Sparebanken Sogn og Fjordane

tlf 22 93 99 66 SPAREBANKEN SOGN OG FJORDANE v/Styret Langebruvegen 12 6800 FØRDE VÅR REFERANSE DERES REFERANSE DATO 21/11746 AR503457422 27.10.2022 Tilsynsrapport Finanstilsynet gjennomførte stedlig tilsyn i Sparebanken Sogn og Fjordane (banken) 8. desember 2021 og 18. februar 2022. Tilsynet hadde som formål å gjøre en vurdering av hvordan banken sikrer administrasjon, drift, vedlikehold og sikkerhet for bankens IKT-virksomhet. På bakgrunn av et rapportert sikkerhetsbrudd hos IKT-tjenesteleverandør av bankens kjernesystem ble det valgt å utvide omfanget av IKT-tilsynet til også å omfatte gjennomgang av denne hendelsen. Til grunn for merknadene ligger Finanstilsynets foreløpige rapport datert 30. juni 2022 og styrets svar på rapporten i brev av 25. august 2022. Finanstilsynet har følgende merknader etter det stedlige tilsynet. Organisering Finanstilsynet pekte i foreløpig rapport på at kontrollfunksjonen for IKT-sikkerhet skal være uavhengig fra førstelinjen. Dette for å sikre at ressurs- og kompetansebehov ikke skal kunne overstyres av tradisjonell IKT-prioriteringer og at viktige forhold som kontrollfunksjonen ønsker rapportert til ledelsen ikke skal kunne endres. Det framgår av styrets svar at banken har endret organisering av kontrollfunksjonen og tilført en ekstra ressurs til oppgaven. Kontrollfunksjonen for IKT-sikkerhet er plassert i andrelinje med direkte rapporteringslinje til administrerende direktør. Det er utarbeidet rollebeskrivelse og stillingsinstruks for kontrollfunksjonen. Finanstilsynet tar styrets opplysning til etterretning.

tlf 22 93 98 00 SPAREBANKEN SOGN OG FJORDANE Langebruvegen 12 6800 FØRDE VÅR REFERANSE DERES REFERANSE DATO 20/998 AR427753270 12.11.2021 Tilsynsrapport og vedtak om overtredelsesgebyr Finanstilsynet gjennomførte stedlig tilsyn i Sparebanken Sogn og Fjordane (heretter "banken") 10. og 11. mars 2020. Formålet var å gjennomgå bankens styring og kontroll av risikoen for hvitvasking og terrorfinansiering, herunder etterlevelsen av hvitvaskingsloven med tilhørende forskrifter. Til grunn for denne tilsynsrapporten ligger Finanstilsynets foreløpige rapport av 10. februar 2021, samt bankens styres kommentarer til foreløpig rapport i brev av 30. april 2021. I foreløpig tilsynsrapport ble det også varslet ileggelse av overtredelsesgebyr, basert på vurderinger av at banken hadde overtrådt §§ 7, 8, 9, 17, 23, 24, 26, 28, 35 og 36. Finanstilsynet merker seg at banken har beskrevet og dokumentert et stort antall tiltak og rettinger knyttet til etterlevelsen i perioden siden tilsynet. Grunnlaget for overtredelsesgebyr er status på tidspunktet for det stedlige tilsynet. Finanstilsynet har følgende merknader etter tilsynet: 1. Roller, organisering, opplæring og kompetanse 1.1. Rettslig grunnlag og Finanstilsynets forventninger Styret og administrerende direktør skal sørge for forsvarlig organisering av virksomheten samt påse at foretaket har tilstrekkelige rutiner og kontrollsystemer for etterlevelse av hvitvaskingsloven. Hvitvaskingsloven § 8 femte ledd krever at rapporteringspliktige utpeker en person i ledelsen (hvitvaskingsansvarlig) som skal ha ansvar for å følge opp at nødvendige rutiner implementeres og etterleves i virksomheten, og for rapportering av mistenkelige forhold til Økokrim.

2021 også vil gå igjennom standardsatsene for verdireduksjon. Finanstilsynet merker seg ellers at styret er innforstått med at det er et forbedringspotensial i dokumentasjon av vurderinger knyttet til panteverdier og legger til grunn at styret følger opp dette forholdet. Engasjementsoppfølging I foreløpig tilsynsrapport ba Finanstilsynet om at styret vurderer om det er hensiktsmessig å endre kravene til engasjementsfornyelse slik at styret i løpet av året behandler et gitt utvalg av bankens største og mest komplekse engasjementer, samt bankens største høyrisikoengasjementer som årlige kredittfornyelser. Styret uttaler i sitt svar at det er tilstrekkelig involvert i kredittarbeidet og vil derfor ikke foreta endring i prosessene for engasjementsfornyelser. Imidlertid vil styret, i tråd med Finanstilsynets anbefaling, se til at det i saker til styret blir kommunisert en kundestrategi som gir en tydelig retning for bankens håndtering av kunde/kundegruppe. Rapportering Finanstilsynet viste i foreløpig tilsynsrapport til at risiko- og etterlevelsesrapporten og kredittrapporten på enkelte områder ikke skiller tydelig nok mellom konsernet og banken alene. Dette kan bidra til at risikonivå og -eksponering i morbanken oppfattes å være lavere enn om rapporteringen gjennomgående ble gjort for morbanken. På kredittområdet gjelder dette blant annet eksponeringer i forhold til ansvarlig kapital, andel mislighold og andel høyrisiko PM. Finanstilsynet vil peke på at morbankens risikoeksponering og risikobærende evne ikke er identisk med konsernets. BSF er en egen juridisk enhet med lavere risiko enn morbanken. BSFs forpliktelser overfor morbanken er avgrenset og regulert, men morbanken har forpliktelser overfor boligkredittselskapet. Finanstilsynet viste i foreløpig tilsynsrapport til at banken ikke følger opp risikoprising sammenholdt med kredittkvaliteten (risikoen) i porteføljene.