Askim & Spydeberg Sparebank

Finanstilsynet gjennomførte stedlig IKT-tilsyn i Askim & Spydeberg Sparebank (heretter omtalt foretaket) den 28. april 2025. Formålet med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. Finanstilsynet så på styring med og kontroll av IKT-virksomheten med spesiell vekt på IKT-risiko, endrings- og avvikshåndtering, IKT-sikkerhet, utkontraktering og beredskap. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 1. juli 2025 og styrets kommentarer til rapporten i brev av 12. september 2025. Tilsynsrapporten er utarbeidet med utgangspunkt i IKT-forskriften, som var gjeldende regelverk for foretaket på tilsynstidspunktet. Fra 1. juli 2025 skal foretaket etterleve DORA-forordningen med tilhørende delegerte kommisjonsforordninger, jf. DORA-loven § 1. 2 Finanstilsynets oppsummering Tilsynet avdekket ingen vesentlige mangler ved foretakets styring med og kontroll av IKTvirksomheten. Det ble likevel påpekt mangelfull oppfølging av styregodkjente styringsdokumenter, samt at rutiner for enkelte områder, som sikkerhetspatching og oppfølging av logger, ikke var tilstrekkelig etablert. Videre ble det avdekket mangler i vurdering og dokumentasjon av leverandørers beredskapstester, mangler i rutinene for leverandøroppfølging og forbedringsområder i endringshåndteringen. 3 Finanstilsynets vurderinger 3.1 Strategi og organisering Styret skal godkjenne og regelmessig vurdere retningslinjer for å påta foretaket risikoer og for å identifisere, styre, overvåke og kontrollere risikoene, jf. CRR/CRD-forskriften § 35. IKT-forskriften § 2 første ledd stiller videre krav til at foretaket skal fastsette overordnede mål, strategier, og sikkerhetskrav for IKT-virksomheten, og i § 3 første ledd stilles det krav om at foretaket skal fastsette kriterier for akseptabel risiko forbundet med bruk av IKT-systemene.

Finanstilsynet gjennomførte stedlig tilsyn i Askim & Spydeberg Sparebank (heretter «banken») den 14. og 15. juni 2022. Formålet var å gjennomgå bankens styring og kontroll av risikoen for hvitvasking og terrorfinansiering, herunder etterlevelsen av hvitvaskingsloven med tilhørende forskrifter. Banken mottok Finanstilsynets foreløpige rapport 28. juni 2023, og har gitt sitt tilsvar til denne i brev av 15. september 2023. 2. Bakgrunn og hovedpunkter i rapporten Etter påstander i media høsten 2021 knyttet til enkelte av bankens kundeforhold, iverksatte banken en granskning av de aktuelle forholdene. Bankens tidligere styre ba også BDO om å gjennomføre en evaluering av bankens internkontroll. På bakgrunn av dette og funnene i granskningsrapporten, fant Finanstilsynet det nødvendig å gjennomføre et tilsyn med bankens etterlevelse av hvitvaskingsloven. Tilsynet har avdekket at banken på tidspunktet for det stedlige tilsynet hadde alvorlige mangler i etterlevelsen av hvitvaskingsregelverket. Manglene er av en alvorlighetsgrad som etter Finanstilsynets vurdering gir grunnlag for å ilegge et overtredelsesgebyr på kr. 9.500.000. Det vises til omtale i punkt 13. 3. Bankens organisering 3.1. Rettslig grunnlag og Finanstilsynets forventninger Styret og ledelsen har det overordnede ansvaret for etterlevelse av hvitvaskingsloven og skal sørge for forsvarlig organisering av virksomheten, samt påse at foretaket har tilstrekkelige rutiner og kontrollsystemer for etterlevelse av loven. Hvitvaskingslovens § 8 femte ledd krever at rapporteringspliktige utpeker en person i ledelsen som skal ha ansvar for å følge opp nødvendige rutiner (hvitvaskingsansvarlig). Hvitvaskingsansvarlig har i tillegg ansvaret for at opplysninger om mistenkelige forhold, blir rapportert til Økokrim.

tlf 22 93 97 98 Styret i Askim & Spydeberg Sparebank Postboks 143 1801 ASKIM VÅR REFERANSE DERES REFERANSE UNNTATT OFFENTLIGHET DATO 21/12478 § 13, jf. finanstll § 7 og fvl. § 13, og offl. § 12 06.09.2022 Tilsynsrapport Finanstilsynet har siden november 2021 hatt en særskilt oppfølging av Askim og Spydeberg Sparebank. Det vises til Finanstilsynets brev 22. november 2021, senere møter og kommunikasjon med banken og oversendte rapporter fra BDO Advokater AS og BDO AS. Rapporten fra BDO Advokater AS omtaler omfattende og vedvarende brudd på interne retningslinjer. Denne tilsynsrapporten oppsummerer sakskomplekset fra Finanstilsynets side. Styret har fått foreløpig rapport til uttalelse og har ikke gitt bemerkninger til rapportens beskrivelser av faktum, jf. brev av 20. juni 2022. Styret har i sitt tilsvar redegjort for tiltak som er iverksatt for å styrke bankens styring og kontroll. 1. Askim & Spydeberg Sparebank – bakgrunn I 2015 ble Askim Sparebank slått sammen med Spydeberg Sparebank og fikk navnet Askim & Spydeberg Sparebank (heretter "AS Bank"). Tidligere styreleder i Askim Sparebank og banksjef i Spydeberg Sparebank ble hhv. styreleder og daglig leder i den nye banken. Foretakets forretningsmodell er lokal sparebankvirksomhet med finansiering, forsikring, sparing og plassering samt betalingsformidling til privat- og næringslivskunder som hovedprodukter. Foretakets primære markedsområde er de tidligere fylkene Østfold og Akershus, som nå begge er en del av Viken fylke. Banken hadde i 2015 en forvaltningskapital på 7 mrd. kroner.