Financial Services Authority 

ORSA 
As part of your risk management system, you must conduct the own risk and solvency assessment 
(ORSA) process and subsequently produce a report. This document sets out the issues we have 
identified of interest to the UK industry from the EIOPA consultation published on 7 November and 
we hope it will be useful in guiding you through the consultation. 
EIOPA Consultation 
The level 3 draft guidance on the ORSA has now been released for public consultation and is 
available through the EIOPA website. This must be read in conjunction with Article 45 and Article 
246 (groups) of the Solvency II Directive which describes the requirements of the ORSA. In 
addition, Article 48 (the actuarial function), Article 120 (the use test), Article 213 (the prudent 
person principle) and Article 36 (reporting of the ORSA) of the Directive are also relevant to the 
ORSA. We do not expect specific Level 2 text on the ORSA, with the exception of some reporting 
requirements for the Solvency and Financial Condition Report. We have created a separate 
document on EIOPA’s consultation of the level 3 text for reporting. 
The EIOPA consultation is open from 7 November and closes on 20 January 2012. Responses 
should be sent direct to EIOPA and not to the FSA. 
The ORSA described 
The Solvency II Directive sets out clearly what must be included in the ORSA: 
ORSA requirement  Comment on the ORSA process 
Overall solvency needs  Firms need to have a process in place to assess 
their own solvency needs (economic capital), 
based on their own risk appetite, which is not 
necessarily the regulatory level. 
Compliance with regulatory capital  Firms need to have a process that monitors their 
requirements  Solvency II balance sheet, their Solvency Capital 
Requirement, and the own funds available to cover 
it. This requires an understanding of the key 
drivers of change in the balance sheet. 
Compliance with reserving requirements  This is a process within the company that enables 
it to know at any point in time whether or not its 
reserves meet the legal requirements. This requires 
an understanding of the key drivers of change in 
the technical provisions. 
Assessment of the deviation of the regulatory  This is a process within the company that enables 
capital assumptions from the risk profile  it to know whether or not its key risk drivers are 
reflected in the calculation of regulatory capital, 
and so whether the calculation might be incorrect 
if risks change.
Includes qualitative and quantitative risks  Some risks might not be reflected in the regulatory 
capital calculation, or in the insurer’s own 
assessment for example, because they are non­ 
quantifiable. The insurer is required to have a 
process that identifies and manages all the material 
risks within their risk profile. 
Link between the own assessment of solvency  If the insurer uses or intends to use an internal 
needs and regulatory capital assessed using an  model to assess capital needs (regulatory or 
internal model  otherwise), the ORSA process needs to include a 
process to recalibrate from the required economic 
capital number to the regulatory capital number. 
The ORSA must be used in decision making  For all insurers, the assessment of required 
economic capital must be used in strategic 
decisions. 
The ORSA process must be done when the risk  The insurer cannot rely on outdated assessments of 
profile changes significantly  required economic capital.  Following an event 
which significantly changes the risk profile an 
additional ORSA report is required.  The level 2 
text will confirm the time frames for this report. 
Results of the process must be reported to the  The result of the ORSA process will give the 
national supervisor  national supervisor an insight into the the risk 
management processes and how these have 
informed the firms assessment of its solvency 
requirement.  Whilst the national supervisor cannot 
act if the insurer’s actual capital is below the 
required economic capital, they will be able to 
understand how it has been derived. 
The overall solvency need is not a capital  The regulatory capital is the number that gives rise 
requirement  to supervisory action. The insurer’s own 
assessment of capital needs belongs to them, and 
cannot be used as an intervention point. 

Links to the ORSA  Comment on the link 
Actuarial involvement  The actuarial function must contribute to the 
assessment. 
Inclusion in the use test  If an insurer uses or intends to use an internal 
model to calculate regulatory capital, then the 
internal model needs to be taken into consideration 
in the ORSA process including how the risks 
considered by the internal model interact with 
those which are not considered. 
Prudent person investment principle  Insurers need to link their process for making sure 
they meet regulatory capital requirements with 
their investment philosophy. 
A group ORSA has to consider  risks at a  The group ORSA process makes an insurer look at 
group level but also  all entities and risks  insurance and non­insurance entities in the group, 
within the group  including those outside the EEA, and consider the

2 
 risks arising from them. Every group and legal 
entity needs to undertake the ORSA process; 
however, if permission is granted by the group 
supervisor and the college the results of the ORSA 
may be reported together. 
As well as the group ORSA process, an insurer  This makes the ORSA very relevant for each legal 
must have an ORSA report for each regulated  entity, and recognises that capital may not be 
entity in the group  fungible. 

Fit for purpose 
The ORSA process has to be fit for purpose, i.e. proportionate to the nature, scale and complexity of 
the firm’s risk profile. This means that the firm needs to understand the larger and/or more complex 
risks in order to assess and quantify them appropriately. The level 3 consultation paper explains 
(Guideline 1) that the processes should fit the firm’s own organisational structure and use 
appropriate and adequate techniques to assess overall solvency needs.  This applies not only to 
the process but also to the frequency with which the process is performed. 
Reporting of the ORSA output 
The ORSA process will have outputs, which will be reported to the appropriate internal forums at 
the firm. The ORSA consultation paper (Guideline 6) also explains that the internal report may 
well form the basis of the supervisory report. The ORSA process also requires firms to produce a 
report to the supervisor (at least annually). Again, the requirements around this report in the Level 3 
Guidance are principles based and firms need to think what this report should include and who it is 
for and how it will be communicated. It needs to be signed off by the Board and should include as a 
minimum an assessment of:
·  the overall solvency needs, taking into account the business strategy, specific risk profile 
and approved risk tolerance limits of the firm;
·  ongoing compliance with capital requirements (Solvency II Directive Chapter VI, Sections 4 
and 5) and technical provisions (Solvency II, Chapter VI, Section 2); and
·  the significance with which the risk profile deviates from the assumptions underlying the 
SCR, whether it be calculated using the standard formula (including undertaking specific 
parameters (USPs) or simplifications) or an internal model and what this means for the firm. 
This may mean that the ORSA highlights elements within each firm which need to be addressed. 
These should be accompanied in the ORSA report with clear actions for remediation and clearly 
allocate actions identified to specific people. 
Link to pre­application for internal models 
The pre­application process as described in the level 3 guidance (formerly CP80) does not require 
output from the ORSA. In addition the application for internal model approval does not require 
ORSA output. However, the use test does require that the internal model is used in the assessment 
of economic capital in the ORSA. In addition, the ORSA needs to include a process to recalibrate 
internal model output to the SCR calibration under the standard formula. To evidence it has met the 
requirements of the directive a firm may elect to use outputs from the ORSA process and provide 
this to the national supervisor for its review and assessment.

3 
Why the ORSA is important 
The ORSA is a central element of Solvency II and brings the three pillars together. It is not a 
compliance exercise, but a process that gives real insight into the risks facing a firm. This is 
required to be linked to decision making, and so decisions using the ORSA should be based on 
good information. The ORSA brings together risk management, capital management and strategic 
thinking. As a result, it is an important cultural element of firms’ activities and should ensure that 
all parts of the firm work together effectively – it should be impossible to have a good ORSA 
process without working across different parts of an insurer’s business. 
Things that need to be part of the ORSA 
The ORSA is aimed at being a real asset to the running of a firm and, as such, each firm needs to 
think about what the ORSA means to them. In order to do this the Level 3 Guidance being 
consulted on is deliberately principles based. You need to put your own thinking behind each of the 
requirements outlined in the Directive and the L3 Guidelines, and consider what else is important to 
your firm and what will be necessary for the Board and senior management to make strategic 
decisions now and over the business planning period. 
Such an important process needs to be documented. The ORSA consultation paper (Guideline 4) 
sets out a proposal for the minimum level of documentation required – an ORSA policy, a record 
of each process, an internal report on the ORSA and the report to the supervisors. Firms may 
obviously wish to document their ORSA further, given the key role it is aimed at playing in the 
firm. 
The ORSA policy forms part of the risk management policies and the ORSA consultation paper 
(Guideline 4) explains that it must contain information about a: 
a)  description of the processes and procedures in place to conduct the ORSA; 
b)  consideration of the link between the risk profile, the approved risk tolerance limits and 
the overall solvency needs; and 
c)  information on: 
(i)  how stress tests and sensitivity analyses are to be developed and how often they are to 
be performed; 
(ii)  data quality requirements; and 
(iii)  the frequency for the performance of the (regular) ORSA and the circumstances 
which would trigger the need for an ORSA outside the regular timescales. 
The ORSA consultation paper also explains (Guideline 5) that the ORSA should be appropriately 
evidenced and documented. This reflects the OWN part of the ORSA as well as the proportionality 
principle that runs through the Solvency II Directive. 
The ORSA consultation paper (Guidelines 7 to 13) gives detail about the technical aspects of the 
ORSA: accounting bases; quantification of risk; the need for stress and scenario testing, taking a 
forward looking perspective and linking to regulatory capital requirements. The ORSA requires 
all firms to determine an economic capital figure which takes into account the regulatory capital 
requirement, the risk appetite of the firm, the results of stress and scenario testing and includes 
those risks which may not be included in the SCR regardless of whether it is calculated using the 
standard formula or an internal model). 
For internal model firms, the ORSA consultation paper explains how these aspects link to the 
internal model.

4 
The ORSA is not all about capital – it also needs to show other risk management and mitigation 
techniques which have been used, particularly for non­quantifiable risks. Where a firm places 
reliance on a risk mitigation technique it should also assess the effectiveness of the technique and 
any secondary risks associated with it in the same way as it assesses any other risk in the ORSA. 
One of the important elements of this is the evidence firms will produce and how they will 
document the processes they have in place. Firms should also note that documentation of the ORSA 
process is not the same as the reports on the output of the process. Documentation is of the process 
and will be useful for firms in maintaining and developing the process. Reporting is of the outputs 
of the process. 
Group ORSA specifics 
The Group ORSA needs to cover all entities in the group (Guideline 16), including unregulated 
entities, and take account of group specific risks and interdependencies (Guideline 18). Guidelines 
16 to 24 cover the group specifics of the ORSA, including a proposed requirement for firms using 
an internal model to identify any entities in the group not included in the group internal model and 
the reasons why not in the report to the supervisor. For third country entities, the ORSA should 
include (Guideline 24) an assessment of the risks of the business in third countries in the same 
manner as for EEA­business with special attention to transferability and fungibility of capital and – 
in case of equivalence, when the deduction and aggregation method applies – the consequences of 
applying local capital requirements and technical provision calculations instead of the Solvency II 
framework in third countries. 

What you should do now 
In addition to the Directive and Level 3 Guidance ORSA consultation paper, the following are 
things which firms should be doing or planning now:
·  Developing the ORSA policy ­ outlining at a minimum what the ORSA is going to mean to 
the firm and who is responsible for what. This will ensure that the ORSA is meaningful and 
useful and each part of the firm is clear what their role is in bringing the ORSA together.
·  Assessing what other processes and documents are needed to fulfil the policy.
·  Although the ORSA is an ongoing process a report is required at least annually for the 
national supervisor and it is essential that it is useful for the firm, particularly the Board as 
they will sign it off. The size and content of the report is therefore very important. 
Supporting documentation could also be used to support the report. Firms should start to 
work with their Boards to plan the information that the Board will need to see and sign off.
·  The ORSA requires a forward thinking assessment so the process and the report need to be 
forward thinking as well as retrospective. Firms should be looking at risks and capital 
requirements over the period of their own strategic planning.
·  Firms should identify where they are falling short of the requirements, highlight them and 
detail what they are doing to put any issues right. This will show that there is a real 
understanding of the risks in the firm.
·  Firms will need to think about how the non quantifiable risks will be included and how they 
should be assessed.
·  For firms intending to apply to use an internal model firms, consider how the use test links 
to the ORSA. 
Please note that the above information is an overview of some of the relevant requirements. 
Firms should take account of the Solvency II Directive and the proposed Level 3 Guidance 
in the EIOPA consultation in full.

5 
Q&A 
1.  Is the ORSA a report or a process? 
The ORSA is a process that leads to a report. The process will produce output that is used in the 
decision making of a firm, and so will need to be documented. 
2.  Will the FSA be publishing detailed guidance on how to do an ORSA? 
No, the ORSA requirements will be clear from the Directive and level 3 text when finalised. These 
reflect that it is an OWN risk and solvency assessment. In areas where there is no EIOPA guidance 
or FSA rule, then firms have discretion to put in place processes that are appropriate for them. 
3.  How can firms implement this when so much else is going on? 
We consider that many firms already have many of the key components in place. The 
implementation of the ORSA process needs to link the components and fill in the gaps. 
4.  Can you have an ORSA without having a risk appetite? 
No. The ORSA process has to be linked to the firm’s own risk appetite, risk tolerance and business 
strategy. The risk tolerance could be at a different calibration level and over a different period to the 
regulatory one. It may also be based on factors other than capital. 
5.  Who owns the ORSA? 
The firm’s Board is responsible for the process in the sense that they need to be sure that it is in 
place and remains appropriate. The level 3 consultation paper explains the role of the Board 
(Guideline 2) is to take an active role in the ORSA – this means steering the assessment and 
challenging results. The FSA gave a presentation to Non­Executive Directors about what Solvency 
II means for them, available here.  The Board is not always going to get involved at a working level. 
As the ORSA is part of the risk management system the daily activity is the responsibility of the 
risk management function but input from other parts of the firm, particularly the actuarial function, 
is vital. 
6.  How do firms manage all the different stakeholders that need to input into the ORSA? 
This will depend on the complexity of the firm. The ORSA process needs to make sure that data 
and information flows through the firm so that the risk assessments can be performed. In addition, 
the output needs to be used in the relevant decision making forums at the firm. 
Although the ORSA policy is approved by the Board and headed up by the risk management 
function (it is essentially a part of the firm’s risk management system), the ORSA process and the 
final report requires input from all areas of the firm, particularly the actuarial function, so firms 
need to think how this will work in practice. 
7.  We want to take a group approach to our ORSA report. What do we need to do? 
Groups can undertake a group ORSA report if they wish but there are some caveats. The group 
needs to get the agreement of the group supervisor in the first instance.  Before granting an 
agreement, the group supervisor will need to consult the college members and duly take into 
account their views.  The group report does not need to cover every legal entity within that group, 
but where an entity is covered, it needs to be clear which comments are relevant to which entity. 
Some comments may be relevant to all entities and some to only a percentage of the entities.  There 
should be sufficient information on each legal entity covered to enable the solo supervisors to 
perform their supervisory review of their respective solo entities.  If a legal entity is not included in 
the group report, it needs to produce its own report.  Due to non­EEA undertakings not being under 
the Solvency II regime they do not need to submit a solo report however these undertakings do need 
to be taken into account in the group ORSA report

6