Solvency II, maitriser le reporting et garantir la qualité des données

Franck Archer, Directeur pôle Banque, Finance, Assurance et Stratégie BI, Umanis Consulting

• Pouvez-vous nous expliquer en quoi consiste la solvabilité d'une société d'assurance ?

La solvabilité d'une société d'assurance est sa capacité à strictement respecter ses engagements financiers à court, moyen et long terme. Ces engagements portent sur l'ensemble des relations contractuelles négociées et souscrites par ses clients.
La solvabilité est évaluée en fonction du volume de ces engagements. Elle prend en considération les garanties et protections offertes aux clients d'une part et les moyens financiers dont dispose la société d'assurance pour y faire face d'autre part notamment sous la forme de fonds propres et d'actifs mobiliers.

L'Agence de Contrôle Prudentielle (ACP) est une structure émanant de la Banque de France. L'ACP est en charge de la supervision du déploiement de Solvency II en France.

• En quoi consiste la Directive Solvency II ?

La précédente directive d'harmonisation des règles de solvabilité, Solvency I, adoptée dans la décennie 1970, ne permettait pas de prendre en compte les différentes natures des risques auxquels les sociétés d'assurance sont exposées.
La réforme Solvabilité 2 (Solvency II en anglais) complète les règles de solvabilité des sociétés d'assurance pour garantir l'ensemble des engagements. Elle impose que l'évaluation des capitaux propres soit proportionnelle au risque des passifs et actifs détenus.
Ex. : une action d'entreprise non cotée (PME), par nature risquée (risque de faillite), conduira à avoir une exigence en capital plus importante que pour d'autres types d'actifs.

La réforme repose sur deux directives et des mesures d'application :

• La directive «Solvabilité 2» (directive 2009/138/CE) adoptée au printemps 2009, fixe les grands principes de la réforme. Elle devra être transposée en droit français.
• Les mesures d'application de la directive-cadre, qui sont en cours de définition : c'est le «calibrage» de la réforme.
• La directive Omnibus 2, qui pourrait être adoptée en 2013, introduit des mesures de transition spécifiques à certains sujets clés afin d'éviter toute entrée brusque dans le nouveau cadre réglementaire (notamment pour éviter toute cession précipitée d'actifs qui aurait des conséquences potentiellement importantes sur les marchés financiers).

• Pouvez-vous nous expliquer quelles sont les priorités Solvency II ?

Cette directive va bien au-delà d'une réforme réglementaire supplémentaire pour les assureurs car son objectif est de placer la gestion des risques au centre des orientations stratégiques.

Dorénavant, il reste un peu moins de deux ans aux assureurs pour mettre en œuvre un véritable programme de transformation qui va impacter non seulement la stratégie (produits, investissements, croissance externe), les organisations (comité de direction, risques, finances, actuariat), mais également les processus internes (gouvernance, communication financière notamment), les données et les systèmes d'information.

La réforme Solvency II devrait entrer en application en 2015.

La définition des mesures du paquet contra-cyclique, que devrait comporter la directive Omnibus 2, et les résultats du QIS 6 nécessiteront des arbitrages.

• Solvabilité II repose sur trois piliers, pouvez-vous nous les détailler ?

Le pilier I regroupe les exigences quantitatives. Le pilier II concerne les risques. Enfin, le pilier III concerne tout ce qui touche à la communication financière.

Le pilier III est celui qui nous intéresse ici car celui-ci continue de faire parler de lui !
En effet, le nombre d'informations demandées par l'ACP aux organismes d'assurance explose engendrant en parallèle une explosion des coûts et nécessitant la mise en œuvre de moyens de plus en plus importants.
Le périmètre du reporting concerné comporte des parties qualitatives et quantitatives sur différents aspects (comptable, prudentiel, de gouvernance, etc.) :

• Deux rapports qualitatifs (SFCR, Solvency and Financial Condition Report) et RTS, Reporting To Supervisors),
• 46 états qualitatifs pour les solos
• 15 états additionnels pour les groupes.

De plus, ce reporting doit être mis en cohérence avec le reporting existant IFRS et MCEV.

• On comprend qu'une directive aussi importante, qui englobe le pilotage stratégique de l'entreprise, la stratégie de gestion des risques et une refonte en profondeur de la fonction du reporting, va augmenter la criticité des systèmes de reporting. Quelles sont les exigences de Solvency II en termes de gouvernance de Système d'Information, de sécurité et d'auditabilité ?

Le pilier III centralise les efforts de communication sur la solvabilité. A ce titre, il concentre les efforts de qualité des données et d'auditabilité. Il est important de rappeler que le pilier II est cependant tout autant exigeant en termes de qualité de données et d'auditabilité pour la modélisation des risques et l'actuariat.

L'ACP a rappelé en novembre 2012 le cadre élargi des exigences prudentielles pour le contrôle des systèmes d'information des organismes d'assurances :

• Bilan prudentiel – Evaluation des exigences de capital (SCR, MCR) – Qualité des données pour les PT (Directive 2009/138/EC art 48 – art 82 – Article 121)
• Gouvernance et gestion des risques, contrôle et audit interne (Directive 2009/138/EC art 41 et suivants)
  • Système de gestion des risques et de contrôle interne
  • Système de Gestion des risques opérationnels (art 44-e)
  • ORSA (Own Risk and Solvency Assessment-art 45)
  • Plan d'urgence (art 41)
• Dispositions sur le Pilier II (art 35 et art 50)

L'élaboration des bases de données décisionnelles (Datawarehouses, DataMarts et autres Infocentres) constituent un enjeu majeur pour l'ensemble de la Directive Solvency II.
Lors de sa conférence en novembre 2012 sur le thème « Le contrôle des systèmes d'information en assurance et en banque », l'ACP a très clairement précisé que les travaux de préparation des bases de données (pour le pilier II comme pour le pilier III) seront l'objet d'un contrôle des Systèmes d'Information.
Dans ce domaine un effort important reste à mener. Le panorama réalisé par l'ACP dans le cadre d'une enquête sectorielle à fin 2012 est illustratif :

• 41 % des organismes d'assurance n'ont pas établi de « mapping » entre les lignes du bilan prudentiel et les différentes sources d'information nécessaires à la production de celui-ci (15% pour les SA).
• Concernant la préparation des états prudentiels Solvency II, 56% des organismes n'ont pas commencé de retro planning identifiant les services fournisseurs d'information dans la perspective de la mise en production. 61% n'ont pas effectué de connexion entre la production des états et d'autres sources de données. 

• Le pilier III représente un cadre exigeant d'auditabilité, pouvez-vous nous en dire plus ?

En effet, dans le cadre du pilier III, les acteurs du marché doivent justifier des informations transmises au Régulateur (L'ACP).
Cela implique donc de devoir présenter de manière détaillée :

• Ses processus de gouvernance des risques et de la solvabilité,
• Sa démarche opérationnelle de pilotage des risques et de la solvabilité,
• Les moyens et les outils mis en œuvre pour la mesure de solvabilité,
• Les résultats produits
• Et enfin les moyens et les processus de contrôle des informations.

Par conséquent, la production du reporting règlementaire exige de rendre auditable toute la démarche de mise en application de la Directive au sein de l'Entreprise.
Le reporting règlementaire étant produit dans les plateformes de Business Intelligence, la première exigence consiste à équiper les systèmes informatiques décisionnels des pistes d'audit (flux d'alimentation et services de restitution) et les activités de validation du reporting de processus de workflow.
Enfin, il est nécessaire de déployer des services sécurisés pour les saisies et les corrections réalisées sur les bases calculatoires pour le pilier II et/ou le pilier III.

Dans un second temps, le challenge consiste à rapprocher les données comptables et les données extra-comptables.
Longtemps confiné dans le domaine des inventaires techniques et/ou actuariels, le rapprochement de données comptables et de données de gestion doit dorénavant être auditable. Il est donc primordial de choisir le bon outil qui permettra de rendre « contrôlable » ces activités de rapprochement souvent traitées par des outils analytiques dans des bases actuarielles.
Pour se faire, nous préconisons deux pistes majeures :

• Le choix d'un ETL avec un périmètre élargi à l'EAI et au temps réel
• Le choix d'un interpréteur comptable (reste à définir sur quel périmètre de gestion des flux, il interviendra).

• Existe-t-il d'autres contraintes en termes d'auditabilité ?

En effet, Solvency II va également obliger les assureurs à rendre compte de manière très exhaustive de leurs placements en valeurs mobilières en décomposant ligne par ligne des capitaux éventuellement confiés à une gestion extérieure.
La production de cette information, la « transparisation », est un métier pour les entreprises de conservation et pousse les organismes à se poser de nombreuses questions notamment sur la piste d'audit à mettre en place pour les processus de transparisation, la délégation contractuelle avec les gestionnaires en charge de la conservation des titres ou encore l'utilisation de services de transparisation additionnels.

• Comment les sociétés d'assurance vont-elles pouvoir faire face à ces contraintes ?

La démarche de qualité de données est un domaine complexe car ce sujet nécessite de maîtriser de nombreux domaines et de nombreuses interactions entre SI.
Cependant, les expériences acquises en Data Quality Management dans le domaine de la Business intelligence s'avèrent être un avantage précieux. Les sociétés spécialisées dans les Domaines du DataWarehousing et du reporting analytique ont développé un savoir-faire totalement approprié :

L'ensemble de ces compétences et savoir-faire nécessitent d'être réunis au sein d'une structure de gouvernance des données. Pour faire face aux différents défis, aux contraintes d'auditabilité et de qualité, les sociétés d'assurance vont devoir mettre en place une gouvernance :

• du patrimoine des données et des informations
• de la qualité des données

Dans ce domaine, de nombreux efforts restent à faire comme l'a montré la dernière enquête de novembre 2012 de l'ACP.

Pour mettre en place une gouvernance de la qualité, il est primordial d'avoir une connaissance du patrimoine de ses données et des informations produites à partir du traitement de ses données :

• La connaissance du patrimoine de données permet d'identifier les données concernées par la Directive Solvency II
• Cette connaissance permet ensuite d'identifier la nature des efforts et des gains de qualité pour disposer d'objectifs qualitatifs inscrits dans une démarche de progression et de Plan Assurance Qualité

La connaissance du patrimoine des données passe généralement par un chantier de référencement du patrimoine BI pour recenser et maitriser l'ensemble des processus d'échange inter/intra applicatifs associés à la production du reporting (processus et interfaces de saisie, processus d'extraction IT, de contrôle et de reporting,…).
Cette démarche de Métabase aboutit à un outil de pilotage qui permettra de gérer la traçabilité sur toute la chaine et d'analyser l'impact des évolutions mais également d'auditabilité de bout en bout et de dictionnaire de données.

Le vrai défi pour les entreprises consiste avant tout à disposer dans une même base de données (Métabase) des éléments suivants :

• Le référentiel de la cartographie des risques
• Le référentiel des processus applicatifs associés aux modèles (des risques) internes
• Le référentiel des processus applicatifs associés au reporting réglementaire
• Le référentiel du patrimoine des données (données de gestion, données comptables et informations de reporting)
• Le référentiel XBRL
• Le référentiel des contrôles de données
• L'historique des contrôles de qualité, des anomalies constatées et des modalités des corrections réalisées
• Le référentiel des échantillons statistiques

… et les éléments de mapping entre ces référentiels multiples.

Cette métabase associée à un effort de documentation fonctionnelle constitue un dictionnaire d'entreprise et devient alors l'outil central de la gouvernance de la qualité et de l'auditabilité du SI prudentiel.

Cependant, compte-tenu de l'ampleur du chantier, il est nécessaire de rappeler qu'elles sont les priorités de l'ACP lorsqu'elle auditera le SI des assujettis : 

• Quelle est votre approche pour équiper la fonction d'auditabilité ?

Pour les sociétés d'assurance, la capture, les traitements et l'historisation des données nécessaires à la production du reporting réglementaire d'une part et aux traitements applicatifs des modèles internes d'autre part, représentent un défi majeur.
En effet, ces données sont issues de nombreuses applications et systèmes d'information (comptabilité, Finance, Contrôle de gestion, Risques, Asset Management, référentiels, Actuariat, …) internes ou externes à la société d'assurance.
De facto, la qualité de ces données devra respecter un cadre d'exigence précis :

Les travaux réalisés par Umanis auprès des principaux acteurs du marché ont permis de mettre en évidence 3 grands axes d'adaptation :

• L'alignement des systèmes d'information et des processus de collecte : Pour fournir les données nécessaires aux nouveaux reportings, les processus et les systèmes de collecte et de production des données utilisées par les SI de gestion vont nécessiter une adaptation et/ou une amélioration par la mise en place de nouvelles solutions de type « DataWarehouse ».
• La mise en oeuvre d'une solution de reporting spécifique : Les données disponibles devront ensuite être regroupées, puis donner lieu à des contrôles de cohérence avant d'être validées, puis transmises pour établir les états de reporting réglementaires. Un tel processus de reporting doit se fonder sur une approche de Quality Data Management dédiée, performante et évolutive afin de prendre en compte les évolutions réglementaires.
• La mise en place d'une solution de gestion du patrimoine de la Business Intelligence : Cette démarche de Métabase aboutit à un outil de pilotage qui permettra de gérer la traçabilité de bout en bout et d'analyser l'impact des évolutions mais également d'auditabilité de bout en bout et de dictionnaire de données. In fine, elle vise à identifier et donc à maîtriser les données sensibles au regard des processus Solvency II.

Notre approche s'inscrit dans une démarche incluant gouvernance de la qualité, gestion de la qualité opérationnelle et mise en œuvre de système de pilotage de la qualité

L'axe majeur de l'auditabilité des processus de reporting passe par l'auditablité des flux d'alimentation

Une exigence forte en Métabase pour recenser et maîtriser l'ensemble des processus d'échange inter/intra applicatifs associé à la production du reporting :

• Processus et interfaces de saisie
• Processus d'extraction IT
• Processus de contrôle
• Processus d'accès aux données
• Processus de reporting/analytiques
• Processus stochastiques
• Processus ALM
• Processus d'inventaire technique et rapprochement compta/gestion
• Processus End-users d'export/XBRL

La démarche de Métabase aboutit à un outil de pilotage …

• Traçabilité de bout en bout
• Analyse d'impact des évolutions

… et d'auditabilté de bout en bout

De part la multiplicité des aspects de la qualité des données du reporting reglementaire, de part la multiplicité des processus qui contribuent directement ou indirectement (Gestion, Actuariat, ALM, Contrôle de gestion, Asset Management et Investissements etc ..) à la production des données servant au reporting, les enjeux de l'auditabilité du reporting réglementaire et de la qualité des données constituent un enjeu majeurs de gouvernance.

Au risque d'être noyées par la multiplicité des chantiers, les sociétés d'assurance ont tout intérêt à s'inscrire dans une vision à long terme et dans une démarche progressive d'amélioration de la qualité même si le constat des axes d'amélioration peut être rapidement établi.
Compte-tenu des nombreuses interactions entre les chantiers, une approche de transformation d'entreprise est bien souvent la plus adaptée. Elle a l'avantage de permettre d'inscrire la transformation des processus métiers et du Système d'Information dans le cadre d'un schéma Directeur pluri-annuel. L'approche TOGAF d'élaboration d'Architecture d'Entreprise est dans ce cas particulièrement recommandée.

Enfin, comme tout chantier complexe, couteux et de longue durée, une démarche de priorisation est indispensable.

Les nombreux retours d'expérience montre que les efforts de qualité des données doivent être orientés vers les principaux groupes de risque. Cette démarche de priorisation pourra se mettre en place d'autant plus rapidement que les sociétés d'assurance disposeront d'une Métabase élargie combinant référentiel de la cartographie des risques et référentiel du patrimoine Business Intelligence.

• Quelques mots pour conclure ?

Comme nous l'avons vu, les enjeux d'auditabilité et de la qualité des données sont intimement liés.

Leur maîtrise s'inscrit dans une démarche de gouvernance portant tout autant sur les processus réglementaires que sur le patrimoine de la Business Intelligence.

Elle va obliger les sociétés d'assurance à renforcer et à industrialiser les outils de gestion des référentiels internes mais aussi externes (Transparisation, Taxonomie XBRL etc..), les outils de Master Data Management et les outils de Quality Data Management.

Cela impliquera un important développement de pistes d'audit au sein des plateformes de Business Intelligence d'une part, et induira une importante activité au cours des prochaines années pour les spécialistes en technologies ETL, Hub d'intégration et Interpréteur Comptable d'autre part qui auront en charge de développer les contrôles de qualité des données, les contrôles d'intégrité et les contrôles de compatibilité réglementaire.

Cela impliquera aussi un important développement de pistes d'audit sur chacune des étapes du processus d'élaboration du reporting réglementaire (depuis la saisie de données dans les SI de gestion jusqu'au support XBRL transmis à l'ACP) et de la chaîne de valeur de la solvabilité.

Enfin, seule une approche globale et intégrée, outillée d'une solution de gestion du patrimoine BI, permettra de construire une gouvernance de la qualité des données et de la fiabilité des informations produites. C'est la première étape pour une gouvernance des risques renforcée.