Haugesund Sparebank

Finanstilsynet gjennomførte stedlig IKT-tilsyn med Haugesund Sparebank (heretter omtalt foretaket). Formålet med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer- og tjenester. Finanstilsynet så på styring med og kontroll av IKT-virksomheten med spesiell vekt på IKT-risiko, IKT-drift, IKT-sikkerhet, bruk av IKT-tjenesteleverandører og beredskap. Finanstilsynet gjennomførte møter med foretaket 10. og 11. november 2025. Denne tilsynsrapporten bygger på Finanstilsynets foreløpige rapport fra 8. januar 2026 og styrets kommentar til denne fra 13. februar 2026. Foretaket er sammen med de andre bankene i Eika-alliansen eier av Eika Gruppen som leverer felles IKT-tjenester til bankene. 2 Finanstilsynets oppsummering Tilsynet avdekket enkelte mangler ved foretakets styring med og kontroll av IKT-virksomheten Innen flere områder av foretakets IKT-virksomhet manglet det operasjonalisering av styregodkjente styringsdokumenter, og foretaket må i større grad stille krav til rapportering fra IKTtjenesteleverandører i første og andre forsvarslinje. Foretaket er ansvarlig for å sikre tilstrekkelig oppfølging av eksterne leverandører, selv om foretaket i stor grad baserer seg på leverandøroppfølgingen som utføres av alliansen foretaket er en del av. 3 Finanstilsynets vurderinger 3.1 Strategi og organisering DORA art. 6 nr. 1 stiller krav til at foretak underlagt DORA skal ha et forsvarlig, omfattende og veldokumentert rammeverk for IKT-risikostyring som en del av sitt overordnede risikostyringssystem, slik at de kan håndtere IKT-risiko på en rask, effektiv og grundig måte og oppnå en høy grad av digital operasjonell motstandsdyktighet. Videre følger det av nr.

tlf. 22 93 97 97 Styret i Haugesund Sparebank Postboks 203 5501 HAUGESUND VÅR REFERANSE DERES REFERANSE DATO 23/1845 26.10.2023 Tilsynsrapport – Haugesund Sparebank Som ledd i overvåking av Haugesund Sparebanks ("banken") kredittrisiko gjennomførte Finanstilsynet et dokumentbasert tilsyn første halvdel av 2023. Utgangspunktet for tilsynet var å rette særskilt oppmerksomhet mot beslutningsgrunnlaget i bankenes kredittsaker, bruk av risikovekter og anvendelse av IFRS 9-regelverket. Den senere tids inflasjon og stigende renter medførte økt oppmerksomhet om næringseiendomssegmentet. I forbindelse med det dokumentbaserte tilsynet gjennomførte Finanstilsynet et fysisk møte med banken 1. juni 2023. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 7. juli 2023 og styrets svarbrev datert 30. august 2023. Finanstilsynet har følgende merknader etter tilsynet: 1. INNVILGELSE AV KREDITT – BEDRIFTSMARKEDET (BM) Det følger av finansforetaksloven § 8-6 annet ledd at styret skal fastsette retningslinjer for virksomheten. Av CRR/CRD IV-forskriften § 35 første ledd fremgår det at styret skal godkjenne og regelmessig vurdere retningslinjer for å påta foretaket risikoer og for å identifisere, styre, overvåke og kontrollere risikoer som foretaket er eller kan bli eksponert for, herunder risikoer knyttet til makroøkonomiske forhold. Finanstilsynets forventninger til foretakenes strategi, retningslinjer og rammer for virksomheten fremgår av Finanstilsynets modul for kredittrisiko1 punkt 2. Finanstilsynets forventninger til bankens kredittvurderings- og bevilgningsprosesser fremgår av punkt 4, mens overvåking og rapportering av kredittrisiko fremgår av punkt 5. Det vises for øvrig til EBA Guidelines on loan origination and monitoring2 punkt 5, 6 og 9. 1.1.