Redegørelse om inspektion i Lunar Bank A/S

Sammenfatning og risikovurdering

Lunar Bank opererer som digital bank uden fysiske filialer. Banken tilbyder en række finansielle tjenester og produkter til privatpersoner og mindre virksomheder.

Banken frasolgte i 2024 stort set hele sin udlånsportefølje. Derefter har bankens forretningsmæssige fokus været at skabe indtjening gennem rentemarginalen mellem indlånet og obligationsbeholdningen samt gennem gebyrer på transaktions- og betalingsydelser og andre serviceydelser.

Banken har løbende driftsunderskud, og der er fortsat usikkerhed om, hvorvidt banken vil kunne opnå en holdbar forretningsmodel.

Banken har modtaget en risikooplysning om at sikre en robust indtjening uden at påføre banken uhensigtsmæssige risici.

Banken har gennem flere år haft høj personaleomsætning. Dette gør sig gældende i både bestyrelsen, direktionen, ledelseslaget lige under direktionen og i organisationen generelt. Dette øger risikoen for fejl, tab af viden og for, at opgaver bliver udskudt.

Banken har modtaget et påbud om at sikre, at der kontinuerligt er tilstrækkelige ressourcer samt et betryggende setup til at kunne håndtere de risici, der er forbundet med bankens nuværende og fremtidige forretningsaktiviteter. Banken skal styrke sine procedurer vedrørende planlægning og succession i den daglige ledelse, så der sikres kvalitet, kontinuitet samt inddragelse af relevant historik i den daglige opgaveløsning. Banken skal desuden sikre, at beslutninger om nye forretningsområder først træffes, når de nødvendige kompetencer er til stede dels i ledelsen, dels i organisationen[1].

Compliancefunktionen har i 2024 og 2025 været underbemandet, hvorfor funktionen ikke har været i stand til at udføre sit planlagte arbejde. Funktionen har først i Q1 2026 fået bevilget konsulentbistand til at bistå med gennemførelsen af arbejdet.

Det mangelfulde compliancearbejde gennem 2024 og 2025 øger risikoen for, at væsentlige compliancerisici ikke er identificeret, dokumenteret og afhjulpet korrekt. Risikoen forstærkes yderligere af, at banken samtidig har vækstambitioner og fokus på at udvide forretningen.

Banken har modtaget en påtale om, at den ikke rettidigt har afhjulpet ressourcemangler i compliancefunktionen for at sikre betryggende udførelse af compliancearbejdet[2].

Banken har høje ambitioner ift. anvendelsen af AI og LLM-modeller. I dag anvendes modellerne til bl.a. kundeservice og intern overvågning. Bankens politik for AI-modeller fastsætter ikke konkrete, målbare rammer for modellernes monitorering, acceptabel fejlfrekvens og validering. Når bestyrelsen ikke fastsætter disse rammer, risikerer bestyrelsen, at organisationen fastsætter mål for de enkelte modeller, der overskrider bestyrelsens risikoappetit.

Anvendelse af AI-værktøjer er et væsentligt risikoområde for banken. Banken har modtaget et påbud om, at bestyrelsen skal sikre passende foranstaltninger til styring af modelrisici relateret til AI[3].

Banken har desuden modtaget et påbud om at sikre, at der sker en validering inden anvendelse af nye AI-værktøjer og i den løbende anvendelse. Banken skal desuden i sin forretningsgang for validering eller i tilknytning hertil beskrive, hvad der indholdsmæssigt indgår i valideringen af et AI-værktøj[4].

Bankens styring af datakvalitet er på flere områder mangelfuld. Banken har modtaget et påbud om, at den skal sikre en betryggende styring af datakvalitet og en forbedret rapportering til bankens direktion. Banken skal sikre, at direktionen har et fyldestgørende grundlag for at vurdere bankens datakvalitet og igangsætte nødvendige tiltag, såfremt kvaliteten ikke vurderes tilfredsstillende[5].

Som følge af manglerne i styringen af datakvalitet, vurderer Finanstilsynet, at banken bør øge sit solvensbehov med 0,4 pct. af de risikovægtede eksponeringer. Denne vurdering er baseret på bankens datadrevne forretningsmodel, betydelige ambitioner mht. anvendelse af AI.

Bankens styring af IT-risiko er mangelfuld. Banken har ikke sikret en tilstrækkelig sammenhæng mellem bankens centrale risikostyringselementer, herunder dens styringsdokumenter, operationalisering og opfølgning på området. Manglerne medfører en øget risiko for væsentlige fejl og svagheder, som kan udløse og forværre IT-hændelser såsom nedbrud.

Banken modtager påbud om at sikre, at bankens IT-risikostyring er sammenhængende, herunder at bestyrelsen i tilstrækkelig grad behandler de centrale risikostyringselementer. Derudover modtager banken påbud om at sikre, at erfaringer fra tests, hændelser, mv. løbende bruges til at forbedre bankens IT-risikostyring. Endeligt modtager banken påbud om at sikre, at bankens styring af IT-tredjeparter er tilstrækkelig og indgår som led i bankens samlede IT-beredskab[6].