I presidi in materia di esternalizzazione nel quadro normativo di Solvency II

1. Introduzione. Il nuovo regime di vigilanza

A partire dal 1° gennaio 2016 è divenuto applicabile nell’Unione Europea il nuovo regime di vigilanza sulle imprese di assicurazione di cui alla Direttiva 138/2009/CE (di seguito, “Solvency II” o la “Direttiva”), che prevede, nell’ambito delle disposizioni afferenti al c.d “secondo pilastro” [1], talune specifiche disposizioni in materia di esternalizzazione.

L’impianto normativo europeo di attuazione della Direttiva è costituito essenzialmente, per quel che rileva ai fini del presente contributo, nel Regolamento UE 2015/35 del 10 ottobre 2014, che integra Solvency II in materia di accesso ed esercizio dell’attività assicurativa (il “Regolamento Delegato”). Ai fini dell’interpretazione della Direttiva e del Regolamento Delegato, rilevano inoltre: (i) il parere rilasciato dall’EIOPA (già CEIOPS) alla Commissione Europea nell’ottobre 2009 circa le misure di secondo livello in punto di sistema di governance delle imprese di assicurazione (il “Parere CEIOPS”) [2]; e (ii) gli orientamenti e le linee guida di terzo livello in materia di governance emanati dall’EIOPA nell’ ottobre 2013 e nel gennaio 2015 (rispettivamente, gli “Orientamenti EIOPA 2013” e le “Linee Guida EIOPA 2015”) [3].

A completamento del quadro europeo, sono stati, inoltre, elaborati best practices e principi di vigilanza condivisi da organismi sovranazionali, quali l’Associazione internazionale delle autorità di vigilanza sulle assicurazioni (“IAIS”) e il Comitato di Basilea [4].

Nell’ordinamento interno, poi, il regime di cui alla Direttiva è stato attuato, quanto alle fonti primarie, dal D.lgs. 12 maggio 2015, n. 74, che ha modificato diffusamente il Codice delle Assicurazioni Private (il “CAP”), integrandolo con alcune nuove previsioni dedicate anche all’esternalizzazione [5].

Quanto alla normativa nazionale di rango secondario – attualmente in via di complessiva rivisitazione ^{^[6]} – il nuovo regime di vigilanza era stato, almeno per i fini che qui rilevano, in una certa misura anticipato con il Regolamento ISVAP N. 20 del 26 marzo 2008, in materia di controlli interni, gestione dei rischi, compliance ed esternalizzazione (il “Regolamento 20”) [7].

Nel corso del 2014, durante la fase di recepimento degli Orientamenti EIOPA 2013 in preparazione dell’entrata in vigore del regime di Solvency II, il Regolamento 20 è stato, infatti, oggetto di circoscritte integrazioni per quanto attiene alle disposizioni in tema di outsourcing [8], rimanendone inalterato l’impianto complessivo [9].

Alla luce del quadro normativo brevemente descritto, la presente analisi si svolgerà nella sintetica trattazione de: (i) la nozione e funzione dell’esternalizzazione nel contesto della regolamentazione applicabile al settore assicurativo (cfr. sezione II, infra); (ii) i principali presidi organizzativi e requisiti d’informativa all’autorità che si applicano in sede di esternalizzazione da parte delle imprese assicurative (cfr. sezione III, infra); e (iii) talune possibili soluzioni a questioni rinvenute nella prassi applicativa (cfr. sezione IV, infra).

2. L’esternalizzazione nell’impresa assicurativa.

1. Funzione e nozione di esternalizzazione nei settori vigilati

Con il termine “esternalizzazione” s’identifica l’affidamento, sulla base di uno specifico contratto, da parte di un’impresa (c.d. esternalizzante), ad un soggetto terzo (c.d. fornitore di servizi, il quale opera con organizzazione propria e a proprio rischio) [10], di un complesso di attività di pertinenza dell’impresa esternalizzante, con l’obiettivo di migliorarne la qualità e l’efficienza complessive, attraverso risparmi di spesa e la possibilità di usufruire delle cognizioni specialistiche del fornitore di servizi [11].

La disciplina regolamentare dei settori vigilati (assicurativo, bancario e finanziario) riconosce espressamente l’elemento caratteristico dell’esternalizzazione, ossia lo spostamento dall’impresa al mercato di un determinato complesso di attività e ne fornisce un’identificazione ed una definizione sostanzialmente coincidente per tutti i predetti settori, nonché una regolamentazione di dettaglio assai estesa e penetrante.

Infatti, nel contesto della normativa emanata da IVASS, analogamente a quanto previsto da Banca d’Italia [12] e Consob [13] nei rispettivi settori, l’esternalizzazione viene definita come “l’accordo tra un’impresa di assicurazione e un fornitore di servizi, anche se non autorizzato all’esercizio dell’attività assicurativa, in base al quale il fornitore realizza un processo, un servizio o un’attività che verrebbero altrimenti realizzati dalla stessa impresa di assicurazione” [14].

A tale definizione regolamentare del 2008, si è più recentemente aggiunta quella di rango legislativo prevista dalle nuove disposizioni del CAP, che replica pedissequamente il testo della Direttiva [15] e che innova parzialmente la suddetta definizione regolamentare, da un lato, sostituendo il riferimento al “processo” esternalizzato, con il termine “procedura” [16] e, dall’altro, includendo espressamente anche la “sub-esternalizzazione” nella definizione generale [17]. Peraltro, anche le “funzioni” aziendali sono da ritenersi incluse nel perimetro delle attività potenzialmente oggetto di outsourcing, come già riconosciuto in dottrina [18] e, ora, dalle nuove previsioni del regime Solvency II [19].

Sotto il profilo oggettivo, “processo” e “funzione” potrebbero unitariamente ricondursi a modi diversi di declinare le fasi aziendali di carattere operativo, nonché di controllo [20], mentre “attività” comprenderebbe, in via residuale, quel complesso di prestazioni svolte dall’impresa assicurativa che non siano agevolmente riconducibili ai termini processo e funzione [21]. Si tratta, quindi, di elementi della complessiva attività di impresa che l’organo di gestione, nell’ambito dei propri poteri/doveri [22], sceglie di allocare all’esterno dell’ organizzazione aziendale.

Ne discende che non potrebbero ricadere nella nozione di esternalizzazione quei contratti che hanno ad oggetto servizi del tutto estranei alle attività (o parti di attività) tipicamente svolte dall’impresa assicurativa [23], ovvero che si risolvano in prestazioni di natura meramente occasionale (p.es. la consulenza giuridica: il punto sarà approfondito infra, sezione IV).

Come è stato sottolineato, inoltre, ai fini della configurazione dell’esternalizzazione, non rilevano, di per sé, né il momento in cui è adottata la scelta di ricorrere all’esternalizzazione [24], né i luoghi (propri dell’impresa o dell’outsourcer) concretamente deputati all’esecuzione delle prestazioni previste dal contratto di outsourcing [25].

Sotto il profilo soggettivo, il service provider è un soggetto terzo [26] rispetto all’impresa esternalizzante che, sebbene non necessariamente vigilato, è comunque sottoposto ad una serie di requisiti regolamentari e di vigilanza. Tali requisiti attengono sia alla fase di selezione del service provider sia alle regole di condotta che lo stesso è tenuto a rispettare nell’esecuzione del contratto di esternalizzazione (cfr. sezione III, infra).

2. Le peculiarità dell’esternalizzazione in ambito assicurativo

Per quanto la definizione di esternalizzazione elaborata da IVASS, Banca d’Italia e Consob sostanzialmente coincida nei tre settori vigilati, in ambito assicurativo si applicano talune regole speciali, che derivano anche dalle peculiarità del ciclo produttivo (e dei relativi rischi) associati all’attività tipica [27].

Tali profili di specialità possono principalmente ricondursi ai seguenti:

– il divieto di esternalizzare l’attività assuntiva. La normativa di settore non consente l’esternalizzazione dell’attività di “assunzione dei rischi”. Quest’ultima è, infatti, considerata core business, di cui l’impresa non può in alcun caso privarsi [28];

– il rischio di “svuotamento” dell’impresa. La facoltà di esternalizzare può essere esercitata a condizione che la natura e la quantità delle attività svolte dal fornitore di servizi e/o le modalità di cessione delle stesse non si traducano in un sostanziale depauperamento dell’operatività dell’impresa cedente, rendendo la stessa una “scatola vuota” [29].

Resta, in ogni caso, ferma la responsabilità degli organi sociali [30], nonché dell’alta direzione dell’impresa assicurativa che decide di esternalizzare [31]; e

– i requisiti specifici per l’esternalizzazione di attività “essenziali o importanti”. Nel sistema di regolamentazione assicurativa assume caratteri peculiari anche la definizione delle attività c.d. “essenziali o importanti”, la cui esternalizzazione è soggetta a speciali previsioni contrattuali e requisiti di informativa preventiva all’autorità, che hanno in parte anticipato quanto prescritto da Solvency II (cfr. sezione III, infra).

Al riguardo, IVASS considera essenziali o importanti quelle attività la cui mancata o anomala esecuzione comprometterebbe gravemente:

la capacità dell’impresa di continuare a conformarsi alle condizioni richieste per la conservazione dell’autorizzazione all’esercizio; oppure
i propri risultati finanziari, la propria stabilità o continuità e qualità dei servizi resi agli assicurati (e ai danneggiati) [32]. Tale ultimo riferimento regolamentare alla prospettiva di assicurati e danneggiati è stato opportunamente esteso dalle nuove disposizioni del CAP [33] anche a quella degli “aventi diritto”, in linea con gli obiettivi di vigilanza sanciti dal rinnovato articolo 3 [34].

Trattandosi di definizione di principio, le esemplificazioni fornite in proposito dalla vigilanza – con riguardo alla “gestione degli investimenti”, nonché alla “gestione e liquidazione dei sinistri” [35] – risultano particolarmente utili ai fini dell’individuazione delle attività che possono concretamente ritenersi incluse nella predetta categoria. Peraltro, si segnala come, dopo l’attuazione di Solvency II, siano le stesse imprese a dover definire i criteri secondo i quali considerano le attività da esternalizzare come essenziali o importanti [36], per quanto in via integrativa e residuale [37].

3. La disciplina: i requisiti organizzativi e l’informativa all’autorità di vigilanza

Sulla base dell’intreccio delle norme della Direttiva, delle relative disposizione attuative e del Regolamento 20, ruolo centrale assumono le previsioni in materia di: (i) politica di esternalizzazione; (ii) contenuto dell’accordo di esternalizzazione; (iii) controlli dell’impresa sullo svolgimento delle attività esternalizzate; (iv) esternalizzazione delle attività essenziali o importanti; e (v) obblighi di comunicazione all’IVASS.

1. La politica di esternalizzazione e di scelta dei fornitori

Anticipando quanto prescritto dalla Direttiva in materia di presidi interni afferenti alla governance dell’impresa di assicurazione [38], già nel 2008 il Regolamento 20 imponeva all’organo amministrativo delle imprese l’obbligo di “definire” [39] una politica, scritta, relativa all’esternalizzazione di attività e alla scelta dei relativi fornitori di servizi; i contenuti minimi si sono poi arricchiti a seguito del recepimento degli Orientamenti EIOPA 2013, anche in un’ottica di maggiore valorizzazione dell’autonomia organizzativa della compagnia [40].

I contenuti, già piuttosto dettagliati, della politica di esternalizzazione definiti dal Regolamento 20 devono, inoltre, essere coordinati con quanto previsto:

dal Regolamento Delegato in punto di forward looking assessment dei possibili impatti dell’outsourcing sull’operatività dell’impresa [41], trattandosi di disposizioni direttamente applicabili; e
come canone interpretativo generale [42], dalle disposizioni dell’EIOPA in tema di contenuto minimo delle “politiche dell’impresa” in punto, tra l’altro, di chiara definizione delle responsabilità degli organi aziendali e di obblighi di condivisione delle informazioni tra le funzioni di controllo [43].

2. L’accordo di esternalizzazione

La disciplina regolamentare del contratto di outsourcing è piuttosto articolata, estendendosi non solo ai profili di forma, contenuto ed effetti del medesimo, ma anche ai relativi rimedi e misure di gestione del rischio [44].

In particolare, il contratto di esternalizzazione deve essere redatto per iscritto e definire chiaramente l’attività ceduta al fornitore, le modalità di esecuzione, nonché il relativo corrispettivo [45].

Sempre in ordine al contenuto del contratto di esternalizzazione, si segnalano, tra gli altri, i seguenti aspetti.

(i) Sono previsti, in capo al service provider, specifici obblighiin materia di rispetto della “normativa vigente e delle disposizioni dell’impresa” [46]). Nell’esperienza pratica, questo vincolo può condurre a negoziazioni non sempre agevoli, soprattutto quando (come sempre più di frequente accade) il fornitore è soggetto alla normativa e vigilanza di un paese estero [47], ovvero all’attività di direzione e coordinamento di un soggetto terzo rispetto all’impresa e al suo gruppo.

(ii) Sono altresì imposti al service provider puntuali doveri in relazione alla “riservatezza dei dati relativi all’impresa ed agli assicurati [e aventi diritto]”. Si tratta di un aspetto che assume caratteri di particolare complessità in particolare quando l’attività esternalizzata venga svolta mediante tecniche di storage secondo cui può non risultare chiaro a quale soggetto spetti l’effettiva detenzione delle informazioni di proprietà dell’impresa (e.g. il c.d. “clouding”).

Rispetto a quest’ultimo profilo, si tratta di una questione aperta, potenzialmente molto rilevante, attesa: (a) la grande quantità di dati, anche sensibili, che le compagnie raccolgono e trattano; nonché (b) la tendenza dell’evoluzione tecnologica, che sembra muoversi sempre di più verso sistemi di cloud computing.

Al riguardo, la normativa del settore bancario affronta puntualmente il tema, disciplinando nel dettaglio le modalità d’implementazione dei servizi esternalizzati in cloud [48] e distinguendosi, anche in tale occasione, dalla regolamentazione assicurativa, più incline alle prescrizioni di principio e all’approccio risk-based [49].

(iii) Il contratto di esternalizzazione dovrà inoltre riflettere specifiche clausole che tengano conto delle prescrizioni in materia di facoltà di recesso dell’impresa, senza “oneri sproporzionati”, ad nutum ovvero in esito alla richiesta dell’IVASS [50]. Il fornitore deve inoltre garantire “l’accesso completo ed immediato dell’IVASS ai [propri] locali e alla [propria] documentazione” [51].

(iv) Anche il profilo della sub-esternalizzazione è trattato dal Regolamento 20, il quale impone il preventivo consenso dell’impresa [52], ragionevolmente da prestarsi per iscritto, per quanto tale forma non sia espressamente prescritta [53].

(v) Qualora l’accordo di esternalizzazione abbia ad oggetto le funzioni di controllo interno (e quella attuariale che, insieme alle funzioni di controllo interno, è annoverata tra le “funzioni chiave” dell’impresa) [54], il contratto deve, da un lato, essere stipulato solo con un service provider con sede legale nello Spazio Economico Europeo (su cui v. sezione IV.2,infra) e, dall’altro, includere talune clausole ulteriori a quelle appena descritte [55].

Le previsioni del Regolamento 20 in materia di contenuto del contratto sono, infine, integrate da quanto disposto, con notevole grado di dettaglio, dal Regolamento Delegato, anche in punto di: (i) identificazione espressa dei soggetti che beneficiano degli obblighi di riservatezza cui è tenuto il service provider [56]; e (ii) modalità di svolgimento della sub-esternalizzazione [57].

3. I controlli dell’impresa sulle attività esternalizzate

Il sistema dei controlli interni dell’impresa di assicurazione (e, quindi, l’organo amministrativo che ne è posto al vertice) [58] è, in primo luogo, tenuto a garantire che l’esternalizzazione non comporti una diminuzione degli standard di controllo sulle attività cedute al fornitore [59].

Ai fini di una più chiara allocazione dei compiti di controllo sulle attività in outsourcing, le imprese devono individuare all’interno della propria organizzazione uno o più “responsabili” (ovvero “referenti interni”, se ha luogo esternalizzazione infra-gruppo) [60], secondo il principio di proporzionalità.

Nel caso di esternalizzazione delle funzioni di controllo interno e attuariale, occorre, altresì, che tali responsabili o referenti siano in possesso dei “requisiti di idoneità alla carica, in termini di onorabilità, professionalità e indipendenza” previsti per i soggetti che svolgono tali funzioni [61].

Ulteriori presidi di monitoraggio interni all’impresa, sono previsti in punto di misure business continuity volte ad impedire l’interruzione o il grave deterioramento della qualità del servizio reso dal fornitore, inclusi adeguati piani di emergenza o di re-internalizzazione delle attività [62].

4. L’esternalizzazione delle attività essenziali o importanti

Un regime normativo speciale e rafforzato è previsto per il caso di esternalizzazione delle attività essenziali o importanti, i cui profili, anche in termini di effetti sull’attività assicurativa, sono già stati brevemente richiamati (cfr. sezione II.2 supra).

In particolare, nell’affidare in outsourcing un’attività essenziale o importante, l’impresa deve garantire che le modalità di esternalizzazione non determinino alcuno dei seguenti effetti: (i) arrecare un grave pregiudizio alla qualità del sistema di governo societario dell’impresa; (ii) determinare un indebito incremento del rischio operativo [63]; (iii) compromettere la capacità dell’IVASS di verificare l’osservanza degli obblighi gravanti sull’impresa; e (iv) compromettere la capacità dell’impresa di fornire un servizio continuo e soddisfacente ai contraenti, agli assicurati e agli aventi diritto [64].

5. L’informativa all’IVASS

Nel caso di esternalizzazione di attività essenziali o importanti, le imprese sono tenute a informare preventivamente l’IVASS, almeno quarantacinque giorni prima della data di esecuzione del contratto [65], mediante comunicazione scritta che contiene informazioni relative (i) all’attività ceduta; (ii) al fornitore di servizi; (iii) alla durata dell’esternalizzazione; nonché (iv) al luogo in cui si svolge l’attività esternalizzata, conformemente all’allegato n. 2 al Regolamento 20 [66].

Tale comunicazione iniziale è inoltre integrata dalla successiva comunicazione di cambiamenti rilevanti che incidono sul servizio reso dal fornitore, nonché della cessazione del rapporto di outsourcing, la quale ultima comunicazione è accompagnata dalla relazione“sulle modalità di re-internalizzazione dell’attività o di affidamento ad altro fornitore” [67]. Requisiti ulteriori sono poi previsti per la comunicazione relativa all’esternalizzazione delle funzioni di controllo interno, per la quale è richiesto un preavviso di 60 giorni [68].

Infine, per quanto riguardo l’outsourcing delle attività o funzioni diverse da quelle appena descritte, è previsto che le imprese informino periodicamente l’IVASS, in sede di trasmissione del bilancio di esercizio [69].

6. Una considerazione a margine: la remunerazione del service provider

Come si è visto, i compiti che possono essere svolti in outsourcing possono riguardare un ampio spettro di attività in concreto esercitate dall’impresa di assicurazione, dalle meno rilevanti (servizi di back office), sino a quelle attività la cui esecuzione ha impatti diretti sui livelli di servizio (la liquidazione dei sinistri) o sulla sana e prudente gestione dell’impresa (le funzioni chiave).

Restando nell’ambito di quest’ultima categoria, è indubbio che il non corretto svolgimento dell’attività del fornitore di servizi abbia ricadute, anche molto significative (si pensi alla gestione degli investimenti), sul “profilo di rischio” dell’impresa di assicurazione.

In altri termini, in questi casi l’outsourcer potrebbe considerarsi incluso nella definizione di “personale” ai sensi del Regolamento ISVAP n. 39/2011, in materia di politiche a prassi di remunerazione (il “Regolamento 39”) e quindi soggetto alla relativa disciplina.

Sul punto, peraltro, il Regolamento 39 non è chiaro, dal momento che se, da un lato, prende in considerazione l’esternalizzazione di “attività essenziali o importanti” [70], dall’altro considera soltanto la prospettiva degli obblighi dell’impresa [71], senza trattare espressamente di eventuali obblighi (anche di fonte contrattuale) in capo al fornitore: il quale è infatti considerato tra gli “altri soggetti”, sostanzialmente sottratti alle disposizioni riguardanti il “personale” [72].

4. Alcuni casi concreti

1. Esternalizzazione vs. distacco

Quale regola generale, le imprese di assicurazione godono di ampia autonomia nell’identificazione dei modelli gestionali e di governo societario che meglio si attagliano alla loro dimensione ed alla complessità e natura dell’attività svolta, in ottemperanza al principio di proporzionalità ^{^[73]}.

Pertanto, le imprese sono sostanzialmente libere di compiere le proprie valutazioni in merito alla possibilità di: (i) costituire al proprio interno specifiche funzioni aziendali, mediante proprio personale dipendente, ovvero ricorrendo all’istituto del c.d. distacco [74]; (ii) avvalersi su base occasionale di consulenti esterni, oppure (iii) ricorrere all’esternalizzazione ^{^[75]}.

A fronte quindi della molteplicità di strumenti che l’ordinamento mette a disposizione dell’impresa, il ricorso all’esternalizzazione non costituisce una scelta obbligata ai fini della gestione di determinate attività o processi, bensì una facoltà della quale l’impresa può avvalersi, a seguito di una specifica analisi delle proprie concrete esigenze organizzative.

In particolare, nella scelta tra outsourcing e distacco, rilevano principalmente i seguenti criteri:

la natura “chiavi in mano”, o meno, del servizio richiesto: difatti, solo in caso di esternalizzazione, il soggetto terzo conserva la responsabilità – perlomeno nei rapporti interni con l’impresa esternalizzante – per la gestione ed organizzazione del lavoro del personale impiegato e dei relativi risultati (ivi incluso quello economico);
l’economicità dell’istituzione di una funzione interna, alla luce della ridotta portata e complessità dei rischi inerenti all’attività dell’impresa esternalizzante, conformemente al principio di proporzionalità [76];
l’idoneità ad implementare in modo tempestivo ed efficace eventuali mutamenti delle modalità operative od organizzative di prestazione del servizio, ivi incluse quelle imposte dall’evoluzione normativa;
l’impatto dell’opzione prescelta sulla complessiva trasparenza ed efficienza dei processi interni ed intelligibilità della struttura organizzativa; e
i benefici in termini di integrità e tracciabilità delle informazioni, riduzione dei rischi operativi e miglioramento della qualità dei servizi agli assicurati ed aventi diritto.

In ogni caso, a prescindere dalla soluzione organizzativa prescelta, occorrerà accertarsi che:

siano opportunamente salvaguardate la sana e prudente gestione dell’impresa e l’efficacia della struttura organizzativa e dei controlli interni, anche in termini di conoscibilità dei centri allocazione di competenze e responsabilità; e
l’autorità di vigilanza sia tempestivamente aggiornata in merito alla struttura organizzativa e di governo dei rischi dell’impresa [77].

2. L’esternalizzazione delle funzioni di controllo interno in gruppi internazionali

Come già innanzi osservato (v. sezione III.2, supra), gli accordi di esternalizzazione possono avere ad oggetto anche le funzioni di controllo interno, purché, tra l’altro, il service provider abbia sede all’interno dello Spazio Economico Europeo (SEE).

Va da sé come tale vincolo geografico abbia l’effetto di escludere dal novero dei potenziali soggetti fornitori gli operatori che abbiano sede in paesi che non ricadano nello SEE, anche qualora vantino una consolidata tradizione nel settore assicurativo (p.es. la Confederazione Elvetica, gli Stati Uniti o il Canada).

La questione assume particolare rilevanza pratica per quei gruppi (o sotto-gruppi) assicurativi la cui ultima società controllante abbia sede in Italia ai sensi dell’articolo 210, comma 2, CAP [78], ma sia a sua volta controllata da un’impresa di assicurazione o riassicurazione o da una società di partecipazione assicurativa o finanziaria mista con sede in uno Stato terzo.

Difatti, soprattutto nell’attuale momento storico di prima attuazione del regime Solvency II, possono sorgere specifiche esigenze di coordinamento e di elaborazione di modelli e/o di strumenti di controllo interno uniformi (si pensi, ad esempio, all’eventuale utilizzo di modelli interni completi o parziali per calcolare il Requisito Patrimoniale di Solvibilità).

Pertanto, se, da un lato, le imprese appartenenti al sotto-gruppo italiano potrebbero manifestare l’esigenza concreta di esternalizzare talune attività inerenti, ad esempio, la funzione di risk management presso la propria controllante extra-SEE, dall’altro le disposizioni del Regolamento 20 ne ostacolano, ad oggi, la concreta attuazione.

Salvi quindi futuri ripensamenti dell’attuale assetto regolamentare [79], l’unica soluzione attualmente percorribile per bilanciare le prassi di gruppo con i nuovi imperativi derivanti dal quadro normativo di Solvency II, parrebbe essere il riscorso alle figure del distacco o della consulenza occasionale, ove concretamente praticabili. (v. sezione IV.1, supra).

5. Conclusioni

Con il presente contributo si è cercato di ricostruire, per sommi capi, alcuni tra i principali profili della complessa e, ormai, alquanto stratificata disciplina dell’esternalizzazione dell’impresa assicurativa, con un accento particolare sulle misure organizzative interne.

Come si è richiamato, la disciplina regolamentare nazionale, segnatamente, il Regolamento 20, aveva già nel 2008 fatto propri alcune previsioni e principi della Direttiva (soprattutto l’approccio basato sul rischio), preannunciando anche l’impostazione di vigilanza di tipo prospettico (looking forward).

La definitiva attuazione del secondo pilastro di Solvency II che, dopo le recenti modifiche di cui al Provvedimento 17, può ritenersi in gran parte raggiunta, ha arricchito le previsioni regolamentari nazionali secondo una tendenza che valorizza l’autonomia delle imprese di assicurazione nella definizione dei presidi di gestione dei rischi (si pensi alla facoltà delle imprese di definire i criteri secondo cui considerare essenziali o importanti le attività in outsourcing).

In questo contesto, la complessiva regolamentazione dell’esternalizzazione rappresenta, forse più di altri istituti, un esempio di intervento di vigilanza modulato secondo un approccio ex-post, focalizzato sugli effetti dell’esercizio delle attività vigilate e di tipo risk-based: approccio, questo, che, con l’attuazione di Solvency II, è ormai acquisito ai principi generali della vigilanza assicurativa italiana [80].

[1] Com’è noto, l’approccio di vigilanza adottato da Solvency II si fonda sui seguenti “tre pilastri”, mutuati dall’impostazione regolamentare promossa dal Comitato di Basilea in ambito bancario: (i) requisiti quantitativo-patrimoniali; (ii) requisiti qualitativi (sistema di governo societario e di gestione dei rischi); e (iii) requisiti di informativa, alle autorità di vigilanza e al pubblico.

[2] Cfr. CEIOPS, Advice for Level 2 Implementing Measures on Solvency II: System of Governance, October 2009.

[3] Cfr. EIOPA (già CEIOPS), Orientamenti sul sistema di governance, 31 ottobre 2013 e Linee guida sul sistema di governance, 28 gennaio 2015. Tali provvedimenti di terzo livello non hanno portata precettiva rispetto alle imprese di assicurazione, avendo gli stessi carattere vincolante soltanto per le autorità di vigilanza nazionali, cui sono diretti.

[4] Si vedano, rispettivamente, IAIS, Insurance Core Principles, updated to November 2015(gli “ICPs”); e, quale documento fondamentale nella costruzione della disciplina dell’esternalizzazione per i soggetti vigilati, Comitato di Basilea, “Outsourcing in financial services”, February 2015.

[5] Si vedano, tra gli altri, gli artt. 1, co. 1°, lett. n-quinquies), recante la definizione di “esternalizzazione”, 30-speties, relativo alle misure organizzative che le imprese di assicurazione sono tenute ad adottare in sede di esternalizzazione e 205-bis, riguardante i poteri di vigilanza esercitabili dall’IVASS sull’outsourcer che ha sede in uno stato membro dell’Unione Europea.

[6] Per una panoramica del “cantiere aperto” dall’IVASS quanto a schemi di regolamento attuativi del regime di cui a Solvency II, si veda la nuova sezione ad hoc del sito web dell’IVASS (cfr. http://www.ivass.it/ivass/imprese_jsp/PageDocumenti_SolvencyII.jsp?&nomeSezione=NORMATIVA&ObjId=1150312#solvency01).

[7] Per le considerazioni circa i profili di vigilanza precorsi dal Regolamento 20 e, in generale, per un’analisi delle regole di secondo pilastro nel settore assicurativo, v. P. Montalenti, Il sistema dei controlli interni nel settore assicurativo, in Assicurazioni, 2, 2013, pp. 194 e ss., spec. p. 209.

[8] Si vedano le modifiche al Regolamento 20 introdotte, in tema di outsourcing, dal Provvedimento IVASS N. 17 del 15 aprile 2014 (il “Provvedimento 17”).

[9] Cfr. Capo VIII del Regolamento 20. Sul punto, si veda la sezione III, infra nel testo.

[10] Per quanto si tratti di un contratto d’impresa atipico, l’esternalizzazione può assimilarsi, almeno sotto il profilo funzionale, all’appalto (nello specifico, di servizi) (cfr. artt. 1655 e ss. c.c.).

[11] Per un’approfondita disamina delle funzioni economiche sottese all’esternalizzazione e della relativa origine storica, v. M. Maugeri, Esternalizzazione delle funzioni aziendali e integrità organizzativa nelle imprese d’investimento, in BBTC, IV, 2010, pp. 439 ss., spec. p. 440.

[12] Cfr. Banca d’Italia, Circolare n. 285 del 17 dicembre 2013, Parte Prima, Titolo IV.3.3, lett. f).

[13] Cfr. Banca d’Italia e Consob, Regolamento congiunto del 29 ottobre 2007, art. 2, co. 1°, lett. u).

[14] Cfr. Regolamento 20, art. 2, lett. f).

[15] Cfr. Direttiva, art. 12, co. 1°, n. 28).

[16] Circostanza che potrebbe lasciare spazio a talune perplessità. Nell’ambito di Solvency II e del Regolamento Delegato, infatti, il termine “procedura” identifica quasi sempre: (i) un complesso coordinato di attività di natura pubblicistica, messo in atto dalle autorità di vigilanza; o (ii) taluna documentazione di regolamentazione interna dell’impresa di assicurazione, soggetta a verifica dell’autorità (cfr., tra gli altri, artt. 36, 124, 147 e 301 della Direttiva e 19, 241 e 259 del Regolamento Delegato). In ragione di tale accezione utilizzata dalla normativa europea, pare quindi preferibile la scelta operata dall’autorità di vigilanza nazionale, in quanto il termine “processo” risulta più invalso nel lessico aziendalistico e quindi più adatto a definire i “segmenti dell’attività di impresa” che rappresentano il fulcro dell’esternalizzazione.

[17] Cfr. CAP, art. 1, co. 1°, lett. n-quinquies).

[18] Cfr. M. Maugeri, (nt. 11), p. 439.

[19] Cfr. considerando n. 30 della Direttiva e nota 20, infra.

[20] Si segnala che il termine “funzione” ha una propria autonomia definitoria, che riveste specifico rilievo nell’individuare le attività aziendali relative ai controlli interni e al ruolo dell’attuario, nel nuovo quadro introdotto da Solvency II. Ai sensi delle nuove disposizioni del CAP, infatti, per funzione s’intende “in un sistema di governo societario, la capacità interna dell’impresa di assicurazione o di riassicurazione di svolgere compiti concreti; [essa] comprende la funzione di gestione del rischio, la funzione di verifica della conformità, la revisione interna e la funzione attuariale” (cfr. art. 1, co. 1°, lett. q-bis).

[21] Sul punto, i principi sanciti in ambito internazionale prevedono una singola e onnicomprensiva nozione di “business activities” (v. IAIS, nt. 4, ICP 8.1.2 e Comitato di Basilea, nt. 4 supra, p. 4). Si veda anche quanto espresso dall’IVASS nell’ambito della pubblica consultazione relativa al Regolamento 20, in cui ANIA suggeriva di includere espressamente nella definizione di esternalizzazione solo le attività “riconducibili alla (…)attività tipica” dell’impresa di assicurativa, mentre l’autorità ha puntualizzato che sono attività esternalizzabili soggette al Regolamento 20 anche “quelle attività che, seppur marginali, in assenza di outsourcing, sarebbero svolte direttamente dall’impresa” (cfr. Esiti della pubblica consultazione sul Regolamento 20, p. 2).

[22] Il riferimento è, in particolare, alla “cura dell’adeguatezza degli assetti organizzativi” di cui all’art. 2381, co. 5°, c.c. Sulla centralità sistematica di tale disposizione anche nel quadro del sistema di governo societario delle imprese di assicurazione, si veda quanto previsto dal Regolamento 20, art. 5, co. 2°, e, in dottrina, P. Montalenti, (nt. 7), p. 210.

[23] Si noti che IVASS ha escluso espressamente che possano ritenersi incluse nella definizione di esternalizzazione attività del tutto marginali, quali quelle di “pulizia [e] cancelleria” (cfr. Esiti della pubblica consultazione sul Regolamento 20, (nt. 21), ibidem).

[24] Il quale può essere contestuale o successivo alla costituzione dell’impresa. Inoltre, si consideri quanto previsto dal Regolamento Delegato circa l’adozione della politica scritta di esternalizzazione, che deve aver luogo quando un’impresa di assicurazione esternalizza o “propone di esternalizzare” attività (cfr. art. 274).

[25] Si vedano M. Maugeri, (nt. 11), p. 440, nonchéComitato di Basilea, (nt. 4), p. 5.

[26] Circa l’eventuale appartenenza dell’outsourcer al medesimo gruppo dell’impresa esternalizzante, si veda la sezione III, infra.

[27] Si vedano, per tutti, A. Donati – G. Volpe Putzolu, Manuale di diritto delle assicurazioni, Milano, 2013, p. 6 e ss.

[28] Cfr. Regolamento 20, art. 29, co. 2° e Relazione al Regolamento 20, p. 3. In proposito, IVASS si è espressa più diffusamente in sede di consultazione, chiarendo che “l’assunzione dei rischi rappresenta l’attività che connota in maniera unica l’impresa di assicurazione e come tale non può essere oggetto di esternalizzazione” (cfr. Esiti della pubblica consultazione sul Regolamento 20, (nt. 21), p. 11). Una fattispecie liminare – ma pur sempre distinta – (d)alla cessione dell’attività assuntiva può essere rappresentata dalla circostanza che l’impresa conferisca ad un intermediario assicurativo, che non sia un proprio dipendente, il potere di sottoscrivere contratti o liquidare sinistri in nome e per conto dell’impresa medesima.

Tale situazione, che non può considerarsi esternalizzazione dell’attività di sottoscrizione dei rischi in quanto gli stessi restano comunque in capo all’impresa, è stata espressamente presa in considerazione dall’EIOPA che, al riguardo, ha raccomandato alle autorità nazionali che gli intermediari che possono sottoscrivere contratti in qualità di rappresentanti, come descritto, siano soggetti alle norme in materia di esternalizzazione (cfr. orientamento n. 45 degli Orientamenti EIOPA 2013).

[29] Cfr. Regolamento 20, art. 29, co. 1°. La medesima esigenza di mantenimento dell’integrità operativa dell’impresa cedente in sede di esternalizzazione di attività è avvertita anche in altri settori regolamentari: in particolare, si vedano la nozione di “società fantasma” e i relativi indici presuntivi, elaborati dalla disciplina europea dei gestori di fondi d’investimento alternativi (cfr. art. 82 del Regolamento UE 231/2013).

[30] I quali si differenziano, in quanto comprendono anche gli organi sociali di controllo, dall’”organo amministrativo”, come definito dal Regolamento 20. Quest’ultimo riferimento è, infatti, da intendersi al consiglio di amministrazione e, per le società che adottano il sistema di amministrazione e controllo di tipo dualistico, al consiglio di gestione (cfr. art. 2, co. 1°, lett. i) del Regolamento 20).

[31] Cfr. art. 29, co. 1° e 3° del Regolamento 20. Ai sensi del medesimo provvedimento (cfr. art. 2, lett. a)) e in linea con quanto previsto dagli IAIS (cfr. ICP 8.7.7), sono inclusi nella definizione di alta direzione, anche ai fini della responsabilità per le attività esternalizzate, “l’amministratore delegato, il direttore generale, nonché l’alta dirigenza che svolge compiti di sovrintendenza gestionale”.

[32] Cfr. art. 2, co. 1°, lett. f) del Regolamento 20, il quale include espressamente nella definizione di attività essenziali o importanti il riferimento ai soli “assicurati”. Tuttavia, nelle disposizioni seguenti del Regolamento 20 che disciplinano le misure che l’impresa di assicurazione deve adottare ai fini dell’outsourcing delle richiamate attività, viene in rilievo anche “la capacità dell’impresa di fornire un servizio (…)ai danneggiati” (cfr. art. 30, co. 1°, lett. c) del Regolamento 20). Per una più diffusa considerazione dell’estensione della tutela anche agli “aventi diritto”, cfr. sezione III.4 infra, nel testo. Si rileva peraltro che, anche nel regime previgente, pur in assenza della descritta espressa estensione, una prospettiva sistematica conforme agli obiettivi di tutela sanciti dalla disciplina assicurativa avrebbe dovuto condurre a ricomprendere tutti gli “aventi diritto” nel novero dei soggetti destinatari di tutela.[33] Cfr. Art. 30-septies, co. 2°, lett. d).

[34] Tale disposizione prevede appunto che “scopo principale della vigilanza è l’adeguata protezione degli assicurati e degli aventi diritto alle prestazioni assicurative” (cfr. art. 3, co. 1° del CAP).

[35] Quanto al riferimento alla “gestione degli investimenti” e alla “gestione dei sinistri”, v. Relazione al Regolamento 20, (nt. 26) p. 4. Per lo specifico riferimento alla “liquidazione dei sinistri”, v. Esiti della pubblica consultazione sul Regolamento 20, (nt. 21), p. 11.

[36] Cfr. Art. 31, co. 1°, lett a-bis) del Regolamento 20, disposizione, quest’ultima, introdotta dal Provvedimento 17.

[37] In effetti, come osservato in sede di pubblica consultazione, la facoltà per le imprese di definire autonomamente le attività essenziali o importanti, potrebbe incentivare le imprese a restringere la definizione regolamentare. In proposito, IVASS ha chiarito che “ferma la definizione [di cui al Regolamento 20] che detta gli orientamenti generali cui far riferimento per una prima valutazione delle attività, l’organo amministrativo deve esplicitare gli ulteriori eventuali elementi considerati per la qualificazione delle attività come essenziali o importanti” (cfr. Esiti della pubblica consultazione sulle modifiche introdotte dal Provvedimento 17, p. 59). In proposito, EIOPA pare invece concedere maggiore spazio all’autonomia dell’impresa (cfr. linea guida n. 60 delle Linee Guida EIOPA 2015).

[38] Cfr. Art. 41, co. 3°.

[39] In sede di pubblica consultazione, al momento dell’emanazione del Regolamento 20, era stato ritenuto “in contrasto con le funzioni dell’organo amministrativo, che dovrebbero essere di mero indirizzo strategico ed organizzativo, la determinazione dei criteri di selezione dei fornitori (…)”. A riguardo, la vigilanza ha chiarito come la previsione regolamentare sia rivolta meramente a “criteri generali, la sui concreta attuazione è poi rimessa all’alta direzione” (cfr. Esiti della pubblica consultazione sul Regolamento 20, (nt. 21), p. 12).

[40] Infatti, l’attuale articolo 31 del Regolamento 20 dispone che la politica di esternalizzazione, approvata con delibera dell’organo amministrativo, includa almeno:

“a) i criteri di individuazione delle attività da esternalizzare;

a bis) i criteri per la qualificazione delle attività come essenziali o importanti, in aggiunta a quanto previsto dalle definizione del presente Regolamento;

b) i criteri di selezione dei fornitori, sotto il profilo della professionalità, dell’onorabilità e della capacità finanziaria;

c) l’adozione di metodi per la valutazione del livello delle prestazioni del fornitore (service level agreement) e la frequenza delle stesse;

c bis) i piani di emergenza dell’impresa e le relative procedure, ivi incluse le strategie di uscita nei casi di esternalizzazioni di funzioni e attività essenziali o importanti”.

Si segnala, inoltre, come venga in rilievo anche la politica di gestione dei rischi dell’impresa, la quale deve includere anche “i rischi specifici connessi all’esternalizzazione” (cfr. art. 33, co. 1° del Regolamento 20).

[41] Il Regolamento Delegato dispone infatti che la politica di esternalizzazione tenga “conto dell’impatto dell’esternalizzazione sull’attività [dell’impresa] e degli accordi di segnalazione e monitoraggio da applicare in caso di esternalizzazione” (cfr. art. 274, c. 1°).

[42] Si ricorda come i provvedimenti di terzo livello emanati dall’EIOPA abbiano carattere vincolante soltanto per le autorità di vigilanza nazionali, cfr. nota 3, supra.

[43] Cfr. orientamento n. 9 degli Orientamenti EIOPA 2013.

[44] Cfr. art. 32, co. 1° del Regolamento 20. Non si tratta, almeno sotto il profilo strettamente formale, di determinazione regolamentare del “tipo contratto di outsourcing”, che configurerebbe un palese eccesso di delega, bensì di un obbligo, in capo all’impresa di assicurazione, a garantire che l’accordo di esternalizzazione presenti determinati contenuti, in funzione dell’efficienza del servizio reso agli aventi diritto e del corretto svolgimento dell’attività di vigilanza, (anche) sul service provider (cfr. art. 32 del Regolamento 20). In altri termini, non hanno luogo, con riferimento ai contenuti regolamentari dell’accordo di outsourcing, le forme di integrazione eteronoma previste in relazione alle clausole tipizzate a livello di norma primaria (cfr. art. 1339 c.c.). Il punto era stato esplicitamente sollevato in sede di consultazione al momento dell’emanazione del Regolamento 20: in tale occasione, la vigilanza aveva provveduto a modificare la precedente formulazione dell’articolo 32, “indicando non già i contenuti minimali del contratto, bensì richiedendo alle imprese di garantire che siano soddisfatte alcune condizioni ritenute necessarie sia per lo svolgimento del servizio sia per lo svolgimento dei compiti di vigilanza dell’autorità” (cfr. Esiti della pubblica consultazione sul Regolamento 20, (nt. 21), p. 13).

[45] Cfr. art. 32, co. 1°, lett. a) del Regolamento 20. In relazione al corrispettivo e al trattamento del service provider in relazione alla disciplina sulle politiche e prassi di remunerazione, v. infra,nel testo, sezione III.6.

[46] V. art. 32, co. 1°, lett. h).

[47] Le criticità connesse a tale previsione dovrebbero essere attenuate, almeno per i fornitori con sede nell’Unione Europea, alla luce del Regolamento Delegato (cfr. art. 274).

[48] Cfr. Banca d’Italia, Circolare n. 285 del 17 dicembre 2013, Parte Prima IV.4.22.

[49] Cfr. art. 14 del Regolamento 20. Si veda anche sezione V, infra nel testo.

[50] L’impresa deve anche poter modificare il contratto, a seguito di richiesta in tal senso dell’autorità (v. art. 32, co. 1°, lett. h) del Regolamento 20).[51] Cfr. art. 32, co. 1°, lett. f) del Regolamento 20.

[52] Cfr. art. 32, co. 1°, lett. i) del Regolamento 20.

[53] Si può infatti ragionevolmente ritenere che la forma scritta richiesta per il contratto di outsourcing (cfr. art. 33, co. 2° del Regolamento 20) debba estendersi, per esigenze di coerenza sistematica e di chiarezza nella gestione dei rapporti con il fornitore, anche alle comunicazioni tra impresa e outsourcer ai sensi del contratto.

[54] Il termine “funzione chiave” è mutuato dalla Direttiva (cfr. considerando 33 e 34). Il CAP, a ben vedere, associa alle funzioni di revisione interna, gestione del rischio, controllo di conformità ed attuariale, la definizione di “funzione” (cfr. art. 1, co. 1°, lett. q-bis). Per la disciplina dell’esternalizzazione delle funzioni di controllo interno v. Artt. 16, 21-ter e 25 del Regolamento 20.

Con riferimento all’esternalizzazione della funzione attuariale e alla relativa estensione a quest’ultima delle disposizioni previste per le descritte funzioni di controllo, si veda quanto da ultimo disposto dall’IVASS con la Lettera al mercato del 28 luglio 2015, Solvency II – pubblicazione linee guida EIOPA in materia di sistema di governance e conseguenti chiarimenti per la preparazione a Solvency II, in particolare, sulla funzione attuariale, spec. p. 4.

[55] In particolare, l’impresa è tenuta a definire adeguatamente: “a) obiettivi, metodologie e frequenza dei controlli; b) modalità e frequenza dei rapporti con l’organo amministrativo e l’alta direzione; c) possibilità di riconsiderare le condizioni del servizio al verificarsi di modifiche di rilievo nell’operatività e nell’organizzazione dell’impresa di assicurazione” (cfr. art. 32, co. 3°, del Regolamento 20).

[56] I quali appunto si estendono anche a “dipendenti [dell’impresa], parti contrattuali e tutte le altre persone coinvolte” (cfr. art. 274, co. 4°, lett. g) del Regolamento Delegato).

[57] Cfr. art. 274, co. 4°, lett. k) e l) del Regolamento Delegato. Le richiamate previsioni del Regolamento Delegato sono state soltanto parzialmente trasposte nel CAP (cfr. art. 30-septies, co. 5°).

[58] In linea con i principi generali, il Regolamento 20 prevede che sull’organo amministrativo gravi la “responsabilità ultima dei sistemi dei controlli interni e di gestione dei rischi”(cfr. art. 5, co. 1°).

[59] In questa prospettiva, le imprese sono tenute ad adottare “idonei presidi organizzativi e contrattuali che consentano di monitorare costantemente le attività esternalizzate, la loro conformità a norme di legge e regolamenti e alle direttive e procedure aziendali, il rispetto dei limiti operativi e delle soglie di tolleranza al rischio fissate dall’impresa e di intervenire tempestivamente ove il fornitore non rispetti gli impegni assunti o la qualità del servizio fornito sia carente” (cfr. art. 33, c. 2° del Regolamento 20).

[60] Per la distinzione tra “referente” e “responsabile”, cfr. art. 5, co. 2°, lett. l) del Regolamento 20; nonché i chiarimenti di cui agli Esiti della pubblica consultazione sulle modifiche introdotte dal Provvedimento 17, p. 28. Si tenga presente che, qualora l’impresa di assicurazione e il fornitore di servizi appartengano allo stesso gruppo assicurativo, l’impresa, nell’adozione dei presidi contrattuali e organizzativi sopra descritti, può tener conto della “misura in cui esercita sul fornitore il controllo” ai sensi dell’articolo 72 del CAP (cfr. art. 33, co. 5° del Regolamento 20).

[61] Cfr. art. 33, co. 3° del Regolamento 20. Si tratta dei cc.dd. “fit and proper requirements” previsti, in prima battuta, dal considerando 34 e dall’articolo 42 di Solvency II e che, secondo la normativa nazionale, devono essere definiti dalla politica dell’impresa di cui all’art. 5, co. 2°, lett. l) del Regolamento 20.

[62] Cfr. art. 33, co. 4° del Regolamento 20.

[63] Tale rischio, nel rinnovato quadro di definizioni previsto dal CAP, è stato opportunamente definito: “il rischio di perdite derivanti dall’inadeguatezza o dalla disfunzione di procedure interne, risorse umane o sistemi oppure da eventi esogeni” (cfr. art. 1, co. 1° lett. vv-bis.5)).

[64] Cfr. art. 30-septies, co. 2° del CAP.

[65] Al riguardo, la Direttiva prevede un generico preavviso rispetto all’esecuzione del contratto (“prima” nel testo italiano, “in a timely manner” secondo il più perspicuo testo inglese, cfr. art. 49, co. 3°), mentre il CEIOPS ha specificato che il relativo termine in “at least six weeks before the outsourcing is due to come into effect” (cfr. sezione 3.373 del Parere CEIOPS). La previsione regolamentare italiana è quindi coerente con quanto prescritto in sede europea.

[66] Cfr. art. 35, co. 1° del Regolamento 20.

[67] Cfr. art. 35, co. 2° e 3° del Regolamento 20.

[68] Cfr. art. 36 del Regolamento 20.

[69] Cfr. artt. 37 e 28 del Regolamento 20.

[70] Lasciando, quindi, prive di copertura regolamentare i casi di esternalizzazione delle funzioni chiave.

[71] La quale è in tal caso richiesta di assicurare che l’operazione di outsourcing non pregiudichi, tra l’altro, la sana e prudente gestione del rischio (cfr. artt. 22 e 4 del Regolamento 39).

[72] Si vedano le rubriche dei Capi III e IV del Regolamento 39.

[73] Cfr. Relazione al Regolamento 20, p. 1.

[74] Laddove specifiche esigenze organizzative lo richiedano, un datore di lavoro (c.d. distaccante) può porre temporaneamente uno o più lavoratori (c.d. distaccati) a disposizione di un altro soggetto (c.d. distaccatario) per l’esecuzione di una determinata attività lavorativa.

Il fenomeno del distacco nel settore privato è disciplinato, a livello di normativa primaria, dalla c.d. Riforma Biagi (d.l. n. 30/2003), che ha quindi legittimato la prassi del “distacco all’interno dei gruppi di impresa”.

In estrema sintesi, un ricorso (legittimo) al distacco presuppone:

un “interesse” produttivo temporaneo – generalmente interpretato in senso assai ampio – del datore di lavoro distaccante che deve permanere per tutto il periodo di durata del distacco;
il consenso del lavoratore nel caso in cui, durante il periodo del distacco, debba svolgere mansioni diverse, sebbene equivalenti, rispetto a quelle per cui è stato assunto; e
comprovate ragioni tecniche, produttive, organizzative o sostitutive, laddove il distacco comporti lo svolgimento della prestazione lavorativa presso un’unità lavorativa che disti oltre 50 km da quella originaria.

In costanza di distacco:

il lavoratore può svolgere la sua prestazione anche parzialmente presso il distaccatario, continuando a svolgere presso il distaccante la restante parte della prestazione; e
il datore di lavoro può richiedere al soggetto presso cui il lavoratore è distaccato un rimborso delle spese sostenute a seguito del distacco (rimborso che non può superare il costo effettivamente sostenuto).

[75] Cfr. considerando n. 31 di Solvency II.

([76] Cfr. artt. 16, 21-ter e 25 del Regolamento 20.

[77] Cfr. artt 5, commi 3 e 4, e 28 del Regolamento 20.

[78] All’impresa di assicurazione o riassicurazione italiana è peraltro parificata la sede secondaria nel territorio della Repubblica di un’impresa di assicurazione o riassicurazione con sede in uno Stato terzo (cfr. art. 210, comma 5, CAP).

[79] Cfr. nota 6, supra.

[80] Si veda quanto dispone l’art. 3-bis del CAP. Nella prospettiva europea, per una compiuta e aggiornata analisi dell’approccio risk-based nella vigilanza assicurativa v., da ultimo, EIOPA, EIOPA’s strategy towards a comprehensive risk-based and preventive framework for conduct of business supervision, 11 January 2016.