Noroppgjør AS

Finanstilsynet har gjennomført tilsyn med Noroppgjør AS (heretter omtalt "foretaket"). Formålet med tilsynet var kontroll med foretakets risikovurdering og rutiner etter hvitvaskingsloven og eiendomsmeglingsloven, etterlevelse av dette regelverket i oppdragsgjennomføringen og gjennomføring av internkontroll, samt kontroll med og behandling av klientmidler. Det ble også gjennomført IT-tilsyn hos foretaket. Hensikten med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og IKTtjenester. Tilsynet ble avgrenset til elektronisk forsvar og tilhørende emner innen IKT-sikkerhet, og styring og kontroll med IKT-virksomheten. Videre ønsket Finanstilsynet å gjøre en vurdering av foretakets beredskapsarbeid relevant for IKT-området, herunder vurdere beredskapen i foretaket for utkontrakterte IKT-tjenester, samt overholdelse av regulatoriske krav på IKT-området. Finanstilsynet gjennomførte møte med foretaket 1. september 2025. Denne tilsynsrapporten bygger på Finanstilsynets foreløpige rapport fra 26. september 2025 og styrets kommentar til denne fra 20. oktober 2025. 2 Finanstilsynets oppsummering Finanstilsynet avdekket flere avvik under tilsynet med Noroppgjør AS. Finanstilsynet påpeker mangler i foretakets internkontroll, hvor det ikke forelå dokumentasjon på at internkontrollen faktisk overvåkes, samt at foretaket ikke fører oppgjørsjournal. Foretaket må etablere ekstern overvåking av internkontrollen og føre oppgjørsjournal etter kravene i eiendomsmeglingsforskriften. På hvitvaskingsområdet har foretaket mangler knyttet til den virksomhetsinnrettede risikovurderingen, rutiner for oppfølging av utkontrakterte kundetiltak og enkelte mangler i etterlevelsen av regelverk og rutiner i gjennomføringen av eiendomsmeglingsoppdrag. Foretaket må revidere sin risikovurdering og sikre tilstrekkelig oppfølging av kvaliteten på de utkontrakterte kundetiltakene. Finanstilsynet mener at foretakets oppfølging av IKT-risiko er mangelfull og ikke i samsvar med regelverket, jf. forskrift om risikostyring og kontroll § 4.