Trøgstad Sparebank

Finanstilsynet gjennomførte stedlig IKT-tilsyn i Trøgstad Sparebank (foretaket eller banken) tirsdag 3. september 2024. Hensikten med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. Finanstilsynet ville se på styring med og kontroll av IKT-virksomheten med spesiell vekt på IKT-risiko, endrings- og avvikshåndtering, datastyring og forvaltning, IKT-sikkerhet, utkontraktering og beredskap. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 23. oktober 2024 og styrets kommentarer til rapporten i brev av 25. november 2024. 2 Finanstilsynets merknader Overordnet styring og kontroll Organisering og kontrollfunksjoner Det framgår av finansforetaksloven § 8-6 første ledd at styret skal sørge for forsvarlig organisering av virksomheten. Videre i lovens § 13-5 andre ledd stilles det krav om at et finansforetak skal ha uavhengige kontrollfunksjoner med ansvar for risikostyring, etterlevelse og internrevisjon. I finansforetaksforskriften § 8-3 er det gitt unntak fra krav om internrevisjon for finansforetak som har en samlet forvaltningskapital lavere enn 10 milliarder kroner. IKT-forskriften § 2 første ledd presiserer at IKT-virksomheten skal utføres på en betryggende måte. Det skal oppnevnes ansvarlige i foretaket for de ulike delene av IKT-virksomheten, og at det med ansvarlig menes en funksjon eller stilling. Foretakets førstelinje skal sørge for at IKT-sikkerheten er etablert og ivaretas i tråd med foretakets policyer og retningslinjer, herunder gjennomføre nødvendige kontroller. Foretakets andrelinje skal være en uavhengig funksjon som fører kontroll med førstelinjens risikostyring og etterlevelse. Finanstilsynet viste i foreløpig rapport til at foretaket hadde en person som jobbet full tid med IKT (IT-ansvarlig) og som hadde hatt denne rollen i mange år.