Skagerrak Sparebank

Finanstilsynet gjennomførte stedlig IKT-tilsyn i Skagerrak Sparebank (foretaket) 9. og 10. januar 2025. Hensikten med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. Tilsynet så på styring med og kontroll av IKT-virksomheten generelt og IKT-drift, utkontraktering, IKT-sikkerhet og beredskap spesielt. Tilsynet vektla systemløsninger som støtter foretakets kjernevirksomhet og prioriterte IKT-systemer som foretaket har utkontraktert. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 10. mars 2025 og styrets kommentarer til rapporten i brev av 29. april 2025. 2 Finanstilsynets oppsummering Tilsynet avdekket til dels vesentlige mangler ved foretakets styring med og kontroll av IKTvirksomheten. Foretakets overordnede risikostyring var mangelfull, blant annet knyttet til manglende styregodkjenning av overordnede styringsdokumenter, prosedyrer for risikovurdering av IKT-virksomheten, rapportering av IKT-risiko og internkontroll av IKT-området. Foretakets oppfølging av leverandører var mangelfull og foretaket oppfyller ikke IKT-forskriftens krav til endringshåndtering, avvikshåndtering, tilgangsstyring samt opplæring, øvelse og testing av foretakets kriseløsning. Finanstilsynet har merket seg at foretaket har og vil iverksette en rekke tiltak i tillegg til tiltak på alle påpekte områder. 3 Finanstilsynets vurderinger 3.1 Overordnet styring og kontroll 3.1.1 Overordnet risikostyring Styret skal godkjenne og regelmessig vurdere retningslinjer for å påta foretaket risikoer og for å identifisere, styre, overvåke og kontrollere risikoene, jf. CRR/CRD-forskriften § 35. IKT-forskriften § 2 første ledd stiller krav til at foretaket skal fastsette overordnede mål, strategier, og sikkerhets- krav for IKT-virksomheten, og i § 3 første ledd stilles det krav om at foretaket skal fastsette kriterier for akseptabel risiko forbundet med bruk av IKT-systemene.

Tilsynet i Skagerrak sparebank avdekket vesentlige mangler i bankens etterlevelse av hvitvaskingsregelverket. Finanstilsynet varslet overtredelsesgebyr i brev av 5. februar 2021. Finanstilsynet merker seg at banken i sitt tilsvar av 26. februar 2021 viser til forbedringer gjennomført etter tilsynet. Finanstilsynet merker seg videre at banken ikke har kommentarer til varselet om overtredelsesgebyr. Bankens etterlevelse på tidspunktet for det stedlige tilsynet, ble vurdert å være av en art og et omfang som etter Finanstilsynets vurdering gir grunnlag for å ilegge banken et overtredelsesgebyr jf. hvitvaskingslovens § 49. Overtredelsene som inngår i grunnlaget gjelder hvitvaskingsloven §§ 8, 9, 17, 18, 24 og 35. 2. Vurdering av om overtredelsesgebyr bør ilegges I vurderingen av om det skal ilegges overtredelsesgebyr, og ved utmålingen av denne, skal det jf. hvitvaskingsloven § 50 blant annet tas hensyn til: a) overtredelsens grovhet og varighet b) overtrederens grad av skyld c) overtrederens økonomiske evne d) den rapporteringspliktiges risikovurderinger etter § 7 og rutiner etter § 8 e) fordeler som er oppnådd eller kunne ha vært oppnådd ved overtredelsen f) om tredjeparter er påført tap g) graden av samarbeid med myndighetene h) eventuelle tidligere overtredelser av hvitvaskingsloven eller forskrifter med hjemmel i loven Disse vurderingsmomentene er lagt til grunn både ved vurderingen av om overtredelsesgebyr skal ilegges, og ved vurderingen av utmålingen. Det er særlig vurderingen av § 50 bokstav a, b, d og h som utgjør grunnlag for vedtaket. Den manglende etterlevelsen av lovens krav om rutiner, jf. § 8, anses alvorlig.

om styrets plikter etter finansforetaksloven § 8-6 første ledd og CRR/CRD IV-forskriften § 35. Også rollen som etterlevelsesansvarlig i 2. linje var på tidspunktet for tilsynet kombinert med en rekke andre roller i 1. linje. Basert på observasjoner under det stedlige tilsynet, og gjennomgang av bankens etterlevelsesrapport, reiste Finanstilsynet i foreløpig tilsynsrapport spørsmål om etterlevelsesfunksjonen har blitt tilfredsstillende ivaretatt. Finanstilsynet minnet om styrets plikter etter finansforetaksloven § 8-6 første ledd, jf. finansforetaksloven § 13-5 annet ledd og CRR/CRD IV-forskriften § 39. I svarbrevet peker styret på at nevnte kredittfullmakter ble fjernet sommeren 2019. Styret opplyser også at de uavhengige kontrollfunksjonene ble etablert som egne roller etter fusjonen i januar 2017, men at overlappende roller har vært nødvendig en periode av hensyn til bankens lønnsomhet, og at det har oppstått situasjoner som har påvirket bankens organisering. Styret mener bankens etterlevelsesrapportering har vært ivaretatt i henhold til gjeldende regelverk. Finanstilsynet merker seg at bankens organisering er endret etter det stedlige tilsynet ved at de uavhengige kontrollfunksjonene i andre linje kombineres, men at leder for funksjonene ikke lenger har ansvar for oppgaver som kontrollfunksjonene skal overvåke og kontrollere. Finanstilsynet legger til grunn at styret påser at risikokontrollfunksjonen og etterlevelsesfunksjonen forblir uavhengige fra den virksomhet som skal kontrolleres, og at funksjonene har tilstrekkelig ressurser til å ivareta rollene. Rapportering og oppfølging I den foreløpige tilsynsrapporten pekte Finanstilsynet på feil og svakheter i bankens interne risiko- og etterlevelsesrapportering, samt rapportering til Finanstilsynet. Finanstilsynet påpekte blant annet at bankens risikorapport ikke gjengir eksponeringen mot alle risikorammene styret har fastsatt for virksomheten.

Kontroll av finansiell rapportering - Skagerrak Sparebank Tilsynsrapporter og vedtak Brev datert 1. april 2020 Brev Kontroll av finansiell rapportering Skagerrak Sparebank (pdf) Om tilsynsrapporter og vedtak Finanstilsynet gjennomfører tilsyn hos foretak eller personer som driver konsesjonsbelagt virksomhet. Etter et tilsyn oppsummerer Finanstilsynet hovedfunnene i en tilsynsrapport. Tilsynsrapporten blir sendt til foretaket/personen og publiseres på Finanstilsynets nettsted. Hvis foretaket har brutt regelverket, kan vi fatte et vedtak rettet mot foretaket. Dette vil i så fall framgå av tilsynsrapporten. Et vedtak kan være å pålegge foretaket/personen å rette opp i forhold ilegge overtredelsesgebyr trekke tilbake en tillatelse Hvilke former for vedtak Finanstilsynet fatter, avhenger av hvilke regler som er brutt. Hvis foretaket/personen klager på vedtaket fra Finanstilsynet, vil saken over bli oppdatert med informasjon om det. Til toppen av siden expand_less