Kommunalbanken AS

tlf. 22 93 97 02 Styret i Kommunalbanken AS Postboks 1210 Vika 0110 OSLO VÅR REFERANSE DERES REFERANSE DATO 24/2526 16.09.2024 Tilsynsrapport Finanstilsynet gjennomførte stedlig IKT-tilsyn i Kommunalbanken (foretaket) 3. mai 2024. Hensikten med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. Finanstilsynet vurderte styring med og kontroll av IKT-virksomheten med spesiell vekt på IKT-risiko, endrings- og avvikshåndtering, datastyring og forvaltning, IKT-sikkerhet, utkontraktering og beredskap. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 14. juni 2024 og styrets kommentarer til rapporten i brev av 16. august 2024. Finanstilsynet har følgende merknader etter tilsynet: Overordnet styring og kontroll Organisering Det framgår av finansforetaksloven § 8-6 første ledd at styret skal sørge for forsvarlig organisering av virksomheten. Videre i lovens § 13-5 andre ledd stilles det krav om at et finansforetak skal ha uavhengige kontrollfunksjoner med ansvar for risikostyring, etterlevelse og internrevisjon. CRR/CRD-forskriften stiller krav i § 38 om at foretaket skal ha en uavhengig risikokontrollfunksjon med tilstrekkelig kompetanse og ressurser, og at risikokontrollfunksjonen skal sikre at alle vesentlige risikoer i foretaket er identifisert, målt og rapportert av de relevante organisatoriske enhetene. Forskriften stiller videre krav i § 39 at foretaket skal ha en uavhengig kontrollfunksjon for kontroll av etterlevelse, og retningslinjer og prosedyrer for å avdekke risiko for at foretaket ikke oppfyller sine forpliktelser etter lov og forskrift. I § 40 stiller forskriften krav om internrevisjon.

tlf 22 93 99 66 Kommunalbanken AS Att: Styret Postboks 1210 Vika 0110 OSLO VÅR REFERANSE DERES REFERANSE DATO 19/8411 05.08.2021 Tilsynsrapport Finanstilsynet gjennomførte stedlig tilsyn i Kommunalbanken AS (KBN) med møter avholdt 27. september 2019 og 30. oktober 2019. Tilsynet hadde som formål å gjøre en vurdering av hvordan KBN sikrer administrasjon, drift, vedlikehold og sikkerhet for foretakets IKT-virksomhet, herunder utkontrakterte IKT-tjenester knyttet til foretakets styreportal levert som en SaaS-løsning (Software as a Service). Til grunn for disse merknadene ligger Finanstilsynets foreløpige rapport datert 1. mars 2021 og styrets kommentarer til rapporten i brev av 30. april 2021. Som en innledende kommentar til KBNs svar på Finanstilsynets foreløpige rapport, så er det Finanstilsynets vurdering at sertifiseringer etter ISO/IEC 27001 eller revisjoner etter SOC-2 (Service Organization Control) ikke nødvendigvis er dekkende for å sikre etterlevelse av IKTforskriftens bestemmelser. Finanstilsynet har følgende merknader etter det stedlige tilsynet: FORHOLD KNYTTET TIL STYRING OG KONTROLL Endringshåndtering Finanstilsynet ble under tilsynet informert om at leverandør av KBNs styreportal ikke har en dokumentert og etablert prosess for å håndtere endringer. Finanstilsynets vurdering er at leverandør av IKT-tjenester knyttet til KBNs styreportal skal oppfylle IKT-forskriftens bestemmelser. Det legges derfor til grunn at KBN gjennom oppfølging av leverandørens IKT-tjenesteleveranse sikrer at det etableres prosedyrer for endringshåndtering iht. gjeldende regelverk. Det fremgår av KBNs svar på foreløpig tilsynsrapport at leverandør av styreportal har dokumenterte prosesser for endringshåndtering som etter KBNs vurdering tilfredsstiller kravene i IKT-forskriften §9 avviks- og endringshåndtering.

tlf 22 93 98 00 Styret i Kommunalbanken AS Postboks 1210 Vika 0110 OSLO VÅR REFERANSE DERES REFERANSE UNNTATT OFFENTLIGHET DATO 20/10673 Offl. § 13 1. ledd, jf. fvl. § 13 1. ledd nr. 2 24.03.2021 Gjelder kun merkede avsnitt. Tilsynsrapport Finanstilsynet gjennomførte tilsyn i Kommunalbanken AS (heretter «KBN» eller «foretaket») 16. og 17. november 2020 der det spesielt ble lagt vekt på foretakets styring og kontroll av markeds- og likviditetsrisiko, risiko i tilknytning til foretakets finansiering/innlån samt eksponeringen mot annen markedsrisiko. Tilsynet ble gjennomført som et ledd i Finanstilsynets risikobaserte tilsynsvirksomhet. Tilsynet ble som følge av smitteverntiltak gjennomført digitalt. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige tilsynsrapport datert 16. desember 2020 og foretakets kommentarer til denne i brev av 22. februar 2021. Finanstilsynet har følgende merknader etter tilsynet: I. FORHOLD KNYTTET TIL ORGANISERING, STYRING OG KONTROLL 1. Organisering Finansforetak skal etter finansforetaksloven § 13-5 (1) organiseres og drives på en forsvarlig måte og ha en klar organisasjonsstruktur og ansvarsfordeling. Etter § 13-5 (2) skal et finansforetak ha uavhengige kontrollfunksjoner, herunder funksjoner for risikostyring og etterlevelse. Finansforetak som i henhold til CRR/CRD IV-forskriften § 30 er definert som systemviktige, må etter samme forskrift § 41 organisere de nevnte kontrollfunksjonene separat og med rapportering til daglig leder.