el seu cas, del ‘’Loss Component’’.
   2. Per a l’acreditació dels interessos sobre el Marge de servei Contractual, el ‘’CSM’’ pel seu acrònim en anglès, en els contractes BBA.
   3. Per a mesurar el valor actual dels canvis en els fluxos futurs que afecten al ‘’CSM’’ en els contractes BBA.
   4. Per a calcular l’evolució de la ‘’LRC’’ en contractes PAA en què hi hagi un component significatiu de finançament.
   5. Per al registre de la despesa financera per assegurances reconeguda en ‘’Pèrdues i guanys’’ relacionada amb la revaloració de la ‘’LRC’’ en els contractes PAA en què hi hagi un component significatiu de finançament.
   6. En cas que la mesura de la ‘’LIC’’ o de la ‘’LRC’’ de contractes BBA, quan per al porfoli s’escull l’opció ‘’OCI’’, per a calcular la quantia de la despesa financera per assegurances reconeguda en ‘’Pèrdues i guanys’’ relacionada amb la revaloració de la ‘’LRC’’. En cas d’aquells contractes BBA, els fluxos dels quals varien substancialment als prenedors en funció de les hipòtesis financeres, quan es produeix un canvi en dites hipòtesis que afecten als fluxos, la corba ‘’inception’’ s’adapta en funció de dites hipòtesis financeres, l’anomenarem corba ‘’inception modificada”.
2. Corba ‘’current’’: és al corba de descompte de fluxos futurs que es determina en cada data de tancament. Al tenir una data fixa, no és necessari l’ús de mitjanes. S’utilitza per a:
   1. La valoració en la data de referència de tots els fluxos de caixa futurs, incloent-hi l’ajustament per risc, inclosos en la ‘’LRC’’ i la ‘’LIC’’ (tots els models).
   2. Per a mesurar el valor actual dels canvis en els fluxos futurs que afecten al ‘’CSM’’ en els contractes VFA.
   3. Referida al període de tancament immediatament anterior, per al registre de la despesa financera per assegurances reconeguda en ‘’Pèrdues i Guanys’’ relacionada amb la revaloració els fluxos de caixa futurs, inclòs l’ajustament per risc, inclosos en la ‘’LRC’’ dels contractes BBA i la ‘’LIC’’ (tots els models), si no s’ha exercit l’opció ‘’OCI’’.
   4. Referida al període de tancament immediatament anterior i per diferència amb la corba ‘’inception’’ o ‘’inception’’ modificada, en el seu cas, per al registre de la despesa financera per assegurances e reconeixement en ‘’Altres Resultats integrals’’ relacionat amb la revaloració els fluxos de caixa futurs, inclòs l’ajustament per risc, inclosos en la ‘’LRC’’ i la ‘’LIC’’ dels contractes BBA si s’ha exercit l’opció ‘’OCI’’.
   5. Referida al període de tancament immediatament anterior i per diferència amb la corba ‘’ocurrence’’ (definida en el punt c) a continuació), per al registre de la despesa financera per assegurances reconeguda en ‘’Altres Resultats integrals’’ relacionada amb la revaloració­ els fluxos de caixa futurs, inclòs l’ajustament per risc, inclosos en la ‘’LIC’’ dels contractes PAA o VFA, si s’ha exercit l’opció ‘’OCI’’.
3. Corba ‘’ocurrence’’: es tracta de la corba ‘’current’’ determinada en el moment de l’ocurrència del sinistre. S’usa per al registre de la despesa financera per assegurances reconeguda en ‘’Pèrdues i Guanys’’ relacionada amb la revaloració els fluxos de caixa futurs, inclòs l’ajustament per risc, inclosos en la ‘’LIC’’ dels contractes PAA o VFA, si s’ha exercit l’opció ‘’OCI’’.
4. Corba ‘’return’’: l’incloem en aquest apartat per motius d’integritat, per a tenir registrat el funcionament de tots els moviments que afecten als estats financers, si bé no es tracta d’una corba com a tal, doncs no reflexa el valor temporal del diner futur, sinó la rendibilitat dels actius subjacents des del període de tancament immediatament anterior. S’utilitza per a calcular la revaloració de la ‘’LRC’’, inclòs el ‘’CSM’’, en els contractes VFA així com la despesa financera per assegurances. En el cas d’emprar l’opció ‘’OCI’’, a l’hora de determinar la quantitat de despesa en ‘’Pèrdues i Guanys’’ haurà d’igualar-se, com a mirall, la quantitat registrada a “Pèrdues i Guanys” pels actius subjacents, portant la resta a “Altre resultat integral”.

Als efectes d’aquest punt, ha d’entendre’s que tot el que es refereix a la mesura de la ‘’LRC’’ en els contractes BBA és d’aplicació igualment als contractes PAA quan, i mentre, aquests siguin onerosos.

Tot l’anterior és aplicable als grups de contractes nascuts amb posterioritat a la data de transició. Per als anteriors, també serà d’aplicació si s’empra el ‘’Full Retrospective Approach’’, mentre que per al ‘’Modified Retrospective Approach’’ i el ‘’Fair Value Approach’’ es permeten determinades simplificacions a l’hora de determinar la corba ‘’inception’’.

Tots els actuaris del món han estudiat les fórmules de la renda vitalícia. Donat un capital, unes probabilitats de supervivència i un tipus d’interès financer, es pot calcular quina és la renda periòdica que correspon percebre al pensionista. Els càlculs es fan anualment o mensualment i, a la pràctica, cal posar un recàrrec de seguretat per possibles desviacions.

En la fórmula de la renda vitalícia, el capital ve donat per l’estalviador, el tipus d’interès financer per algun tipus de referència normalment lligat a la renda fixa, però el gran maldecap sempre són les probabilitats de supervivència. Com les aproximem? Què passaria si augmentés molt la longevitat del col·lectiu? Aleshores, si la desviació fos molt elevada, no seria possible pagar la renda completament. Aquesta darrera qüestió concreta és el que s’anomena el “risc de longevitat” dels plans de pensions i la pregunta que ens fem és com cobrir-lo.

Sorprenentment, resulta que són les tontines, un invent de fa 300 anys, les que ens estan aportant solucions innovadores a l’era digital. Al segle XVII, les tontines eren operacions vitalícies que consistien en reunir capital d’uns inversors que només cobrarien al cap d’una anys, si sobrevivien. Posem per exemple que hi hagués 100 inversors d’inici, si al final només n’eren 10, el capital total es repartia entre els 10 supervivents i per tant, suposava un suculent rendiment per als afortunats. Veiem amb una mica més de detall com i per què tornen a estar de moda les tontines  avui, i quin nom ens hem inventat per pal·liar la seva mala fama. I ja que ens hi posem, parlem de l’origen d’aquesta mala fama.

L’esquema de piràmide inversa que suposa una tontina és el seu principal atractiu, ja que són molts els inversors inicials i molt pocs els perceptors finals. Només per aquest fet i sense que calgui un rendiment financer excessiu, ja hi ha un guany esperat positiu estrictament. La desgràcia que van tenir les tontines va ser la picaresca que es va crear al seu voltant quan es van posar en funcionament. Per a poder cobrar els rendiments, tothom tenia interès a ser l’únic supervivent i per tant, hi havia hagut inversors assassinats. Aquesta mala fama surt reflectida a molts relats de ficció de sobres coneguts. Sense anar més lluny hi ha un episodi dels Simpson que relata com uns ex-combatents, companys de l’avi Simpson que havien organitzat una tontina on només l’últim supervivent de tots ells es podria quedar amb una col·lecció d’obres d’art botí de la II Guerra Mundial, lluiten per eliminar l’avi, per a què no sigui el darrer i es faci ric. Hi ha una pel·lícula clàssica del 1968, traduïda com a “La caja de las sorpresas (The Wrong Box)” que, amb el fi humor anglès i protagonitzada per Michael Caine, explica la lluita de dos germans que s’odien per aconseguir l’herència d’una tontina quan ja només queden ells. Una altra història, aquesta real i que donaria per tot un article sencer, és la que protagonitza un noi de Harvard a principis del segle XX. James H. Hyde va provocar la desaparició de l’Equitable Life Insurance i a més a més, com a conseqüència, als Estats Units es van prohibir les tontines. No és així a Europa, on segueixen essent legals i regulades per les directives d’assegurances, contràriament a una creença generalitzada que no és així.

Al llarg de les últimes dècades, la investigació en ciències actuarials ha buscat formes de tenir controlat el risc de longevitat. Si fem un breu resum del què va donar de sí el segle XX com a possibles solucions a les desviacions en les projeccions de mortalitat dels plans de pensions en trobarem dues. La primera és fer un contracte de reassegurança, on les rendes vitalícies del grup quedin garantides de forma permanent. Els contractes de cobertura del risc de longevitat tenen com a finalitat eliminar el risc de l'augment dels costos associats a l’increment no previst de l’esperança de vida, és a dir, que els membres del col·lectiu visquin sistemàticament més del planificat. És una solució cara. La segona, són els bons de longevitat. Es tracta d'un instrument de deute financer, on els fluxos d'efectiu futurs del capital invertit, o del cupó, depenen de la materialització d'un índex de supervivència dins d'un grup de població seleccionada. Si la supervivència es manté dins els límits previstos, els inversors en els bons de longevitat cobren els seus rendiments, però si la supervivència es dispara, els rendiments dels bons van als fons de pensions per a garantir el pagament de les rendes, mentre que els inversors no perceben retorns. Els bons de longevitat són un clar exemple de solució enginyosa a les desviacions de les taules de mortalitat i supervivència, però paradoxalment, també són un clar exemple del fracàs comercial de la nostra professió d’actuaris. Els bons de longevitat es van crear amb moltes expectatives, però van estavellar-se de manera estrepitosa, perquè no hi va haver resposta per part dels inversors. El conflicte d’interès dels reasseguradors a l’hora d’admetre que els bons de longevitat són una alternativa directa per a la transferència del risc que entra en col·lisió amb els seus propis productes és evident, però sorprèn que els reasseguradors tampoc ajudessin a popularitzar els bons de longevitat una forma de canalitzar el risc a tota la societat. Avui ja sabem que els inversors no aposten pels bons de longevitat. I una de les raons de pes per a justificar que els bons de longevitat mai triomfessin és que el seu termini és massa elevat i la seva incertesa és excessiva. Són operacions llargues i sempre hi ha l’expectativa que els avenços mèdics allargaran la vida molt substancialment, la qual cosa jugaria en contra de l’inversor. La incertesa espanta, ja se sap.

Vista la situació, ara és quan la ciència actuarial retrocedeix quatre segles enrere per trobar un banquer italià nascut a Nàpols anomenat Lorenzo di Tonti, el suposat inventor de les tontines. La mateixa idea que tenia ell és la que avui es posa al servei del risc de longevitat. És molt fàcil d’entendre. De tots els participants en un pla de pensions, aquells que moren deixen com a llegat a la resta de supervivents tot, o part, del seu estalvi no consumit. D’aquesta forma, la resta del col·lectiu percep un rendiment extra-financer que correspon al fet que hi ha un supervivent menys al grup i més capital. Les formes de repartir aquest llegat són molt diverses, es pot fer de cop, o assignant una nova renda vitalícia a cada membre del grup de forma proporcional a la seva contribució al fons de pensions. D’aquesta manera, el supervivent sempre percep més del què estaria previst en el càlcul de la renda vitalícia, però aquesta renda oscil·la perquè està en funció de quants participants segueixen vius i de l’actualització del càlcul que es faci anualment. No hi ha una garantia, però només pel fet de no haver de cobrir el risc de longevitat, hi ha diferència en les rendes efectives que es poden cobrar amb aquest mecanisme. Té una gran simplicitat i seria un encert que el nostre col·legi en fes bandera.

Hi ha hagut dos grups d’actuaris al món que han contribuït a fer possible la implementació del mecanisme de tontina a les pensions privades, un a Austràlia i un altre al Regne Unit, en el que he pogut participar.  Ens trobem davant una fita, que vol superar la mala experiència dels bons de longevitat. Cada cop hi ha més defensors de les tontines modernes, i a nivell de les entitats, una lluita per a ser al capdavant d’aquesta nova tendència.

Una de les qüestions cabdals és com trobar un nom atractiu per a aquests productes. En anglès s’han anomenat “pooled annuity funds” i diferents variants. La meva proposta inicial va ser anomenar-los “plans de pensions solidàries”, però sembla que el nom que està agradant és “plans de pensions agrupats”, que és una traducció més literal, on potser caldria dir “plans de pensions agrupades”, en femení, perquè són les pensions i no els plans les que es compensen entre elles. La noció de solidaritat les nostres entitats el troben millor per indicar com es fan les inversions del pla de pensions, per exemple en empreses sostenibles i amb valors socials. El nom final hauria de venir a dir que existeix una agrupació solidària dels participants del pla sobre com fer front a les desviacions de supervivència.

Sembla que les idees més senzilles són les que tenen més èxit. I en aquest cas, aparentment tot fa pensar que és així, però en canvi, la materialització d’una tontina a l’era digital requereix un esforç computacional molt elevat. Si entrem ja en els detalls, els especialistes han inventat un concepte nou per als actuaris que és l’anomenat “instant actuarial fairness”, que vol dir que a cada moment hi ha un equilibri actuarial en el producte. Hi ha alguns estudis recents que parlen de diferències esperades en les rendes a percebre de fins a un 20% a partir de les edats més elevades, només pel sot fet de retenir dins el col·lectiu les desviacions de supervivència en la fórmula del càlcul de la renda vitalícia. Les possibilitats de les noves formes de tontina són infinites i, sobretot, alliberen l’entitat asseguradora de la retenció del risc de longevitat i, per extensió, dels requeriments de capital associats als compromisos adquirits per pensions, que solen ser a molt llarg termini i estan molt penalitzats per la regulació de solvència. Cal dir que els plans de pensions agrupades (o solidàries, com més us agradi), són el terreny que volen guanyar les empreses de fintech, ja que tenen uns costos de gestió molt baixos i poden competir amb força amb els plans de pensions tradicionals. L’anonimat pot afavorir aquesta cursa, ja que avui dia no es coneixen els altres subscriptors, i sembla que la digitalització i les noves tecnologies podrien arreglar l’únic problema que tenien les tontines: el saber quins eren els supervivents que quedaven vius. Però cal una bona regulació que entengui que podríem estar parlant de compartir el risc de longevitat amb persones de tot arreu del món i ni tan sols de la mateixa edat actuarial exacta.

Les tontines entren amb vigor a l’era de les pensions digitals per totes les raons anteriors. Hi ha qui diu que no poden substituir les rendes vitalícies, perquè no garanteixen el pagament d’una renda constant fins al final de la vida i per tant no tenen la component asseguradora que caldria, però aquesta opinió és excessivament simplista. Un cop admès que som al món dels productes asseguradors-financers de nova generació, les combinacions possibles són innombrables i ens auguren una veritable revolució en la forma de pensar les pensions privades.

Tornant a la fórmula del principi, i per aquells que estimem l’art de la quantificació, cal pensar les noves pensions com un increment del denominador en el càlcul del valor actual. És a dir, com una modificació que fa més assequible la renda vitalícia o bé que dóna més renda pel mateix capital inicial. I com ho fa? Doncs aconseguint rendiments superiors als previstos amb la solidaritat dels participants que es beneficien de la seva pròpia longevitat, a canvi del compromís de cedir capital si cessen i d’acceptar un petita oscil·lació en la renda vitalícia, en tot cas molt inferior a la que tindria una renda purament financera. Els estudis prospectius que hem realitzat ens indiquen que en els últims anys de la vida, els supervivents més longeus amb les noves fórmules tenen un fort increment de rendiments, i és precisament aquest fet el que fa atractius aquests productes, perquè és en els pensionistes molt grans, sovint amb problemes de dependència, valoren que les rendes de les seves pensions siguin més elevades.

El risc cibernètic és més viu que mai. Hi estan exposades no només les empreses, sinó també les persones. Tot i que els atacs més maliciosos que han tingut lloc fins ara van ser el 2017, aquest 2019 continuen estant en el top cinc de riscos més probables del món.

Fins a l’actualitat, el Ransomware més important ha estat el Wannacry. Va passar el 12 de Maig del 2017. Va afectar més de 600 empreses a Espanya, entre d’altres Telefonica. Fora d’aquí, va afectar 150 països, va deixar unes 200.000 víctimes, i ha posat en suspens milions d'empreses a tot el món. En l’àmbit europeu, Renault va haver de paralitzar les fàbriques d'automòbils de França i Romania per evitar la propagació del ciberatac, i així ho va fer també Nissan amb la seva fàbrica a Sunderland, al Regne Unit. Milers d'hospitals i clíniques del Servei Nacional de Salut britànic van ser atacats.

També en va ser víctima l'operador ferroviari alemany Deutsche Bahn, que va veure com s'infectaven els panells de les seves estacions. Com a curiositat, podem dir que va tenir dos “errors”: el primer, que el Kill switch (és com un botó de fre d’emergència, que permetia paralitzar la seva activitat i impedia que el ramsomware iniciés el xifrat de tots els arxius, encara que hagués infectat l'equip) afortunadament no estava ben protegit i va poder ser habilitat per algú extern. Un altre error en les primeres versions del ransomware va ser que els ciberdelinqüents no haurien pogut identificar les víctimes que paguessin el rescat, ja que no emmagatzemaven l'identificador del "client" que havia abonat el pagament. De tota manera, per la repercussió que va tenir, no és dels sinistres que més recaptació ha tingut. Els tres primers dies es van recaptar 30.000 euros i en uns mesos se’n van recollir 115.000. Encara que l’impacte econòmic sí que va provocar pèrdues de 200 milions d’euros.

Petya, l’altre gran ransomware

L’altre gran Ransomware també va ser el 2017, poc després del Wannacry: el 27 de juny, amb el nom de Petya. Aquest no va ser un ransomware típic, ja que era un instrument de destrucció i no d’extorsió. Les empreses de seguretat van informar que no es podien desxifrar i es va produir un dany permanent al disc dur. És un dels motius perquè es creu que va ser un atac patrocinat per algun govern. El país més afectat va ser Ucraïna, on fins i tot el mateix Banc Nacional en va sortir perjudicat. Va afectar les principals agències governamentals i operacions a Ucraïna i Rússia i a una sèrie d’empreses a Europa i als Estats Units, com l’aerolínia holandesa Maersk, el bufet internacional DLA Piper o la multinacional alimentària Mondelez.

Els sectors més afectats van ser serveis financers, transport, energia, manufactureres i serveis professionals, entre d’altres.  En la majoria dels casos, l’atac va provocar la suspensió de les operacions i una important interrupció dels negocis.

Però encara que els dos principals Ramsonware van ser el 2017, això no vol dir que el Risc Cibernètic sigui actualment un risc controlat, ni molt menys. De fet, és considera el risc del futur i cap empresa està fora de perill, independentment de les dimensions que tingui o del sector d’activitat.

Segons l’informe de riscos mundials del 2019, que elabora l’associació el Foro Econòmic Mundial (WEF) en col·laboració de Marsh & McLennan Companies i Zurich Insurance Group, el frau i robatori de dades massiu se situa en el número quatre de risc mundial per probabilitat, i els atacs cibernètics estan situats en el número cinc. Això manté un patró que ja es va registrar l'any passat, amb la consolidació de la posició dels riscos cibernètics al costat dels riscos ambientals en el quadrant d'alt impacte i alta probabilitat del panorama de riscos mundials.

Aquest és un Mapa de les interconnexions dels riscos mundials el 2019.

Una gran majoria dels enquestats per fer l’informe va considerar que hi haurà un increment en els riscos d'atacs cibernètics en el 2019, i que això conduirà al robatori de diners i dades (un 82 %) i a la interrupció de l’activitat (un 80 %). L'enquesta reflecteix com la integració creixent de les tecnologies digitals en tots els aspectes de la vida està causant inestabilitats noves. Al voltant de dos terços dels enquestats consideren que els riscos associats a les notícies falses i el robatori d'identitats augmentaran en el 2019, mentre que tres cinquenes parts van opinar el mateix sobre la pèrdua de privacitat en favor de companyies i governs.

L’any passat, els atacs cibernètics maliciosos i els protocols de seguretat cibernètica negligents van tornar a donar lloc a filtracions massives d'informació personal. La més gran es va produir a l'Índia, on la base de dades d'identificacions del govern, Aadhaar, va informar haver sofert múltiples filtracions que potencialment van posar en risc els registres de 1.100 milions de ciutadans inscrits. Al gener es va informar que hi havia delinqüents venent accés a la base de dades a un preu de 500 rúpies per entrar-hi 10 minuts. I al març, una filtració en una companyia de serveis públics estatal va permetre que qualsevol pogués descarregar noms i números d'identificació.

En altres llocs, les filtracions de dades personals van afectar al voltant de 150 milions d'usuaris de l'aplicació MyFitnessPal, i al voltant de 50 milions d'usuaris de Facebook.

Les vulnerabilitats cibernètiques poden provenir de direccions imprevistes, com es va fer evident el 2018 amb les amenaces de Meltdown i Spectre, que estaven relacionades amb febleses en el Hardware, en lloc del software, i a través dels quals era possible robar dades que emmagatzemaven els programes que operaven en aquests equips.

El juliol del 2018, el govern dels Estats Units va declarar que els pirates informàtics havien obtingut accés a les sales de control de les companyies de serveis públics
estatunidencs.

El març del 2019, l’empresa Norsk Hysro ASA, un dels majors productors d’alumini del món, va patir interrupcions de producció després que un atac cibernètic afectés les operacions a tot Europa i als EUA. Un software maliciós havia bloquejat el seu sistema i per recuperar-lo havien de pagar un rescat. L’empresa va indicar que la seva assegurança de Cyber estava recuperant les dades fent servir les còpies de seguretat.

El maig del 2019, el web encarregada de fer les reserves de l’Alhambra va ser atacat i van quedar al descobert dades personals i financeres de milions de visitants i d’un miler d’agències de viatges.

I en tot aquest entorn, s’afegeix l’aprenentatge de les màquines o la intel·ligència artificial (IA), que s’està tornant més sofisticada, amb potencial de creixement per incrementar els riscos existents o crear-ne de nous a Internet, on es connecten milers de milions de dispositius.

Sinistralitat en Espanya

Centrem-nos ara en la part asseguradora, mirant les xifres de sinistralitat: Espanya va patir 102 ciberatacs greus el 2018, i el gener del 2019 el CNI va tenir constància de 4.000 ciberincidents, comparats amb els 38.000 de tot el 2018.

A l’actualitat, les empreses estan donant prioritat a la prevenció: milloren les mesures tècniques de seguretat, redacten polítiques de seguretat, fan formació als treballadors per saber què es pot fer i què no amb els dispositius corporatius, analitzen si disposen de mesures tècniques suficients per protegir els actius i la informació, i compleixen la normativa vigent, un punt de gran rellevància amb el compliment de la nova llei RGPD de maig del 2018.

A més de l’assegurança de Cyber, també cal tenir coneixement d’altres assegurances complementàries, com ara l’Assegurança d’Administradors i Directius (D&O), que cobreix les responsabilitats que tenen en la presa de decisions davant l’empresa, com ara l’estratègia de Ciberseguretat.

Una altra assegurança que ja existia molt abans que les pòlisses de Cyber són les pòlisses de frau, que actualment estan patint una sinistralitat molt elevada. El mercat assegurador està treballant per incloure dins de l’assegurança de Cyber una cobertura parcial de frau, per cobrir les pèrdues financeres directes dels atacs o suplantacions d’identitat. També és important revisar les pòlisses de danys materials, perquè incloguin incidents de Ciberseguretat, ja que fins ara els mercats tradicionals de danys materials no incloïen aquesta opció.

Per últim, i també depenent de l’activitat, és necessari revisar les clàusules de les pòlisses de Responsabilitat Civil Professionals, per evitar duplicitats o buits de cobertura derivades d’errors professionals en la prestació de serveis. Això té especial rellevància per a les professions tècniques, com els desenvolupadors de software o qualsevol proveïdor tecnològic.

Per tot plegat, podem concloure que el risc cibernètic és més viu que mai i és un risc que pot afectar totes les empreses i també persones. Entre les solucions que ofereix el sector assegurador, hi ha diverses pòlisses, principalment la pòlissa de ciber. Però s’ha de fer una anàlisi de riscos en profunditat en funció de les necessitats de cada empresa, del seu sector d’activitat i de la maduresa.

Conceptes importants

Ciberrisc: Qualsevol risc de pèrdua financera, interrupció o mal a la reputació d'una organització a causa d'algun tipus de fallada dels  sistemes d’informació.

Ciberseguretat: Àrea relacionada amb la informàtica i la telemàtica que s’enfoca en la protecció de la infraestructura i tot el que hi té relació, especialment, la informació continguda en un ordinador o a través de les xarxes d’ordinadors. Per això existeixen una sèrie d’estàndards, protocols, mètodes, regles, eines i lleis  concebudes per minimitzar els possibles riscos a la infraestructura o a la informació. La ciber seguretat comprèn software (bases de dades, arxius), hardware, xarxes de computadores i tot el que l’organització valori i signifiqui un risc si aquesta informació confidencial arriba a mans d’altres persones, sent per exemple informació privilegiada.

Hacker: Sovint aquest terme es malinterpreta i se li dona un component negatiu, quan realment no és així. La definició més literal és tot individu que es dedica a programar de forma entusiasta, o sigui un expert entusiasta de qualsevol tipus,​ que considera que posar la informació a l'abast de tots constitueix un bé extraordinari.

Ciberdelinqüència: Qualsevol activitat delictiva que involucra un ordinador, un dispositiu en xarxa o una xarxa. La majoria dels delictes informàtics es duen a terme per generar beneficis per als delinqüents informàtics, però també n’hi ha uns altres que utilitzen ordinadors o xarxes per difondre malware, informació il·legal, imatges o altres materials. Alguns delictes informàtics fan totes dues coses, és a dir, es dirigeixen als ordinadors per infectar-los amb virus, que després es propaguen a altres ordinadors i, de vegades, a xarxes completes”

Malware: Software maliciós, està especialment dissenyat per obtenir accés a l’ordinador de l’usuari. Pot rastrejar els llocs que l’usuari visita i provocar accions que aquest pot ignorar per complet.

Ransomware: Tipus de malware que bloqueja l’ordinador i prohibeix accedir-hi fins que no es pagui un rescat exigit, que sol sol·licitar-se en Bitcoins.

En l’actualitat, la capacitat d’absorció de pèrdues dels impostos diferits no disposa de normes de valoració que assegurin un tractament homogeni per part de les Entitats Asseguradores, podent diferir àmpliament els models de justificació i, per tant, en els imports considerats per a dit ajustament, derivant a què el mercat espanyol sigui un dels que registra un major import en el capital de solvència obligatori.

A data de 31 de desembre de 2018, la capacitat d’absorció de pèrdues ha estat per primera vegada objecte de revisió.  Aquest fet, lligat a la incertesa reguladora, ha derivat a una disminució de la utilització de dita capacitat, ja sigui a través de modificacions en els models de justificació per a l’aplicació del criteri de prudència, recomanat pel revisor, o per la dificultat de desenvolupar els corresponents models de justificació.

Davant d’aquesta situació, el passat 18 de juny es va publicar el Reglament Delegat (UE) 2019/981, el qual modifica els articles 207, 260, 297 i 311, incorporant noves disposicions en relació a la capacitat d’absorció de pèrdues dels impostos diferits, el qual entrarà en vigor el pròxim 1 de gener del 2020.

Les modificacions esmentades regulen els aspectes bàsics del model de justificació de la capacitat d’absorció de pèrdues dels impostos diferits, tals com:

• Les hipòtesis a utilitzar en les projeccions post-estrès per a avaluar els beneficis imposables futurs provables.
• L’horitzó temporal a considerar per avaluar els beneficis imposables futurs provables.
• El tractament del nou negoci.
• La tassa de rendibilitat de les inversions.
• Tanmateix, regula altres aspectes del Sistema de Gestió de Riscos, tals com la necessitat d’establir la política de gestió de riscs en relació amb els impostos diferits tenint en compte la capacitat d’absorció de pèrdues de dits impostos diferits. En particular, haurà de determinar les responsabilitats en quant a l’avaluació de les hipòtesis subjacents utilitzades per la projecció dels beneficis imposables futurs.

Valoració de la capacitat d’absorció de pèrdues dels impostos diferits a considerar en el capitat de solvència obligatori

Abans de desenvolupar l’enfocament metodològic, és necessari introduir els conceptes que s’utilitzaran, donat que el terme «impostos diferits» s’utilitza en Solvència II en dos contextos: en primer lloc, per a descriure els elements del balanç de Solvència II i, en segon lloc, en connexió amb el càlcul de la capacitat d’absorció de pèrdues dels impostos diferits. Per evitar confusió, la Directriu, EIOPA-Bos-14/177, introdueix el terme «impost diferit nocional» per als elements utilitzats en el càlcul de l’ajustament del CSO per la capacitat d’absorció de pèrdues dels impostos. Per tant, d’ara endavant, entendrem per «impostos diferits nocionals» la suma dels productes de tots els tipus d’impostos pertinents i tots els canvis pertinents i significatius en les diferències temporals entre la valoració de Solvència II i la valoració per al càlcul dels impostos resultants de la pèrdua instantània.

D’aquesta manera, considerem únicament una sola tassa impositiva, del 25%, els impostos diferits nocionals es representen pel producte del tipus impositiu i les pèrdues descrites en l’article 207, apartat 1, de les Mesures d’execució.

L’enfocament indicat a continuació, s’ha desenvolupat a partir de les Directrius sobre la capacitat d’absorció dels impostos diferits,EIOPA-Bos-14/177.

La metodologia proposada, parteix d’una primera justificació a través dels passius per impostos diferits i, en cas que aquests no siguin suficients, del reconeixement de la capacitat d’absorció de pèrdues dels impostos diferits mitjançant beneficis futurs, tal i com es reflexa a continuació:

1. Reconeixement de la capacitat d’absorció de pèrdues dels impostos diferits mitjançant compensació
   
   • L’ Entitat reconeix els actius per impostos diferits nocionals segons la seva naturalesa temporal. El reconeixement es basa en la permissibilitat de la compensació dels actius per impostos diferits davant passius per impostos diferits anteriors, actuals o potencials.
   • En base aquest fet, ha de realitzar-se un primer estudi amb la finalitat d’avaluar si els passius per impostos diferits registrats en el Balanç Econòmic permeten justificar els actius per impostos diferits nocionals.
   • Per tant, les Entitats han d’avaluar si els passius per impostos diferits registrats en el balanç son suficients per a cobrir els actius per impostos diferits registrats en el Balanç de Solvència II, així com els actius nocionals (actius per impostos diferits generats per la pèrdua instantània (BSCR + Operacional). En cas que els passius per impostos diferits no fossin suficients, l’Entitat haurà de dur a terme l’avaluació dels beneficis futurs, amb la finalitat de justificar la capacitat d’absorció de pèrdues dels impostos diferits. En cas que aquests beneficis futurs no siguin suficients, s’haurà de limitar la capacitat d’absorció de pèrdues dels impostos diferits.
2. Reconeixement de la capacitat d’absorció de pèrdues dels impostos diferits mitjançant beneficis futurs
   
   • En cas que l’enfocament de compensació no resulti suficient per a reconèixer els actius per impostos diferits nocionals, ha de dur-se a terme un anàlisis amb la finalitat de reconèixer els actius per impostos diferits nocionals en la mesura en què sigui provable que existeixin suficients beneficis imposables futurs disponibles després de patir la pèrdua instantània.
   • Per a dur a terme el reconeixement de la capacitat d’absorció de pèrdues dels impostos diferits mitjançant beneficis futurs, en primer lloc, l’Entitat haurà de traslladar la pèrdua instantània als estats financers projectats conforme el pla comercial. És a dir, haurà d’establir-se una metodologia consistent i documentada del procediment seguir per l’Entitat per traslladar dita pèrdua instantània al primer exercici posterior al tancament de la valoració, d’ara endavant denominarem projecció post-estrès a aquest escenari.
   • Una vegada traslladada la pèrdua, han de projectar-se els estats financers fins l’horitzó temporal permès i conforme les hipòtesis establertes normativament, amb la finalitat d’obtenir els beneficis futurs que generaria l’Entitat una vegada produïda la pèrdua instantània.
   • En aquest punt, és on les modificacions del Reglament Delegat (UE) 2019/981 han incorporat una sèrie de limitacions, que generen diferències significatives entre els models implantats actualment en les Entitats i els models que hauran de desenvolupar per a complir els nous requisits normatius, essent les limitacions les següents:
     • No s’assumiran noves ventes de negoci, a part de les previstes a efectes de la planificació de l’activitat.
     • No s’assumiran noves ventes de negoci més enllà de l’horitzó temporal de la planificació de l’activitat i més enllà d’un màxim de cinc anys.
     • Quan l’horitzó temporal de les projeccions per als beneficiaris procedents de noves activitats sigui més ampli que l’horitzó temporal de planificació de la seva activitat, es fixarà per les projeccions un horitzó temporal limitat i s’aplicaran els descomptes adequats als beneficis de les noves activitats previstes més enllà de l’horitzó temporal de la planificació de l’activitat de l’empresa. S’assumirà que aquests descomptes augmentaran quant més en el futur es projectin els beneficis.
     • S’assumirà que la tassa de rendibilitat de les inversions, com a conseqüència de la pèrdua, és igual a la rendibilitat implícita dels tipus a termini derivats de l’estructura temporal pertinent de tipus d’interès sense risc obtinguda després de la pèrdua, tret que l’empresa d’assegurances o reassegurances pugui aportar proves fiables d’una rendibilitat provable per sobre de la rendibilitat implícita.
     • No s’aplicaran hipòtesis que siguin més favorables que les utilitzades per a la valoració i la utilització d’ actius per impostos diferits de conformitat amb l’article 15 del Reglament Delegat, és a dir, no es podran aplicar hipòtesis més favorables que les establertes en la planificació de l’activitat de l’empresa.
     • S’haurà de tenir en compte qualsevol disposició legal o reglamentària sobre els terminis aplicables a la compensació de pèrdues fiscals no utilitzades i de crèdits fiscals no utilitzats procedents d’exercicis anteriors.
       • “No s’assumiran noves vendes de negoci, a part de les previstes a efectes de la planificació de l’activitat ni més enllà d’un màxim de cinc anys’’
   • Un cop avaluats els beneficis futurs després la pèrdua instantània, s’ha de procedir a calcular l’import justificable d’absorció de pèrdues dels impostos diferits que l’Entitat pot justificar, tal i com es mostra a continuació:

     Projeccions Post - Estrès a 31/12/2018 - 000€	2019	2020	2021	2022	2023
     Resultat de l’exercici abans d’impostos	-28.394	7.234	8.564	9.232	9.467
     Impost sobre Beneficis (25%)		1.809	2.141	2.308	2.367
     Limitació Fiscal compensació BINS (segons volum Entitat)		50%	50%	50%	50%
     Impost Diferit Justificable (Resultat* 25% * 50% )		904	1071	1154	1.183
     Total Impost Diferit Justificable	-4.312

   • En aquest exemple, s’ha limitat l’horitzó temporal a la planificació de l’Entitat. Addicionalment, s’han considerat les limitacions fiscals en relació a la compensació de les bases imposables negatives.
   • En el moment de desenvolupar els models i considerar l’horitzó temporal és important tenir en compte la utilitat del mateix, que no és una altra que avaluar l’ajustament al capital de solvència obligatori per capacitat d’absorció de pèrdues, el qual ha de conservar el nivell de confiança del 99,5%, de manera que la incertesa dels beneficis futurs ha de ser minimitzada.

Impacte de les Modificacions del Reglament Delegat (UE) 2019/981 en el referent als impostos diferits

Les Entitats Asseguradores han d’afrontar un nou esforç en el referent a les exigències de capital, que podria minvar la solvència de l’Entitat en un moment ja altament complex, donat l’actual escenari de tipus baixos al que està sotmès el sector. Les Entitats hauran d’adaptar els seus models de justificació de la capacitat d’absorció de pèrdues dels impostos diferits als nous requeriments establerts en el Reglament Delegat i, en el seu cas, afrontar l’increment del Capital de Solvència Obligatori derivat de la disminució de l’ajustament per la capacitat d’absorció de pèrdues dels impostos diferits. Aquesta nova norma, en el que es refereix als impostos diferits, entrarà en vigor l’1 de gener de 2020, sens dubte, les Entitats hauran de dur a terme un anàlisis de l’impacte abans de la seva entrada en vigor, amb la finalitat de prendre les mesures oportunes per a seguir garantint la solvència de l’Entitat.

Considerem que el major impacte vindrà donat per les limitacions en l’horitzó temporal de les noves activitats, el qual no podrà sobrepassar la planificació de l’activitat de l’Entitat, amb un límit de cinc anys. Aquesta limitació comportarà una disminució dels beneficis del nou negoci, al veure’s limitat el seu horitzó temporal.

D’aquesta manera, algunes Entitats han estat considerant hipòtesis de reducció de despeses, increment de primes, etc. Una vegada produïda la pèrdua instant, amb la finalitat de reforçar-se patrimonialment. Sens dubte, la nova norma estableix que les hipòtesis en cap cas podran ser més favorables que els establertes en la planificació de l’activitat.

Sota el nostre punt de vista, aquesta nova regulació permetrà una certa homogeneïtzació i seguretat en els models a utilitzar per la justificació de la capacitat d’absorció de pèrdues. No obstant, encara hi ha aspectes pendents de regular que queden sota el criteri de l’Entitat, com pot ser el comportament de la sinistralitat, del prenedor, de les despeses d’explotació, entre d’altres.