Santander Consumer Bank AS

Finanstilsynet har gjennomført IKT-tilsyn med Santander Consumer Bank AS (foretaket). Formålet med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. Finanstilsynet så på foretakets styring med og kontroll av IKT-virksomheten med spesiell vekt på hvordan foretaket overholder regulatoriske krav knyttet til bruk av IKT-tjenesteleverandører, samt håndtering av IKT-risiko, IKT-sikkerhet og beredskapsarbeid. Tilsynet var i tillegg et oppfølgingstilsyn etter tilsyn 19. og 20. september 2023. Finanstilsynet gjennomførte møte med foretaket 3. og 4. februar 2026. Denne tilsynsrapporten bygger på Finanstilsynets foreløpige rapport fra 26. mars 2026 og styrets kommentarer til denne 28. april 2026. 2 Finanstilsynets oppsummering Tilsynet avdekket enkelte mangler ved foretakets styring med og kontroll av IKT-virksomheten. Dette gjelder særlig avklaringen av roller og ansvar i andre forsvarslinje for oppfølging av etterlevelse av DORA-regelverket, dokumentasjon av styrets vurderinger og beslutninger i styreprotokollene, videreutvikling av datastyring og dataforvaltning, uavhengige kontroller og revisjoner av tjenester satt ut til IKT-tjenesteleverandører, samt sårbarhets- og patchhåndtering. 3 Finanstilsynets vurderinger Finanstilsynet har følgende merknader etter det stedlige tilsynet: 3.1 Overordnet styring og kontroll 3.1.1 Organisering av ansvar for kontroll med etterlevelsen av DORA i andrelinjen Styret skal sørge for forsvarlig organisering av virksomheten, og det stilles krav om at et finansforetak skal ha uavhengige kontrollfunksjoner med ansvar for risikostyring, etterlevelse og internrevisjon. Det framgår av finansforetaksloven § 8-6 første ledd og § 13-5 andre ledd.

kontrollere utviklingen i direkte og indirekte residualverdier. Styret beskriver videre prosessene for oppfølging av direkte og indirekte residualrisiko og hvordan verdifall påvirker LGD og tapsføringer. Finanstilsynet ba i foreløpig tilsynsrapport styret kommentere hvordan markedsendringer hensyntas i forbindelse med bruk av intern modell for sikkhetsstillelse og oppdatering av sikkerhetenes verdi. Det fremgår av styrets svarbrev at et prosjekt er initiert for å bedre kvaliteten av sikkerhetsvurderinger. Det fremgår videre at utvidet bruk av eksterne verdsettere inngår som en del av dette. Finanstilsynet tar styrets kommentarer til etterretning. Styring og kontroll Finanstilsynet vurderte i foreløpig tilsynsrapport at retningslinjene for bilfinansiering og lån til privatkunder burde gjennomgås for mer presise og utfyllende beskrivelser av hvordan kredittvurderingen skal gjennomføres. Styret uttrykker enighet i at tydelige og oppdaterte rutinebeskrivelser er viktig, og bekrefter at arbeidet med å oppdatere kreditthåndboken er pågående og ventes ferdigstilt i tredje kvartal 2025. En beskrivelse av hvordan kredittbeslutningen skal dokumenteres vil også inngå i dette arbeidet. Styret skriver at de vil overvåke ferdigstillelsen av oppdateringsprosessen. Finanstilsynet viste i foreløpig tilsynsrapport til en rutinebeskrivelse for første og andrelinjens stikkprøvekontroller på kredittområdet, og mente rutinebeskrivelsen burde vært mer utfyllende i forhold til hvordan de kontrollerte sakene velges ut og hvordan resultatene brukes i banken. Finanstilsynet ba i foreløpig rapport banken om å utvide og formalisere rutinebeskrivelsene for stikkprøvekontroller.

tlf. 22 93 96 44 Styret i SANTANDER CONSUMER BANK AS Postboks 177 1325 LYSAKER VÅR REFERANSE DERES REFERANSE DATO 23/7558 [navn] 12.03.2024 Tilsynsrapport Finanstilsynet gjennomførte IKT-tilsyn i Santander Consumer Bank AS 19. og 20. september 2023. Tilsynet ble gjennomført digitalt ved hjelp av Teams. Tilsynet hadde som formål å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKTsystemer og -tjenester. Finanstilsynet så på styring med og kontroll av IKT-virksomheten, og vurderte spesielt foretakets styring med og forvaltning av data og datakvalitet, endringshåndtering og utkontraktering relevant for IKT-området. Tilsynet var begrenset til å omfatte virksomheten i Norge. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 29. november 2023 og styrets kommentarer til rapporten i brev av 5. februar 2024. Finanstilsynet har følgende merknader etter tilsynet: Overordnet styring og kontroll Organisering Det framgår av finansforetaksloven § 8-6 første ledd at styret skal sørge for forsvarlig organisering av virksomheten. Videre i lovens § 13-5 andre ledd stilles det krav om at et finansforetak skal ha uavhengige kontrollfunksjoner med ansvar for risikostyring, etterlevelse og internrevisjon. CRR/CRD IV-forskriften stiller krav i § 38 om at foretaket skal ha en uavhengig risikokontrollfunksjon med tilstrekkelig kompetanse og ressurser, og at risikokontrollfunksjonen skal sikre at alle vesentlige risikoer i foretaket er identifisert, målt og rapportert av de relevante organisatoriske enhetene.

av funnene som ble avdekket. Finanstilsynet viser til nærmere omtale av funnene i foreløpig tilsynsrapport. Mangler i risikoklassifiseringen av kunder Mottatte stikkprøver av høyrisikokunder besto utelukkende av kundeforhold med PEP-treff eller kundeforhold der de faste/triggerbaserte-reglene i den løpende klassifiseringen var utløst, herunder kunder satt til høy risiko i etterkant av rapporteringer til Økokrim. Dette på tross av at flere av de algoritmebaserte risikofaktorene var til stede ved mange av kundeforholdene Finanstilsynet undersøkte, men hvor poengsummen ikke var tilstrekkelig til å utløse kategoriseringen "høy risiko". Kunder ble heller ikke klassifisert som "høy risiko" ved ulike kombinasjoner som etter Finanstilsynets vurdering, og også etter bankens egen risikovurdering, burde utløst et høyere risikonivå. Finanstilsynet etterspurte blant annet informasjon om de fire første juridiske kundene som ble etablert med forsterkede tiltak etter februar 2021, men banken kunne bare vise til to tilfeller. Stikkprøvene viste også at kunder regelmessig scores til "høy risiko" ved etablering og tas ut til manuell gjennomgang på bakgrunn av risikofaktorer knyttet til kredittområdet og ikke hvitvaskingsområdet. Finanstilsynet påpekte at flere av disse faktorene også kunne være relevante for vurderingen av risikoen for hvitvasking/terrorfinansiering, som eksempelvis hyppige endringer i styret og ledelsen, stadige adresseendringer, usikkerhet knyttet til midlenes/egenkapitalens opprinnelse, objektets verdi, kundens betjeningsevne, nedbetalingstid, m.m. Blant annet viste Finanstilsynet til et konkret kundeforhold som ble plukket ut av systemet på grunn av kredittrisiko, men hvor det etter Finanstilsynets vurdering også eksisterte flere aktuelle hvitvaskingsrisikoer som burde blitt hensyntatt. Det var imidlertid ikke dokumentert noen vurderinger eller tiltak knyttet til risikoen for hvitvasking/terrorfinansiering. Det vises til nærmere omtale i den foreløpige tilsynsrapporten.

tlf 22 93 99 47 Styret i SANTANDER CONSUMER BANK AS Postboks 177 1325 LYSAKER VÅR REFERANSE DERES REFERANSE UNNTATT OFFENTLIGHET DATO 19/10094 Offl. § 13 1. ledd, jf. fvl. § 13 1. ledd nr. 2 - Gjelder kun merkede avsnitt 14.06.2021 Tilsynsrapport Finanstilsynet gjennomførte 14.-15. desember 2020 tilsyn i Santander Consumer Bank AS. Som følge av smittevernsituasjonen, ble tilsynet gjennomført digitalt. Hovedtema for tilsynet var anvendelsen av IRBsystemet i kredittinnvilgelse og i etablering og oppfølging av kredittrammer, samt styring med og kontroll av IRB-systemet. I tillegg omfattet tilsynet bankens etterlevelse av forbrukslånsforskriften, nå utlånsforskriften. Tilsynet var en oppfølging av tilsyn med bankens styrings- og kontrollsystemer høsten 2018 og av IRB-tilsyn høsten 2019, jf. endelige rapporter av 7. mai 2019 og 11. mai 2020. Til grunn for denne rapporten ligger Finanstilsynets foreløpige rapport av 10. februar 2021 og styrets svarbrev av 31. mars 2021. Risikostyring og bruk av IRB-systemet Santander Consumer Bank har tillatelse til å bruke IRB-metoden til å beregne kapitalkrav for kredittrisiko for bilfinansiering for privatpersoner i Finland, Norge og Sverige, som utgjør 40 prosent av bankens utlånsportefølje. Banken planlegger å søke om å benytte IRB-metoden for bilfinansiering for privatpersoner i Danmark og for små og mellomstore bedrifter, forbrukslån, kredittkort og utlån til større foretak. For å kunne bruke IRB-metoden for kapitalkravsberegning må estimatene som brukes i kapitalkravsberegningen, hovedsakelig misligholdssannsynligheter (PD) og tapsgrader (LGD), spille en sentral rolle i bankens risikostyring, beslutningsprosesser, kredittinnvilgelse, kapitalallokering og selskapsstyring, jf.

Merknader - endelig rapport Santander Consumer Bank AS Tilsynsrapporter og vedtak Brev datert 7. mai 2019. Brev Merknader - endelig rapport Santander Consumer Bank AS (pdf) Om tilsynsrapporter og vedtak Finanstilsynet gjennomfører tilsyn hos foretak eller personer som driver konsesjonsbelagt virksomhet. Etter et tilsyn oppsummerer Finanstilsynet hovedfunnene i en tilsynsrapport. Tilsynsrapporten blir sendt til foretaket/personen og publiseres på Finanstilsynets nettsted. Hvis foretaket har brutt regelverket, kan vi fatte et vedtak rettet mot foretaket. Dette vil i så fall framgå av tilsynsrapporten. Et vedtak kan være å pålegge foretaket/personen å rette opp i forhold ilegge overtredelsesgebyr trekke tilbake en tillatelse Hvilke former for vedtak Finanstilsynet fatter, avhenger av hvilke regler som er brutt. Hvis foretaket/personen klager på vedtaket fra Finanstilsynet, vil saken over bli oppdatert med informasjon om det. Til toppen av siden expand_less

Merknader etter IRB-tilsyn - endelig rapport Santander Consumer Bank AS Tilsynsrapporter og vedtak Brev datert: 19. november 2018. Brev Endelige merknader - IRB-tilsyn Santander Consumer Bank AS (pdf) Om tilsynsrapporter og vedtak Finanstilsynet gjennomfører tilsyn hos foretak eller personer som driver konsesjonsbelagt virksomhet. Etter et tilsyn oppsummerer Finanstilsynet hovedfunnene i en tilsynsrapport. Tilsynsrapporten blir sendt til foretaket/personen og publiseres på Finanstilsynets nettsted. Hvis foretaket har brutt regelverket, kan vi fatte et vedtak rettet mot foretaket. Dette vil i så fall framgå av tilsynsrapporten. Et vedtak kan være å pålegge foretaket/personen å rette opp i forhold ilegge overtredelsesgebyr trekke tilbake en tillatelse Hvilke former for vedtak Finanstilsynet fatter, avhenger av hvilke regler som er brutt. Hvis foretaket/personen klager på vedtaket fra Finanstilsynet, vil saken over bli oppdatert med informasjon om det. Til toppen av siden expand_less