prop · GB03108 · 1987-12-31 00:00:00 — För fel begångna vid registreringen kan det kontoförandeinstitutet slutligt bli ansvarigt. Utbildad personal som kan sköta prövningenav olika ärenden och registreringen på ett tillförlitligt sätt måste finnas. Itillståndsärenden för kontoförande institut bör VPC beredas fillfälle au yttrasig. Vidavgörandet av vem som skall få tillstånd att vara kontoförande institut bör detläggas vikt vid vem som har liknande funktioner i dagens system förvärdepappershandel. Ett kontoförande institut bör också stå under tillsyn avbankinspektionen. Av detta följer aft fondkommissionär, som uppfyller kraven påatt vara förvaltare enligt LFA, bör kunna ges tillstånd att vara kontoförandeinstitut. Detär enligt min mening angeläget att eU neutralt kontoförande institut tillskapas. DeUa bör vara ett dotterbolag till . En förutsättning är dock att detta institut driver verksamheten på samma premisser som andra kontoförande institut och att samma krav av ekonomisk, teknisk och juridisk art ställs pä detta bolag som på en fondkommissionär som önskar vara kontoförande institut. Dotterbolaget måste kunna garantera en full- 27 ständig sekretess i sinverksamhet. Särskilda krav måste ställas på de Prop. 1987/88:108 personersom är verksamma i dotterbolaget med hänsyn till de unika möjlighetertill insyn i de stora placerarnas innehav som de kan få. Avsäkerhetsskäl anser jag det viktigt att antalet kontoförande institut inte blirför stort. Det kan dock finnas anledning att överväga en utvidgad krets avkontoförande institut så att t. ex. större placerare och obligafions-emittenterefter särskild prövning kan ges tillstånd att vara kontoförande institut. 4.4 Aktie- och obligationskonto Placerarnasinnehav av aktier och obligationer bokförs på konton. En placerare kan ha etteller flera konton i VPC: s register avseende aktier i ett visstavstämmningsbolag eller skuldförbindelser utgivna av en viss emittent. Om hanhar flera konton kan han låta kontona administreras av olika kontoförandeinstitut. Ettkonto identifieras entydigt av ett kontonummer som tilldelas kontot i sambandmed uppläggningen. Kontonumret utgörs av ett löpnummer som inte har någotklassificerande inslag. Detta är avsett att förbättra möjligheten tillanonymitet för placerarna i affärsrutinerna. Förvarje konto finns ett kontoförande institut som har rätt att påkontoinnehavarens begäran företa omregistreringar på kontot och som har rätttill insyn i kontot. Genom fullmakter kan en placerare ge även andrakontoförande institut rätt till insyn och/eller rätt att företa kontodispositioner. Närdet gäller aktier finns för varje avstämningsbolag ett avstämningsregister,som förs med hjälp av automatisk databehandling. Detta register skall bestå aven daglig journal, där varje förändring på kontot först registreras, och etthuvudregister, där förändringarna registreras när alla villkor för dessauppfyllts. skall innehålla aktiekonton och datortekniskt settvara knutet till aktieboken. innehåller de viktigaste uppgifterna påsamtliga aktiekonton i avstämningsregistret för ett bolag. De uppgifter som ettaktiekonto skall innehålla är bl. a. akfieäga-rens namn, personnummer ellerannat identifieringsnummer och adress, det antal aktier av olika slag somkontot omfattar, olika rättigheter som följer av akfieinnehavet, pantsättningeller annan rådighetsinskränkning, konkurs, utmätning, kvarstad samt namn ochadress för den som i stället för aktieägaren har rätt att lyfta utdelning ellermotta emissionsrätt (räU att delta i olika typer av nyemissioner) eller nyfondaktie. VPC har ansvar för att avstämningsregistren har det innehåll ochförs på det sätt som föreskrivs i lag eller annan författning. 4.5 Funktioner i VP-systemet Idetta avsnitt beskrivs funkfionerna i VP-systemet så som de utarbetats av Juridikgmppen i och därefter inom VPC. Grundläggande begrepp i kontoföringen är huvudregister,daglig journal och historisk journal. Alla registreringar som berör enplacerare bokförs först i den dagliga journalen. Efterhand som affärernagenomförs i och med att likvid utväxlas eller villkoren i övrigt uppfyllsöverförs registreringarna i den dagliga journalen till huvudregistret och denhistoriska journalen. Av VPC:s register framgår vad sombokförts i huvudregistret och i den dagliga journalen. Vidare framgår av kontot om innehaven är disponibla ellerom de omfattas av någon form av restriktion, t. ex. pantsättning, liksom omspeciella instruktioner gäller för kontot, t. ex. beträffande utbetalning avutdelningar eller tilldelning av emissionsrätter. Grundsystemen i VP-systemet (affärssystem, kontosystem ochemissionssystem) påverkar VPC: s register antingen direkt via datanätet, exempelvisgenom affärstransaktioner, eller via interna bearbetningar på VPC, exempelvisgenom emissionsbearbetningar. I affärssystemet registreras de dagligainnehavsförändringar som inträffar på grund av affärer eller andraöverlåtelser. Systemet behandlar transaktioner från affärsuppdragens tillkomsttill dess de likviderats. I kontosystemet lägger man upp och håller aktuell allinformation på kontona som berör förvaltning och pantsättning med tillhöranderättigheter men inte innehavsinformation. Förändring av innehav registreras ochbokförs inom affärssystemet och emissionssystemet. Emissionssystemet omfattar delsystem för att behandlafondemission, nyemission, split, inköpserbjudande etc. I systemet beräknas,registreras och aviseras de rättigheter som emissionen ger. Ställningen på kontona i huvudregistret utgör alltidgrunden för ägarför-tecknings-, utdelnings- och räntesystemen. Beträffandeägarförtecknings-systemet kornpletteras informationen i huvudregistret medkunduppgifter från förvaltarsystemen. Kontoföringen av aktier och obligationer sker på VPC. Denär uppbyggd av två olika huvudtyper av VP-konton nämligen ägarkonton ochförvaltarkonton. Gemensamt för dessa är att ett konto allfid är"knutet" fill ett visst kontoförande institut. Detta kontoförandeinstitut har obegränsad insyn i "sina" konton men har rätt attanvända sig av insynsrätten endast när detta är nödvändigt. Ägarkonto är benämningen på kontoformen för de placeraresom har sitt innehav registrerat i eget namn i det centrala registret. Vidvarje förändring underrättar VPC kontohavaren och alla rättighetsinnehavare somberörs av förändringen. Fullmakt kan utfärdas till förmån för annatkontoförande insfitut än det som ansvarar för kontoföringen. Förvaltarkonto är benämningen på den typ av konton där förvaltarenär registrerad i ägares ställe. Förvaltarkontot utvisar således endast förvalta- 29 renskunders samlade innehav, utan någon specifikation av vilka de bak- Prop.1987/88:108 omliggande ägarna är. En auktoriserad förvaltare skall i förekommande fall hatvå slags konton hos VPC. Dels skall förvaltarens eget handelslager vararegistrerat på ägarkonto hos VPC. Dels skall de förvaltarregistrerade aktiernavara registrerade på förvaltarkonton. Det måste vara en klar gräns mellan enförvaltares ägarkonton och hans förvaltarkonton och någon sammanblandning fårinte göras. Hur kontoföringen sker hos en förvaltare är beroende päavtal mellan förvaltaren och dennes kunder. När det gäller bolagens rätt tillinsyn blir det i princip inte någon skillnad mellan ägarkonton på VPC ochkundkonton hos en förvaltare. 4.5.1.3 Funktioner och tjänster inom kontoföringenPlacerarnas kontakter med de kontoförande instituten beror på situationen.Nedan följer en beskrivning av de vanligaste "händelserna" och de därtillknutna funktionerna. Nyuppläggning och vård av konto Funktionen utförs av de kontoförande instituten. Oftasttorde konton öppnas i samband med köp av aktier eller obligationer.Vid uppläggning av nytt konto skall följande uppgifter anges: - personnummer/organisationsnummer Som "svar" på nyuppläggningstransaktionenerhålls ett kontonummer. Kontonumret blir sedan det identifikationsbegrepp sominnehavaren anger i sina fortsatta kontakter med det kontoförande institutet.Detta förfarande blir således helt analogt med vad som tillämpas i fråga omvanliga mot-bokslösa bankkonton. Vid uppläggning av konton kan fleraandelsägare anges. För varje VP-konto finns ett kontoförande institut som ialla avseenden har behörighet att agera på placerarens vägnar. Placeraren kangenom fullmakt ge något eller några andra institut rätt till insyn och/ellerrätt att registrera köp och försäljningar på ett konto. Granskning och registrering av sådana fullmakter utförsalltid av det kontoförande institut som ansvarar för kontot. Med hjälp av denna funktion registreras om någon tillföljd av uppdrag, pantsättning eller på grund av villkor i testamente eller gåvobrev har rätt att i stället för ägaren lyfta utdelning och motta emissionsrätter. Registre ring av rättigheter utförs av det kontoförande institutet. överiåtelse m. m. Prop. Överlåtelseinnebär överföring av aktier eller obligationer från ett konto till ett annat.Vid överlåtelse kontrolleras att överlåtelsen är korrekt och att täckning finnspå det konto som skall debiteras varefter transaktionen registreras i dendagliga journalen. Bokföring i huvudregistret sker normalt när likvid erlagts. Allinrapportering av avslut mellan fondkommissionärer samt bakomliggandekundspecificering kan göras kontinuerligt . Bevakningsrutinertillämpas så att de inblandade parterna underrättas om eventuella brister iinrapporteringen. Fråninrapporteringstidpunkten fram fill och med likviddagen är transaktionernaregistrerade i den dagliga journalen. Alla svar på frågor om registerläget tarhänsyn till även dessa registreringar. På likviddagens kväll bokförs transaktionernapå kontona i huvudregistret och köparen har därmed fått full äganderätt inkl.rösträtt och emissions- och utdelningsrät-figheter. Redan anteckningen i dendagliga journalen får sakrättslig verkan under förutsättning att anteckningdärefter även sker i huvudregistret. Nären affär om en börspost har avslutats på börsen skall säljkommissionären låtaanteckna i bolagets dagliga journal i avstämningsregistret att börsposten haröverlåtits till en viss köpkommissionär. Därmed inträder sakrättsligt skydd förköparna gentemot säljarna. Det ankommer sedan på köpkommissionären att geanvisningar om hur börsposten skall fördelas mellan olika slutliga köpare. Närsäljkommissionären i den dagliga journalen registrerar börsposten (vilken kaninnefatta aktier avsedda för köpkommissionärens eget handelslager) skerregistreringen i köpkommissionärens namn. Säljkommissionären har inte kännedomom hur aktierna fördelar sig på olika slutliga köpare eller vilka dessa köpareär. Det är viktigt att en specificering av börsposten i å ena sidan aktier föreget handelslager och å andra sidan aktier för kunder görs för att sakrättsligtskydd garanterat skall inträda för kunderna gentemot köpkommissionären. Genomatt de fysiska värdepapperen avskaffas kan likvidtiden förkortas till tredagar. Jag avser att återkomma till frågan om likvidhantering i avsnitt 4.9. Föratt möjliggöra en enkel hantering av olika utredningar, t. ex. om en placerareanser kontouppgifterna vara felaktiga, kommer historikinformation att finnasfillgänglig genom journalföring av alla registreringar vare sig de lett tillbokföring i huvudregistret eller ej. Registeringarna överförs till ett"historikregister". Historikinformation kommer attvara åtkomlig direkt via terminal varefter den lagras på annat lagringsmedium,t. ex. mikrofiche, för arkivering . Även lagrad historiskinformation kommer att skyddas från obehörig insyn genom strikt åtkomstkontroll. 4.5.2 Ägarförteckningar(aktiebok, skuldbok, m. av aktieboken görs av VPC när bolaget så önskar. omfattarde uppgifter som enligt aktiebolagslagen skall ingå i denna . Enaktuell offentlig aktieägarsammanställning över samtliga aktieägare, såväl hosVPC direktregistrerade som inhemska förvaltarregistrerade, och som innehar flerän 500 aktier i bolaget, skall finnas tillgänglig "för var och en"både hos bolaget och hos VPC. Igod tid före tidpunkten för framställning av offentliga ägarsammanställ-ningarbeställer VPC hos de auktoriserade förvaltarna underlag till dessa. Förvaltarnalevererar direkt efter avstämningsdagen ägarspecifikationer avseende deförvaltarregistrerade innehaven. Summan av dessa specifikationer skall stämma medförvaltarkontot på VPC. Utskriften på VPC skall göras i alfabetisk ordning pånamn och innehålla uppgifter om kontoinnehavare, aktieslag och antal aktier. Utskriftav akfieboken avseende förhållandena före bolagsstämman skall liksomi dagens system hållas tillgänglig för aktieägarna vid stämman. Denna utskriftskall innehålla alla centralt registrerade ägare och alla hos auktoriseradeförvaltare registrerade ägare som har angivit att de önskar ingå ibolagsstämmoaktieboken. Framställningenav bolagsstämmoboken sker på i princip samma sätt som framställningen avoffentlig ägarsammanställning men omfattar av förvaltarregistrerade aktieägareendast de som anmält att de önskar ingå i bolagsstämmoboken. Vidbehov kan varje bolag beställa utskrift av en fullständig eller partiellägarförteckning. Denna kan, om bolaget så begär, uppta samtliga centraltregistrerade ägare och samtliga av auktoriserad förvaltare registrerade ägare,men kan också inskränkas till att omfatta endast vissa ägarkatego-rier enligtnedan. Enpartiell ägarförteckning innehåller uppgifter om ägarnas innehav enligt vissastandardiserade urvalsmöjligheter. Exempel på urval är följan-de:angivnapersoner, de "x" största ägarna, alla ägare med innehav större än"y", alla ägare med fler än "z" antal röster, alla ägaretill ett speciellt aktieslag. Liksomi dagens VPC-system bör varje emittent, inom ramen för den grundservicesom VPC erbjuder, en gång erhålla en föränd- 32 ringsrapport,som utvisar de förändringar i innehaven som ägt rum under Prop: 1987/88:108månaden. VPC sammanställer de förändringar somhar skett i ' det centrala registret med de förändringar som sketti förvaltarregistren. Underlagen för denna sammanställning levereras in avförvaltarna via datanätet. Om en emittent så begär skall förändringsrapport kunnaframställas eller . Som ett komplement till ovan nämndainformationssammanställningar . kommer VPC att tillhandahålla mtiner förframställning av t. ex. adressetiketter med uppgifter om namn och adress förutsändning av årsredovisr ningar och delårsrapporter. Systemet skall ävenframställa statisfiksam-, manställningar. Efter uppdrag från bolaget genomför VPC påavstämningsdagen emission eller split enligt de villkor som angetts iuppdraget. Generellt gäller för emissioner, liksom för övrigakontoändringar, att kontoinnehavare direkt underrättas om alla förändringar påkontot. Detta gäller således även när kontot ändras vid emissioner. Vid fondemission och split beräknas tillkommande aktieroch-vid fondemission-delrätter på basis av ställningen i huvudregistret påavstämningsdagen. Materialet stäms av varefter bokning sker på kontona i huvudregistret. Vid nyemission erhåller aktieägarna i bolagetteckningsrätter som bok förs på aktiekontona. Teckningen av nya aktier kan antingen ske genom att aktieägaren till emissionsinstitutet skickar in särskild anmälningssedel el- ler genom att inbetalning sker med ett särskiltinbetalningskort som till ställs aktieägaren. ' Emissionsbanken registrerar tecknade aktier påaktiekonton. Kapitalökningen och antalet betalda aktier anmäls till patent-ochregistreringsverket efter tecknings- och betalningstidens utgång.När kapitalökningen registrerats hos patent- och registreringsverketregistreras aktierna på aktiekonto- ' -na som fullvärdiga aktier. Hur hantering av överskjutande emissionsrätter vidny-eller fondemis sion skall gå till avgörs av det emitterande bolaget. Den kan ske på ett av följande sätt: - - försäljningoch kompletteringsköp av rätter samt teckning av akfier görs på samma sätt som ' de överskjutande rätterna försäljs genomemissionsbanken och ersätt- ' ning för överskjutande rätter tillställs den berättigade efter verkställd central försäljning. 3 1987/88. Generellt gäller attemissionsbanken i egenskap av bolagets ombud får fillgång till viss informationur VPC:s register för a'. ; kunna fullgöra sina speciella emissionsledandeuppgifter. Påuppdrag av bolaget genomför VPC på avstämningsdagen aktieutdelning- ochränteberäkning. Normalt sänds redovisningsbrev till deavkastningsberättigade och beloppet sätts in på deras bank-ellerpostgirokonton. Det belopp som skall utbetalas skall ställas till VPC:sförfogande senast den dag när det skall disponeras av VPC. Redovisningav kupongskatt till sker av VPC enligt fastställda regler. Avstämnings-och kontrollrutiner möjliggör en tidig upptäckt av eventuella felakfigautbetalningar. Genom överföring av krypterad utbetalningsinformation tillbankgirocentralen och postgirocentralen kan möjligheten att genom intrångförvanska utbetalningsdata försvåras. Liksomi dagens system tillställs taxeringsmyndigheten enligt gällande lagstiftningkontrolluppgifter avseende avkastning och innehav. En sådan sammanställningsänds även ut fill kontoinnehavarna. 4.6 Säkerheten i VP-systemet/Sårbarhetsfrågor Min bedömning:Mycket höga kompetenskrav måste ställas på de kontoförande instituten och påVPC när det gäller handhavandet av olika funkfioner i systemet. Ett omfattandearbete för att höja säkerheten i VP-systemet har lagts ned inom VPC.Ytterligare sårbarhets-analyser bör utföras, både före driftstart och därefterlöpande. Mångaav remissinstanserna har understrukit att systemet måste tillgodose högtställda krav på säkerhet. Underhösten 1987 har en s. k. sårbarhetsanalys av VP-systemet utförts. Syftet medanalysen var att bedöma behovet av säkerhetsåtgärder och att i ett tidigt skedeformulera krav för att nå en rimlig säkerhetsnivå. I analysen, som utfördes avett fristående konsultföretag, konstaterades bl. a. följande. Säkerhetsfrågornahar en hög prioritet inom projektet. Projektet har tacklat säkerhetsfrågorna påett kraftfullt sätt. Det är angeläget att säkerhetsfrågorna bearbetas metodisktvid systemutvecklingen. En rad åtgärder för att förbättra säkerheten i systemetföreslås. Härefter har från VPCframförts att analysresultat har påverkat det fortsatta säkerhetsarbetet bl. a.genom inspektioner av systembeskrivningarna, utformningen av dessabeskrivningar, tillsättande av en säkerhetschef samt tillkomsten av engemensam säkerhetskommitté, som behandlar för fondhandeln och VPC gemensammasäkerhetsfrågor. VPC har fastställt en total säkerhets- och ADB-säkerhetspolicy.Allt säkerhetsarbete inom projektet utgår från denna policy. som en mycket viktigarbetsuppgift att bevaka och strukturera säkerhets- Prop. 1987/88:108 arbetet iprojektet. När det gäller systemutvecklingsmodellen ingår numera att varjesystembeskrivning skall granskas vid en inspektion där bl. a. säkerhetschefendeltar. Han skall då bevaka att säkerheten har tillgodosetts pä ett bra sätt idet aktuella systemet. Säkerhetschefen ingår också i den arbetsgrupp som hanterarsäkerheten i VPC: s del av totalsystemet och i den gemensammasäkerhetskommittén. VPChar i en skrivelse redovisat följande beträffandesäkerheten i VP-systemet. Isamband med fiyttning till nya ändamålsenliga lokaler utformadesdet fysiska skyddet av VPC:s datorer. Skyddet har successivtförbättrats. VPC:s nya lokaler har också utrustats med olika möjligheter attförse systemet med elektricitet även vid ett längre avbrott i elförsörjningengenom det normala nätet. Förutom batterier som klarar kortare avbrott finns dettvå dieselmotorer som alstrar tillräckligt mycket elström för att drivadatorer, terminalnät och viss belysning hos VPC. Driften kan i princip fortgåså länge det finns tillgång till dieselolja. För att uppnå ett säfunktionssäkert system som möjligt byggs det upp omfattande rutiner förloggning, back-up och återstart. De back-up-kopior av system och register somdärvid kontinuerligt tas fram kommer att förvaras i säkerhetsarkiv utanför VPC. Dessabegrepp hör samman och bildar sammantaget ett skydd för att data inte förvanskas på något sätt. Från denna utgångspunkt har huvudprinci perna i systemet utformats. Den viktigaste huvudprincipen är att system säkerheten är odelbar, men att de olika inblandade parterna, VPC och kontoförande institut, tar ansvar för säkerhet och behörighet på samma sätt som man tar ansvar för registreringen i systemet. VPC utformar sitt säkerhetssystem så att man kan garantera att ingen kan komma in i syste met från annat håll än från resp. kontoförande institut. Vidare skapar VPC ett sådant behörighetssystem, att endast behörigt kontoförande institut har åtkomst till sådana data som man beslutar att detta kontoförande institut skall ha tillgång till i VPC:s system. Resp. kontoförande institut ansvarar för säkerheten i det egna systemet. Det har förutsatts att regeringen eller den myndighet som regeringen bestämmer kan föreskriva att vissa regler skall gälla för de som vill vara kontoförande institut i det nya systemet. En sådan regel bör vara att kontoförande institut antingen använder sig av VPC:s behörighets- och säkerhetssystem och då använder terminaler som är direkt knutna till VPC:s dator eller har eget säkerhetssystem som bedöms så säkert att man kan garantera behörighet och säkerhet i detta system och att man därmed kan få tillåtelse att vara direkt ansluten med egen dator till VP-systemet. Behörighetssystemet är en viktig länk i ett totalt säkerhetssystem och har till främsta uppgift att garantera att endast behörig användare kommer in i VPC:s system och där endast kan utföra sådana åtgärder som VPC beslutat att resp. användare får göra. Behörig hetssystemet som VPC valt heter RACF och har utvecklats av datorleve rantören . RACF är ett generellt behörighetssystem som används vid IBM-installationer över hela världen. Systemet har anpassats till VPC:s krav och installerats. VPC kommer med detta säkerhetssystem väl i nivå 35 med de största bankernasADB-säkerhetssystem och får i vissa delar en säkerhet som endastdelvis är införd i bankvärlden. En annan mycket viktig säkerhetshöjande åtgärdär den kryptering som helt eller delvis skall göras av all information somsänds mellan kontoförande institut och VPC. I VPC:s behörighetssystem kan dåkontrolleras att endast behörigt kontoförande institut på behörig fasttelelinje lämnar ett meddelande som krypterats på ett speciellt sätt med ennyckel som ändras kontinuerligt. För varje kontoförande institut används enunik krypteringsnyckel. För byte av nycklar måste utformas säkra rutiner somgaranterar att uppgift om gällande nyckel endast finns hos VPC och resp.kontoförande institut. VPC har byggt upp en säkerhetsorganisation för bl. a.kontroll och uppföljning av de olika säkerhetsdelsystemen. Uppföljning av allaförsök till obehöriga åtgärder mot VP-systemet är en mycket viktig del avsäkerhetssystemet. VP-systemet innehåller också en mängd program förautomafiska kontroller, som är direkt knutna till de åtgärder som användarnavidtar. Resp. kontoförande institut får kontrollinformation om deåtgärder som vidtagits av behöriga tjänstemän så att man på detta sättomöjliggör eller i vart fall avsevärt försvårar avsiktliga och oavsiktliga feloch manipulationer av behörig personal. För att kontrollera att VPC:sADB-system är korrekt systemerat och programmerat och att koppling till övrigaorganisationers system är rätt kommer omfattande tester att genomföras avsåväl personal hos VPC som av personal hos resp. kontoförande institut. För egen del anser jag attmycket höga kompetenskrav måste ställas, både på de kontoförande instituten ochpå VPC när det gäller själva handhavandet av olika funktioner i systemet.Bankinspektionens prövning av frågor om auktorisation av kontoförande institutmåste utföras med stor omsorg och den löpande kontrollen får inte eftersättas.Jag finner det också nödvändigt med omfattande utbildningsinsatser för personalhos VPC och hos varje kontoförande institut. Enförnyad säkerhetsanalys bör enligt min mening genomföras när samtligasystembeskrivningar tagits fram och före planerad driftstart.