Vipps MobilePay AS

Finanstilsynet gjennomførte IKT-tilsyn 19. og 20. juni 2025 i Vipps MobilePay AS (heretter omtalt "foretaket"). Formålet med tilsynet var å gjøre en vurdering av hvordan foretaket administrerer, utvikler, drifter, vedlikeholder og sikrer IKT-systemer og -tjenester. For dette området så tilsynet på styring med og kontroll av IKT-virksomheten. Tilsynet vektla systemløsninger som støtter foretakets kjernevirksomhet og prioriterte IKT-systemer som foretaket har utkontraktert. Til grunn for disse merknadene ligger Finanstilsynets foreløpige rapport datert 2. juli 2025 og styrets kommentarer til rapporten i brev av 10. september 2025. Tilsynsrapporten er utarbeidet med utgangspunkt i IKT-forskriften, som var gjeldende regelverk for foretaket på tilsynstidspunktet. Fra 1. juli 2025 skal foretaket etterleve DORA-forordningen med tilhørende delegerte kommisjonsforordninger, jf. DORA-loven § 1. 2. Finanstilsynets oppsummering Tilsynet avdekket ingen vesentlige mangler ved foretakets styring med og kontroll av IKTvirksomheten. Foretakets risikostyring har noen mindre påpekninger, blant annet knyttet til uklarheter i overordnet styringsdokumentasjon, endringshåndtering, oppfølging av utkontraktert IKT-virksomhet og testing av beredskapsplaner. 3. Finanstilsynets vurderinger 3.1. Overordnet styringsdokumentasjon Foretaket skal ha klare og hensiktsmessige styrings- og kontrollsystemer samt hensiktsmessige retningslinjer og rutiner for å styre, overvåke og rapportere risiko foretaket er eller kan bli eksponert for, jf. finansforetaksloven § 13-5 første ledd. IKT-forskriften § 2 første ledd stiller videre krav til at foretaket skal fastsette overordnede mål, strategier og sikkerhetskrav for IKT-virksomheten. Finanstilsynet pekte i foreløpig tilsynsrapport på at det synes å være uklarhet i forholdet mellom prinsipp- og policydokumentene, og ba foretaket sikre at foretakets styrende dokumenter for IKT på prinsipp- og policynivå samlet gir mer hensiktsmessig styring av IKT-virksomheten.

tlf. 22 93 97 02 Styret i VIPPS MOBILEPAY AS Postboks 9236 Grønland 0134 OSLO VÅR REFERANSE DERES REFERANSE DATO 23/9268 15.04.2024 Tilsynsrapport Finanstilsynet gjennomførte IKT-tilsyn i Vipps MobilePay AS (Vipps) 24. og 25. oktober 2023. Tema for tilsynet var å vurdere Vipps’ etterlevelse av bestemmelser om styring og kontroll med drift og beredskap med krav i IKT-forskriften og finansforetaksforskriften § 3-2, samt med øvrige krav i finansforetaksforskriften § 3-2. Tilsynet var begrenset til den norske virksomheten. Til grunn for tilsynsrapporten ligger Finanstilsynets foreløpige rapport datert 19. januar 2024 og styrets kommentarer til rapporten i brev av 25. februar 2024. Finanstilsynet har følgende merknader etter tilsynet: Overordnet styring og kontroll Finansforetaksloven § 13-5 stiller krav til forsvarlig virksomhet og god forretningsskikk. Foretaket skal ha klare og hensiktsmessige styrings- og kontrollsystemer samt hensiktsmessige retningslinjer og rutiner for å styre, overvåke, og rapportere risiko foretaket er, eller kan bli eksponert for, jf. finansforetaksloven § 13-5 første ledd. I henhold til § 13-5 annet ledd skal foretaket ha uavhengige kontrollfunksjoner med ansvar for internrevisjon, risikostyring og etterlevelse av krav fastsatt i eller i medhold av lov eller forskrift. Foretaket faller inn under unntaket om krav om internrevisjon, jf. finansforetaksforskriften § 8-3 første ledd, og har ikke etablert internrevisjon. Internkontrollaktiviteter i første- og andre forsvarslinje Finanstilsynet pekte i foreløpig rapport på at Finanstilsynet forutsatte at første forsvarslinje definerer og utfører egne internkontroll-aktiviteter inkludert for anthvitvasking og -terrorfinansiering, samt for IKT-sikkerhet, uavhengig av andre forsvarslinje.