IT-tilsyn i Søgne og Greipstad Sparebank

tlf 22 93 98 00 Styret i Søgne og Greipstad Sparebank Postboks 1034 4682 SØGNE VÅR REFERANSE DERES REFERANSE DATO 21/3380 08.12.2021 Tilsynsrapport Finanstilsynet gjennomførte stedlig tilsyn i Søgne og Greipstad Sparebank AS (Banken) 14. juni 2021. Formålet med tilsynet var å gjøre en vurdering av Bankens krisehåndterings- og beredskapsplaner innenfor for IKT-området, herunder vurdere beredskapen til Banken og etterlevelse av regulatoriske krav på dette området. Til grunn for disse merknadene ligger Finanstilsynets foreløpige rapport datert 21. september 2021 og styrets kommentarer til rapporten i brev av 20. oktober 2021. Finanstilsynet har følgende merknader etter det stedlige tilsynet: Forretningsmessig konsekvensanalyse Rettslig utgangspunkt: IKT-forskriften § 8. Drift og § 11. Driftsavbrudd og kriseberedskap. Finanstilsynet påpekte i foreløpig rapport at Banken ikke er fortrolig med forretningsmessig konsekvensanalyse (Business Impact Analysis - BIA). Banken henviste under tilsynet til at Bankens internkontroll omfattet lignende analyser og vurderinger som ved gjennomføring av en BIA. Finanstilsynets vurdering er at de analyser som er gjennomført ifm. internkontrollarbeidet i 2020 ikke er tilstrekkelige til å utgjøre en BIA. En forretningsmessig konsekvensanalyse (BIA), er etter Finanstilsynets vurdering et viktig bidrag for å sikre at Bankens beredskapsplaner for drift- og krisehendelser blir basert på Bankens prioritering av systemene/løsningene etter viktighet. Finanstilsynets vurdering var at Banken bør utarbeide en BIA som viser en oversikt over Bankens systemportefølje og hvor kritiske systemene er for Bankens virksomhet, samt akseptabel nedetid for det enkelte system. Resultatet av analysen bør også formidles til Bankens relevante leverandører.