OBOS-banken AS

Finanstilsynet gjennomførte stedlig tilsyn 9. – 10. september 2025 med OBOS-banken AS (banken) (org. nr. 911 986 884). Formålet med tilsynet var primært å belyse og vurdere bankens interne virksomhetsstyring, kredittrisiko på personmarkedsområdet og etterlevelse av utlånsforskriften. Finanstilsynet har også vurdert bankens behandling av boliglånskunder med betalingsvansker og misligholdte boliglån i henhold til EBA Guidelines 2024/10, samt bankens behandling av kundeklager. Denne tilsynsrapporten bygger på Finanstilsynets foreløpige tilsynsrapport datert 19. november 2025 og styrets kommentarer til denne i brev av 5. februar 2025. 2 Finanstilsynets oppsummering Det overordnede styringsmiljøet i banken fremstår som tilfredsstillende. Finanstilsynet har likevel pekt på noen forbedringsområder i styrets evaluering av virksomhetsstyringen og i deler av styrets oppfølging av merknader fra revisor. Ressurssituasjonen i andrelinjefunksjonen krever oppmerksomhet, særlig innen compliance og antihvitvasking. Rammesetting og risikorapporteringen skiller ikke tydelig mellom konsern og morbank, og risikostyringen mangler rammer for utlånsvekst. Det er svakheter i dokumentasjon og validering av risikomodeller, og banken har avdekket feil i tapsavsetninger og klassifisering av misligholdte lån. Banken har ikke etterlevd kravene i låneformidlingsloven ved bruk av agenter. Kundebehandlingen er mangelfull, særlig ved rådgivning om seniorlån og deleie-lån, og dokumentasjonen av kredittvurderinger og bruk av fleksibilitetskvoten er utilstrekkelig. Klageadgangen og bankens rutiner for klagebehandling er lite tilgjengelig for kundene. Finanstilsynet forventer at styret følger opp forbedringsområder i vurdering av virksomhetsstyringen, og at revisors anbefalinger følges opp mer helhetlig, med handlingsplan og rapportering til styret. Finanstilsynet legger til grunn at styret påser at det er tilstrekkelige ressurser og at uavhengighet opprettholdes i andrelinjefunksjonene.

Finanstilsynet gjennomførte stedlig IKT-tilsyn OBOS-banken (foretaket) 13. mars 2025. Hensikten med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. Finanstilsynet så på styring med og kontroll av IKT-virksomheten med spesiell vekt på IKT-risiko, endrings- og avvikshåndtering, datastyring og forvaltning, IKT-sikkerhet, utkontraktering og beredskap. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 9. mai 2025 og styrets kommentarer til rapporten i brev av 6. juni 2025. 2 Finanstilsynets oppsummering Tilsynet avdekket enkelte forhold der foretaket bør gjøre endringer og tilpasninger i sin styring med og kontroll av IKT-virksomheten. Dette var blant annet knyttet til IKT-strategien som i større grad bør reflektere målene i virksomhetsstrategien, til virksomhetens konsekvensanalyse som manglet forretningens konkrete krav til IKT-systemene, og til mangler i de uavhengige kontrollfunksjonenes rapportering. Videre peker Finanstilsynet på mangelfulle rutiner for enkelte områder, samt til mangler i gjennomføringen av beredskapstester. 3 Finanstilsynets vurderinger Dette tilsynet ble gjennomført i henhold til IKT-forskriften som gjaldt for IKT-området fram til 1. juli 2025. 3.1 Overordnet styring og kontroll Overordnede styringsdokumenter Styret skal godkjenne og regelmessig vurdere retningslinjer for å påta foretaket risikoer og for å identifisere, styre, overvåke og kontrollere risikoene, jf. CRR/CRD-forskriften § 35. IKT-forskriften § 2 første ledd stiller videre krav til at foretaket skal fastsette overordnede mål, strategier og sikkerhetskrav for IKT-virksomheten, og i § 3 første ledd stilles det krav om at foretaket skal fastsette kriterier for akseptabel risiko forbundet med bruk av IKT-systemene. Finanstilsynet pekte i foreløpig rapport på at foretakets IKT-strategi i hovedsak er rettet mot IKTsikkerhet.

tlf 22 93 98 00 OBOS-BANKEN AS Postboks 6666 st olavs plass 0129 OSLO VÅR REFERANSE DERES REFERANSE DATO 22/5351 09.12.2022 Tilsynsrapport Finanstilsynet gjennomførte stedlig tilsyn i OBOS-banken AS (banken) 14. og 15. juni 2022. Tilsynet hadde som formål å gjøre en vurdering av bankens arbeid med kontinuitets- og kriseledelse, oppfølging av tilgangsrettigheter til bankens IT-systemer og arbeid med datakvalitet. Til grunn for disse merknadene ligger Finanstilsynets foreløpige tilsynsrapport datert 2. september 2022 og styrets kommentarer til foreløpig tilsynsrapport i brev av 12. oktober 2022. Finanstilsynet har følgende merknader etter det stedlige tilsynet: 1. Styrende dokumenter IKT-forskriften § 2 Planlegging og organisering stiller krav til at banken skal fastsette overordnede mål, strategier og sikkerhetskrav for IT-virksomheten. Finanstilsynet viste i foreløpig rapport til at banken er i prosess med å implementere OBOSkonsernets styrende dokumenter. Finanstilsynet understreket derfor viktigheten av at styrende dokumenter i banken må hensynta regelverket som banken er underlagt. Finanstilsynet har merket seg fra styrets svar at banken ved tilslutning til konsernets styrende dokumenter innenfor informasjonssikkerhet og beredskap vil påse at disse sikrer etterlevelse av regulatoriske krav som banken er underlagt. Finanstilsynet tar styrets svar til etterretning. 2. Kontroll med tilganger gitt tjenesteleverandører IKT-forskriften § 5 Sikkerhet stiller krav til at prosedyrer inneholder retningslinjer for tildeling, endring, sletting og kontroll med autorisasjon for tilgang til IKT-systemene.