Antecedents

El passat 28 de desembre del 2020 va ser publicada al BOE la resolució del 17 de setembre del 2020 de la Dirección General de Seguros y Fondos de Pensiones, relativa a les taules de mortalitat i supervivència a utilitzar, i per la qual s’aprova la guia tècnica relativa als criteris de supervisió en relació amb les taules biomètriques i sobre determinades recomanacions per a fomentar l’elaboració d’estadístiques biomètriques sectorials.

El conjunt de normes vigents fins al passat 28 de desembre, quan es va publicar aquesta resolució, mantenien l’aplicabilitat de les taules de supervivència GRM/F-95, així com les taules generacionals espanyoles de supervivència masculina/femenina PERM/F-2000 i l’ús de les taules GKM95 i GKF95 a efectes del càlcul de les provisions tècniques comptables.

No obstant això, i tal com estableix la normativa, el final del període d’observació considerat per l’elaboració de les taules de mortalitat, de supervivència, d’invalidesa i de morbiditat, no pot ser anterior en més de vint anys en data del càlcul de la provisió. Essent així, el període d’observació de les taules per assegurances de supervivència GR95 i PER2000 i les taules per assegurances de vida-risc GK95 ja excedien els límits establerts, sense que es puguin considerar admissibles.

D’aquesta manera, i si bé les taules PASEM2010 compleixen els requisits sobre el període d’observació, l’anàlisi de l’experiència biomètrica disponible converteix aquestes taules en inadequades per a la protecció dels interessos dels prenedors, assegurats i beneficiaris.

És per tot això que, d’ençà del venciment del termini de 20 anys des de l’últim any d’observació, es van iniciar els passos per actualitzar les taules biomètriques, finalitzant aquest procés en qüestió amb la publicació de la resolució del 17 de desembre de 2020, per la qual s’actualitzen les taules biomètriques i s’estableixen els criteris de supervisió en relació amb les taules biomètriques, i sobre determinades recomanacions per a fomentar l’elaboració d’estadístiques biomètriques sectorials.

Noves Taules Biomètriques

Les noves taules biomètriques tenen com a objectiu garantir la suficiència de les provisions tècniques que acumulen les entitats asseguradores per a fer front a les seves obligacions per assegurances de vida i que els preus de les assegurances s’elaborin sobre bases tècniques transparents i justes. Com a resultat, s’han elaborat les següents taules biomètriques que diferencia per gènere, per tipologia de cartera (individual/col·lectiu), i per raó de càlcul (1r Ordre i 2n Ordre).

Taules biomètriques de longevitat (supervivència):

• PER2020_Col 1r i 2n Ordre: Assegurances de supervivència de col·lectius. PER2020_Ind: Assegurances de supervivència individuals.
• PER2020_Ind 1r i 2n Ordre: Assegurances de supervivència individuals.

Taules biomètriques de mortalitat (vida-risc/decessos):

1r Ordre:

• PASEM_2020_Rel: Vida-risc relacionats amb altres operacions.
• PASEM_2020_NoRel: Resta d’assegurances de vida risc, sense incloure decessos.
• PASEM_2020_Decesos: Assegurança de decessos.

2n Ordre:

• PASEM_2020_General: Vida-risc sense incloure decessos.
• PASEM_2020_Decesos: Assegurança de decessos.

Com a novetat, es defineixen dos tipus de taules atenent a la seva utilitat: les taules de primer ordre (a efectes comptables) i les de segon ordre (a efectes de solvència i comptabilitat sota IFRS 17).

Les taules de segon ordre inclouen l’estimació central de la mortalitat, en canvi, les taules de primer ordre, a més de l’estimació central de la mortalitat, inclouen els recàrrecs tècnics.

Entrada en vigor i Impactes

Les noves taules biomètriques han estat ja d’aplicació en data del 31 de desembre del 2020 per al càlcul de provisions tècniques i, a finals de març de 2021, en la tarifació. S’estima que l’aplicació de les noves taules biomètriques suposi un increment de les provisions tècniques comptables significatiu en els productes de longevitat. És per això que s’ha establert un procés transitori voluntari en l’àmbit comptable fins al 31 de desembre del 2024, havent-se de dotar, com a mínim, d’un 25% cada exercici, fins arribar al 100% el desembre del 2024.

Pel que fa a les assegurances de vida risc i decessos, s’estima que suposi una reducció de les primes al voltant del 25%, derivat de l’increment de l’esperança de vida. Si bé, les Entitats hauran d’avaluar els impactes en els ingressos que es vegin reduïts. De la mateixa manera, és important recalibrar les bases tècniques, particularment les referents al percentatge de despeses d’administració, que poden derivar en insuficiències en disminuir la prima pura.

Monitoratge de la longevitat

L’estudi desenvolupat per la Dirección General de Seguros y Fondos de Pensiones l’any 2019, relatiu a l’impacte de la renovació de determinades taules biomètriques, va posar de manifest la necessitat de realitzar una harmonització metodològica de les estadístiques biomètriques.

Una gestió del risc biomètric adequada requereix comptar amb estadístiques biomètriques sòlides i realistes basades en informació fiable sobre les exposicions al risc, els esdeveniments assegurats (defuncions, invalidesa en les seves diferents formes, etc.) i les magnituds econòmiques més rellevants. Des del punt de vista sectorial, realitzar una monitoratge de qualitat i fiable de longevitat del col·lectiu assegurat total, requereix unes estadístiques biomètriques procedents de cada Entitat basades en metodologies suficientment homogènies,  per això s’han dictat una sèrie de recomanacions per a promoure l’elaboració d’estadístiques biomètriques sectorials homogènies basades en metodologies sòlides i realistes.

En aquest sentit, les Entitats hauran de tenir documentat i implementat un procés de qualitat de la dada específica que garanteixi un control intern de la informació sobre l’experiència biomètrica dels col·lectius assegurats.

Tanmateix, les entitats documentaran els processos de monitoratge continuat de les hipòtesis biomètriques, identificant les funcions responsables d’aquells i la participació de la funció actuarial i la funció de gestió de riscs. El procés de monitoratge inclourà el detall de les accions per assegurar la qualitat de la dada, els sistemes de processos d’informació específics, el control intern d’aquests processos, les metodologies aplicades per a derivar la mortalitat real i esperada del col·lectiu assegurat i comparar-ne ambdues, així com els processos de documentació i informació sobre les conclusions del monitoratge continuat.

L’execució, els resultats, la informació sobre el procediment de monitoratge de les taules biomètriques, així com les decisions i la seva implementació, hauran de ser documentades de forma completa i clara per la funció actuarial. Addicionalment, es considerarà com a bona pràctica que la seva revisió sigui objecte d’Auditoria Interna almenys cada tres anys.

Pel que fa a la tarifació, entre d’altres, com a novetat la normativa fa esment de l’entrega d’una participació de beneficis en el cas de les assegurances en les quals la prima de risc s’ha calculat amb taules de primer ordre.

En aquest sentit, les Entitats Asseguradores hauran de ser capaces d’establir el tractament de les taules biomètriques en l’estructura i processos de bon govern, establint els processos de control intern i qualitat de la dada, així com protegir els drets dels prenedors, assegurats i beneficiaris i dotar de transparència les bases tècniques, assegurant la consistència de les hipòtesis biomètriques aplicades en la tarifació amb les hipòtesis biomèdiques aplicades en la valoració de les provisions tècniques a efectes comptables, a efectes de solvència i per a la gestió de riscs.

Introducció i context

El president de l’Autoritat Europea d’Assegurances i Pensions de Jubilació (EIOPA), Gabriel Bernadino, en una de les seves entrevistes més conegudes va referir que l’exercici de l’Avaluació de Risc Propi i Solvència (ORSA) era el cor de Solvència II, indicant així en aquell moment la importància dels exercicis d’autoavaluació de risc que realitzin les entitats d’assegurances i reassegurances al continent europeu.

Des del primer moment, l’ORSA ha tingut com a principal objectiu establir una visió més prospectiva per a la gestió de riscs, per la qual cosa, les entitats d’assegurances també havien de considerar des del punt de vista de riscs qualsevol desenvolupament futur del seu negoci, parant especial atenció als plans d’expansió empresarial que poguessin tenir. L’exercici ORSA havia d’incloure una visió dels riscs actuals i futurs, mesurar-los i contrastar-los amb la política i perfil de risc de l’entitat.

Probablement, la importància de l’exercici ORSA ha destacat fortament d’ençà que es va produir un esdeveniment extraordinari, un cigne negre, si podem fer referència a l’investigador financer Nassim Nicholas Taleb, com és la pandèmia provocada per la COVID-19.

La pandèmia va impulsar el que ha estat un cop dur per a l’economia mundial, tant per la situació sanitària com per la gestió dels estats que es van veure obligats a establir mesures amb l’objectiu de limitació dels contactes socials i de distanciament, fet que inevitablement passava per limitacions en l’activitat empresarial amb les seves respectives conseqüències econòmiques. Un any i mig després que s’encetés la crisi, la incertesa a curt termini sobre com serà la recuperació econòmica, malgrat la vacunació massiva, encara persisteix.

L’efecte negatiu de la crisi sobre l’economia i la societat, les conseqüències de la qual segueixen sent encara notables en l’economia mundial, s’espera que es prolongui més en el temps. Això ha portat als bancs centrals a adoptar mesures per a combatre les conseqüències negatives.

Indubtablement, un dels focus principals de l’informe ORSA de 2021 hauria de ser la crisi provocada per la pandèmia. Entre ells, els impactes es tradueixen en menors rendiments financers, caigudes, una sinistralitat més elevada per alguns rams, canvis en el comportament dels clients, etc. Per tant, les entitats del sector han d’avaluar i gestionar els impactes tant en l’actiu com en el passiu.

Entre desembre de 2020 i març del 2021, EIOPA va llençar una consulta pública amb l’objectiu d’ajudar al sector, establint així unes pautes i recomanacions perquè les entitats les poguessin emprar per avaluar el risc prospectiu i reflectir-ho en els seus informes ORSA. El juliol de 2021, el regulador europeu va publicar les conclusions, reflectint que donat el cas, les consideracions tractades en la consulta haurien d’utilitzar-se en futures crisis similars. Per tant, és un document molt rellevant per al sector.

A continuació, repassarem els missatges claus de la publicació d’EIOPA i, posteriorment i com a exemple, reflexionarem sobre les consideracions principals que cal valorar per a l’execució de les projeccions ORSA.

Conclusions principals de la Publicació d’EIOPA d’acord amb l’article 29 del Reglament  1094/2010 - més escenaris i més complexes

El comunicat d’EIOPA de juliol de 2021 esmentat estableix que l’objectiu de la consulta és promoure la convergència supervisora, enfocant-se en la vigilància dels processos interns de les entitats, necessàries per un exercici ORSA d’alta qualitat. A més, procura guiar a les entitats sobre les expectatives supervisores en la situació actual desencadenada per la pandèmia COVID-19, tenint en compte que l’impacte en cada entitat dependrà del seu perfil de risc específic (no s’ha d’oblidar l’avaluació i aplicació del principi de proporcionalitat de Solvència II).

Per complir amb el seu objectiu, les conclusions giren sobre tres àrees principals:

1. Rellevància de l’ORSA com a instrument d’avaluació de riscs prospectiva en el moment actual.
2. L’observació continuada de la situació que pot derivar en el report d’informe ORSA ad-hoc.
3. Els escenaris que ha de contenir l’informe.

La importància de l’ORSA en el context actual

L’ORSA va ser dissenyat i considerat una eina important i eficaç per a la gestió de riscs. La realització d’un exercici ORSA en les circumstàncies actuals permetria mesurar els futurs impactes potencials derivats de la pandèmia de la COVID-19, contrastant amb el perfil de risc de l’entitat i permetria recolzar la presa de decisions estratègiques per part del seu organisme administratiu, de gestió o de supervisió com a part dels processos interns de l’entitat. La identificació i gestió eficaç dels riscs de les entitats ha de permetre garantir que es tingui un capital suficient per absorbir possibles pèrdues i ajudar a dirigir el negoci en períodes d’adversitat.

La presa o adaptació de decisions estratègiques ha de considerar àrees com, per exemple: les pràctiques de subscripció i tarifació, les tècniques de mitigació de riscs, l’estratègia d’inversions, la gestió del capital, el repartiment de dividends o les millores de la resiliència operativa i cibernètica. És per això que cal esperar que els reguladors nacionals, amb el temps, requereixin cada vegada una major robustesa en els exercicis ORSA presentats.

Un altre punt important en el context actual a incloure en l’ORSA hauria de ser una revisió dels termes i condicions dels contractes d’assegurança com, per exemple, si existeix la necessitat de realitzar aclariments sobre les cobertures o de les clàusules d’exclusió i, a més, considerar augmentar o millorar les comunicacions amb els propis asseguradors sobre riscs identificats d’acord amb les cobertures del contracte.

Report de l’informe ORSA (regular o ad-hoc)

Malgrat que l’informe ORSA és reportat regularment un cop a l’any (recollint la planificació estratègica) i, encara que possiblement la totalitat de les entitats amb obligació de report han inclòs escenaris sobre el futur desenvolupament de la pandèmia, és important remarcar el dinamisme de la crisi i l’alta incertesa que genera vers el futur més proper. És per això que és imprescindible no abaixar la guàrdia en l’avaluació continuada de la situació.

En aquesta línia, l’ORSA sempre ha de tenir en compte qualsevol planificació estratègica ad-hoc i/o altres decisions estratègiques que es prenguin com a resultat de la situació de la pandèmia. Això permetrà a les empreses definir els canvis necessaris en el model de negoci.

També cal fer una anàlisi amb l’objectiu d’esbrinar si s’ha produït qualsevol canvi material en el perfil de risc de l’entitat. Aquests canvis poden venir derivats de:

• Canvis substancials en l’exposició al risc de contrapart als riscs de mercat;
• Canvis substancials en els resultats de subscripció en les línies de negoci mes afectades per la pandèmia
• Modificacions en el model de negoci, en els productes oferts, en plans i estratègies.

Escenaris ORSA relacionats amb la pandèmia

Els diferents escenaris són importants, donat que podran permetre a les entitats autoavaluar el compliment amb el seu perfil de risc i determinar si és necessari modificar plans estratègics, polítiques, apetit i tolerància al risc, revisió de cobertures, etc. Hem destacat que és fonamental determinar si el perfil de risc definit ha estat alterat per la pandèmia i si està exposat a afectes adversos severs en el futur, valorats a través dels diferents escenaris ORSA.

L’anàlisi de cada escenari s’ha de realitzar al voltant dels següents pilars fonamentals en un exercici ORSA: gestió de riscs, indicadors qualitatius i quantitatius, mètriques de mesura del risc, l’estrès test i el procés de monitoratge.

Estan representats en el següent gràfic.

Com ja hem aclarit, s’espera que els escenaris reflecteixin la incertesa actual i recullin hipòtesis sobre la seva durada, així com la durada dels efectes secundaris que pot derivar. Tot això s’ha de reflectir en les projeccions de SCR i Fons Propis admissibles.

El nombre d’escenaris ha de ser raonable, i aquests han de complir una varietat d’hipòtesis futures i combinacions entre elles, i amb diferents graus de severitat. Tanmateix, els escenaris han d’ajudar a identificar, almenys de forma qualitativa, els anomenats ‘’riscs de segon grau’’ o riscs que no es preveuen a curt termini però sí més enllà del final del període del pla de l’entitat.

Durant la realització d’escenaris és important que les entitats incloguin l’avaluació del comportament del consumidor, que es pot traduir en variacions sobre les estimacions inicials de: caigudes i cancel·lacions, possibles litigis sobre disputes de compensació relacionades amb cobertures de les pòlisses, etc.

En el context actual de la COVID-19, EIOPA urgeix al sector pel que fa a les dades externes, a utilitzar fonts fiables com són les institucions nacionals i supranacionals.

Exemple del procés de realització d’escenaris pandèmics

Per a posar en pràctica l’avaluació de la situació actual dins de l’ORSA, un dels possibles enfocaments pot ser el següent:

1. Identificar els riscs concrets per a l’entitat i categoritzar-los.
2. Avaluar la materialitat d’aquests riscs en funció de les exposicions en l’actiu i en el passiu de l’entitat.
3. Definir rang d’escenaris.
4. Avaluar l’impacte dels escenaris dins les polítiques de gestió i perfil de risc definits.
5. Establir mesures de gestió.

La identificació concreta dels riscs ajudarà a combatre l’efecte de la incertesa i a estar més preparat davant de situacions adverses.

Aquí possiblement es podrà utilitzar com a base l’experiència de l’any 2020, ja que les entitats van avaluar els impactes en l’actiu i en el passiu, reestimant en molts casos els seus plans i adoptant mesures respecte a la gestió i el repartiment de dividends. Per tant, existeix una font d’informació i experiència que pot ajudar a identificar riscs i definir hipòtesis al voltant del: comportament en els mercats financers, comportament dels governs nacionals i dels bancs centrals, comportament dels consumidors i les diferents interdependècies entre ells. El comportament de cadascun dels factors afectarà al sector d’assegurances. La base dels comportaments dependrà, sens dubte, de la situació sanitària, en primer lloc, i després de la fortalesa de l’economia en general.

Per exemple, com més avenç es produeixi en la vacunació o en els tractaments mèdics, es podran suposar hipòtesis de menors restriccions amb el seu respectiu efecte directe sobre el fluxe de diners en l’economia. Naturalment, aquest model es pot complicar tant com l’entitat estimi material i convenient per la seva realitat de negoci en funció d’hipòtesis sobre altres factors o subfactors com ara:

• L’avenç de la vacunació en l’àmbit nacional, comunitària i mundial.
• Possibilitat de sorgiment de noves variants del virus que comportin una disminució en l’efectivitat de les vacunes i, per tant, noves restriccions.
• La dependència de l’economia a sectors amb majors restriccions.
• El nombre de tancaments parcials/totals en les economies i la durada de les restriccions.
• Les ajudes econòmiques per als diferents sectors econòmics afectats per les restriccions.
• Increment en l’ús de les tecnologies, treball a distància i riscs cibernètics que se’n poden derivar.
• Inflació.

Un cop completat el treball d’identificació, s’ha de realitzar un mapatge amb els riscs de l’entitat del passiu i de l’actiu: subscripció, mercat contrapart, operacional, liquiditat, estratègic, operacional... Conseqüentment, l’avaluació d’aquests riscs variarà en funció de les hipòtesis que s’estableixin sobre les variables associades de cartera i/o nou negoci i associades com ara: primes, sinistres, despeses, ingressos i despeses financeres, hipòtesi de dividends, variables macroeconòmiques, ratings, defaults, etc.

S’han de realitzar diversos escenaris amb una escala de severitat variable que permeti trobar el grau de comoditat de l’entitat que li permeti cobrir un gran ventall de possibles desenllaços en els propers períodes.

A partir d’aquí, s’avaluarà l’impacte dels escenaris dins les polítiques de gestió i perfil de risc definits, per veure si és necessària la seva modificació. S’adoptaran les decisions de gestió necessàries per a disminuir el risc d’insolvència a curt termini.

Conclusions

Qualsevol risc o amenaça es pot convertir en una oportunitat. Per al sector assegurador, amb la realització de l’ORSA 2021 i, molt previsiblement -almenys l’ORSA 2022- la situació de pandèmia presenta una oportunitat per a les entitats per a testejat el seu procés ORSA i valorar si és prou robust, eficient, capaç de reptar els indicadors de mesura de risc, KPIs establerts i de revalorar el seu perfil de risc. Aquest exercici pot permetre a les entitats perfeccionar el seu procés, hipòtesis, robustesa de les projeccions i, en general, ajuda a fer que l’exercici ORSA proporcioni una resposta cada vegada més segura a la incertesa del futur.

Introducció

El desembre passat l’Autoritat Europea d’Assegurances i Pensions de Jubilació (EIOPA, corresponent-se a les seves sigles en anglès) va publicar la seva opinió sobre el segon paquet de modificacions de Solvència II, el marc prudencial europeu d’assegurances.

Aquesta opinió, disponible en la web d’EIOPA, servirà com a referència a la Comissió Europea (CE) per a presentar al Consell i Parlament una proposta de modificació de Solvència II, previsiblement, el setembre del 2021.

A continuació, es presenta un resum de les principals propostes del supervisor europeu.

Mesures de garantia a llarg termini

Un dels aspectes més positius de l’opinió d’EIOPA és la seva proposta de manteniment de l’ajustament per casament com una mesura separada i independent de la resta de mesures de garantia a llarg termini (LGT, en anglès) i de què es reconegui en el capital de solvència obligatori (SCR, en anglès) de la fórmula estàndard els efectes de diversificació entre les carteres de l’ajustament per casament i la resta de les carteres de l’entitat. Val la pena destacar que s’hagi mantingut aquesta mesura tenint en compte que, després de la sortida del Regne Unit de la UE, el mercat espanyol és l’únic que l’aplica.

Segons l’EIOPA, aquesta proposta suposarà una reducció mitjana del 8,5% del capital de solvència obligatori de les entitats que aplicant l’ajustament per casament, quelcom que es valora molt positivament per part d’UNESPA.

D’altra banda, EIOPA proposa modificar el mètode per a extrapolar els tipus d’interès lliures de risc amb l’objectiu de tenir en compte els tipus de mercat més enllà del punt d’entrada a l’extrapolació (last líquid point). Es busca incrementar la sensibilitat de la part de la corba extrapolada als tipus d’interès de mercat.

En la pràctica, aquesta modificació del mètode d’extrapolació suposaria que la corba extrapolada sigui més baixa que la corba extrapolada amb el mètode actual.

Per a l’ajustament per volatilitat es proposa que aquest mateix es divideixi en una part permanent i una altra macroeconòmica. L’ajustament macroeconòmic té com a objectiu principal millorar el component nacional actual de l’ajustament per volatilitat, que escassament ha arribat a activar-se.

Pel que fa a l’ajustament per volatilitat permanent, s’incrementa la ràtio d’aplicació del 65% al 85%. No obstant, ha de corregir-se tenint en compte les característiques de liquiditat dels passius i del desfasament per durada d’actius-passius de l’entitat.

Amb aquest nou enfocament hi haurà entitats que obtinguin un ajustament per volatilitat superior al resultant de la metodologia actual mentre que, per a altres, serà inferior.

Referint-nos a les mesures transitòries de tipus i provisions, EIOPA recomana incorporar noves obligacions de transparència en l’informe sobre la situació financera i de solvència (SFCR, en anglès) en relació amb les raons per les quals l’entitat utilitza la transitòria. De la mateixa manera, s’haurà  d’incloure una valoració de la dependència de l’entitat respecte la transitòria i, donat el cas, explicar les mesures planificades per acabar amb aquesta dependència en qüestió al final del període de transició.

D’altra banda, EIOPA proposa que les entitats que no hagin començat a aplicar aquestes transitòries encara, només puguin fer-ho en situacions molt concretes.

Fent referència a la transparència de les mesures LTG, es recomana incorporar el seu impacte únicament en l’apartat del SFCR destinat a usuaris diferents als prenedors. En l’apartat per a prenedors només es donarien les dades amb les mesures LTG.

De la mateixa manera, EIOPA proposa que les entitats amb passius a llarg termini publiquin en l’SFCR el resultat d’un anàlisi de sensibilitat de l’extrapolació.

EIOPA proposa eliminar de la gestió de les mesures LTG l’anàlisi de les mesures a considerar per a restablir el compliment del SCR davant d’una reducció de l’ajustament per volatilitat o ajustament per casament a zero (article 44.2bis de la directiva). A canvi, recomana incorporar en l’avaluació pròpia del risc i de la solvència (ORSA, en anglès) una valoració de si, amb l’aplicació de les mesures LTG i les transitòries, s’està posant en risc la situació de solvència de l’entitat.

Risc d’accions

Respecte el tractament de les inversions estratègiques en accions (article 171 del Reglament de Solvència) es proposa mantenir el criteri de què el valor de la inversió en accions sigui significativament menys volàtil en els 12 mesos vinents que el valor d’altres accions durant el mateix període.

Respecte al tractament d’inversions a llarg termini en accions (article 171 bis del Reglament de Solvència) EIOPA clarifica que el subconjunt d’accions a llarg termini no son un fons de disponibilitat immediata.

EIOPA recomana ampliar l’interval de l’ajustament simètric de +/-10% a +/-17% i introduir un límit inferior del 22% en el shock del risc d’accions.

Marge de risc

EIOPA proposa que el càlcul de SCR futurs s’ajusti tenint en compte la dependència dels riscs, fet que reduirà l’import del marge de risc. Si bé es té en compte la dependència dels riscs en projecció de SCR, se segueix mantenint la taxa de cost de capital en el 6%.

Fons propis

EIOPA recomana no modificar el sistema actual de nivells de Solvència II. Això no inclou mantenir els beneficis esperats en les primes futures en el Nivell1, encara que treballarà en recomanacions en aquesta matèria.

Capital de solvència obligatori

EIOPA recomana modificar el calibratge del risc de tipus d’interès per a reflectir la situació de tipus negatius, quelcom que no passa en l’actual Reglament de Solvència II. En qualsevol cas, EIOPA proposa que el tipus d’interès estressat en l’escenari ‘’baixista’’ no sigui inferior a -1,25%.

De la mateixa manera, es proposa un període de 5 anys per aplicar els canvis en aquest mòdul.

Fent referència a les matrius de correlació, l’única proposta de modificació és la reducció del paràmetre de correlació entre el risc diferencial i el tipus d’interès (pel shock de baixada de tipus) de 0,5 a 0,25.

Per al risc de contrapart, EIOPA proposa una simplificació opcional addicional per al càlcul de l’efecte de mitigació del risc de derivats, acords de reassegurança, vehicles de propòsit especial i titulacions d’assegurances.

Presentació d’informació al supervisor i divulgació pública.

EIOPA proposa algunes recomanacions en aquest àmbit entre les quals destaquen el manteniment d’haver de reportar el quart trimestre i reduir la informació en determinades plantilles. De la mateixa manera, es fixa un termini de 16 setmanes per la remissió de la informació anual individual i de 5 setmanes per la remissió de la informació trimestral individual. Per la remissió del SFCR s’estableix un termini de 18 setmanes. Es manté el retard en 6 setmanes per la informació en l’àmbit grupal.

EIOPA proposa incorporar noves plantilles per reportar informació sobre negoci transfronterer, ciberriscs i informació per producte, tant en vida com en no vida. També es proposa requerir a aquelles entitats que tinguin model intern a reportar al supervisor plantilles sobre el SCR a través de fórmula estàndard.

Respecte a l’SFCR, es proposa desglossar-lo en una part dirigida als prenedors i una altra dirigida a altres usuaris (per exemple, públic professional). També es recomana incorporar informació sobre sensibilitats (ràtio de cobertura, SCR, fons propis...) així com referències a qüestions sobre sostenibilitat.

EIOPA considera que l’entitat ha de facilitar al supervisor la localització exacta on es troba disponible l’SFCR en el seu lloc web.

Proporcionalitat

EIOPA recomana incrementar els llindars establerts en l’article 4 de la Directiva de Solvència II de la següent manera: provisions tècniques de 25 milions d’euros a 20 milions d’euros, i es permet als Estats membres incrementar el llindar de primes dels actuals 5 milions d’euros fins a 25 milions d’euros.

Tanmateix, EIOPA proposa una sèrie de criteris que ha de complir una entitat per a ser considerada de ‘’perfil baix de risc’’ i poder aplicar automàticament una sèrie de mesures de proporcionalitat relacionades, principalment, amb pilar II. En qualsevol cas, mai podrà ser una reasseguradora pura, una entitat que calculi l’SCR amb un model intern (total o parcial) o una entitat capçalera d’un grup.

Per una altra banda, EIOPA considera que les mesures de proporcionalitat no han de ser considerades com una llista tancada, per la qual cosa s’haurien de permetre simplificacions no esmentades específicament en el marc de Solvència II.

Supervisió de grups

EIOPA proposa una revisió de nombrosos aspectes de la supervisió de grups com, per exemple, avaluar regularment la consideració dels beneficis futurs com fons propis de grup. No estableix per defecte que no hagin de ser considerats, però sí estableix que aquesta disponibilitat s’hauria de justificar.

Altrament, es tracta d’aclarir els casos en els quals es poden excloure entitats de la supervisió de grups i es modifica la definició d’operacions intragrupals per excloure expressament determinades contraparts que es consideren d’interès supervisor. Tanmateix, es proposa establir uns criteris clars per a la definició dels llindars per a reportar les operacions intragrupals i els casos de concentració de riscs.

Lliure prestació de serveis i llibertat d’establiment

EIOPA proposa reforçar la cooperació i l’intercanvi d’informació entre les autoritats de supervisió respecte a les operacions transfrontereres.

Política macro prudencial

EIOPA considera que la perspectiva macro prudencial ha de complementar Solvència II, incloent-hi algunes mesures com la facultat de les autoritats de supervisió per a fixar un recàrrec de capital per tal d’abordar fonts de risc sistemàtic detectat en les entitats. De la mateixa manera, s’aconsella incloure en l’article 45 de la Directiva Solvència II (ORSA) una referència explícita a la necessitat de tenir en compte la perspectiva macro prudencial.

EIOPA proposa restringir o suspendre dividends i altres pagaments als accionistes i la possibilitat de restringir la compra de les mateixes accions sota determinades circumstàncies. També es recomana permetre la congelació temporal dels drets de rescat, com a mesura d’últim recurs, durant un breu període de temps i únicament a les entitats afectades per un risc de liquiditat significatiu.

EIOPA considera necessari dotar als supervisors de mesures per incentivar a les asseguradores a reforçar la seva posició de liquiditat.

Recuperació i resolució

EIOPA considera que ha d’establir-se un marc mínim harmonitzat de recuperació i resolució per a les entitats d’assegurances, ja que els principis harmonitzats de recuperació i resolució aplicats de manera proporcionada contribueixen a protegir adequadament als assegurats, així com a mantenir l’estabilitat financera en la UE.

Aquesta harmonització mínima implica la definició d’un enfocament comú dels elements fonamentals de recuperació i resolució, deixant espai perquè els Estats membres adoptin mesures addicionals en l’àmbit nacional, subjectes a què aquestes mesures siguin compatibles amb els principis, requisits mínims i objectius establerts en l’àmbit de la UE.

Sistemes de protecció dels assegurats

EIOPA parteix de la idea que tots els Estats membres de la UE han de comptar amb un sistema de protecció dels assegurats, entenent-se com a tal un fons de garantia nacional específic o un mecanisme que ofereixi un resultat similar, sempre que compleixi una sèrie de requisits mínims harmonitzats. En aquest sentit, cal recordar que a Espanya comptem amb la figura del Consorci de Compensació d’Assegurances (CCS).

L’estructura i definició quedaria en mans d’aquests Estats membre en qüestió, si bé, es proposen uns principis mínims sobre, entre altres aspectes, les pòlisses cobertes, la cobertura geogràfica i el finançament.

Requisits d’aptitud i honorabilitat

EIOPA vol dotar al supervisor de més mitjans perquè comprovi que aquests requisits es compleixen, no només en el moment d’iniciar l’activitat o quan hi ha un canvi accionarial, sinó en tot moment.

Propers passos

Com s’ha pogut comprovar, són nombrosos i de gran envergadura els aspectes que s’estan revisant. Ara caldrà esperar a la proposta de la CR per conèixer en quin gran s’ha desviat de l’opinió d’EIOPA. La data d’aplicació de les modificacions dependrà, òbviament, de la durada de les negociacions entre les institucions europees.

L’anticipació de l’evolució de variables econòmiques i financeres sempre està subjecta a un error elevat. Si atenem a la volatilitat històrica de les variables que son objecte de previsió, veurem que, aplicant la regla de ‘’2 sigmes’’, el rang possible (al 95%) per a qualsevol d’elles és excessiu. I, per si en condicions normals no fos prou difícil encertar les previsions, resulta que ara tenim, a més, un factor de distorsió addicional: el coronavirus. Que aquesta descàrrega de responsabilitat serveixi, doncs, com a introducció a l’exercici que s‘ha proposat i que és un dels principals components de la meva feina: tractar d’anticipar què pot passar amb els tipus d’interès. Diré que aquesta variable és relativament més difícil de modelar que els tipus de canvi i, sobretot, els índexs borsaris o les matèries primeres. I és que l’entorn actual, i gràcies a les pistes que ens donen els bancs centrals, és més propici per a fer previsions de tipus d’interès que no pas en èpoques anteriors.

Comencem per la pandèmia. Malgrat que en el moment d’escriure aquestes línies estem immersos en una nova onada, hem de reconèixer que hem guanyat molta visibilitat respecte uns mesos enrere. I no només sobre l’evolució dels contagis, sinó també sobre l’impacte en l’activitat econòmica i financera. Les vacunes son una realitat, un exemple de la capacitat investigadora i logística de l’ésser humà. S’ha parlat molt, i bé, de poder comptar amb una vacuna en escassament 6/9 mesos. Crec que s’ha parlat menys del fet d’haver fabricat i inoculat en un període similar un total de 4.000 milions de dosis per a tot el món. Les vacunes son eficaces per a reduir els contagis i els efectes de la COVID-19. Bones notícies. Però, a més a més, i aquí és on jo puc parlar des d’un cert coneixement, l’impacte sobre l’activitat econòmica és cada cop menor. Segurament pel fet que hem après a ‘’conviure’’ amb el virus i, sobretot, perquè ens hem recolzat molt més en la tecnologia. L’impacte en el PIB hauria estat molt superior si aquesta pandèmia hagués nascut en un context amb una menor dotació tecnològica. Es diu que el coronavirus ha estat el principal impulsor de la digitalització de l’economia, de les empreses i de la forma en què treballem i consumim. Canvi estructural en l’economia.

Un altre dels fronts que hem d’analitzar per a fer qualsevol previsió de variables econòmiques o financeres és la denominada geoestratègia. L’arribada de Trump a la presidència dels EEUU després de la victòria de les eleccions del 2016 va encetar una nova etapa caracteritzada per l’enfrontament amb la resta de potències amb decisions com, entre d’altres, la instauració d’aranzels. El seu impacte sobre el comerç mundial i, per tant, sobre el PIB de tots els països va ser negatiu. L’actual configuració de les cadenes de producció en què, per a la majoria de béns, participen molts països ha constatat l’error d’aquest tipus de mesures proteccionistes. No és objecte d’aquest article entrar en aquest tipus de consideracions, però sí que ho és assenyalar com la sortida de Trump de la presidència ha permès una reducció de la prima de risc polític, situació a la qual se li ha sumat la materialització del BREXIT o l’eliminació, també per un relleu en la presidència del govern, de la tensió en l’UE entre Brussel·les i Itàlia. Em conformo amb assenyalar que, de la mateixa manera que amb el COVID, en el front geoestratègic hem guanyat visibilitat respecte la situació de fa escassament un any (cal recordar que Biden va guanyar el novembre passat, que l’acord definitiu sobre el BREXIT es va consolidar aquest desembre i que Draghi va ser nomenat primer ministre el gener¹). I tot això és positiu (o, almenys, no és negatiu) per al creixement del PIB.

Amb aquests fets, s’entén que el cicle econòmic hagi mostrat una clara recuperació, especialment en la primera meitat del 2021. Les primeres inoculacions de la vacuna a inicis d’any van permetre una relaxació de les mesures restrictives i un augment de la mobilitat dels agents que va afavorir la recuperació econòmica. I, tal com he defensat durant els darrers 15 mesos², el repte era aconseguir que una crisi, que necessàriament hauria de ser conjuntural, no provoqués un dany estructural sobre el PIB (no hi hagués histèresis del PIB). A tot això hi van contribuir els ingents i ràpids estímuls fiscals i monetaris³, així com el fet que aquesta crisi no s’originés per l’existència de desequilibris econòmics.

Creixement del PIB i previsions (OCDE)

Font: OCDE

La revisió en alça de les previsions de creixement ha estat inèdita. En el moment actual s’anticipa un avanç del PIB mundial prop del 6,0%, el qual compensaria la caiguda de l’any anterior (-3,3%). Un avenç liderat per EEUU que, malgrat que creixeria menys que Xina (6,9% vs. 8,0%), en tenir una major mida (de l’ordre de 2 vegades) implicaria aportar més al PIB global. EEUU, com a gran dinamitzador (el seu avenç seria el major des de 1984 i una de les tasses més altes des de la Gran Depressió dels anys 30 del segle passat) en contrast amb l’UME que, encara que creix a un ritme vigorós (4,3%), no és suficient ni tan sols per compensar la caiguda del 2020.

Juntament amb aquesta recuperació de l’activitat econòmica hem assistit a un repunt de la inflació que, de la mateixa manera que s’ha observat en el creixement, és un creixement històric. Aquest per exemple, és el cas d’EEUU, que ha assolit la tassa del 5,4% en el component general i el 4,5% en el subjacent. En l’UME, si bé, és menys intens, tan pel que fa al general (2,0%) com en la subjacent (1,2%).

Evolució de la inflació en EEUU i en la UME

Font: Bloomberg

En aquest primer punt, la reacció a la pregunta ‘’què passarà amb els tipus d’interès?’’ sembla clara si, com dèiem, el PIB creix amb força i la inflació se situa per sobre del 2%, que serveix de referència quantitativa per als bancs centrals. La resposta ràpida és ‘’pujada dels tipus d’interès’’. Si bé, una resposta tan ràpida com errònia.

Perquè ‘’aquesta vegada serà diferent’’. I aprofito per reivindicar la utilitat d’aquesta frase, davant el que consideren molts dels meus companys, qui afirmen que és molt perillós assenyalar que aquesta vegada serà diferent. Jo, sens dubte, defenso que ho serà perquè sempre és així. És la part bona (o dolenta) que té l’economia i els mercats financers. Cada fase expansiva i contractiva compte amb elements diferencials que provoquen que el passat no es repeteixi o, almenys, de forma tan mecànica. Si bé, és cert que hi ha elements comuns, però ni el desenvolupament tecnològic ni la importància de Xina en l’economia mundial o la imposició de criteris ESG (per posar només tres exemples) han existit anteriorment. I són elements suficientment importants per a poder considerar que, efectivament, aquesta vegada serà diferent.

Evolució del deute públic (en % del PIB)

Font: JPMorgan

Però, ho serà perquè un dels seus principals responsables, els bancs centrals, això han dit, han modificat la seva definició quantitativa per l’estabilitat dels preus⁴. El primer en fer-ho fou la Reserva Federal d’EEUU ja l’Agost de l’any ⁵passat. Ja aleshores va indicar que, si bé el seu objectiu segueix essent el 2,0%, per a la seva mesura s’ha de tenir en compte un ampli període de temps i, concretament, els anys anteriors. Donat que durant l’última dècada la taxa d’inflació mitjana ha estat de l’1,7%, implícitament transmet que permetrà un creixement dels preus en el rang d’entre el 2,0% i el 2,5% durant els anys vinents. Similarment, el BCE acaba d’anunciar un canvi en el seu objectiu. Que hagi passat de ‘’proper però encara per sota del 2,0%’’ al ‘’2,0% de forma simètrica’’ ⁶pot semblar fútil, però no ho és⁷. Es el reconeixement de la seva permissivitat, a què el creixement dels preus es desenvolupi per sobre d’aquesta taxa durant els anys vinents.

Revisió de les polítiques monetàries de la Fed y del BCE

Font: Fed, BCE, Bloomberg i elaboració pròpia

Permissivitat o ‘’desig’’? Podem pensar en aquest segon. El nivell d’endeutament públic es tan elevat que els bancs centrals han modificat l’agent prioritari de la seva política monetària: de l’estalviador a l’endeutat. De polítiques monetàries que imposaven tipus d’interès reals positius (això és, tipus nominals per sobre la inflació) a altres que prioritzen tipus d’interès reals negatius. D’una orientació dels bancs centrals a favor del manteniment del poder adquisitiu de l’estalviador, a una altra on l’objectiu principal és el creixement amb la intenció de reduir l’endeutament públic, que s’ha intensificat a conseqüència de la crisi financera (2008-2012) i la crisi COVID-19. Però es que, a més, ens enfrontem a un nou repte que exigiria un desemborsament important de diners: evitar el canvi climàtic. En aquest assumpte, els bancs centrals han exhibit el seu compromís per ajudar al finançament en condicions avantatjoses. Per una banda, mitjançant el manteniment dels tipus d’interès en nivells reduïts (i per sota de la inflació) i, per altra banda, mitjançant la persistència dels programes de compra d’actius de renda fixa. Aquests, iniciats per la Reserva Federal d’EEUU com a reacció a la fallida de Lehman Brothers el 2008 ⁸s’ha considerat, fins ara, política monetària no convencional. Però aquí trobem un altre dels canvis en la bateria d’eines dels bancs centrals: l’adquisició de bons a venciment (quantitative easing) és ja un recurs convencional més que permet anticipar tipus d’interès baixos durant els anys vinents. Altres d’aquestes mesures que s’han instaurat com convencionals són l’ ‘’orientació futura sobre els tipus d’interès’’ (forward guidance) així com la injecció de liquiditat a llarg termini (2/3 anys) a les entitats financeres⁹.

Tipus d’interès a 12 mesos de l’ USD i inflació a EEUU

Font: Fed, Bloomberg i elaboració pròpia

Tipus d’interès a 12 mesos de l’EUR i inflació en l’ UME

Font: BCE, Bloomberg i elaboració pròpia

Per cloure, els darrers 6 mesos han servit per guanyar molta visibilitat sobre el front COVID, al mateix temps que la prima de risc geoestratègic s’ha moderat. Dos factors negatius sobre el creixement econòmic que s’ha alliberat, permetent una forta reactivació de l’economia mundial. Després de la crisi observada entre febrer i juny (o desembre en l‘UME), inèdita per la seva magnitud en un període tan curt de temps, la recuperació ha estat gairebé igual de ràpida. A tot això han contribuït els ingents estímuls monetaris i fiscals. El fet que aquesta crisi no hagi estat generada per desequilibris sinó per la decisió de les autoritats d’‘’aturar el motor’’, en una estratègia que ha prioritzat la salut a l’economia, permet entendre també el ritme de recuperació.

I, per últim, la dotació tecnològica, que ha servit per erradicar l’impacte negatiu dels confinaments en les hores treballades o el consum de les famílies, per exemple. L’escenari per al PIB en els propers 12/24 mesos és d’un fort creixement, acompanyat d’un repunt de la inflació que, no obstant, no serà intens. Si bé és cert que en l’actualitat és important, sobre tot a EEUU, però existeix un consens en considerar que serà conjuntural. És veritat que la taxa d’inflació es pot situar en els 2/3 anys vinents per sobre del 2,0%, però és aquí on trobem un dels grans canvis respecte els darrers anys: els bancs centrals han modificat la definició quantitativa del seu objecte d’inflació. Ara seran més permissius, és més, ara són més partidaris d’un creixement dels preus en la zona 2,0%-2,5% que en el rang 1,5%-2,0%. Els bancs centrals prioritzen ara el creixement del PIB a la inflació; la seva prioritat son ara els endeutats en lloc dels estalviadors. Aquests s’enfrontaran a uns tipus d’interès estables en la zona de mínims (-0,5% - 1,5%) amb una inflació repuntant (2,0% - 2,5%). Tipus d’interès reals negatius (-1,0% - 1,5%) que poden incentivar passos cap a una major assumpció de riscs per part dels agents. La llavor de la propera crisi?

Evolució dels tipus d’interès de referència

Font: BCE, Bloomberg i elaboració pròpia

0. La importància progressiva dels riscs tecnològics

En el context actual de mercat, la Ciberseguretat s’ha convertit en un element transformacional prioritari que ha de ser abordat des d’una perspectiva estratègica en totes les organitzacions. Existeixen diferents factors que han contribuït al fet que això fos així. En primer lloc, l’evolució tecnològica a la qual s’enfronten tots els sectors està transformant la seva activitat i incrementant el perfil de riscs tecnològics assumits. En segon lloc, la professionalització dels atacants. Deguda a una major capacitat de monetització de les seves activitats fraudulentes, ha multiplicat tant els incidents de seguretat com els impactes derivats dels mateixos. En aquest sentit, l’atac al Banc de Bangladesh el 2016 i, sobretot, l’incident global Wannacry al 2017 van suposar uns indicadors difícils d’ignorar. Per últim, ambdós factors han derivat a una evolució normativa molt rellevant que condiciona de manera profunda l’activitat empresarial.

Tot això ha portat al fet que els auditors interns en empreses globals considerin que els cinc primers riscs siguin riscs tecnològics:

Font: Risk in focus 2020, Hot topics for internal auditors, elaborat amb informació aportada per més de 500 directors d’Auditoria Interna de les principals organitzacions europees

El sector assegurador no ha sigut una excepció a aquesta tendència, patint incidents importants en els darrers dos anys i rebent noves guies a les quals adaptar-se per part del regulador. L’objectiu d’aquest article és donar algunes claus per a la gestió d’aquests riscs i esbossar el paper dels actuaris en aquesta gestió.

1. Definició de riscs tecnològics

Malgrat que no existeix una definició única, les Directrius de l’EBA sobre gestió de riscs de TIC i de seguretat (EBA-GL-2019-04-ES.pdf (bde.es))  incloïen des dels seus primers esborranys una taxonomia inicial que resulta molt útil per a delimitar l’abast de l’activitat de gestió. Concretament, inclou cinc tipologies de risc: i) Seguretat, ii) Continuïtat de Negoci, iii) Gestió del canvi, iv) Externalització i v) Integritat de la informació.

Els dos primers elements d’aquesta taxonomia són riscs primaris, donat que ambdós es defineixen a partir dels seus efectes i no de les seves causes mare, és per això que no engloben la resta.

El risc de seguretat o ciberseguretat és la possibilitat de tenir pèrdues financeres derivades de l’accés, modificació fraudulenta o publicació d’informació confidencial utilitzada en els processos de negoci o suport d’una companyia. El risc de continuïtat de negoci és, de manera paral·lela, la possibilitat de tenir pèrdues financeres derivades de la indisponibilitat dels sistemes informàtics necessaris per a l’execució d’aquests processos. Incloure la menció a les pèrdues financeres no és causal. Aquests riscs tenen una capacitat disruptiva molt rellevant que es pot mesurar i s’ha d’erradicar com a part de la gestió de la solvència econòmica d’una companyia.

La transformació digital accelerada dels darrers anys ha augmentat la complexitat, obertura i interrelació entre els sistemes informàtics. L’existència de múltiples capes de hardware i software interconnectades implica que l’aplicació de canvis moltes vegades pugui produir vulnerabilitats de seguretat no cobertes o caigudes dels sistemes. El risc de gestió del canvi és la probabilitat de patir un incident de seguretat o de continuïtat de negoci per un canvi executat sobre la plataforma tecnològica necessària per a l’execució dels processos.

D’altra banda, la pressió en els costos i l’aparició de nous models de servei en el núvol controlats per tercers ha augmentat notablement la dependència en tercers, reduint el control directe que es té sobre la tecnologia utilitzada. El risc d’externalització és la probabilitat de patir incidents de seguretat o de continuïtat de negoci en tecnologies gestionades per tercers.

Per últim, el risc de prendre decisions equivocades a causa de la falta d’informació veraç i íntegra es coneix com a risc d’integritat de la informació. No obstant, la seva gestió sol tenir matisos diferents, per la qual cosa se sol excloure de l’àmbit d’acció dels riscs tecnològics, tenint entitat pròpia sota la responsabilitat dels Chief Data Officers de cada companyia.

2. Context normatiu. Guies i directrius, però de compliment obligatori

La importància dels riscs esmentats ha portat als diferents reguladors a generar un volum molt elevat de regulacions per assegurar la seva correcta gestió. En aquest sentit, existeixen tan regulacions transversals (LGPD, NIS), com sectorials (directrius de l’EIOPA) o requeriments específics inclosos en regulacions més generals (PSD2). La visió global pot resultar, fins a cert punt, aclaparadora. Però, afortunadament, existeix una coherència adient entre les diferents normatives, la qual cosa facilita poder garantir el seu compliment.

Visió global de regulacions i estàndards amb rellevància en la gestió de riscs tecnològics

Les Directrius sobre govern i seguretat de les tecnologies de la informació i de les comunicacions de l’EIOPA (eiopa-gls-ict-security-and-governance-es.pdf (europa.eu)) -la normativa europea més recent i rellevant en el sector assegurador- són d’obligatori compliment des de l’1 de juliol del 2021. En aquestes, l’EIOPA especifica mitjançant vint-i-quatre apartats els seus requisits de gestió del Risc ICT i de seguretat. De manera resumida, es pot parlar de vuit grans impactes a tenir en compte:

• Govern i estratègia: Es defineix la responsabilitat del Consell d’establir un govern intern sòlid i un marc de control intern que assigni funcions clares al personal de les organitzacions. A més, es requereix un establiment i comunicació d’una estratègia ICT alineada amb l’estratègia de negoci i una gestió i erradicació dels riscs de seguretat i ICT a través de funcions de control independents i objectives (garantint la independència de les tres línies de defensa i reportant la segona línia de defensa directament al Consell.
• Marc de gestió dels riscs de seguretat i ICT: S’exigeix que les asseguradores i reasseguradores mantinguin actualitzat un inventari amb les seves funcions de negoci, rols, processos de suport i recursos d’informació, classificant-los en funció de la seva criticitat en termes de confidencialitat, integritat i disponibilitat i que s’avaluïn periòdicament els riscs operacionals relacionats amb els riscs de seguretat i ICT, amb l’impacte sobre l’organització. A més, requereix l’execució periòdica d’auditories sobre la gestió i govern dels riscs ICT.
• Política de la seguretat de la informació: Es requereix l’establiment d’una política de seguretat de la informació que recull a un alt nivell els principis i regles per a protegir la confidencialitat, integritat i disponibilitat de la informació, així com els rols i responsabilitats per a la gestió dels rics ICT. La política ha de ser comunicada a tots els treballadors de l’organització i ser aplicable als proveïdors de serveis.
• Control d’accessos: Aquestes directives posen especial èmfasi en el control d’accessos i el seu monitoratge, establint requisits mínims relatius a: Need-to-know, mínim privilegi i segregació de funcions, utilització de comptes genèriques, usuaris privilegiats, mitjans d’autentificació, gestió de drets d’accés, gestió d’accés remot i establiment i monitoratge de logs d’accés.
• Monitoratge de la seguretat ICT: S’exigeix la implementació de procediments per assegurar la confidencialitat, integritat i disponibilitat dels sistemes i serveis ICT mitjançant la implementació de mecanismes que asseguren la integritat dels actius de l’organització, així com el monitoratge continuat i la realització d’una anàlisis periòdica per la identificació de vulnerabilitats.
• Gestió de les operacions ICT: Es descriuen els requeriments per a la gestió dels projectes ICT, inclosa l’adquisició, desenvolupament i manteniment dels sistemes i serveis ICT. Les entitats financeres han de garantir l’avaluació controlada dels canvis en la seva producció, comprovació, aprovació i implementació.
• Gestió de la continuïtat i incidents de seguretat: S’especifiquen les expectatives en relació amb la gestió de la continuïtat del negoci i la gestió dels incidents de seguretat. Les asseguradores i reasseguradores han de garantir que comptin amb plans i procediments de resposta, recuperació i comunicació d’efectius.
• Externalització de sistemes i serveis ICT: S’estableix la necessitat de garantir una adequada gestió dels serveis externalitzats, havent d’establir-se contractualment els acords de nivell de servei, requisits de control, drets d’accés i auditoria, així com concretar la ubicació de les dades.

La implementació d’aquests requisits és un procés de millora continuada que queda simplificat amb un model de referència clar i ordenat, la identificació dels gaps respecte aquest model i l’elaboració d’un pla d’erradicació en successives iteracions.

3. Model de referència. Un punt de partida ordenat

Contràriament al que sol passar en altres àmbits, la gestió de riscs tecnològics disposa de molts marcs de referència i literatura associada que permeten optimitzar aquesta gestió a la nostra companyia. De fet, existeix una quantitat tan àmplia de marcs, regulacions i bones pràctiques que pot ser complicat sintetitzar un pla d’acció. Sens dubte, tots ells poden ser analitzats des de tres eixos: estratègia, govern i organització, mitigació del risc, mesura i monitoratge.

3.1 Estratègia, govern i organització

L’estratègia de riscs tecnològics parteix d’una especificació d’alt nivell d’apetit als riscs en qüestió dins l’organització. Addicionalment, ha d’estar alineada amb l’estratègia de negoci i l’estratègia de sistemes als quals condiciona. Per això, des del punt de vista de govern, és l’alta direcció, tant en l’àmbit executiu com del mateix Consell d’Administració, qui té la responsabilitat de definir-la i de dotar a l’organització dels recursos necessaris per a executar-la. Els responsables de seguretat i les seves contrapartides en les segones línies de defensa reben l’encàrrec i els mitjans per a materialitzar aquest apetit en mesures d’erradicació concretes, crear un marc normatiu intern adequat i mesurar la seva efectivitat per identificar i corregir desviacions.

3.2 Protecció, detecció i resposta

Els responsables de seguretat s’encarreguen de l’erradicació del risc tecnològic, de manera que aquest compleixi amb l’apetit al risc de l’organització. Per aquest motiu s’executen cinc tasques fonamentals:

• Identificar: Definir quins sistemes i entorns necessiten protecció, el seu nivell de rellevància i les amenaces a què estan exposats.
• Protegir: Definir i implementar mesures de seguretat que redueixin la probabilitat d’ocurrència d’un esdeveniment o continguin el seu impacte. S’aconsegueix mitjançant la implementació de controls que redueixen la probabilitat d’ocurrència d’un esdeveniment (exemple: firewalls) o el seu impacte (exemple: còpies de seguretat).
• Detectar: Definir i implementar les activitats i controls per alertar davant l’ocurrència d’un esdeveniment de ciberseguretat. Aquesta tasca és fonamental per a minimitzar els impactes. Molts esdeveniments comencen mesos abans de la materialització de l’impacte de manera inadvertida.
• Respondre: Executar accions durant un incident que redueixin el seu impacte global. Una resposta coordinada i efectiva pot ser tant o més important la implantació de controls. La proximitat de canals de comunicació o rols i prioritats clares en una situació d’emergència poden multiplicar l’efecte d’un incident.
• Recuperar: Procés per al restabliment de la situació anterior a l’incident. Implica tant la recuperació dels sistemes afectats com l’anàlisi forense de les causes mare i la implementació de noves mesures que optimitzin l’estratègia de defensa.

3.3 Mesura i Reporting

Establir un esquema de millora continua requereix la mesura i report del risc, punt on els actuaris poden tenir un paper fonamental pel seu coneixement metodològic, de negoci i la seva independència amb la primera línia de defensa Per això, han de recolzar-se en tres pilars:

• Seguiment dels processos i l’arquitectura tecnològica del suport: La probabilitat d’ocurrència d’un esdeveniment depèn de les amenaces a les quals està exposada la tecnologia i als controls tècnics implementats. Els impactes, no obstant, depenen dels processos afectats per un incident. La vinculació correcta entre ambdós permet una mesura adequada.
• Intel·ligència, indicadors de maduresa i informació històrica: Contràriament al que succeeix amb altres riscs, és poc fiable realitzar una estimació del risc basada en la història d’incidents de l’organització. Aquests esdeveniments són molt poc freqüents, tenen un impacte molt elevat, es produeixen per causes que varien en períodes de temps molt curs i, després d’aquests, es produeixen canvis significatius en l’estratègia de defensa. Per això, la intel·ligència proporcionada des de la primera línia amb les amenaces més rellevants actives i l’avaluació del grau de maduresa dels controls importants són els inputs més significatius. La informació històrica és, en aquest cas, útil com a backset de la mesura.
• Metodologia de mesura: S’ha de disposar d’una metodologia de valoració de riscs que permeti prioritzar la criticitat d’aquests mitjançant criteris d’impacte i probabilitat, tenint en compte els riscs inherents a partir de les amenaces identificades i considerant la maduresa dels controls per a obtenir el risc residual. Malgrat que històricament han primat les aproximacions qualitatives, la traducció a imports econòmics mitjançant metodologies quantitatives de risc operacionals està sent una tendència important en el mercat, donat que permet expressar de manera més comprensible el risc a l’alta direcció, simplificant la presa de decisions.

4. Conclusió: El paper dels actuaris davant d’un dels riscs més disruptius

La gestió dels riscs tecnològics s’està convertint en un dels reptes més rellevants per a assegurar la solvència i la continuïtat d’una companyia. La seva erradicació requereix un procés de millora contínua i àgil que permeti adaptar-se a situacions i amenaces gairebé a temps real. La involucració de l’alta direcció és fonamental per a definir una estratègia adequada. De fet, és un requisit de la regulació vigent. Perquè aquesta involucració sigui efectiva han de disposar d’informació comprensible i ben estructurada que vinculi les mesures de mitigació amb el seu coneixement del negoci. El paper dels departaments de risc per a mesurar i transmetre aquest risc entre els diferents intervinents és crític per assegurar una gestió correcta d’aquest.