Circulaire n° 7.9 Délégation de tâches (outsourcing)

Berne, le 30 mai 2022

Délégation de tâches (outsourcing)

1 Introduction

La présente circulaire définit les principes s’appliquant a la délégation de taches par les assureurs a d’autres entités de leur groupe d’assurance ainsi qu’à des tiers, et a énumérer les tâches qu'il convient de considérer comme importantes et dont la délégation nécessite une approbation de l'OFSP. Elle apporte en outre certaines précisions concernant les tâches qui ne peuvent pas être déléguées.

2 Bases légales

Art. 6 et 7, al. 2, let. |, LSAMal ; art. 7, al. 2, OSAMal

Les assureurs peuvent en principe déléguer des tâches à une autre entité de leur groupe d'assurance, à une fédération ou à des tiers (art. 6, al. 1, LSAMal*).

Ils ne peuvent toutefois pas déléguer les tâches relevant de la direction générale et du contrôle par le conseil d'administration (art. 6, al. 2, let. a, LSAMal), ni les autres tâches centrales de direction, y compris la compétence de rendre des décisions au sens de l’art. 49 LPGA? (art. 6, al. 2, let. b, LSAMal).

1 Loi fédérale du 26 septembre 2014 sur la surveillance de l’assurance-maladie sociale (loi sur la surveillance de l’assurancemaladie ; RS 832.12)

2 Loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales (RS 830.1)

Aux termes de l’art. 7, al. 2, OSAMaf, les contrats et autres ententes visant à déléguer des tâches importantes telles que le contrôle des prestations, le recouvrement, la gestion comptable et la gestion des polices doivent être remis à l'autorité de surveillance deux mois avant le début de leur validité. Par ailleurs, les assureurs doivent garantir que la surveillance sur les tâches qu'ils délèguent puisse être exercée sans restriction (art. 6, al. 3, LSAMal).

3 Principes applicables

Art. 6 LSAMal ; art. 7, al. 2, OSAMal

L'approche suivie par autorité de surveillance consiste à distinguer tout d’abord si l'on a affaire ou non à une délégation de tâches (art. 6 LSAMal). Une définition plus précise de ce terme (« délégation de tâches », voir ch. 3.1) doit permettre d'éviter que des contrats qui ne remplissent en fait nullement les conditions de la délégation doivent être soumis à l'autorité de surveillance. C'est uniquement si une délégation de tâches au sens de la LSAMal entre en ligne de compte qu'il faut examiner s’il s’agit d’une tâche dont l’art. 6, al. 2, LSAMal précise qu'elle ne peut pas être déléguée (voir ch. 3.2). Si tel n’est pas le cas, la tâche pourra être déléguée. Cela étant, l'assureur devra toujours (qu'il s’agisse ou non d’une tâche importante) garantir que la surveillance sur les tâches qu'il délègue puisse être exercée sans restriction par l'autorité de surveillance (art. 6, al. 3, LSAMal). Si la tâche déléguée est importante (voir ch. 3.3), il faut en outre respecter les formalités de la modification du plan d'exploitation (voir ch. 4).

3.1 Définition de la délégation de tâches (outsourcing)

Il y a délégation (outsourcing) au sens des dispositions précitées lorsque l'assureur donne à un prestataire de services le mandat d'exécuter pour lui, de manière indépendante et durable, tout ou partie d’une tâche. Le prestataire de services doit donc pouvoir disposer d’une importante liberté d'entreprise dans l’'accomplissement de ses tâches. L’assureur délègue la tâche d'exécuter l'opération en question de manière indépendante. Il n’y a pas délégation, par contre, s’il s’agit simplement d'apporter à l’assureur un soutien pour l'exécution d’une tâche, ou si le mandataire, même s’il accomplit la tâche seul, le fait suivant les règles générales en vigueur ou les directives individuelles de l'assureur. Dans ce cas, en effet, il n’y a pas indépendance du point de vue technique et économique.

Le recours a des conseillers ou l’accomplissement d’une tâche (par des auxiliaires) dans le cadre de directives explicites, par exemple pour préparer des affaires ou mettre a disposition un savoir-faire spécifique, ne constituent par conséquent pas une délégation de tâches. Le fait de déléguer à des tiers faisant ou non partie du groupe d’assureurs l'élaboration, au nom de l’assureur, d’un document écrit (y compris, par analogie, sous forme numérique) relevant des tâches centrales de direction (p. ex. la rédaction de décisions) ne constitue pas non plus une délégation de tâches tant que la responsabilité du contenu demeure entièrement chez l'assureur. Cela implique que la signature d’un tel document soit effectuée par un représentant de l'assureur inscrit au registre du commerce ou habilité d’une autre manière par l'assureur.

3 Ordonnance du 18 novembre 2015 sur la surveillance de l'assurance-maladie sociale (ordonnance sur la surveillance de l'assurance-maladie ; RS 832.121)

4 Définition par analogie avec celle de la responsabilité pour les auxiliaires dans le CO, cf. GAUCH/SCHLUEP/SCHMID/EMMENEG- GER, Schweizerisches Obligationenrecht Allgemeiner Teil, vol. | et Il, 11° éd., Lucerne et Berne, 2020, ch. 3020.

5 Ne doit pas être confondu ni assimilé avec l’auxiliaire au sens de l’art. 321 CP. La notion d’auxiliaire selon l’art. 321 CP est régulièrement comprise de manière plus large que la notion d’auxiliaire selon l’art. 101 CO et ne peut par conséquent pas être utilisée (exclusivement) pour la définition de l’outsourcing (cf. en relation avec une utilisation «confuse et malheureuse» des mêmes notions d’auxiliaires pour différentes significations: SCHILLER/NATER, Interdisziplinäre Anwaltsgesellschaft / Multidisciplinary Partnership (MDP), Il, SJZ 116/2020 p. 95ss, 96).

3.2 Tâches ne pouvant pas être déléguées

Les tâches qui ne peuvent pas être déléguées sont définies à l’art. 6, al. 2, LSAMal (voir ch. 2). En font notamment partie, selon la pratique de l’autorité de surveillance, le contrôle du respect des dispositions relatives à la protection des données et à la gestion des risques, ainsi que les échanges à ce sujet avec l'autorité de surveillance et les assurés. Il convient de mentionner aussi a ce titre les attributions du conseil d'administration qui, en vertu de l’art. 716a, al. 1, COS, sont intransmissibles et inaliénables, ainsi que la gestion d'entreprise au sens des art. 20 ss LSAMal.

3.3 Définition des tâches importantes

Les tâches qui sont déterminantes pour le champ d'activité de l’assurance-maladie sont considérées comme importantes. La responsabilité de définir les tâches qui sont importantes pour lui incombe à chaque assureur ; l'assureur est en premier lieu responsable de l'évaluation pour savoir s’il s’agit en cas de délégation d’une tâche importante au sens des exigences réglementaires. Une liste des tâches à considérer comme telles est proposée ci-dessous à titre d’aide à l'interprétation.

Cette liste se fonde, d’une part, sur l’art. 7, al. 2, OSAMal et, d'autre part, sur les champs d'activité qui, de l’avis de l'autorité de surveillance, sont typiques pour les assureurs. Elle ne prétend pas à l’exhaustivité et les tâches mentionnées ne doivent pas forcément être, dans tous les cas, considérées comme importantes. Enfin, elle doit pouvoir être adaptée à de nouvelles circonstances dans le cadre d’une modification de la circulaire.

7 Actuariat

" Gestion des placements et administration de la fortune " Comptabilité et administration des débiteurs

" Service de réception des données

" Encaissement des primes

" Révision interne

" Examen des prestations

7 Gestion des polices d’assurance

" Service juridique

Dans la mesure où les tâches de prestations de service informatique, notamment la gestion et le stockage des données, qui correspondent à la définition de la délégation de tâches, sont prises en considération, une telle délégation dans ce domaine est également considérée comme importante.

4 Formalités relatives aux modifications des plans d’exploitation

Art. 6, al. 3, et 7, al. 2, let. |, LSAMal ; art. 7, al. 2, OSAMal

En vertu de l’art. 7, al. 2, OSAMal, les modifications du plan d'exploitation au sens de l’art. 8, al. 1, en relation avec l’art. 7, al. 2, let. I, LSAMal, qui concernent la délégation de tâches importantes doivent faire l'objet d’une demande auprès de l’autorité de surveillance deux mois avant l'entrée en vigueur du contrat en question. Un exemplaire de ce contrat doit être joint à la demande, le délai devant être respecté même avec la remise d’un projet de contrat. En tous les cas, le contrat doit être conclu sous réserve de l'autorisation de l'autorité de surveillance et les adaptations éventuelles apportées au projet doivent être présentées immédiatement à cette dernière.

5 Loi fédérale du 30 mars 1911 complétant le Code civil suisse (Livre cinquième : Droit des obligations ; Code des obligations, RS 220)

La demande doit également contenir les indications suivantes, accompagnées le cas échéant d’un renvoi aux dispositions contractuelles s’y rapportant :

" Quand débute le contrat ?

" Quelles sont les parties (nom complet de chaque entité, y compris forme juridique) ?

7 Si cela ne ressort pas de l'extrait du registre du commerce : les représentants des parties au

contrat sont-ils autorisés à le signer ? (joindre la procuration)

" Quelles tâches sont déléguées ?

" Quelles données clients sont échangées et où sont-elles stockées (géographiquement) ?

" Quel(s) service(s) ou personne(s) sont opérationnellement responsable(s) de la délégation ?

" Est-ce que la répartition des tâches entre les partenaires contractuels et les compétences respectives sont définies ?

7 Décrire, conformément à l’art. 6, al. 3, LSAMal, comment la surveillance sur les tâches déléguées

peut être exercée sans restriction : o Un droit de regard, d’injonction et de contrôle est-il accordé de manière correspondante à l'assureur, ainsi qu’un droit de regard et de contrôle correspondant à l'autorité de surveillance et à l'organe de révision ? o Existe-t-il des rapports de sous-traitance ? L’assureur est-il informé préalablement en cas de recours à un sous-traitant ? " Comment la protection des données est-elle assurée ? En particulier, comment est-il garanti que le tiers n'utilise pas à ses propres fins, ou à des fins étrangères au contrat, les données qui lui sont communiquées dans le cadre de la délégation ?

" Quelles sont les modalités de résiliation ?

" Quelles conséquences sont convenues en cas de non-respect des clauses relatives à la protection des données ou de résiliation du contrat ?

" Les (nouveaux) risques résultant de la délégation sont-ils déjà couverts par le plan d'exploitation

(dans l’affirmative, renvoyer à l’art. 7, al. 2, let. j, LSAMal à l'endroit correspondant du plan d’exploitation) ou y a-t-il des changements concernant le recensement, la limitation et le contrôle des risques (notamment en relation avec l'analyse des risques des partenaires de la délégation euxmêmes [situation personnelle et financière, savoir-faire, durabilité, souplesse, etc.]) ?

" Comment la fonction déléguée est-elle intégrée dans le système de contrôle interne ?

Lors de l'élaboration et de la description de ces éléments à examiner, les liens existant dans le groupe d'assurance peuvent être pris en considération pour autant que, suite à la délégation, les risques actuels

ne sont pas démontrés ou que certaines exigences ne sont pas significatives ou sont réglées autrement.

L’inventaire des tâches importantes qui sont déléguées doit être remis à chaque modification du plan d'exploitation.

L'autorité de surveillance se réserve le droit de demander au besoin d’autres informations et documents nécessaires à l’exercice de son activité.

La présente circulaire n’a pas d'effet rétroactif. Elle ne s'applique donc pas aux contrats conclus avant son entrée en vigueur (les modifications et/ou les adaptations du contrat sont assimilées à la conclusion d’un nouveau contrat et la présente circulaire s'applique à celles-ci). Directeur suppléant OFSP Responsable de la division Responsable Assurance maladie et accidents Surveillance de l'assurance