Gestion des sinistres externalisée : ce que l’assureur doit contrôler

La gestion des sinistres externalisée confie à un délégataire tout ou partie du traitement des dossiers : déclaration, instruction, expertise, règlement. Assureurs et mutuelles y recourent. Des cabinets de courtage gèrent aussi des sinistres pour le compte d’assureurs, avec des plateaux en France ou à l’étranger.

Le Code des assurances l’autorise, et l’assureur garde l’entière responsabilité de ses obligations. Quand la fonction est importante ou critique, il prévient aussi l’ACPR avant de la confier, selon un délai et un formulaire fixés par l’autorité.

Le règlement délégué (UE) 2015/35 précise les clauses de la convention, regroupées ici dans un tableau avec leur référence. Le délégataire doit aussi honorer les délais légaux de règlement, qui restent ceux de l’assureur. Certains dossiers contiennent enfin des données de santé.

Gestion des sinistres externalisée : ce que dit le Code des assurances

Transparence : le fondateur d’ExternFlow a aussi fondé LAPLUME.MG, agence de production de contenus et de services externalisés installée à Madagascar. Aucun prestataire n’est recommandé ici, et notre déclaration d’intérêts détaille ce point.

L’article L354-3 du Code des assurances laisse à l’assureur qui externalise l’entière responsabilité de ses obligations. Il transpose l’article 49 de la directive Solvabilité II. La version française de ce texte emploie le mot « sous-traitance », le Code des assurances celui d’externalisation.

L’article L354-3 interdit aussi d’externaliser une fonction importante ou critique dans quatre cas.

• La gouvernance de l’entreprise serait gravement compromise.
• Le risque opérationnel augmenterait de façon indue.
• Le contrôle de l’ACPR deviendrait plus difficile.
• La continuité du service aux assurés et aux bénéficiaires serait menacée.

Le délégataire doit aussi coopérer avec l’ACPR. L’assureur, ses commissaires aux comptes et l’autorité doivent avoir un accès effectif aux données des activités confiées.

Les mutuelles et les institutions de prévoyance suivent les mêmes règles. L’ACPR vise les organismes « relevant des trois codes ». Pour les institutions de prévoyance, le Code de la sécurité sociale renvoie au titre du Code des assurances qui contient l’article L354-3.

En 2019, la commission des sanctions de l’ACPR a interdit à un assureur de commercialiser des contrats en France pendant 2 ans. Il avait délégué la souscription et la gestion des sinistres. La commission a jugé les négligences des délégataires « sans conséquence sur la responsabilité » de l’assureur.

Fonction importante ou critique : les cinq critères de l’article R354-7

L’obligation de notifier ne vise que les fonctions importantes ou critiques. L’article R354-7 y range les fonctions clés de Solvabilité II. Il y ajoute, selon cinq critères, toute fonction dont l’interruption aurait un impact significatif sur l’activité, les risques ou l’agrément de l’entreprise.

• Le coût de la prestation.
• L’effet d’une prestation non rendue dans les délais.
• La difficulté de trouver un autre prestataire ou de reprendre l’activité en direct.
• La conformité réglementaire en cas de problème.
• Les pertes potentielles pour les assurés.

Son II écarte le conseil, la formation, la facturation, la sécurité des locaux et les prestations standards.

Selon nous, une délégation qui couvre toute une branche répond à plusieurs critères, dont la difficulté de reprise et les pertes des assurés. Dans le doute, nous conseillons de notifier l’ACPR.

L’orientation 60 de l’EIOPA sur le système de gouvernance demande à l’entreprise de déterminer et de documenter ce caractère critique ou important, fonction par fonction.

La notification de la délégation à l’ACPR

L’article L354-3 impose d’informer l’ACPR « préalablement, et en temps utile ». Le délai chiffré vient de l’instruction n° 2024-I-11 du 21 octobre 2024, applicable depuis le 2 décembre 2024.

Le formulaire part au plus tard 6 semaines avant l’entrée en vigueur de la délégation, par le portail de l’ACPR. Par dérogation, le délai descend à 4 semaines, avec l’accord du service de contrôle.

Le modèle figure en annexe de l’instruction n° 2020-I-09. Il demande quatre blocs d’information, en plus de la date et de l’identité de l’organisme.

• L’accord, avec l’activité confiée, son caractère critique, les raisons, la validation interne et la loi applicable.
• Le prestataire, avec son pays, son honorabilité et la possibilité de sous-déléguer.
• La coopération avec l’ACPR et les droits d’accès.
• Le contrôle interne, avec les risques, le plan de continuité et les audits.

Toute évolution importante se notifie aussi, par exemple un changement de délégataire ou l’ouverture d’un plateau dans un autre pays. Les fonctions déjà externalisées au 1er janvier 2016 n’avaient pas à être notifiées.

L’orientation 64 de l’EIOPA attend le même contenu, à savoir la portée de la délégation, ses raisons et le nom du délégataire. Pour une fonction clé, elle ajoute le nom du responsable chez le prestataire.

Les clauses Solvabilité II à retrouver dans la convention de délégation

Pour une fonction critique ou importante, l’article 274 du règlement délégué (UE) 2015/35 fixe le contenu de l’accord écrit. Le tableau suivant résume chaque clause avec sa référence et la preuve à demander au délégataire.

Les clauses Solvabilité II de la convention de délégation

Libellés résumés par ExternFlow d’après l’article 274 du règlement délégué (UE) 2015/35 ; la colonne de droite est une proposition ExternFlow.

Le même article demande à l’organe de direction de vérifier, avant la signature, la capacité du délégataire et l’absence de conflit d’intérêts. Les conditions de l’accord sont présentées à cet organe, qui les autorise. Il exige aussi que le délégataire applique les mêmes règles de sécurité et de confidentialité que l’assureur.

Notre article sur les clauses d’un contrat d’externalisation couvre les clauses générales, DORA comprise. Le tableau ci-dessus ne reprend que celles de Solvabilité II.

Courtiers et plateaux offshore dans la chaîne de délégation

L’orientation 61 de l’EIOPA vise l’intermédiaire habilité à souscrire des contrats ou à régler des sinistres au nom ou pour le compte d’un assureur. Il est soumis aux exigences de sous-traitance, comme tout délégataire.

L’ACPR précise que la gestion, l’évaluation et le règlement exclusifs des sinistres ne relèvent pas de la distribution d’assurances. Cette activité seule n’entre donc pas dans le régime des intermédiaires.

Quand un cabinet de courtage délégataire confie à son tour des dossiers à un plateau offshore, il s’agit d’une sous-délégation. La convention initiale doit en fixer les conditions, et les responsabilités du courtier restent inchangées (article 274 §4 k et l).

Pour les données personnelles, la CNIL considère le délégataire comme « généralement » le sous-traitant au sens du RGPD de l’assureur. Il peut devenir responsable conjoint s’il dispose d’une autonomie suffisante, ce que la CNIL envisage pour certains courtiers.

Les délais légaux que le délégataire doit honorer

Le délégataire traite les dossiers au nom de l’assureur, et son retard reste un retard de l’assureur. Trois régimes du Code des assurances fixent des délais précis.

Trois régimes de délais légaux applicables aux sinistres

Code des assurances, versions en vigueur au 27 octobre 2026. Selon le texte, les délais courent de la déclaration, de la demande ou de l’accident.

Pour les catastrophes naturelles, l’article L125-2 a été modifié par la loi n° 2026-403 du 26 mai 2026. Un paiement tardif fait courir l’intérêt légal au profit de l’assuré. Pour les accidents de la circulation, l’article L211-9 retient le délai le plus favorable à la victime quand plusieurs s’appliquent.

Nous conseillons d’écrire dans la convention des délais internes plus courts que les délais légaux. Le délégataire signale les dossiers en retard avant l’échéance légale, dans un rapport hebdomadaire envoyé au service indemnisation de l’assureur.

Données de santé dans les dossiers de sinistres

Un dossier de prévoyance, d’assurance emprunteur ou d’accident corporel contient des données de santé. L’article 9 du RGPD en interdit le traitement, sauf exceptions.

Le pack de conformité de l’assurance (juillet 2021, rédigé avec la CNIL) retient la protection sociale pour la complémentaire santé et la prévoyance. L’assurance emprunteur repose sur le consentement. Ces données relèvent du secret professionnel, et seuls des professionnels de santé ou des personnes agissant sous leur autorité y accèdent.

Pour un plateau offshore, nous conseillons de séparer les flux dans la convention. Les gestionnaires traitent les pièces administratives, et le médecin-conseil garde l’accès aux pièces médicales. Un transfert hors Union suppose aussi les garanties de notre checklist RGPD hors Union européenne.

L’obligation d’hébergement certifié (HDS) vise les données recueillies lors d’activités de prévention, de diagnostic ou de soins. Son application à un dossier sinistre n’est pas établie, et nous n’avons trouvé aucune position de la CNIL ou de l’ACPR sur ce point.

DORA et reprise des dossiers : ce que l’assureur garde

Le règlement DORA s’applique depuis le 17 janvier 2025. Il vise les services TIC, c’est-à-dire les services numériques et de données fournis de façon permanente par des systèmes informatiques. L’EIOPA a retiré à cette date ses orientations sur le cloud.

Selon notre lecture, à faire valider par un juriste, un délégataire n’y entre que pour ses outils. Sa plateforme de gestion et son portail assuré en relèvent. Un gestionnaire qui traite les dossiers à la main, dans les systèmes de l’assureur, n’en relève pas automatiquement.

Quand DORA s’applique, l’accord figure au registre d’information remis chaque année à l’ACPR. Le dernier registre, arrêté au 31 décembre 2025, était attendu au 31 mars 2026. L’article 28 exige aussi des stratégies de sortie testées. Notre calendrier réglementaire de l’externalisation suit ces échéances.

Avec ou sans DORA, l’assureur doit pouvoir reprendre les dossiers sans rupture du service aux assurés. Nous conseillons de garder une copie à jour des dossiers, la liste des gestionnaires formés et un plan de reprise daté. Notre guide sur la réversibilité d’un contrat d’externalisation détaille la méthode.

Avant de signer ou de renouveler une convention de délégation

Qualifiez d’abord la fonction avec les cinq critères de l’article R354-7. Comparez ensuite la convention au tableau des clauses et, si la fonction est importante ou critique, notifiez l’ACPR au moins 6 semaines avant.

Le cadre général du recours à un prestataire est posé par notre guide sur le BPO et son fonctionnement.

Sources et références

Cet article s’appuie notamment sur l’article L354-3 du Code des assurances, sur la directive 2009/138/CE, sur l’article 274 du règlement délégué (UE) 2015/35 et sur les orientations de l’EIOPA sur le système de gouvernance. Il repose aussi sur l’instruction ACPR n° 2024-I-11, sur l’instruction ACPR n° 2020-I-09, sur la page de l’ACPR sur l’externalisation d’activité importante, sur la décision de la commission des sanctions de 2019, sur le règlement (UE) 2022/2554 (DORA) et sur la fiche de la CNIL sur les acteurs de l’assurance.