通知第70/2022/TT-BTC号关于保险公司、再保险公司及其分支机构的风险管理、内部控制和内部审计的规定。

通知

关于风险管理、内部控制和内部审计的规定

对保险公司、再保险公司

外国非人寿保险公司的分支机构

外国再保险公司的分支机构

根据二零二二年六月十六日《保险业务法》

根据2020年6月17日颁布的《企业法》；

根据政府2017年第87号法令（2017年7月26日）关于财政部职能、任务、权限和组织结构的规定；

财政部部长发布本通知，规定保险公司、再保险公司、外国非人寿保险公司的分支机构、外国再保险公司的分支机构的风险管理、内部控制和内部审计。

第一章

总则

第一条 调整范围

本通知规定《保险业务法》第八十四条、第八十五条及第八十六条第一款、第二款的内容。

第二条 适用对象

1. 人寿保险公司、非人寿保险公司、健康保险公司（以下简称保险公司），再保险公司。

2. 外国非人寿保险公司的分支机构、外国再保险公司的分支机构（以下简称境外分支机构）。

3. 与保险公司、再保险公司、境外分支机构的风险管理、内部控制和内部审计有关的组织和个人。

条3. 术语解释

在本通知中，下列术语定义如下：

1. 境外分支机构的母公司 是在越南设有分支机构的外国非人寿保险公司或外国再保险公司。

2. 风险 是可能导致收入减少、自有资本下降，从而导致资本充足率降低或限制实现保险公司、再保险公司、境外分支机构经营目标的可能性的因素。

3. 风险偏好 是保险公司、再保险公司、境外分支机构根据其经营战略和财务能力愿意接受各种风险及其程度的能力。

4. 风险限额 是在特定时间点和业务流程中，保险公司、再保险公司、境外分支机构的个人或部门可以承担的各种风险的界限。

5. 重要风险 包括保险风险、市场风险、操作风险、交易对手风险及其他经保险公司、再保险公司、境外分支机构评估认为对财务安全和运营效率有重大影响的风险。

6. 保险风险 是由于与保险费计算和保险准备金提取相关的技术因素变动而产生的风险，包括：

a) 与保险费计算相关风险：设定的假设不符合实际，导致计算出的保险费不足以支付合同期间承诺的保险利益并弥补保险公司的运营成本。这些假设包括死亡率、生存率、赔付率、费用率、投资收益率、退保率和其他用于保险费计算模型中的假设；

b) 与非寿险准备金提取相关风险：提取的准备金不足以支付非寿险公司应承担的赔偿金额；

c) 与灾难相关风险：实际赔付率过高，超过因疾病或灾难原因导致的定价假设。

7. 市场风险 是由于投资市场波动对保险公司、再保险公司、境外分支机构的投资和经营活动产生的风险，包括：

a) 利率不利变动对保险公司、再保险公司、境外分支机构持有的证券、带息金融工具、衍生品和投资资产价值的影响；

b) 汇率不利变动对外汇接收、转分保和海外投资活动的影响；

c) 股票价格不利变动对保险公司、再保险公司、境外分支机构持有的股票和衍生证券价值的影响；

d) 投资资产期限与保险合同承诺责任期限不匹配的风险。

8. 操作风险 是由于建立和执行保险公司、再保险公司、境外分支机构的业务流程所产生的风险，包括：

a) 未能充分遵守和实施内部规章制度和业务流程的风险；

b) 法律风险；

c) 审核过程不充分或不合适，增加了高风险投保人比例的风险；

d) 设计的保险利益与市场需求不符的风险；

e) 人力资源政策和工作场所安全的风险；

f) 外包服务质量不达标，外包商未履行外包合同义务的风险；

g) 信息技术系统、个人数据保护和网络安全的风险；

h) 经营周期风险；

i) 欺诈风险；

j) 其他与保险公司、再保险公司、境外分支机构运营相关的风险。

9. 交易对手风险 是交易对手无法履行与保险公司、再保险公司、境外分支机构投资和再保险活动相关的付款承诺的风险。

10. 流动性风险 是保险公司、再保险公司、外国分支机构因资金不足而无法履行到期债务的风险。

11. 风险管理 是识别、衡量、监控和控制保险公司、再保险公司、外国分支机构运营中的风险的过程。

12. 风险管理文化 是保险公司、再保险公司、外国分支机构的价值观体现，反映董事会、股东会、总经理（经理）及公司内各部门对风险管理重要性的统一认识。

第二章

具体规定

节 1

风险管理

第四条 组织风险管理

一、保险公司、再保险公司、外国分支机构必须建立独立的三条防线来组织风险管理：

（一）第一道防线：业务部门，直接负责确定、接受、评估、控制、报告和监控在业务活动中产生的风险；

（二）第二道防线：风险管理部、合规控制部及其他具有控制第一道防线活动风险职能的部门；

（三）第三道防线：内部审计部。

二、根据公司的规模、条件和业务复杂程度，保险公司、再保险公司、外国分支机构应构建第二道防线的组织结构，确保完成以下任务：

（一）向总经理（经理）建议制定内部风险管理规定；

（二）与第一道防线的业务部门合作，识别并跟踪重大风险的发生；

（三）建立和使用风险评估和测量模型，以预警和早期发现风险，并提出控制、预防和减少风险发生的措施（如有必要）；

（四）制定压力测试剧本，以评估保险公司、再保险公司、外国分支机构承受风险的能力；

（五）定期季度和年度以及突发情况下向总经理（经理）报告风险管理情况；如发现可能严重影响财务安全和运营效率的重大风险，应及时向保险公司、再保险公司的董事会、股东会和外国分支机构母公司的董事会报告。季度报告应在季度结束后的三十天内提交，年度报告应在年度结束后的九十天内提交。

第五条 风险管理政策和内部规定

保险公司、再保险公司、外国分支机构必须制定风险管理政策和内部规定如下：

一、保险公司、再保险公司的风险管理政策必须符合《保险法》第八十六条第二款第c项的规定。

二、内部风险管理规定包括以下内容：

（一）个人和部门在风险管理活动中的职责、分级机制、决策权限和责任；

（二）重大风险及其相关风险的识别、衡量、监控和报告流程；信息交流、反馈风险变化和处理风险的程序；

（三）针对每种重大风险及其相关风险的具体风险限额。这些风险限额必须符合风险偏好和内部风险管理规定的要求；每年至少重新评估一次，并在发生重大影响风险变化时进行临时评估；

（四）从经营活动和参与该活动的个人和部门中产生的风险控制措施；

（五）符合本通知第七条规定的压力测试机制；

（六）为应对紧急情况而制定的计划，以确保保险公司、再保险公司、外国分支机构业务连续性。此计划需经保险公司、再保险公司的董事会、股东会和外国分支机构母公司的董事会批准；

（七）内部风险管理报告机制。

条 6. 识别、计量、监测和控制风险

保险公司、再保险公司及其外国分支机构应及时、准确地按照以下规定识别、计量、监测和控制风险：

1. 识别保险公司、再保险公司及其外国分支机构在经营过程中可能遇到的重大风险。

2. 根据风险对保险公司、再保险公司及其外国分支机构的经营活动、资本和偿付能力的影响程度来计量风险。风险计量应采用方法和模型。这些方法和模型必须定期根据保险公司、再保险公司及其外国分支机构内部的规定进行准确性与合理性审查。用于风险计量的方法和模型的数据必须保证可靠性和可验证性。

3. 监测风险状态，及时评估并提前预警可能违反风险限额的情况，减少发生风险的可能性，确保业务安全；编制内部风险监测报告，并提交给相关个人或部门。

4. 控制业务流程以符合相应的风险限额；根据本通知第七条的规定进行压力测试，并采取预防、减轻和及时处理风险的措施，确保遵守风险限额。

条 7. 压力测试

1. 每年，保险公司、再保险公司及其外国分支机构必须按照本条第二款的规定进行资本和偿付能力的压力测试。

2. 压力测试应按以下方式进行：

a) 至少制定两个情景：一个是在正常运营条件下的情景；另一个是在保险风险比率、投资活动、运营成本和其他因素不利变化的情景下。所选情景至少应覆盖未来五个财政年度，并基于保险公司、再保险公司及其外国分支机构的统计分析、实际运营情况以及宏观经济预测建立；

b) 计算假设对资本指标、偿付能力边际和财务安全的影响（包括定量和定性分析）。

3. 根据压力测试结果，保险公司、再保险公司及其外国分支机构确定在不利情况下维持业务运营所需的措施（如有必要）。

条 8. 风险管理报告

1. 风险管理报告应包含以下内容：

a) 对风险管理活动充分性的评估，确定为管理业务运营并在接受的风险范围内实施企业计划所需的资金资源；

b) 对保险公司、再保险公司及其外国分支机构的重大风险类型及其在运营中的变化进行详细评估；

c) 管理保险公司、再保险公司及其外国分支机构重大风险类型的办法；

d) 压力测试的结果以及在不利情况下继续运营的能力分析。

2. 每年，保险公司、再保险公司及其外国分支机构有责任直接向财政部提交或通过邮政或在线提交（根据财政部的指导）风险管理报告，最迟应在财政年度结束后的90天内提交。风险管理报告应按照本通知附件规定的格式编制。

条9. 信息管理系统

1. 保险公司、再保险公司以及外国分支机构必须建立信息管理系统，以向董事会、股东会提供内部信息和报告，供保险公司、再保险公司的董事会、股东会，外国分支机构的母公司，总经理（经理）及相关个人和部门使用，以履行其职能和任务，确保遵守本通知的规定。

2. 最低的信息管理系统应包括：

a) 内部报告、会议记录、保险公司、再保险公司的董事会或股东会决议、外国分支机构母公司的决定、总经理（经理）的决定以及其他根据保险公司、再保险公司、外国分支机构规定的信息管理信息。内部报告至少应包括以下报告：风险管理报告；内部审计报告；合规控制部门的报告；

b) 管理和运营信息管理系统的组织结构，在其中明确规定相关个人和部门使用信息管理系统的责任；

c) 收集、处理、存储和提供信息；制定、发送、接收和处理报告；

d) 满足第3款第c、d点要求的信息技术基础设施。

3. 信息管理系统必须保证：

a) 提供完整、准确、及时的信息和数据，满足保险公司、再保险公司、外国分支机构的风险管理、内部控制和内部审计工作的需求；

b) 更新对法律法规、保险公司、再保险公司、外国分支机构内部规定的遵守情况；

c) 保密，确保信息安全，并有备用信息系统，以确保信息存储和使用的安全、有效且不中断；

d) 定期审查、评估并及时升级，以满足保险公司、再保险公司、外国分支机构的信息管理需求、规模、结构和业务复杂程度。

条10. 风险管理文化

1. 保险公司、再保险公司以及外国分支机构通过发布和执行职业道德标准、内部风险管理制度、奖励和惩罚制度来建设风险管理文化。

2. 职业道德标准必须确保以下原则：

a) 员工诚实履行分配的任务和权限，为保险公司、再保险公司、外国分支机构的利益服务；不得利用职务和保险公司、再保险公司、外国分支机构的信息谋取个人利益，损害保险公司、再保险公司、外国分支机构的利益；

b) 相关个人和部门在发现违反本款第a点的行为和其他违反法律法规、保险公司、再保险公司、外国分支机构内部规定的行为时，应及时向上级报告。

3. 内部风险管理制度必须遵守本通知第5条第2款的规定。

4. 奖励和惩罚制度必须确保公正、公开、透明、及时的原则。奖励和惩罚的实施必须根据保险公司、再保险公司、外国分支机构各部门和个人所承担的功能和任务进行评价。

节

内部控制

条 11. 业务流程的要求

1. 为了确保内部控制活动的实施，保险公司、再保险公司及其外国分支机构必须建立业务流程。业务流程至少应包括以下流程：定价和产品开发流程；销售和评估流程；理赔和保险金支付流程；再保险流程以及内部控制流程。

2. 业务流程必须确保分级和审批权限明确，并与执行个人和部门的功能和任务相适应；审批权限根据保险公司的交易规模、风险限额和其他内部规定确定。

条 12. 内部控制活动

内部控制活动应遵循以下原则：

1. 内部控制适用于所有活动、业务流程和保险公司的各个部门。

2. 合规部门必须独立于业务部门。

3. 保险公司的任何员工不得同时担任具有利益冲突或重叠职责的职务。

4. 员工不得利用保险公司的信息为自己谋取私利；不得隐瞒违反法律规定和公司内部规定的违法行为。

5. 确保在执行业务流程时进行交叉检查。

6. 支持内部控制活动的财务信息系统必须真实、合理、完整、准确、及时。

条 13. 合规部门的任务

合规部门的任务包括：

1. 协助总经理（经理）或有权限的人员制定内部控制流程。

2. 定期每年或不定期检查和评估个人和业务部门遵守法律法规、内部制度和职业行为准则的情况。

3. 支持相关部门制定和完善内部规定，以确保符合法律规定；提出完善流程和内部规定的建议。

4. 每季度、每年或不定期向总经理（经理）报告个人和业务部门遵守法律法规、内部制度和职业行为准则的情况，并提出修改和完善业务流程的建议（如有必要）。季度报告应在季度结束后的三十天内提交，年度报告应在年度结束后的九十天内提交。

5. 在发现保险公司、再保险公司或其外国分支机构存在违反法律规定的行为时，应及时向董事会或股东会报告。

节 3

内部审计

条 14. 内部审计的任务

内部审计的任务包括：

1. 审计保险企业、再保险企业和外国分支机构遵守法律法规、内部程序和制度的情况。

2. 审计保险企业、再保险企业和外国分支机构在管理、使用资金、资产和资源方面的安全性和有效性。

3. 审计财务信息控制流程和编制财务报告的准确性、真实性和有效性。

4. 审计信息技术系统和业务软件的安全性、完整性和准确性。

5. 根据保险企业、再保险企业的董事会或股东会以及外国分支机构母公司的要求，审计其他相关内容。

条 15. 内部审计的原则

1. 独立性：

a) 内部审计部门的组织和活动必须独立于第一线和第二线部门；

b) 执行内部审计工作的人员不得同时承担第一线和第二线部门的工作；

c) 内部审计不受任何干预，在确定审计范围和内容、执行评估和报告审计结果的过程中。

2. 客观性：

a) 执行内部审计工作的人员必须保证客观性、诚实、公正，无偏见；

b) 内部审计报告中的记录必须谨慎分析，并基于收集的数据和信息；

c) 执行内部审计工作的人员不得对由其主要负责制定的内部规定、政策、程序和流程进行审计；

d) 执行内部审计工作的人员不得参与对其在过去两年内负责实施活动或管理的部门进行审计；

e) 执行内部审计工作的人员必须及时向内部审计部门负责人报告可能影响内部审计客观性的事项。如果发现内部审计工作可能无法确保客观性原则，内部审计部门负责人必须向保险企业、再保险企业的董事会或股东会以及外国分支机构母公司报告，以便采取适当措施；

f) 内部审计部门负责人的任务执行结果必须经常接受保险企业、再保险企业的董事会或股东会以及外国分支机构母公司的检查、审查和评估。

3. 执行内部审计工作的人员必须遵守法律法规，并对其内部审计活动在其职责范围内承担责任。

条 16. 内部审计制度和流程

1. 保险企业、再保险企业和外国分支机构必须制定内部审计制度和流程。

2. 内部审计制度必须包括以下内容：

a) 在保险企业、再保险企业和外国分支机构中，内部审计部门的目标、活动范围、位置、任务、权限、责任及其与其他部门的关系；

b) 内部审计的基本原则、专业水平要求、质量保障要求及相关内容。

3. 内部审计流程详细指导以下内容：

a) 风险等级（低、中、高）评估方法，作为制定内部审计计划的基础；

b) 年度内部审计计划的制定方法、审计工作的执行方式、审计报告的编制和发送、审计后建议的跟踪；

c) 内部审计档案和文件的保存方式。

条17. 内部审计计划

1. 内部审计部门应建立并执行年度内部审计计划，包括审计范围、审计对象、审计目标、审计时间和资源分配。

2. 根据保险公司、再保险公司和外国分支机构的风险评估，具有高风险水平的部门和业务必须纳入年度审计计划。

3. 在制定内部审计计划时，内部审计部门应当预留足够的时间以应对可能发生的突击审计要求。

条18. 内部审计部门的权利和责任

1. 在履行职责过程中，内部审计部门享有以下权利：

a) 获得进行内部审计所需的所有充分及时的信息、文件和记录；

b) 接触并审查在进行内部审计时的所有业务流程和资产；

c) 接触并采访与内部审计内容相关的所有保险公司、再保险公司和外国分支机构员工；

d) 收取与内部审计工作相关的保险公司、再保险公司和外国分支机构母公司董事会和股东会的文件、文本和会议纪要。

2. 内部审计部门承担以下责任：

a) 按照现行法律法规、保险公司、再保险公司和外国分支机构内部审计章程和规章制度的要求，保护文件和信息的安全；

b) 如果在审计过程中发现严重违规行为或存在可能严重影响保险公司、再保险公司和外国分支机构运营的重大风险，应立即向保险公司、再保险公司的董事会和股东会以及外国分支机构的母公司报告，并向总经理（经理）报告；

c) 审计结束后，应及时完成并向保险公司、再保险公司的董事会和股东会以及外国分支机构的母公司、总经理（经理）和被审计部门提交审计报告；

d) 监督、评估和跟踪内部审计中记录的问题及其建议的改进措施；

e) 当审计报告中指出的问题未得到及时纠正和解决时，应向保险公司、再保险公司的董事会和股东会以及外国分支机构的母公司通报；

f) 按照规定程序保存内部审计文件和记录，以便有权个人和组织查阅。

条19. 被审计部门的责任

1. 根据内部审计部门的要求，及时提供充分的信息、文件和记录，以支持审计活动的开展。

2. 发现可能影响保险公司、再保险公司和外国分支机构运营的违规迹象或风险时，应立即通知内部审计部门。

3. 及时执行内部审计报告中的建议和保险公司、再保险公司的董事会和股东会以及外国分支机构母公司的指示，以及总经理（经理）的指示（如有）。

第二十条 内部审计报告

一、内部审计部门应当在每次审计结束后九十日内，向保险公司、再保险公司的董事会或股东会以及外国分支机构的母公司提交内部审计报告。

二、内部审计报告应当包括以下内容：

（一）审计内容和范围；

（二）对已审计内容的评价和结论及其依据；

（三）存在的问题、违规行为及被审计对象的解释；

（四）提出纠正错误、处理违规行为的措施；改进业务流程、完善风险管理政策、优化保险公司、再保险公司、外国分支机构（如有）组织结构的建议。

第四节

董事会、股东会、外国分支机构母公司的责任以及总经理（经理）

单独会员、境外分支机构的母公司和总干事（干事）

总经理（经理）

第二十一条 董事会、股东会、外国分支机构母公司的职责

保险公司、再保险公司的董事会或股东会以及外国分支机构的母公司负有以下职责：

一、确定保险公司、再保险公司、外国分支机构的风险管理、内部控制和内部审计的组织架构。

二、制定各时期的全面风险管理政策；内部控制实施原则；内部审计程序。

三、批准总经（理）在发布前的内部风险管理制度；批准并调整年度内部审计计划。

四、指导并监督总经（理）执行以下事项：

（一）处理和解决组织架构中的风险管理缺陷，并落实独立审计机构、内部审计机构和相关有权机关的要求和建议；

（二）处理违反职业道德和内部规定的行为。

五、保险公司、再保险公司的董事会或股东会在向财政部报告之前，需批准保险公司、再保险公司的全面风险管理报告。外国分支机构的母公司则需根据外国分支机构的运营制度和公司规定，在向财政部报告之前批准其全面风险管理报告。

第二十二条 总经理（经理）的职责

保险公司、再保险公司的总经理（经理）以及外国分支机构的总经理（经理）负有以下职责：

一、制定业务流程（包括内部控制流程）、职业操守标准；内部风险管理制度；奖励和惩罚制度；按流程和业务活动分配风险限额。

二、按照本章第一节和第二节的规定，组织实施内部控制和风险管理活动。

三、检查和评估内部控制和风险管理活动的执行情况，并决定必要的调整和补救措施。

四、组织和完善信息管理系统。

五、指导第一道防线和第二道防线的部门与内部审计部门按照保险公司、再保险公司的内部审计制度进行合作。

六、执行内部审计报告中的建议，并根据董事会或股东会（如有）的指示采取行动，同时向内部审计部门通报执行结果。

第三章

实施条款

条23. 通知的效力

||| 本通知自2023年1月1日起生效。

2. 在执行过程中，如遇困难或问题，应及时向财政部反映，以便审查和解决。/