Sparebank 1 Sør-Norge

Finanstilsynet gjennomførte tilsyn 21. og 22. oktober 2025 i SpareBank 1 Sør-Norge. Formålet med tilsynet var å vurdere bankkonsernets system for intern virksomhets- og risikostyring. Finanstilsynet vurderte særlig bankens prosesser for å etablere og revidere risikostrategi, risikoappetitt og den løpende rapporteringen og oppfølgingen av risikoprofilen. Videre ble styrets involvering og oppfølging av den daglige ledelsen vurdert. Denne tilsynsrapporten bygger på Finanstilsynets foreløpige rapport fra 14. april 2026 og styrets kommentar til denne fra 29. mai 2026. 2 Finanstilsynets oppsummering Finanstilsynet mener at banken har etablert et styringsrammeverk som i hovedsak er tilpasset virksomheten, men at det er noen områder som bør forbedres. Risikoappetittrammeverket bør utvikles videre for å være mer tilgjengelig og relevant for alle risikoer. Risiko- og etterlevelsesrapporteringen bør ta tydeligere utgangspunkt i vedtatt risikoappetitt. Etter en omorganisering i februar 2026 er ingen av lederne av kontrollfunksjonene i 2. linje medlem av konsernledelsen. Finanstilsynet mener dette svekker særlig risikodirektørens forutsetninger for proaktiv dialog om risikoforhold med ledelsen og styret. Finanstilsynet mener beste praksis er at risikodirektøren er med i konsernledelsen. Finanstilsynet mener at banken må styrke arbeidet med å dokumentere internkontrollen og kontrollaktiviteter. Banken bør også styrke prosessen med å gjennomføre planlagte tiltak etter at internrevisjonen har pekt på svakheter i sine rapporter. 3 Finanstilsynets vurderinger 3.1 Forhold knyttet til styret og ledelsen 3.1.

Finanstilsynet gjennomførte IKT-tilsyn 6. og 7. mai 2025 i Sparebank 1 Sør-Norge ASA (heretter omtalt "banken" eller "foretaket"). Formålet med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. For dette området så tilsynet på styring med og kontroll av IKT-virksomheten. Tilsynet vektla systemløsninger som støtter foretakets kjernevirksomhet og prioriterte IKT-systemer som foretaket har utkontraktert. Til grunn for disse merknadene ligger Finanstilsynets foreløpige rapport datert 5. juni 2025 og styrets kommentarer til rapporten i brev av 7. august 2025. 2. Finanstilsynets oppsummering Tilsynsrapporten er utarbeidet med utgangspunkt i IKT-forskriften, som var gjeldende regelverk for foretaket på tilsynstidspunktet. Fra 1. juli 2025 skal foretaket etterleve DORA-forordningen med tilhørende delegerte kommisjonsforordninger, jf. DORA-loven § 1. Tilsynet avdekket ingen vesentlige mangler ved foretakets styring med og kontroll av IKTvirksomheten. Foretakets overordnede risikostyring har noen mindre påpekninger, blant annet knyttet til oppfølging av styringsdokumenter, operasjonalisering av virksomhetens konsekvensanalyse for å styre prioriteringer i foretakets kontrollhandlinger, risikovurdering av IKTvirksomheten, rapportering av IKT-risiko og internkontroll av IKT-området. 3. Finanstilsynets vurderinger 3.1. Strategi og organisering Foretaket skal ha klare og hensiktsmessige styrings- og kontrollsystemer samt hensiktsmessige retningslinjer og rutiner for å styre, overvåke og rapportere risiko foretaket er eller kan bli eksponert for, jf. finansforetaksloven § 13-5 første ledd. IKT-forskriften § 2 første ledd stiller videre krav til at foretaket skal fastsette overordnede mål, strategier og sikkerhetskrav for IKT-virksomheten.

Finanstilsynet har gjennomført et dokumentbasert tilsyn med Sparebank 1 Sør-Norge (heretter "foretaket"). Bakgrunnen var påstander i media om ulovlig låneformidling i Stavanger-området. Formålet med tilsynet var å kontrollere foretakets etterlevelse av hvitvaskingsregelverket i forbindelse med kunder og transaksjoner tilknyttet saken. 2 Finanstilsynets oppsummering Finanstilsynet mener at foretaket ikke innhentet tilstrekkelig informasjon om, eller foretok tilstrekkelige vurderinger Foretaket hadde heller ikke på en tilstrekkelig måte satt seg selv i stand til å fange opp unormale eller mistenkelige transaksjoner og alarmer som ble utløst i foretakets transaksjonsovervåkingssystem ble avskrevet uten tilstrekkelige vurderinger og undersøkelser. Foretaket har utarbeidet en handlingsplan for utbedringer av mangler i etterlevelsen av hvitvaskingsregelverket som er avdekket i forbindelse med saken. Foretaket skal rapportere fremdriften til Finanstilsynet. 3 Finanstilsynets merknader 3.2 Kundeforholdets formål og tilsiktede art Etter hvitvaskingsloven §§ 12 femte ledd og 13 femte ledd skal foretaket innhente og vurdere informasjon om kundeforholdets formål og tilsiktede art. Informasjonen skal gi foretaket tilstrekkelig grunnlag for å risikoklassifisere kunden, samt danne grunnlag for forventninger om hvordan kunden kan ventes å handle innenfor rammen av kundeforholdet og derigjennom også sette foretaket i stand til å oppdage avvik fra forventet atferd. Foretakets kundeerklæringsskjemaer som ble benyttet til informasjonsinnhenting var for generelt utformet og hensyntok i hovedsak bare enkelte grunnleggende risikotyper. For generelle beskrivelser av formål og tilsiktet art begrenser kundeinformasjonen og vurderinger foretaket skal gjøre av denne, og svekker foretakets mulighet til å fange opp reelt avvikende atferd. Når foretaket for eksempel ikke innhenter eller vurderer informasjon om hvilke transaksjoner som normalt kan forventes kan foretaket heller ikke fange opp unormale transaksjoner.

Finanstilsynet gjennomførte tilsyn 22.-23. november 2023 med SpareBank 1 SR-Bank (heretter omtalt "banken"). Formålet med tilsynet var å belyse og vurdere bankens kredittrisiko med tilhørende styring og kontroll. Det ble rettet særskilt oppmerksomhet mot bankens anvendelse av IFRS 9, herunder tapsmodeller, tapsvurderinger og tapsavsetninger. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige tilsynsrapport datert 7. juni 2024 og styrets kommentarer til denne i brev av 26. september 2024. Tilsynet ble gjennomført før fusjonen med SpareBank 1 Sørøst-Norge var kjent. 2 Finanstilsynets oppsummering Banken er identifisert som systemviktig, og har nylig fusjonert med SpareBank 1 Sørøst-Norge. Finanstilsynet forventer at banken løpende vurderer ressurssituasjonen i kontrollfunksjonene, samt omfanget av rammer og uavhengig kontroll. Det er betydelig rom for skjønnsutøvelse i bankens beregning av forventet tap etter IFRS 9, og Finanstilsynet mener at banken løpende bør videreutvikle rammeverket og modeller for beregning av forventet tap. Finanstilsynet presiserer at banken skal vurdere vesentlig økt kredittrisiko for grupper av lån med lignende egenskaper dersom enkelte faktorer ikke kan identifiseres på enkeltlån. Finanstilsynet forventer at banken styrker opplæring av kunderådgivere, slik at kredittforringede engasjementer identifiseres til rett tid. 3 Finanstilsynets merknader 3.1 Vurdering kredittrisikonivå på bedriftsmarkedsområdet Finanstilsynet noterte fra tilsynet at banken i overgangen til en grønnere virksomhet ønsker å følge kundene i transisjonen, og reiste i foreløpig rapport spørsmål om banken har etablert strategier eller retningslinjer for utlånsvekst til ulike bransjer eller områder i lys av omstillingen.