Gjensidige Forsikring ASA

Finanstilsynet gjennomført stedlig tilsyn i Gjensidige Forsikring ASA 11. og 12 mars 2025. Formålet med tilsynet var gjennomgang av foretakets overordnede risikostyring samt foretakets styring og kontroll med internmodellen. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport av 27. mai 2025 og styrets svar mottatt 29. juli 2025. 2 Finanstilsynets oppsummering Finanstilsynet oppfatter at styret har økt sin risikoappetitt gjennom å ikke endre nedre grense for målsonen for solvenskapitaldekningen etter godkjennelsen av stormmodellen. Finanstilsynet ber styret revurdere den nedre grensen for solvenskapitaldekningen på 140 prosent. Finanstilsynet registrerer at foretaket opererer med to forskjellige modellversjoner, den godkjente regulatoriske modellen og den egne ikke-godkjente versjonen av internmodellen. Foretaket anser at den egne versjonen av internmodellen gjenspeiler risikoprofilen til Gjensidige på en bedre måte, og blir derfor brukt som grunnlag for viktige beslutningsprosesser i de tilfeller der den godkjente modellen ikke anses som egnet. Finanstilsynet merker seg at egen modellversjon ikke ble særskilt validert, men at det ble vurdert forskjeller mellom to modellversjoner. Foretaket argumenterer for bruk av to modellversjoner på bakgrunn av at Finanstilsynets endringsregime vurderes som for arbeidskrevende. Finanstilsynet viser til pågående prosess vedrørende modellendringsregime med formål om å forenkle modellendringsprosesser og unngå at det brukes to forskjellige modellversjoner i virksomhetsstyringen fremover. Foretakets kalibreringsrapporter for konsumprisindekser viser at økning i inflasjonsnivåer for Danmark og Sverige i 2021 og 2022 ikke fanges opp av internmodellen på ett års horisont. Inflasjonsrisiko har begrenset effekt på investeringssiden, men påvirker forsikringsforpliktelser og skadeinflasjon.

Finanstilsynet gjennomførte stedlig IKT-tilsyn i Gjensidige Forsikring ASA 12. og 13. juni 2024. Hensikten med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. Tilsynet ble avgrenset til elektronisk forsvar og tilhørende emner innen IKT-sikkerhet, og styring og kontroll med IKT-virksomheten. Videre ønsket Finanstilsynet å gjøre en vurdering av foretakets beredskapsarbeid relevant for IKT-området, herunder vurdere beredskapen i foretaket og for utkontrakterte IKT-tjenester, samt overholdelse av regulatoriske krav på IKT-området. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 25. september 2024 og styrets kommentarer til rapporten i brev av 25. oktober 2024. 2 Finanstilsynets merknader Strategi og organisering Foretaket skal ha klare og hensiktsmessige styrings- og kontrollsystemer samt hensiktsmessige retningslinjer og rutiner for å styre, overvåke, og rapportere risiko foretaket er eller kan bli eksponert for, jf. finansforetaksloven § 13-5 første ledd. I IKT-forskriften § 2 første ledd stilles det videre krav til at foretaket skal fastsette overordnede mål, strategier, og sikkerhetskrav for IKTvirksomheten. Finanstilsynet pekte i foreløpig rapport på at det vurderes som viktig at styregodkjente styringsdokumenter som strategier og policyer følges opp for å sikre at foretakets drift og planer utføres i henhold til disse, og at disse også følges opp av de kontrollfunksjonene som ikke står som eier av de styregodkjente styringsdokumentene. Styret skriver i sitt svar at de er kjent med at det gjøres omfattende risikobaserte kontroller i både andre- og tredjelinje for å sikre at kravene i de styrende dokumenter ivaretas og er operasjonalisert.

av det konsernet rapporter på IT-risiko, og at IT-risikorapport for 2021 ble fremlagt styret i sin helhet. Finanstilsynet pekte i foreløpig rapport på at det tilsynelatende går betydelig tid fra foretaket blir gjort kjent med en risiko eller avdekker risiko på IKT-området til tiltak iverksettes. Finanstilsynet stilte derfor spørsmål om det gjennomføres tilstrekkelige risikoanalyser i forbindelse med endringer og oppstart av systemer. Styret redegjør i sitt tilsvar for IT-risikovurderinger som gjøres i forbindelse med endringer og oppstart. Finanstilsynet tar styrets redegjørelser til etterretning. 2.3.3 Sikkerhet Rutine for sårbarhetstesting I foreløpig rapport pekte Finanstilsynet på forhold som kan indikere at sårbarhetstesting ikke i tilstrekkelig grad er innarbeidet i foretakets rutiner. I sitt svar opplyser styret at foretaket har kjørt sårbarhetstesting over lengre tid, og at det i den forbindelse er avdekket behov for å forbedre rutinen. Styret opplyser videre at arbeidet med dette vil bli prioritert. Finanstilsynet tar styrets redegjørelse til etterretning. Skille mellom test- og produksjonsmiljøene Penetrasjonstest som er gjennomført av foretaket indikerer at det ikke er tilstrekkelig skille mellom testmiljø og produksjonsmiljø. I sitt tilsvar redegjør styret for prosessen for løpende utbedring etter funnene fra penetrasjonstesten, og skriver at feilene i oppsettet som medførte at skillet ikke har vært tilstrekkelig, har blitt rettet. Styret beskriver arbeidet med herding og mikrosegmentering som foretas når det gjelder både testmiljø og produksjonsmiljø. Finanstilsynet tar styrets redegjørelse til etterretning. Penetrasjonstester Dokumentasjonen fra penetrasjonstesten kunne indikere at rutinene for gjennomføring ikke var tilstrekkelige.

Tilsynsrapport - Gjensidige Forsikring ASA Tilsynsrapporter og vedtak Brev datert 27. februar 2020. Brev Tilsynsrapport - Gjensidige Forsikring ASA (pdf) Om tilsynsrapporter og vedtak Finanstilsynet gjennomfører tilsyn hos foretak eller personer som driver konsesjonsbelagt virksomhet. Etter et tilsyn oppsummerer Finanstilsynet hovedfunnene i en tilsynsrapport. Tilsynsrapporten blir sendt til foretaket/personen og publiseres på Finanstilsynets nettsted. Hvis foretaket har brutt regelverket, kan vi fatte et vedtak rettet mot foretaket. Dette vil i så fall framgå av tilsynsrapporten. Et vedtak kan være å pålegge foretaket/personen å rette opp i forhold ilegge overtredelsesgebyr trekke tilbake en tillatelse Hvilke former for vedtak Finanstilsynet fatter, avhenger av hvilke regler som er brutt. Hvis foretaket/personen klager på vedtaket fra Finanstilsynet, vil saken over bli oppdatert med informasjon om det. Til toppen av siden expand_less

Merknader - endelig rapport Gjensidige Forsikring ASA Tilsynsrapporter og vedtak Brev datert 10. desember 2018. Brev Merknader - endelig rapport Gjensidige Forsikring ASA (pdf) Om tilsynsrapporter og vedtak Finanstilsynet gjennomfører tilsyn hos foretak eller personer som driver konsesjonsbelagt virksomhet. Etter et tilsyn oppsummerer Finanstilsynet hovedfunnene i en tilsynsrapport. Tilsynsrapporten blir sendt til foretaket/personen og publiseres på Finanstilsynets nettsted. Hvis foretaket har brutt regelverket, kan vi fatte et vedtak rettet mot foretaket. Dette vil i så fall framgå av tilsynsrapporten. Et vedtak kan være å pålegge foretaket/personen å rette opp i forhold ilegge overtredelsesgebyr trekke tilbake en tillatelse Hvilke former for vedtak Finanstilsynet fatter, avhenger av hvilke regler som er brutt. Hvis foretaket/personen klager på vedtaket fra Finanstilsynet, vil saken over bli oppdatert med informasjon om det. Til toppen av siden expand_less