Inspektionens omfang
Finanstilsynet gennemgik på inspektionen fonds- og fundingområdet, der omfatter risikostyring vedrørende udstedelse af obligationer og placering af midler, herunder markedsrisikoområdet og risici omfattet af balanceprincippet. Finanstilsynet gennemgik instituttets politikker, forretningsgange og arbejdsbeskrivelser samt instituttets delegerede beføjelser på markedsrisikoområdet.
På likviditetsområdet gennemgik Finanstilsynet også instituttets politikker, forretningsgange og arbejdsbeskrivelser. Herudover havde Finanstilsynet fokus på sikring af datakvaliteten på likviditetsområdet.Finanstilsynet gennemgik desuden ledelsesrapportering på de undersøgte områder, herunder fra risikostyringsfunktionen, compliancefunktionen og intern revision.
Opsummering og risikovurdering
Vedrørende instituttets ledelse og styring konstaterer Finanstilsynet, at instituttet har organiseret direktionen, så det direktionsmedlem, der har ansvaret for funktionerne i anden forsvarslinje, også har ansvar for funktioner i første forsvarslinje. Finanstilsynet finder, at de kompenserende foranstaltninger for den manglede funktionsadskillelse på direktionsniveau ikke er tilstrækkelige henset til den markedsrisiko, som der er mulighed for at tage i afdelinger under den direktionsansvarlige. Instituttet fik påbud om at forbedre de kompenserende foranstaltninger, så de står mål med den risikotagning, der accepteres.
Instituttet skal endvidere præcisere hvilke ansvarsområder, der henhører under koncernens ansvarlige for CRO-området, herunder angive, om ansvarsområderne tilhører første eller anden forsvarslinje. Instituttet skal i den forbindelse præcisere, hvilke dele af organisationen og opgaverne, der tilhører hhv. første og anden forsvarslinje.
For instituttets komiteer på markedsrisikoområdet etableret under bestyrelses- og direktionsniveau påbød Finanstilsynet endvidere instituttet at identificere og vurdere eventuelle interessekonflikter og via forretningsgange og komitéernes kommissorier sikre, at ansvarsfordelingen mellem første og anden forsvarslinje er klar og veldokumenteret.
Vedrørende instituttets styring af datakvalitet konstaterede Finanstilsynet, at instituttet ikke i tilstrækkelig grad har sikret datakvaliteten til brug for risikostyring og rapportering på likviditets- og markedsrisikoområderne.
Instituttet havde ikke i tilstrækkelig grad konkretiseret, hvornår de forventer, at kildedata på likviditets- og markedsrisikoområdet vil være tilstrækkeligt forbedret, og hvordan man vil sikre og følge op på, om kvaliteten af kildedata forbedres. Fejl i opgørelsen af likviditetsnøgletal og de manglende kontroller på markedsrisikoområdet medfører, at instituttet er eksponeret over for operationel risiko.
Finanstilsynet påbød instituttet at sikre, at instituttet har metoder og procedurer, der er egnede til at opdage og minimere risiko forbundet med kvaliteten af instituttets kildedata på likviditets- og markedsrisikoområdet. Herunder skal instituttet vurdere behovet for en midlertidig justering af instituttets likviditetsmålsætninger samt behovet for et risikotillæg i søjle II på minimum 100 mio. kr. I beløbet er der ikke taget højde for, at der allerede var afsat 250 mio. kr. til problemer med datakvalitet generelt, og at dette tillæg delvist kan anses for at adressere risici relateret til markedsrisikoområdet.
Vedrørende instituttets rapportering på likviditetsområdet havde Finanstilsynet inden inspektionen kendskab til væsentligt omfang af indberetningsfejl igennem en årrække. Finanstilsynet konstaterede, at ressourcerne til rapportering og til projektet med at skabe en forbedret datastruktur af bl.a. likviditets- og markedsrisici havde været presset i en årrække.
Finanstilsynet påbød instituttet at sikre fremdriften i etableringen af den fremadrettede datastruktur og samtidig sikre en tilfredsstillende datakvalitet i den mellemliggende periode.
Finanstilsynet konstaterede, at der ikke er etableret konsistent validering og kontrol af input- og outputdata (fuldstændighedskontrol). Finanstilsynet vurderer, at dette indebærer en risiko for, at instituttets markedsrisiko ikke opgøres på et korrekt grundlag. Vedrørende instituttets styring af likviditetsrisici har der været gentagne eksempler på fejl i de programmer, der genererer opgørelserne og indberetningerne på området. De etablerede kontroller på området er således ikke tilstrækkeligt effektive.
Finanstilsynet påbød instituttet at sikre, at der foretages regelmæssige interne kontroller af, at rapporteringen i virksomheden er korrekt. Herunder skal direktionen sikre, at de programmer, der anvendes til opgørelser og indberetninger, valideres i tilstrækkelig grad ved oprettelsen og ved ændringer, så det sikres at rapporteringen er korrekt. Desuden skal instituttet sikre, at instituttets markedsrisici måles og opgøres korrekt.
Instituttets interne revision havde gennemført en ordinær revision af LCR-opgørelsen i juli 2018 som konkluderede, at det interne kontrolsystem vedrørende de berørte områder i handlingskæden samlet set vurderes at være tilfredsstillende. Finanstilsynet har imidlertid kendskab til en længere række af indberetningsfejl, hvoraf de tidligste dateres til september 2017. Finanstilsynet påtalte, at intern revisions gennemgang af Liquidity Coverage Ratio (LCR) ikke har været tilstrækkelig.