Thông tư 70/2022/TT-BTC quản trị rủi ro kiểm soát nội bộ doanh nghiệp bảo hiểm tái bảo hiểm

• Số hiệu: 70/2022/TT-BTC
• Loại văn bản: Thông tư
• Nơi ban hành: Bộ Tài chính
• Người ký: Cao Anh Tuấn
• Ngày ban hành: 16/11/2022

BỘ TÀI CHÍNH -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: 70/2022/TT-BTC	Hà Nội, ngày 16 tháng 11 năm 2022

THÔNG TƯ

QUY ĐỊNH VỀ QUẢN TRỊ RỦI RO, KIỂM SOÁT NỘI BỘ VÀ KIỂM TOÁN NỘI BỘ CỦA DOANH NGHIỆP BẢO HIỂM, DOANH NGHIỆP TÁI BẢO HIỂM, CHI NHÁNH DOANH NGHIỆP BẢO HIỂM PHI NHÂN THỌ NƯỚC NGOÀI, CHI NHÁNH DOANH NGHIỆP TÁI BẢO HIỂM NƯỚC NGOÀI

Căn cứ Luật Kinh doanh bảo hiểm ngày 16 tháng 6 năm 2022;

Căn cứ Luật Doanh nghiệp ngày 17 tháng 6 năm 2020;

Căn cứ Nghị định số 87/2017/NĐ-CP ngày 26 tháng 7 năm 2017 của Chính phủ quy định chức năng, nhiệm vụ, quyền hạn và cơ cấu tổ chức của Bộ Tài chính;

Bộ trưởng Bộ Tài chính ban hành Thông tư quy định về quản trị rủi ro, kiểm soát nội bộ và kiểm toán nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh doanh nghiệp bảo hiểm phi nhân thọ nước ngoài, chi nhánh doanh nghiệp tái bảo hiểm nước ngoài.

Chương I

NHỮNG QUY ĐỊNH CHUNG

Điều 1. Phạm vi điều chỉnh

Thông tư này quy định Điều 84, Điều 85 và khoản 1, khoản 2 Điều 86 Luật Kinh doanh bảo hiểm.

Điều 2. Đối tượng áp dụng

1. Doanh nghiệp bảo hiểm nhân thọ, doanh nghiệp bảo hiểm phi nhân thọ, doanh nghiệp bảo hiểm sức khỏe (sau đây viết tắt là doanh nghiệp bảo hiểm), doanh nghiệp tái bảo hiểm.

2. Chi nhánh doanh nghiệp bảo hiểm phi nhân thọ nước ngoài, chi nhánh doanh nghiệp tái bảo hiểm nước ngoài (sau đây gọi là chi nhánh nước ngoài).

3. Tổ chức, cá nhân có liên quan đến quản trị rủi ro, kiểm soát nội bộ và kiểm toán nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

Điều 3. Giải thích từ ngữ

Trong Thông tư này, các từ ngữ dưới đây được hiểu như sau:

1. Công ty mẹ của chi nhánh nước ngoài là doanh nghiệp bảo hiểm phi nhân thọ nước ngoài, doanh nghiệp tái bảo hiểm nước ngoài có chi nhánh tại Việt Nam.

2. Rủi ro là khả năng xảy ra tổn thất (tổn thất tài chính, tổn thất phi tài chính) làm giảm thu nhập, vốn tự có dẫn đến làm giảm tỷ lệ an toàn vốn hoặc hạn chế khả năng đạt được mục tiêu kinh doanh của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

3. Khẩu vị rủi ro là khả năng mà doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài sẵn sàng chấp nhận các loại rủi ro và mức độ của từng loại rủi ro phù hợp với chiến lược kinh doanh và năng lực tài chính của doanh nghiệp, chi nhánh nước ngoài.

4. Hạn mức rủi ro là giới hạn của từng loại rủi ro mà cá nhân, bộ phận thuộc doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài có thể được làm trong từng thời điểm, từng quy trình nghiệp vụ.

5. Rủi ro trọng yếu bao gồm nhóm rủi ro bảo hiểm, rủi ro thị trường, rủi ro hoạt động, rủi ro đối tác và các rủi ro khác theo đánh giá của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài là có tác động trọng yếu đến an toàn tài chính và hiệu quả hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

6. Rủi ro bảo hiểm là các rủi ro phát sinh do biến động các yếu tố kỹ thuật liên quan đến tính phí bảo hiểm và trích lập dự phòng nghiệp vụ bảo hiểm, bao gồm:

a) Rủi ro liên quan đến tính phí bảo hiểm: Việc thiết lập các giả định tính phí không phù hợp dẫn đến phí bảo hiểm tính toán không đủ để chi trả các quyền lợi bảo hiểm cam kết trong thời hạn hợp đồng và bù đắp các chi phí hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài. Các giả định tính phí bao gồm: Tỷ lệ rủi ro tử vong, tỷ lệ rủi ro sống thọ, tỷ lệ bồi thường, tỷ lệ chi phí, lãi suất đầu tư, tỷ lệ hủy bỏ hợp đồng và các giả định khác sử dụng trong mô hình tính phí bảo hiểm;

b) Rủi ro liên quan đến trích lập dự phòng bồi thường của bảo hiểm phi nhân thọ: Việc trích lập dự phòng bồi thường không đủ để chi trả tiền bồi thường đối với phần trách nhiệm của doanh nghiệp bảo hiểm phi nhân thọ, chi nhánh doanh nghiệp bảo hiểm phi nhân thọ nước ngoài;

c) Rủi ro liên quan đến thảm họa: Là rủi ro khi tỷ lệ bồi thường thực tế lớn, vượt quá giá định tính phí do các nguyên nhân dịch bệnh, thảm họa gây ra.

7. Rủi ro thị trường là các rủi ro phát sinh từ thị trường đầu tư đối với hoạt động đầu tư, kinh doanh của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài, bao gồm:

a) Rủi ro liên quan đến biến động bất lợi của lãi suất trên thị trường đối với giá trị của giấy tờ có giá, công cụ tài chính có lãi suất, công cụ phái sinh, tài sản đầu tư của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

b) Rủi ro liên quan đến biến động bất lợi của tỷ giá trên thị trường đối với các hoạt động nhận, nhượng tái bảo hiểm, đầu tư nước ngoài;

c) Rủi ro liên quan đến biến động bất lợi của giá cổ phiếu trên thị trường đối với giá trị của cổ phiếu, giá trị chứng khoán phái sinh của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

d) Rủi ro không tương xứng về thời hạn của tài sản đầu tư và trách nhiệm cam kết trong hợp đồng bảo hiểm của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

8. Rủi ro hoạt động là các rủi ro phát sinh từ việc thiết lập, thực hiện quy trình hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài, bao gồm:

a) Rủi ro liên quan đến việc thiết lập không đầy đủ và không tuân thủ các quy định nội bộ và quy trình nghiệp vụ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

b) Rủi ro pháp lý;

c) Rủi ro liên quan đến việc thiết lập các hoạt động thẩm định chưa đầy đủ, chưa phù hợp, làm gia tăng tỷ lệ những đối tượng tham gia bảo hiểm có mức rủi ro cao;

d) Rủi ro liên quan đến việc thiết kế các quyền lợi bảo hiểm không phù hợp với thị trường;

đ) Rủi ro liên quan đến các chính sách về nhân viên và an toàn nơi làm việc;

e) Rủi ro liên quan đến chất lượng hoạt động thuê ngoài không đáp ứng yêu cầu, đối tác thuê ngoài không thực hiện các nghĩa vụ theo hợp đồng thuê ngoài;

g) Rủi ro liên quan đến hệ thống công nghệ thông tin, bảo mật dữ liệu cá nhân và an ninh mạng;

h) Rủi ro liên quan đến gián đoạn kinh doanh;

i) Rủi ro gian lận;

k) Các rủi ro khác liên quan đến hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

9. Rủi ro đối tác là rủi ro liên quan đến việc đối tác không thực hiện được các cam kết thanh toán đối với các hoạt động đầu tư và hoạt động tái bảo hiểm của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

10. Rủi ro thanh khoản là rủi ro doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài không có đủ tiền để đáp ứng được khả năng thanh toán cho các khoản phải trả đến hạn của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

11. Quản trị rủi ro là việc nhận dạng, đo lường, theo dõi và kiểm soát rủi ro trong hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

12. Văn hóa quản trị rủi ro là giá trị văn hóa của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài, thể hiện sự nhận thức thống nhất về tầm quan trọng của hoạt động quản trị rủi ro của Hội đồng quản trị, Hội đồng thành viên, Tổng giám đốc (Giám đốc) và các cá nhân, bộ phận trong doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

Chương II

NHỮNG QUY ĐỊNH CỤ THỂ

Mục 1. QUẢN TRỊ RỦI RO

Điều 4. Tổ chức quản trị rủi ro

1. Doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải tổ chức quản trị rủi ro với 03 tuyến bảo vệ độc lập như sau:

a) Tuyến bảo vệ thứ nhất: Các bộ phận nghiệp vụ, là các bộ phận trực tiếp xác định, tiếp nhận, đánh giá, kiểm soát, báo cáo và theo dõi các rủi ro phát sinh trong hoạt động kinh doanh;

b) Tuyến bảo vệ thứ hai: Bộ phận quản trị rủi ro, bộ phận kiểm soát tuân thủ và các bộ phận khác có chức năng kiểm soát rủi ro đối với hoạt động của tuyến bảo vệ thứ nhất;

c) Tuyến bảo vệ thứ ba: Bộ phận kiểm toán nội bộ.

2. Tùy theo quy mô, điều kiện và mức độ phức tạp của hoạt động kinh doanh, doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài xây dựng cơ cấu tổ chức của tuyến bảo vệ thứ hai, bảo đảm thực hiện đầy đủ các nhiệm vụ sau:

a) Tham mưu cho Tổng giám đốc (Giám đốc) ban hành quy định nội bộ về quản trị rủi ro;

b) Phối hợp với các bộ phận nghiệp vụ ở tuyến bảo vệ thứ nhất nhận dạng và theo dõi các rủi ro trọng yếu phát sinh;

c) Xây dựng, sử dụng các mô hình đánh giá và đo lường rủi ro để cảnh báo, nhận biết sớm rủi ro và nguy cơ vi phạm các hạn mức rủi ro, đề xuất các biện pháp kiểm soát, phòng ngừa và giảm thiểu rủi ro phát sinh (nếu có);

d) Lập kịch bản kiểm tra sức chịu đựng của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài đối với các rủi ro;

đ) Báo cáo định kỳ quý, năm và báo cáo đột xuất cho Tổng giám đốc (Giám đốc) về tình hình quản trị rủi ro của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài; kịp thời báo cáo Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài trong trường hợp phát hiện các rủi ro có thể ảnh hưởng nghiêm trọng đến an toàn tài chính và hiệu quả hoạt động. Báo cáo định kỳ quý phải được gửi không chậm hơn 30 ngày kể từ ngày kết thúc quý, báo cáo định kỳ năm phải được gửi không chậm hơn 90 ngày kể từ ngày kết thúc năm.

Điều 5. Chính sách, quy định nội bộ về quản trị rủi ro

Doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải xây dựng các chính sách quản trị rủi ro, quy định nội bộ về quản trị rủi ro như sau:

1. Chính sách quản trị rủi ro của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải đáp ứng các quy định tại điểm c khoản 2 Điều 86 Luật Kinh doanh bảo hiểm.

2. Các quy định nội bộ về quản trị rủi ro bao gồm các nội dung sau:

a) Chức năng nhiệm vụ, cơ chế phân cấp, thẩm quyền quyết định và trách nhiệm của cá nhân, bộ phận trong hoạt động quản trị rủi ro của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

b) Quy trình xác định, đo lường, theo dõi, giám sát rủi ro liên quan đến các rủi ro trọng yếu; báo cáo trao đổi thông tin, phản hồi về các thay đổi rủi ro và xử lý rủi ro;

c) Các hạn mức rủi ro cụ thể đối với từng loại rủi ro trọng yếu và các rủi ro có liên quan, mối tương quan giữa các rủi ro đó. Các hạn mức rủi ro phải bảo đảm tuân thủ khẩu vị rủi ro và quy định nội bộ về quản trị rủi ro; được đánh giá lại định kỳ tối thiểu một năm một lần và đột xuất khi có thay đổi lớn ảnh hưởng đến rủi ro trong hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

d) Các biện pháp kiểm soát rủi ro phát sinh từ hoạt động kinh doanh và kiểm soát các cá nhân, bộ phận tham gia vào các hoạt động đó.

đ) Kiểm tra sức chịu đựng đáp ứng quy định tại Điều 7 Thông tư này.

e) Kế hoạch dự phòng cho các tình huống khẩn cấp xảy ra nhằm bảo đảm tính liên tục trong hoạt động kinh doanh của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài. Kế hoạch này phải được Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài thông qua;

g) Cơ chế báo cáo nội bộ về quản trị rủi ro.

Điều 6. Nhận dạng, đo lường, theo dõi và kiểm soát rủi ro

Doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải nhận dạng, đo lường, theo dõi và kiểm soát rủi ro bảo đảm kịp thời, chính xác theo quy định sau:

1. Nhận dạng các rủi ro trọng yếu mà doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài có thể gặp phải trong quá trình hoạt động kinh doanh.

2. Đo lường mức độ rủi ro trên cơ sở xác định tác động của rủi ro đó đối với hoạt động, vốn và khả năng thanh toán của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài. Việc đo lường rủi ro được thực hiện bằng các phương pháp, mô hình. Các phương pháp, mô hình đo lường rủi ro phải được kiểm tra, đánh giá định kỳ về tính chính xác và tính hợp lý theo quy định nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài. Các dữ liệu sử dụng trong các phương pháp, mô hình đo lường rủi ro phải bảo đảm độ tin cậy và khả năng kiểm tra được.

3. Theo dõi trạng thái rủi ro và đánh giá kịp thời, cảnh báo sớm khả năng vi phạm các hạn mức rủi ro, hạn chế nguy cơ xảy ra rủi ro để bảo đảm an toàn trong hoạt động; lập các báo cáo nội bộ về theo dõi rủi ro và gửi đến các cá nhân, bộ phận có liên quan.

4. Kiểm soát việc thực hiện các quy trình nghiệp vụ theo các hạn mức rủi ro tương ứng; kiểm tra sức chịu đựng theo quy định tại Điều 7 Thông tư này, có các biện pháp phòng ngừa, giảm thiểu và xử lý kịp thời các rủi ro để bảo đảm tuân thủ các hạn mức rủi ro.

Điều 7. Kiểm tra sức chịu đựng

1. Hàng năm, doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải thực hiện kiểm tra sức chịu đựng về vốn và khả năng thanh toán theo quy định tại khoản 2 Điều này.

2. Việc kiểm tra sức chịu đựng được thực hiện như sau:

a) Lập tối thiểu 02 kịch bản: 01 kịch bản với các điều kiện hoạt động bình thường; 01 kịch bản với các diễn biến bất lợi về tỷ lệ rủi ro bảo hiểm, hoạt động đầu tư, chi phí hoạt động và các yếu tố khác theo đánh giá của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài. Các kịch bản lựa chọn phải được lập tối thiểu cho 05 năm tài chính tiếp theo và được xây dựng trên cơ sở phân tích số liệu thống kê, thực tế hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài, dự báo diễn biến kinh tế vĩ mô;

b) Tính toán tác động của các giả định tới chỉ tiêu vốn, biên khả năng thanh toán và an toàn tài chính của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài trong từng kịch bản (bao gồm phân tích định lượng và phân tích định tính).

3. Căn cứ kết quả kiểm tra sức chịu đựng, doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài xác định các biện pháp nhằm bảo đảm duy trì hoạt động kinh doanh của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài khi có các diễn biến bất lợi (nếu có).

Điều 8. Báo cáo quản trị rủi ro

1. Báo cáo quản trị rủi ro phải bao gồm các nội dung sau:

a) Đánh giá mức độ đầy đủ của hoạt động quản trị rủi ro, xác định nguồn lực tài chính cần có để quản lý hoạt động kinh doanh trong khả năng chấp nhận rủi ro và các kế hoạch kinh doanh của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

b) Đánh giá chi tiết về từng loại rủi ro trọng yếu của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài và các thay đổi rủi ro trong hoạt động;

c) Cách thức quản lý từng loại rủi ro trọng yếu của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

d) Kết quả kiểm tra sức chịu đựng và phân tích khả năng tiếp tục hoạt động trong các tình huống bất lợi đối với hoạt động kinh doanh.

2. Hàng năm, doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài có trách nhiệm lập và gửi Bộ Tài chính trực tiếp hoặc qua bưu điện hoặc nộp trực tuyến theo hướng dẫn của Bộ Tài chính báo cáo quản trị rủi ro chậm nhất là 90 ngày kể từ ngày kết thúc năm tài chính. Báo cáo quản trị rủi ro được lập theo mẫu quy định tại Phụ lục Thông tư này.

Điều 9. Hệ thống thông tin quản lý

1. Doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải có hệ thống thông tin quản lý để cung cấp thông tin, báo cáo nội bộ cho Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài, Tổng giám đốc (Giám đốc) và các cá nhân, bộ phận có liên quan để thực hiện chức năng, nhiệm vụ bảo đảm tuân thủ quy định tại Thông tư này.

2. Hệ thống thông tin quản lý tối thiểu bao gồm:

a) Các báo cáo nội bộ, biên bản họp, nghị quyết của Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm hoặc quyết định của công ty mẹ của chi nhánh nước ngoài, các quyết định của Tổng Giám đốc (Giám đốc) và các thông tin quản lý khác theo quy định của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài. Các báo cáo nội bộ phải tối thiểu bao gồm các báo cáo sau: Báo cáo quản trị rủi ro; báo cáo kiểm toán nội bộ, các báo cáo của bộ phận kiểm soát tuân thủ;

b) Cơ cấu tổ chức quản lý, vận hành hệ thống thông tin quản lý, trong đó quy định cụ thể trách nhiệm sử dụng hệ thống thông tin quản lý của cá nhân, bộ phận có liên quan;

c) Thu thập, xử lý, lưu trữ, cung cấp thông tin; xây dựng, gửi, tiếp nhận và xử lý báo cáo;

d) Cơ sở hạ tầng công nghệ thông tin đáp ứng yêu cầu tại điểm c, điểm d khoản 3 Điều này.

3. Hệ thống thông tin quản lý phải bảo đảm:

a) Cung cấp thông tin, dữ liệu đầy đủ, chính xác, kịp thời, đáp ứng các yêu cầu của công tác quản trị rủi ro, kiểm soát nội bộ và kiểm toán nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

b) Cập nhật tình hình tuân thủ các quy định của pháp luật, quy định nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

c) Bảo mật, bảo đảm an toàn thông tin, dữ liệu và có các hệ thống thông tin dự phòng để bảo đảm việc lưu trữ, sử dụng thông tin được an toàn, hiệu quả và không bị gián đoạn;

d) Được rà soát, đánh giá lại, được nâng cấp, cập nhật thường xuyên, kịp thời đáp ứng nhu cầu thông tin quản lý, quy mô, cơ cấu và mức độ phức tạp trong hoạt động kinh doanh của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

Điều 10. Văn hóa quản trị rủi ro

1. Doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài xây dựng văn hóa quản trị rủi ro thông qua việc ban hành và thực hiện bộ chuẩn mực đạo đức nghề nghiệp, quy định nội bộ về quản trị rủi ro, chế độ khen thưởng, kỷ luật.

2. Bộ chuẩn mực đạo đức nghề nghiệp phải bảo đảm các nguyên tắc sau:

a) Nhân viên thực hiện nhiệm vụ, thẩm quyền được giao một cách trung thực vì lợi ích của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài; không lợi dụng chức vụ, thông tin của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài để thu lợi cá nhân, làm tổn hại tới lợi ích của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

b) Các cá nhân, bộ phận có trách nhiệm báo cáo kịp thời với cấp có thẩm quyền khi phát hiện các hành vi vi phạm quy định tại điểm a khoản này và các hành vi vi phạm quy định pháp luật, quy định nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

3. Quy định nội bộ về quản trị rủi ro phải tuân thủ quy định tại khoản 2 Điều 5 Thông tư này.

4. Chế độ khen thưởng, kỷ luật phải bảo đảm nguyên tắc chính xác, công khai, minh bạch, công bằng, kịp thời. Việc thực hiện khen thưởng, kỷ luật phải được đánh giá theo chức năng, nhiệm vụ được giao của từng bộ phận, cá nhân của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

Mục 2. KIỂM SOÁT NỘI BỘ

Điều 11. Yêu cầu đối với các quy trình nghiệp vụ

1. Để bảo đảm thực hiện hoạt động kiểm soát nội bộ, doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải xây dựng các quy trình nghiệp vụ. Các quy trình nghiệp vụ bao gồm tối thiểu các quy trình sau: Quy trình định phí và phát triển sản phẩm bảo hiểm; quy trình khai thác, thẩm định; quy trình bồi thường và trả tiền bảo hiểm; quy trình tái bảo hiểm và quy trình kiểm soát nội bộ.

2. Các quy trình nghiệp vụ phải bảo đảm việc phân cấp và thẩm quyền phê duyệt rõ ràng, phù hợp với chức năng, nhiệm vụ của cá nhân và bộ phận thực hiện; thẩm quyền phê duyệt được xác định căn cứ vào quy mô giao dịch, hạn mức rủi ro và các giới hạn khác theo quy định nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

Điều 12. Hoạt động kiểm soát nội bộ

Hoạt động kiểm soát nội bộ bảo đảm các nguyên tắc sau:

1. Kiểm soát nội bộ được thực hiện đối với tất cả hoạt động, quy trình nghiệp vụ và các bộ phận của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

2. Bộ phận kiểm soát tuân thủ phải độc lập với các bộ phận nghiệp vụ.

3. Một nhân viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài không đảm nhiệm cùng một lúc những chức vụ, nhiệm vụ có mục đích, quyền lợi mâu thuẫn hoặc chồng chéo nhau.

4. Nhân viên không được sử dụng thông tin của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài đó phục vụ cho mục đích cá nhân; không được che giấu hành vi vi phạm quy định của pháp luật và quy định nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

5. Bảo đảm có sự kiểm tra, giám sát chéo trong việc thực hiện các quy trình nghiệp vụ.

6. Hệ thống thông tin về tài chính phục vụ hoạt động kiểm soát nội bộ phải trung thực, hợp lý, đầy đủ, chính xác, kịp thời.

Điều 13. Nhiệm vụ của bộ phận kiểm soát tuân thủ

Nhiệm vụ của bộ phận kiểm soát tuân thủ bao gồm:

1. Tham mưu cho Tổng giám đốc (Giám đốc) hoặc cấp có thẩm quyền ban hành quy trình kiểm soát nội bộ.

2. Kiểm tra, đánh giá định kỳ hàng năm, đột xuất việc tuân thủ các quy định của pháp luật, quy chế, quy trình nội bộ và chuẩn mực đạo đức nghề nghiệp của các cá nhân, bộ phận nghiệp vụ.

3. Hỗ trợ các bộ phận liên quan trong việc xây dựng, rà soát quy định nội bộ nhằm bảo đảm tuân thủ quy định pháp luật; kiến nghị, hoàn thiện quy trình, quy định nội bộ.

4. Lập báo cáo định kỳ hàng quý, hàng năm và đột xuất cho Tổng giám đốc (Giám đốc) về tình hình tuân thủ các quy định của pháp luật, quy chế, quy trình nội bộ và chuẩn mực đạo đức nghề nghiệp của các cá nhân, bộ phận nghiệp vụ, đề xuất sửa đổi, bổ sung quy trình nghiệp vụ (nếu cần thiết). Báo cáo định kỳ quý phải được gửi không chậm hơn 30 ngày kể từ ngày kết thúc quý, báo cáo định kỳ năm phải được gửi không chậm hơn 90 ngày kể từ ngày kết thúc năm.

5. Kịp thời báo cáo Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài trong trường hợp phát hiện các vi phạm trong việc tuân thủ quy định pháp luật của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

Mục 3. KIỂM TOÁN NỘI BỘ

Điều 14. Nhiệm vụ của kiểm toán nội bộ

Nhiệm vụ của kiểm toán nội bộ bao gồm:

1. Kiểm toán việc tuân thủ pháp luật, quy trình và quy chế nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

2. Kiểm toán tính an toàn, hiệu quả trong việc quản lý, sử dụng vốn, tài sản và nguồn lực của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

3. Kiểm toán tính chính xác, trung thực, hiệu quả của quy trình kiểm soát các thông tin tài chính và việc lập báo cáo tài chính.

4. Kiểm toán tính đầy đủ, chính xác, an toàn của hệ thống công nghệ thông tin và phần mềm nghiệp vụ.

5. Kiểm toán các nội dung khác theo yêu cầu của Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài.

Điều 15. Nguyên tắc của kiểm toán nội bộ

1. Tính độc lập:

a) Tổ chức và hoạt động của bộ phận kiểm toán nội bộ phải độc lập với các bộ phận của tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai;

b) Người làm công tác kiểm toán nội bộ không được đồng thời đảm nhận các công việc tại các bộ phận của tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai;

c) Kiểm toán nội bộ không chịu bất cứ sự can thiệp nào trong quá trình xác định phạm vi và nội dung kiểm toán, khi thực hiện đánh giá và báo cáo kết quả kiểm toán.

2. Tính khách quan:

a) Người làm công tác kiểm toán nội bộ phải bảo đảm tính khách quan, trung thực, công bằng, không định kiến;

b) Các ghi nhận trong báo cáo kiểm toán nội bộ phải được phân tích cẩn trọng và dựa trên cơ sở các dữ liệu, thông tin thu thập được;

c) Người làm công tác kiểm toán nội bộ không được thực hiện kiểm toán đối với quy định, chính sách nội bộ, thủ tục, quy trình mà người này chịu trách nhiệm chính trong việc xây dựng quy định, chính sách nội bộ, thủ tục, quy trình đó;

d) Người làm công tác kiểm toán nội bộ không được tham gia kiểm toán các hoạt động, các bộ phận mà người này chịu trách nhiệm thực hiện hoạt động hoặc quản lý bộ phận đó trong thời hạn 02 năm kể từ khi có quyết định không thực hiện hoạt động hoặc quản lý bộ phận đó;

đ) Người làm công tác kiểm toán nội bộ phải kịp thời báo cáo cho Trưởng bộ phận kiểm toán nội bộ các vấn đề có thể ảnh hưởng đến tính khách quan khi thực hiện hoạt động kiểm toán nội bộ. Trường hợp phát hiện người làm công tác kiểm toán nội bộ có thể không bảo đảm thực hiện nguyên tắc về tính khách quan trong hoạt động kiểm toán nội bộ, Trưởng bộ phận kiểm toán nội bộ phải báo cáo cho Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài để có giải pháp phù hợp;

e) Kết quả thực hiện nhiệm vụ của Trưởng bộ phận kiểm toán nội bộ phải được Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài thường xuyên kiểm tra, rà soát, đánh giá.

3. Người làm công tác kiểm toán nội bộ phải tuân thủ pháp luật và chịu trách nhiệm trước pháp luật về hoạt động kiểm toán nội bộ trong phạm vi nhiệm vụ được giao.

Điều 16. Quy chế, quy trình kiểm toán nội bộ

1. Doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải ban hành quy chế, quy trình kiểm toán nội bộ.

2. Quy chế kiểm toán nội bộ phải bao gồm các nội dung sau:

a) Mục tiêu, phạm vi hoạt động, vị trí, nhiệm vụ, quyền hạn, trách nhiệm của bộ phận kiểm toán nội bộ trong doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài và mối quan hệ với các bộ phận khác;

b) Các nguyên tắc cơ bản, yêu cầu về trình độ chuyên môn, việc bảo đảm chất lượng của kiểm toán nội bộ và các nội dung có liên quan khác.

3. Quy trình kiểm toán nội bộ hướng dẫn chi tiết các nội dung:

a) Phương thức đánh giá, phân loại mức độ rủi ro (thấp, trung bình, cao) làm căn cứ xây dựng kế hoạch kiểm toán nội bộ;

b) Phương thức lập kế hoạch kiểm toán nội bộ hàng năm, cách thức thực hiện công việc kiểm toán, lập và gửi báo cáo kiểm toán, theo dõi thực hiện kiến nghị sau kiểm toán;

c) Cách thức lưu hồ sơ, tài liệu kiểm toán nội bộ.

Điều 17. Kế hoạch kiểm toán nội bộ

1. Bộ phận kiểm toán nội bộ xây dựng và thực hiện kế hoạch kiểm toán nội bộ hàng năm, bao gồm phạm vi kiểm toán, đối tượng kiểm toán, các mục tiêu kiểm toán, thời gian kiểm toán và việc phân bổ các nguồn lực.

2. Những bộ phận, nghiệp vụ có mức độ rủi ro cao theo đánh giá của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài phải được đưa vào kế hoạch kiểm toán hàng năm.

3. Khi xây dựng kế hoạch kiểm toán nội bộ, bộ phận kiểm toán nội bộ phải dự phòng quỹ thời gian đủ để thực hiện các cuộc kiểm toán đột xuất khi có yêu cầu.

Điều 18. Quyền hạn và trách nhiệm của bộ phận kiểm toán nội bộ

1. Trong quá trình thực hiện nhiệm vụ, bộ phận kiểm toán nội bộ có các quyền sau đây:

a) Được cung cấp đầy đủ, kịp thời tất cả các thông tin, tài liệu, hồ sơ cần thiết cho công tác kiểm toán nội bộ;

b) Được tiếp cận, xem xét tất cả các quy trình nghiệp vụ, tài sản khi thực hiện kiểm toán nội bộ;

c) Được tiếp cận, phỏng vấn tất cả nhân viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài về các vấn đề liên quan đến nội dung kiểm toán;

d) Được nhận tài liệu, văn bản, biên bản họp của Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài có liên quan đến công việc của kiểm toán nội bộ.

2. Bộ phận kiểm toán nội bộ có các trách nhiệm sau:

a) Bảo mật tài liệu, thông tin theo đúng quy định pháp luật hiện hành, Điều lệ và quy chế nội bộ về kiểm toán nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

b) Báo cáo ngay cho Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài, Tổng giám đốc (Giám đốc) nếu trong quá trình kiểm toán phát hiện các sai phạm nghiêm trọng hoặc khi nhận thấy có nguy cơ rủi ro cao có thể ảnh hưởng xấu đến hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài;

c) Kịp thời lập, hoàn thành và gửi báo cáo kiểm toán cho Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài, Tổng giám đốc (Giám đốc) và bộ phận được kiểm toán sau khi kết thúc mỗi cuộc kiểm toán;

d) Giám sát, đánh giá và theo dõi các hoạt động sửa chữa, khắc phục, hoàn thiện đối với các vấn đề mà kiểm toán nội bộ đã ghi nhận và có khuyến nghị;

đ) Thông báo cho Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài trong trường hợp các tồn tại nêu trong báo cáo kiểm toán không được sửa chữa và khắc phục kịp thời;

e) Thực hiện lưu trữ hồ sơ, tài liệu kiểm toán nội bộ dưới dạng văn bản, theo trình tự để các cá nhân, tổ chức có thẩm quyền khai thác.

Điều 19. Trách nhiệm của các bộ phận được kiểm toán

1. Cung cấp thông tin, tài liệu, hồ sơ đầy đủ, kịp thời theo yêu cầu của bộ phận kiểm toán nội bộ để thực hiện hoạt động kiểm toán.

2. Thông báo ngay cho bộ phận kiểm toán nội bộ khi phát hiện dấu hiệu vi phạm, rủi ro có thể ảnh hưởng đến hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

3. Thực hiện kịp thời kiến nghị tại báo cáo kiểm toán nội bộ và chỉ đạo của Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài, Tổng Giám đốc (Giám đốc) (nếu có).

Điều 20. Báo cáo kiểm toán nội bộ

1. Bộ phận kiểm toán nội bộ phải trình báo cáo kiểm toán nội bộ cho Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài trong thời hạn tối đa không quá 90 ngày kể từ ngày kết thúc mỗi cuộc kiểm toán.

2. Báo cáo kiểm toán nội bộ phải trình bày rõ:

a) Nội dung kiểm toán, phạm vi kiểm toán;

b) Những đánh giá, kết luận về nội dung đã được kiểm toán và cơ sở đưa ra các ý kiến này;

c) Tồn tại, vi phạm, các ý kiến giải trình của đối tượng kiểm toán;

d) Kiến nghị các biện pháp sửa chữa, khắc phục sai sót và xử lý vi phạm; các biện pháp nhằm cải tiến quy trình nghiệp vụ, hoàn thiện chính sách quản lý rủi ro, cơ cấu tổ chức doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài (nếu có).

Mục 4. TRÁCH NHIỆM CỦA HỘI ĐỒNG QUẢN TRỊ, HỘI ĐỒNG THÀNH VIÊN, CÔNG TY MẸ CỦA CHI NHÁNH NƯỚC NGOÀI VÀ TỔNG GIÁM ĐỐC (GIÁM ĐỐC)

Điều 21. Trách nhiệm của Hội đồng quản trị, Hội đồng thành viên, công ty mẹ của chi nhánh nước ngoài

Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, công ty mẹ của chi nhánh nước ngoài có trách nhiệm:

1. Quyết định cơ cấu tổ chức của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài để thực hiện quản trị rủi ro, kiểm soát nội bộ và kiểm toán nội bộ.

2. Ban hành chính sách quản trị rủi ro trong từng thời kỳ; nguyên tắc thực hiện kiểm soát nội bộ; quy trình kiểm toán nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

3. Phê duyệt các quy định nội bộ về quản trị rủi ro trước khi Tổng giám đốc (Giám đốc) ban hành; phê duyệt, điều chỉnh kế hoạch kiểm toán nội bộ hàng năm.

4. Chỉ đạo, giám sát Tổng giám đốc (Giám đốc) trong việc:

a) Xử lý, khắc phục các tồn tại, hạn chế về tổ chức quản trị rủi ro và thực hiện các yêu cầu, kiến nghị tổ chức kiểm toán độc lập, kiểm toán nội bộ và các cơ quan có thẩm quyền;

b) Xử lý các hành vi vi phạm, vi phạm đạo đức nghề nghiệp và quy định nội bộ của các cá nhân và bộ phận có liên quan.

5. Hội đồng quản trị, Hội đồng thành viên của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm có trách nhiệm phê duyệt báo cáo quản trị rủi ro của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm trước khi báo cáo Bộ Tài chính. Thẩm quyền phê duyệt báo cáo quản trị rủi ro của chi nhánh nước ngoài trước khi báo cáo Bộ Tài chính thực hiện theo quy chế hoạt động của chi nhánh nước ngoài và quy định của công ty mẹ.

Điều 22. Trách nhiệm của Tổng giám đốc (Giám đốc)

Tổng giám đốc (Giám đốc) của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài có trách nhiệm:

1. Ban hành các quy trình nghiệp vụ (bao gồm cả quy trình kiểm soát nội bộ), chuẩn mực đạo đức nghề nghiệp; các quy định nội bộ về quản trị rủi ro; chế độ khen thưởng, kỷ luật; thực hiện phân bổ hạn mức rủi ro theo từng quy trình và hoạt động nghiệp vụ.

2. Tổ chức thực hiện hoạt động kiểm soát nội bộ, quản trị rủi ro theo quy định tại Mục 1 và Mục 2 Chương này.

3. Kiểm tra, đánh giá việc thực hiện hoạt động kiểm soát nội bộ, quản trị rủi ro và quyết định các giải pháp điều chỉnh, khắc phục (nếu cần thiết).

4. Tổ chức vận hành và hoàn thiện hệ thống thông tin quản lý.

5. Chỉ đạo các bộ phận thuộc tuyến bảo vệ thứ nhất và tuyến bảo vệ thứ hai phối hợp với kiểm toán nội bộ theo quy chế về kiểm toán nội bộ của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

6. Chỉ đạo thực hiện những kiến nghị tại báo cáo kiểm toán nội bộ và thực hiện chỉ đạo của Hội đồng quản trị, Hội đồng thành viên (nếu có), thông báo cho bộ phận kiểm toán nội bộ tình hình kết quả thực hiện.

Chương III

ĐIỀU KHOẢN THI HÀNH

Điều 23. Hiệu lực của Thông tư

1. Thông tư này có hiệu lực thi hành kể từ ngày 01 tháng 01 năm 2023.

2. Trong quá trình thực hiện, nếu có khó khăn, vướng mắc, đề nghị phản ánh kịp thời về Bộ Tài chính để xem xét, giải quyết./.

Nơi nhận: - Thủ tướng và các Phó Thủ tướng Chính phủ; - Văn phòng TW và các Ban của Đảng; - Văn phòng Tổng Bí thư; - Văn phòng Quốc hội; - Văn phòng Chủ tịch nước; - Văn phòng Chính phủ; - Viện kiểm sát nhân dân tối cao; - Kiểm toán nhà nước; - Các Bộ, cơ quan ngang Bộ, cơ quan thuộc Chính phủ; - UBND tỉnh, thành phố trực thuộc TW; - Văn phòng Ban chỉ đạo TW về phòng, chống tham nhũng; - Cơ quan TW của các hội và đoàn thể; - Cục Kiểm tra văn bản (Bộ Tư pháp); - Các đơn vị thuộc Bộ Tài chính; - Công báo, Website Chính phủ; - Website Bộ Tài chính; - Hiệp hội Bảo hiểm Việt Nam, DNBH, DNTBH, DNMGBH, CNNN; - Lưu: VT, QLBH. (98b)

KT. BỘ TRƯỞNG THỨ TRƯỞNG Cao Anh Tuấn

PHỤ LỤC

(Ban hành kèm theo Thông tư số 70/2022/TT-BTC ngày 16 tháng 11 năm 2022 của Bộ trưởng Bộ Tài chính)

TÊN DOANH NGHIỆP BẢO HIỂM, DOANH NGHIỆP TÁI BẢO HIỂM, CHI NHÁNH NƯỚC NGOÀI -------	CỘNG HÒA XÃ HỘI CHỦ NGHĨA VIỆT NAM Độc lập - Tự do - Hạnh phúc ---------------
Số: …………	……., ngày ….. tháng .…. năm ….

BÁO CÁO QUẢN TRỊ RỦI RO

“Năm...”

Kính gửi: Bộ Tài chính

I. Chính sách quản trị rủi ro

1. Tổ chức bộ máy và các chính sách, quy định nội bộ về quản trị rủi ro (chỉ áp dụng cho báo cáo lần đầu).

2. Các thay đổi về chính sách, quy định nội bộ về quản trị rủi ro, khẩu vị rủi ro trong kỳ báo cáo, lý do thay đổi (áp dụng với các kỳ báo cáo sau).

3. Đánh giá mức độ đầy đủ của hoạt động quản trị rủi ro của doanh nghiệp, và các nguồn lực cần có để hoạt động trong khả năng chấp nhận rủi ro của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

II. Quản trị rủi ro trọng yếu

1. Đánh giá về các rủi ro trọng yếu đối với hoạt động của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài.

2. Phương thức quản trị các rủi ro trọng yếu:

a. Quản trị rủi ro bảo hiểm

- Các hạn mức rủi ro bảo hiểm. Các thay đổi hạn mức rủi ro bảo hiểm trong kỳ báo cáo (nếu có) và lý do thay đổi;

- Đánh giá tình hình thực hiện quản trị rủi ro bảo hiểm (nhận dạng, đo lường, theo dõi, và các biện pháp nhằm kiểm soát rủi ro bảo hiểm, tính hiệu quả của hoạt động quản trị rủi ro bảo hiểm, các tồn tại, hạn chế, vướng mắc trong quản trị rủi ro bảo hiểm và nguyên nhân....);

- Kết quả thực hiện kiến nghị của Bộ Tài chính, kiểm toán độc lập, cơ quan chức năng khác đối với quản trị rủi ro bảo hiểm (nếu có).

b. Quản trị rủi ro thị trường

- Các hạn mức rủi ro thị trường. Các thay đổi hạn mức rủi ro thị trường trong kỳ báo cáo (nếu có) và lý do thay đổi;

- Đánh giá tình hình thực hiện quản trị rủi ro thị trường (nhận dạng, đo lường, theo dõi, và các biện pháp nhằm kiểm soát rủi ro thị trường, tính hiệu quả của hoạt động quản trị rủi ro thị trường, các tồn tại, hạn chế, vướng mắc trong quản trị rủi ro thị trường và nguyên nhân....);

- Kết quả thực hiện kiến nghị của Bộ Tài chính, kiểm toán độc lập, cơ quan chức năng khác đối với quản trị rủi ro thị trường (nếu có).

c. Quản trị rủi ro hoạt động

- Các hạn mức rủi ro hoạt động. Các thay đổi hạn mức rủi ro hoạt động trong kỳ báo cáo (nếu có) và lý do thay đổi;

- Đánh giá tình hình thực hiện quản trị rủi ro hoạt động (nhận dạng, đo lường, theo dõi, và các biện pháp nhằm kiểm soát rủi ro hoạt động, tính hiệu quả của hoạt động quản trị rủi ro hoạt động, các tồn tại, hạn chế, vướng mắc trong quản trị rủi ro hoạt động và nguyên nhân....);

- Kết quả thực hiện kiến nghị của Bộ Tài chính, kiểm toán độc lập, cơ quan chức năng khác đối với quản trị rủi ro hoạt động (nếu có).

d. Quản trị rủi ro đối tác

- Các hạn mức rủi ro đối tác. Các thay đổi hạn mức rủi ro đối tác trong kỳ báo cáo (nếu có) và lý do thay đổi;

- Đánh giá tình hình thực hiện quản trị rủi ro đối tác (nhận dạng, đo lường, theo dõi, và các biện pháp nhằm kiểm soát rủi ro đối tác, tính hiệu quả của hoạt động quản trị rủi ro đối tác, các tồn tại, hạn chế, vướng mắc trong quản trị rủi ro đối tác và nguyên nhân....);

- Kết quả thực hiện kiến nghị của Bộ Tài chính, kiểm toán độc lập, cơ quan chức năng khác đối với quản trị rủi ro đối tác (nếu có).

đ. Quản trị rủi ro thanh khoản

- Các hạn mức rủi ro thanh khoản. Các thay đổi hạn mức rủi ro thanh khoản trong kỳ báo cáo (nếu có) và lý do thay đổi;

- Đánh giá tình hình thực hiện quản trị rủi ro thanh khoản (nhận dạng, đo lường, theo dõi, và các biện pháp nhằm kiểm soát rủi ro thanh khoản, tính hiệu quả của hoạt động quản trị rủi ro thanh khoản, các tồn tại, hạn chế, vướng mắc trong quản trị rủi ro thanh khoản và nguyên nhân....);

- Kết quả thực hiện kiến nghị của Bộ Tài chính, kiểm toán độc lập, cơ quan chức năng khác đối với quản trị rủi ro thanh khoản (nếu có).

e. Quản trị các rủi ro trọng yếu khác theo đánh giá của doanh nghiệp bảo hiểm, doanh nghiệp tái bảo hiểm, chi nhánh nước ngoài (nếu có).

III. Kết quả kiểm tra sức chịu đựng và phân tích khả năng tiếp tục hoạt động trong các tình huống bất lợi đối với hoạt động kinh doanh

1. Kịch bản kiểm tra sức chịu đựng.

2. Kết quả kiểm tra sức chịu đựng.

3. Phân tích khả năng tiếp tục hoạt động trong tình huống bất lợi đối với hoạt động kinh doanh.

Nơi nhận: - Như trên; - …………..; - Lưu:

NGƯỜI ĐẠI DIỆN TRƯỚC PHÁP LUẬT (Ký, ghi rõ họ tên, đóng dấu)

Tiếng Anh (English)

MINISTRY OF FINANCE -------	SOCIALIST REPUBLIC OF VIETNAM Independence - Freedom - Happiness ---------------
No. 70/2022/TT-BTC	Hanoi, November 16, 2022

CIRCULAR

PROVIDING FOR RISK MANAGEMENT, INTERNAL CONTROL AND INTERNAL AUDIT OF INSURANCE COMPANIES, REINSURANCE COMPANIES, BRANCHES OF FOREIGN NON-LIFE INSURANCE COMPANIES AND BRANCHES OF FOREIGN REINSURANCE COMPANIES

Pursuant to the Law on Insurance Business dated June 16, 2022;

Pursuant to the Law on Enterprises dated June 17, 2020;

Pursuant to the Government's Decree No. 87/2017/ND-CP dated July 26, 2017, defining the functions, tasks, powers and organizational structure of the Ministry of Finance;

The Minister of Finance hereby promulgates the Circular setting down regulations on risk management, internal control and internal audit of insurance companies, reinsurance companies, branches of foreign non-life insurance companies and branches of foreign reinsurance companies.

Chapter I

GENERAL PROVISIONS

...

...

...

This Circular elaborates Article 84, Article 85; clause 1 and clause 2 of Article 86 in the Law on Insurance Business.

Article 2. Subjects

1. Life insurance companies, non-life insurance companies, health insurance companies (hereinafter referred to as insurance companies), and reinsurance companies.

2. Branches of foreign non-life insurance companies, and branches of foreign reinsurance companies (hereinafter referred to as foreign branches).

3. Entities and persons involved in risk management, internal control and internal audit of insurance companies, reinsurance companies and foreign branches.

Article 3. Interpretation

For the purposes of this Circular, terms used herein shall be construed as follows:

1. Parent company of foreign branch refers to the foreign non-life insurance company or the foreign reinsurance company that sets up its branch in Vietnam.

2. Risk refers to the likelihood to incur loss(es) (financial loss(es), non-financial loss(es)) resulting in any decrease in income and/or equity consequentially causing any reduction in the capital adequacy ratio or any limitation to the capability of achieving business goals and objectives of an insurance company, reinsurance company, or foreign branches.

...

...

...

4. Risk limit refers to a limit of each type of risk that a person or a department or division under an insurance company, reinsurance company or foreign branch may be allowed to run over time periods or during its insurance operations or business process.

5. Material risk is grouped into insurance risk, market risk, operational risk, counterparty risk and other risk judged by an insurance company, a reinsurance company or a foreign branch as substantially or materially affecting its financial safety and operational efficiency.

6. Insurance risk refers to any risk arising due to change(s) in technical factor(s) associated with calculation of insurance premiums and insurance-related technical provisioning, including:

a) Risk related to calculation of insurance premiums: This type of risk may arise from creating an irrelevant assumption underpinning underestimation of insurance premium needed to pay insurance benefit or coverage agreed upon during the policy term and offset operating costs of an insurance company, reinsurance company or foreign branch. An assumption underpinning estimation of insurance premium may embrace: casualty risk ratio, longevity risk ratio, (compensation) claim settlement ratio, cost ratio, rate of return, insurance policy cancellation rate and other assumptions used in insurance premium calculation models;

b) Risk related to non-life insurance company's setting up technical provision for settlement of non-life insurance claims: Setting up technical provisions not sufficient to settle insurance claims or pay compensations or indemnities on the part of a non-life insurance company or branch of a foreign non-life insurance company;

c) Risk related to disasters: This type of risk arises when the actual claim settlement ratio is greater than as stated in the premium calculation assumption due to any epidemic or catastrophic event.

7. Market risk refers to any risk arising from the market where investment and business activities of insurance companies, reinsurance companies and foreign branches take place, including:

a) Risk related to negative trends in market interest rates to the values of bonds or debt securities, interest-bearing financial instruments, derivatives and assets of an insurance company, reinsurance company or foreign branch;

b) Risk related to negative trends in forex rates to reinsurance, cession and foreign investment;

...

...

...

d) Risk from non-equivalence between the term of assets and liabilities agreed upon in insurance contracts entered into by an insurance company, reinsurance company or foreign branch.

8. Operational risk refers to any risk from setting up and carrying out the operating procedures of an insurance company, reinsurance company or foreign branch, including:

a) Risks related to failure to completely set up and conform to the internal regulations and operating procedures of an insurance company, reinsurance company or foreign branch;

b) Legal risk;

c) Risk associated with failure to develop complete and due actuarial processes, which leads to an increase in the rate of high-risk policyholders;

d) Risk associated with designing insurance benefits or coverage that is/are not adaptable to market situation;

dd) Risk associated with staff and safety-at-work policies;

e) Risk associated with unsatisfactory outsourced services or failure of outsourced partner(s) to fulfill obligations under outsourcing agreements;

g) Risk related to information technology (IT) systems, personal data security and cybersecurity;

...

...

...

i) Fraud risk;

k) Other risk related to operations of an insurance company, reinsurance company or foreign branch.

9. Counterparty risk refers to the probability that the other party will not meet its payment commitments when making investment and reinsurance transactions with an insurance company, reinsurance company or foreign branch.

10. Liquidity risk refers to the risk that an insurance company, reinsurance company or foreign branch will not have sufficient cash to meet its capabilities to pay debts that fall due.

11. Risk management refers to identification, measurement, monitoring and control of the operational risk of an insurance company, reinsurance company or foreign branch.

12. Risk management culture refers to the cultural value of an insurance company, reinsurance company or foreign branch that indicates the general awareness of importance of risk management activities amongst the Governing board, Board of Members, General Director (Director) and persons, departments or divisions at an insurance company, reinsurance company or foreign branch.

Chapter II

SPECIFIC PROVISIONS

Section 1. RISK MANAGEMENT

...

...

...

1. Insurance companies, reinsurance companies and foreign branches shall use three separate Lines of Defence hereunder for their risk management:

a) First Line of Defence: This Line of Defence is formed by functional departments, divisions or units that directly identify, receive, assess, control, report and monitor business risks;

b) Second Line of Defence: This Line of Defence is formed by the Risk Management, the Compliance Control and other departments or divisions having the function of controlling risks to the First-Line-of-Defence roles;

c) Third Line of Defence: This Line of Defence is formed by the Internal Audit department or division.

2. Depending on the size, condition and complexity of their business activities, insurance companies, reinsurance companies and foreign branches may build their organizational structure of the Second Line of Defence provided that it performs all of the following functions:

a) Provide expert counsels in order for the General Director (Director) to issue internal rules and regulations on risk management;

b) Work with operational departments or divisions in the First Line of Defence to identify and monitor material risks that may arise;

c) Build and use risk assessment and measurement models to early warn of and identify risks and hazards of risk limits; proposing measures or approaches for control, prevention and minimization of any risk that may arise;

d) Construct the scenario for testing of their risk tolerance;

...

...

...

Article 5. Risk Management Policies; Internal Rules and Regulations on Risk Management

Insurance companies, reinsurance companies and foreign branches shall formulate their Risk Management Policies; Internal Rules and Regulations on Risk Management as follows:

1. Their risk management policies must satisfy the regulations laid down in point c of clause 2 of Article 86 in the Law on Insurance Business.

2. Their internal rules and regulations on risk management shall cover the following:

a) Functions, tasks, mechanism for delegation of authority, decision-making authority and responsibilities of individuals and departments in their risk management activities;

b) Procedures for identifying, measuring, tracking, monitoring and supervising material risks; making reports and exchanging information or feedback on risk changes and response;

c) Specific limits specific to material risks and other related risks; correlation between those risks. Risk limits mentioned above shall be in line with the taste for risk and conform to their internal rules and regulations on risk management; be reviewed periodically at least once a year and irregularly whenever there are major changes affecting the operational risk of these insurance companies, reinsurance companies or foreign branches;

d) Measures or approaches applied to control risks arising from business activities, and control individuals and departments involved in those activities.

dd) Risk tolerance tests meeting regulations laid down in Article 7 herein.

...

...

...

g) Internal regime for reporting of risk management.

Article 6. Identification, Measurement, Monitoring and Control of Risks

Insurance companies, reinsurance companies and foreign branches shall identify, measure, monitor and control risks in a timely and accurate manner, subject to the following regulations:

1. Identify material risks that they may face during their business.

2. Measure risks on the basis of defining impacts of these risks on their business, capital and solvency. Risk measurement shall be carried out by using methods or models. Risk measurement methods and models shall be regularly examined and reviewed to ensure accuracy and rationality in accordance with their internal rules and regulations on risk management. All data used in these risk measurement methods and models shall be reliable and inspectable.

3. Check the risk status, duly assess, give early warning of the possibility of violating risk limits, and restrict exposure to risks to ensure safety in their operations; make internal reports on risk monitoring and send them to relevant individuals and departments.

4. Control the implementation of functional or operating procedures within corresponding risk limits; test risk tolerance as prescribed in Article 7 of this Circular, take measures to prevent, minimize and promptly deal with risks to ensure compliance with risk limits.

Article 7. Risk Tolerance Testing

1. Annually, insurance companies, reinsurance companies and foreign branches shall test their risk tolerance in terms of capital and solvency as prescribed in clause 2 of this Article.

...

...

...

a) Construct at least 02 scenarios, including: A scenario under normal operating condition; the other scenario in response to adverse trends in ratios of risks from insurance, investment activities, operating costs and other factors according to evaluation by insurance companies, reinsurance companies and foreign branches. In order to be chosen, the scenario must be appropriate for use in at least the next 5 financial years and constructed based on analysis of statistical data and actual performance of the tested insurance company, reinsurance company or foreign branch, and forecast about negative macroeconomic trends;

b) Calculate the impacts of assumptions on capital, solvency margin and financial safety indicators of the tested insurance company, reinsurance company or foreign branch as part of each scenario (including quantitative analysis and qualitative analysis).

3. Based on the results of the tolerance test, the tested insurance company, reinsurance company or foreign branch shall decide to take measures to maintain their ongoing operations and business in case of any negative trend that may emerge.

Article 8. Risk Management Reporting

1. Each risk management report shall cover the following:

a) Assess the completeness of risk management activities, determine financial resources required for management of business activities within risk-taking capabilities and business plans of the reporting insurance company, reinsurance company or foreign branch;

b) Make the detailed assessment of specific types of material risk of the reporting insurance company, reinsurance company or foreign branch, and of changes in operational risks that may arise from its business;

c) Methodologies for management of specific types of material risk of the reporting insurance company, reinsurance company or foreign branch;

d) Results of the tolerance test and analysis of capabilities of maintaining ongoing business activities in case of disadvantages to business activities.

...

...

...

Article 9. Management Information Systems

1. Insurance companies, reinsurance companies and foreign branches shall keep management information systems in place to provide internal information and reports for Governing boards, Boards of Members of these insurance companies, reinsurance companies, parent companies of these foreign branches, General Directors (Directors), and relevant individuals or departments in order for them to perform their functions and duties in compliance with this Circular.

2. Each management information system shall include but not limited to the followings:

a) Internal reports, meeting minutes, resolutions of the Governing board, Board of Members of the insurance enterprise, reinsurance enterprise or decisions of the parent company of the foreign branch; decisions of the General Director (Director) and other management information required under the instructions of the insurance company, reinsurance company or foreign branch. Internal report shall comprise at least the following reports: Risk management report; internal audit report and reports of the compliance control department;

b) The organizational structure for management and operation of the management information system, which specifies the responsibilities for using the management information system of the relevant individuals and departments;

c) Collecting, processing, storing and providing information; building, sending, receiving and handling reports;

d) Information technology infrastructure and facilities meeting the requirements defined in point c and d of clause 3 of this Article.

3. Management information systems of insurance companies, reinsurance companies or foreign branches shall:

a) provide complete, accurate and timely information and data to meet their requirements of risk management, internal control and internal audit;

...

...

...

c) ensure confidentiality, security and safety for information and data, and be supported by backup information systems to ensure the safe, effective and uninterrupted storage and use of information;

d) be examined, reviewed, re-evaluated, upgraded and updated regularly and promptly to meet the needs for management information, and to be commensurate with the size, structure, and in line with the complexity in their business activities.

Article 10. Risk Management Culture

1. Insurance companies, reinsurance companies and foreign branches shall build their risk culture by issuing and complying with the codes of professional ethics; internal rules and regulations on risk management; and reward and sanction regulations.

2. Each code of professional ethics shall conform to the following principles:

a) Staff members shall honestly perform assigned tasks and authority for the benefit of the insurance companies, reinsurance companies or foreign branches that they are working for; shall avoid performing the act of abusing their position and information of their employers to seek personal gain, harm the interests of insurance companies, reinsurance companies or foreign branches as their employers;

b) Individuals and departments must promptly report to competent authorities on the acts of violation specified in point a of this clause and those against regulatory provisions and internal rules and regulations of insurance companies, reinsurance companies or foreign branches as their host entities.

3. Internal rules and regulations on risk management shall be in accordance with clause 2 of Article 5 herein.

4. Reward and sanction regulations must ensure accuracy, public access, transparency, fairness and timeliness. Nomination for a reward or imposition of a sanction shall be subject to assigned functions and duties of relevant departments or individuals of insurance companies, reinsurance companies or foreign branches.

...

...

...

Article 11. Requirements of Technical Procedures

1. In order to ensure successful internal controls, insurance companies, reinsurance companies or foreign branches shall develop technical procedures: These technical procedures shall include but not limited to the following: Insurance product costing and development procedures; insurance offering and underwriting procedures; insurance claim settlement, indemnification or compensation and payout procedures; reinsurance procedures and internal control procedures.

2. Those sets or subsets of technical procedures shall be built on the practice of decentralizing and delegating approval-granting authority in a clear manner, ensuring that they are aligned with functions and tasks of individuals and departments in charge of implementing these procedures; Such approval-granting authority shall be determined based on the transaction size, risk limits and other restrictions as stipulated in internal rules and regulations of insurance companies, reinsurance companies and foreign branches.

Article 12. Internal Control Activities

The following principles shall be obeyed when carrying out internal control activities:

1. All operations, technical procedures and departments of insurance companies, reinsurance companies and foreign branches shall be subject to the internal control requirement.

2. Compliance control department shall be independent of other functional departments.

3. A staff member of an insurance company, reinsurance company or foreign branch shall not be allowed to hold positions or be assigned duties concurrently if aims or interests resulting from these positions or duties conflict or overlap.

4. Staff members of insurance companies, reinsurance companies and foreign branches shall not be allowed to use information of their employers for personal purposes; conceal violations against laws and internal rules and regulations of their employers.

...

...

...

6. Financial information systems needed for internal controls shall ensure integrity, rationality, completeness, accuracy and timeliness.

Article 13. Tasks and Duties of Compliance Control Departments

A Compliance Control Department shall have the following tasks and duties:

1. Provide expert counsels in order to help General Director (Director) or a relevant competent authority to issue internal control procedures.

2. Carry out the annual or unscheduled examination and assessment of compliance with the provisions of law, internal rules and regulations and professional ethical standards of staff members and functional or operations departments.

3. Support relevant departments in the process of formulating and reviewing internal rules and regulations to ensure compliance with regulatory provisions; making recommendations or comments on, and improving internal procedures, rules and regulations.

4. Prepare quarterly, annual and ad-hoc update reports for submission to the General Director (Director) on compliance with the provisions of law, internal rules and regulations and professional ethical standards of staff members and functional or operations departments, including proposals for modifications of technical procedures (where necessary). Each quarterly report shall be submitted no later than 30 days following the last day of the quarter in question while each annual report shall be submitted no later than 90 days following the last day of the year in question.

5. Report to the Governing boards or the Boards of Members of the insurance companies, reinsurance companies or parent companies of foreign branches in a timely manner when detecting violations related to compliance with law that are committed by these insurance companies, reinsurance companies or foreign branches.

Section 3. INTERNAL AUDIT

...

...

...

An Internal Audit shall have the following tasks and duties:

1. Audit compliance with the regulatory provisions of laws, internal procedures, rules and regulations of the audited insurance company, reinsurance company or foreign branch.

2. Audit safety and effectiveness in management and usage of capital, assets and other resources of the audited insurance company, reinsurance company or foreign branch.

3. Audit accuracy, integrity and effectiveness of the procedures for control of financial information and the financial reporting.

4. Audit completeness, accuracy and safety of information technology systems and professional software in use.

5. Audit other matters as requested by the Governing board or the Board of Members of the audited insurance company, reinsurance company and parent company of the audited foreign branch.

Article 15. Principles of Internal Audit

1. Independence:

a) The internal audit department must be separated from other departments or functions of the first and second Line of Defense;

...

...

...

c) Internal audit shall in no case be prejudiced when determining the audit scope and subject matters to be audited, and when carrying out its assessment and making audit reports.

2. Objectivity:

a) Persons in charge of internal audit shall have impartial, honest, fair and unbiased assessment views;

b) Entries or recordings contained in internal audit reports must be discreetly analyzed and based on collected data and information;

c) Persons in charge of internal audit shall not be allowed to carry out the internal audit of internal rules, regulations, policies, formalities and procedures of which formulation is mainly under their responsibility;

d) Persons in charge of internal audit shall not be allowed to get involved in auditing operations or departments put under their responsibility to carry out such operations or manage such departments within 02 years from the effective date of the decision on exclusion from doing so binding upon them;

dd) Persons in charge of internal audit shall promptly report to the Head of the internal audit department on issues that may affect the objectivity when carrying out internal audits. In case it is discovered that the person in charge of internal audit may not ensure conformance to the principle of objectivity in his/her internal audit activities, the Head of the internal audit department must report to the Governing Board or the Board of Members of the audited insurance company, reinsurance company or parent company of the audited foreign branch to seek any appropriate solution;

e) Performance of the Head of the internal audit department shall be regularly examined, reviewed and assessed by the Governing Board or the Board of Members of the audited insurance company, reinsurance company and parent company of the audited foreign branch.

3. Persons in charge of internal audit shall comply with laws and be legally responsible for their assigned internal audit duties.

...

...

...

1. Insurance companies, reinsurance companies and foreign branches shall publish internal audit regulations and procedures.

2. Internal audit regulations shall comprise:

a) Objectives, scope of internal audit, positions, tasks, powers and responsibilities of the internal audit department in the insurance company, reinsurance company or foreign branch, and the relationship with other departments;

b) Fundamental principles, professional qualification requirements, quality assurance of internal audit and other relevant matters.

3. Internal audit procedures shall provide details about:

a) Methodologies of assessing and classifying risk levels (e.g. low, medium, high) as a basis to build an internal audit plan;

b) Methodologies of making annual internal audit plans, ways of performing audit work, making and sending audit reports, and monitoring how post-audit recommendations are followed;

c) Forms of filing and archival of internal audit records and documents.

Article 17. Internal Audit Plans

...

...

...

2. Departments and functions or operations assessed by insurance companies, reinsurance companies or foreign branches as posing high risks shall be included in annual audit plans.

3. When devising internal audit plans, internal audit departments shall allow for spare time needed for sudden audit engagements upon request.

Article 18. Authority and Responsibilities of Internal Audit Departments

1. When on duty, the internal audit department shall have the following rights:

a) It can be provided with full information, documents and records needed for internal audit engagements;

b) It can have access to and be entitled to examine all technical procedures and assets when carrying out internal audit engagements;

c) It can approach and interview all staff members of the audited insurance company, reinsurance company or foreign branch about matters associated with the content of an audit engagement;

d) It can receive documents, literature or meeting minutes of the Governing Board or the Board of Members of the audited insurance company, reinsurance company and parent company of the audited foreign branch provided they are related to internal audit engagements.

2. When on duty, the internal audit department shall have the following duties and responsibilities:

...

...

...

b) Immediately report to the Governing Board or the Board of Members of the audited insurance company, reinsurance company or parent company of the audited foreign branch, the General Director (Director) when finding out serious defects or high risks likely to adversely affect business and operations of that audited entity;

c) Promptly prepare, complete and send audit reports to the Governing Board or the Board of Members of the audited insurance company, reinsurance company or parent company of the audited foreign branch, the General Director (Director) and the audited department after each audit engagement;

d) Oversee, assess and monitor corrective and remedial actions against defects or issues which have been recorded by and obtained recommendations from internal audit;

dd) Inform the Governing Board or the Board of Members of the audited insurance company, reinsurance company or parent company of the audited foreign branch of defects or issues stated in audit reports that have not yet been corrected or remedied in a timely manner;

e) Keep and retain internal audit documents and records in written form and according to the permitted process in order for authorized persons and entities to have access to them.

Article 19. Responsibilities of Audited Departments

1. Provide information, documents and records in full and in a timely manner at the internal audit department's request to help with internal audit activities.

2. Immediately report to the internal audit department on any sign of violation or risk that may affect operations and business of the audited insurance company, reinsurance company or foreign branch.

3. Duly carry out recommendations included in internal audit reports and instructions from the Governing Board or the Board of Members of the audited insurance company, reinsurance company, parent company of the audited foreign branch, the General Director (Director) (if any).

...

...

...

1. The internal audit department shall submit the internal audit report to the Governing Board or the Board of Members of the audited insurance company, reinsurance company or parent company of the audited foreign branch no later than 90 days following the end of each audit engagement.

2. An internal audit report must clearly include:

a) Content and scope of each audit engagement;

b) Assessment and conclusion opinions about audited matters and basis for these opinions;

c) Issues, violations and explanatory opinions concerning the audited entity;

d) Recommended correction or remedy actions and sanctions; measures aimed at improving technical procedures, perfecting risk management policies and organizational structure of the audited insurance company, reinsurance company or foreign branch (if any).

Section 4. RESPONSIBILITIES OF GOVERNING BOARDS, BOARDS OF MEMBERS, PARENT COMPANIES OF FOREIGN BRANCHES AND GENERAL DIRECTORS (DIRECTORS)

Article 21. Responsibilities of Governing Boards, Boards of Members, Parent Companies of Foreign Branches

The Governing Board or the Board of Members of the insurance company, reinsurance company or parent company of the foreign branch in question shall have the following responsibilities:

...

...

...

2. Issue risk management policies over time; principles of internal audit; internal audit procedures of the insurance company, reinsurance company or foreign branch in question.

3. Approve internal rules and regulations regarding risk management before being issued by the General Director (Director); approve and revise annual internal audit plans.

4. Instruct the General Director (Director) to carry out the following assignments and supervise his/her performance in such assignments:

a) Correct and address defects or issues relating to the organization structure for risk management, and follow demands and recommendations from independent audit bodies, internal audit departments and competent authorities;

b) Sanction acts of violation, violations against professional ethics and internal rules and regulations of related persons and departments.

5. The Governing Boards and the Boards of Members of the insurance companies or reinsurance companies in question shall be responsible for approving risk management reports of these entities before submitting them to the Ministry of Finance. Authority to approve risk management reports of foreign branches before submitting them to the Ministry of Finance shall be as prescribed under the operating regulations of these foreign branches and regulations of parent companies.

Article 22. Responsibilities of General Director (Director)

The General Director (Director) of the insurance company, reinsurance company or foreign branch in question shall have the following responsibilities:

1. Issue technical procedures (including internal control procedures), professional ethics; internal rules and regulations on risk management; reward and sanction regulations; distribute risk limits according to specific technical procedures and operations.

...

...

...

3. Examine and assess performance in terms of internal control and risk management, and decide correction or remedial actions (where necessary).

4. Take charge of operating and perfecting management information systems.

5. Direct departments of the First Line of Defence and the Second Line of Defence to cooperate with the internal audit according to internal audit regulations of the insurance company, reinsurance company or foreign branch in question.

6. Direct recommendations included in internal audit reports and instructions from the Governing Board or the Board of Members (if any) to be followed, and inform the internal audit department of results obtained from following these recommendations and instructions.

Chapter III

IMPLEMENTATION PROVISIONS

Article 23. Entry into force

1. This Circular shall enter into force as from January 1, 2023.

2. In the course of implementation hereof, if there is any issue or difficulty that arises, it should be promptly informed to the Ministry of Finance to seek solutions./.

...

...

...

PP. MINISTER
DEPUTY MINISTER




Cao Anh Tuan