sou · GZB378 · 2011-12-01 00:00:00 — För att detta skulle kunna förverkligas behövdes tydliga former och rutiner för hur lägesuppfattningar skulle skapas och användas. Därutöver kunde bl.a. konstateras att det vid övningens telefonkonferenser fanns inslag av bristande mötesdisciplin och säkerhet. Även behovet av en aktör på nationell nivå med ett utpekat ansvar för information till allmänheten tydliggjordes. Med anledning av och de redovisningar som , och lämnade i frågan genomfördes det s.k. inom under 2010.11 I den rapport som togs fram i projektet lämnades förslag på hur statens förmåga att hantera allvarliga kriser i betalningssystemet kunde stärkas.12 I syfte att förbättra regeringens möjligheter till styrning och uppföljning föreslogs i rapporten att grundläggande säkerhetskrav (mål) för krisberedskapen inom de centrala betalningssystemet skulle formuleras. Målen föreslogs i allt väsentligt vara av kvalitativ karaktär. Därutöver föreslogs att ett nationellt samordningsansvar skulle införas. I det nationella samordningsansvaret föreslogs ingå att leda privat-offentlig samverkan, leda och genomföra övningsverksamheten, ansvara för teknisk granskning av gränssnitt, ansvara för att IT- incidentrapporteringen samordnas, ansvara för att det regelbundet upprättas en aggregerad risk- och sårbarhetsanalys, ansvara för att det upprättas årlig lägesrapportering till regering och riksdag, utöka övervakning och tillsyn av en ny krisberedskapsreglering på det aktuella området samt planera för informations- och kommunikationssamordning vid kriser. Det nationella samordningsansvaret föreslogs ges till . 11Stärkt krisberedskap i betalningssystemet. 12Fi 2010/1619. De grundläggande säkerhetskraven (målen) och det nationella samordningsansvaret föreslogs regleras genom en ny lag. Rapporten har remitterats. Av remissvaren framgår att en majoritet tillstyrkte förslaget om reglering av grundläggande säkerhetskrav samt förslaget om en nationell samordnare. avstyrkte förslaget med hänvisning till att tillsynsansvaret kunde anses väl reglerat. Även ifrågasatte förslaget på liknande grunder. avstyrkte förslaget med hänsyn till att konsekvensutredningen var bristfällig. ansåg att arbetet med den nya regleringen var angelägen och framhöll att osäkerheten bland inblandade aktörer om vad som gäller framöver kunde leda till ineffektivitet. Såväl som efterlyste ett klart uttalande om att ansvarsprincipen fortsatt skulle gälla. ville se kvantitativa mål även för samhällsviktiga betalningar och inte bara för centrala betalningar i RIX- systemet. Statskontoret uppgav att kraven ska vara uppföljningsbara och att uttryck såsom inom rimlig tid, tillräckliga åtgärder och rimlig utsträckning därför borde omformuleras. Myndigheten för samhällsskydd och beredskap anförde att terminologin och metoder i det kommande arbetet borde hämtas från informationssäkerhetsområdet. Även stöd från internationella standarder borde inhämtas. ansåg det angeläget att redundans i systemen skapades genom krav och upphandling och inte genom upprättandet av parallella infrastrukturer i offentlig regi. efterlyste tydligare definitioner av begreppen det centrala betalningssystemet samt samhällsviktiga betalningar. 4Kort beskrivning av centrala betalningssystemet I detta kapitel beskrivs de viktigaste aktörerna i det centrala betalningssystemet, i syfte att ge en översiktlig bild över hur betalningssystemet är uppbyggt. Därtill återges utfallet av de utvärderingar av verksamheten hos några av dessa aktörer som tillsammans med genomförde under 2010.1 Utvärderingarna genomförs gemensamt av myndigheterna inom ramen för den överenskommelse om samarbete rörande finansiell stabilitet som har träffats dem emellan.2 Dessa utvärderingar innehåller bl.a. en genomgång av de operativa riskerna i verksamheterna. En allmänt vedertagen definition av begreppet det centrala betalningssystemet saknas. I definieras det centrala betalningssystemet som de tekniska och administrativa system som gör det möjligt att betala för varor och tjänster i samhället.3 I avses med det centrala betalningssystemet den del av betalningssystemet som måste fungera för att de grundläggande finansiella tjänsterna i samhället ska kunna fungera. Med de grundläggande finansiella tjänsterna avses i rapporten – i enlighet med indelning – betalningsförmedling, riskhantering och sparande/investeringar.4 Som framgår av denna utrednings författningsförslag definieras här det centrala betalningssystemet som de funktioner i det nationella betalningssystemet som har en sådan betydelse att ett bortfall, 1Utvärderingen av RIX-systemet har utförts av . 2Överenskommelse mellan (), riksbank, och för samarbete om finansiell stabilitet och krishantering, del II Särskilt om samarbete och informationsutbyte mellan och , . 3Krisberedskap i betalningssystemet, RiR 2007:28, s. 18. 4Fi 2010/1619, s. 13. direkt eller , skulle innebära en risk eller fara för samhällets funktionalitet eller samhällets grundläggande värden. 4.2Beskrivning av centrala betalningssystemet Viktiga system inom det centrala betalningssystemet är – systemet för stora betalningar, BGC:s betalningssystem för massbetalningar, Euroclear VPC-system där transaktioner från aktie- och räntemarknaden clearas och avvecklas samt OMX Derivatives Markets som är central motpart för standardiserade derivatkontrakt. Andra viktiga aktörer inom det centrala betalningssystemet är samt de fyra storbankerna. Figur 4.1 Schematisk bild över RIX-systemet RIX-systemet som utgör betalningssystem för stora betalningar, är den centrala knutpunkten i det svenska betalnings- Kort beskrivning av centrala betalningssystemet Deltagare i är förutom , ett antal banker, clearingorganisationer samt . har systemet dryga tjugotalet deltagare.5 Deltagandet i regleras genom avtal mellan och respektive deltagare. I avtalen ställs bl.a. krav på teknisk utrustning och kommunikation.6 Samtliga transaktioner som sker mellan deltagarna slussas slutligen genom . omsattes i i genomsnitt . Antalet transaktioner per dag var i genomsnitt 11 800. är ett till Europeiska kommissionen anmält avvecklingssystem enligt lagen (1999:1309) om system för avveckling av förpliktelser på finansmarknaden (lagen om avvecklingssystem). Avvecklingen av betalningar i RIX-systemet sker enligt principen om bruttoavveckling i realtid, vilket innebär att betalningar avvecklas , en och en, under förutsättning att betalaren har tillräckligt med likvida medel. Om likviditeten inte är tillräcklig hos betalaren läggs betalningen i kö till dess att tillräcklig likviditet har uppnåtts. Deltagande banker kan skapa sig likviditet i genom att pantsätta värdepapper eller valutatillgodohavanden till . Inom ramen för () har () tagit fram den internationella standarden for . har utvärderat RIX- systemet utifrån dessa principer, som är allmänt accepterade vid utvärderingar av denna typ av betalningssystem.7 Det finns tekniska reservrutiner för att hantera olika typer av driftsavbrott i systemet. Det finns rutiner för deltagarna att manuellt registrera transaktionerna i systemet. Deltagarna kan även använda reservterminaler på för att registrera sina transaktioner. Vid andra typer av avbrott kan besluta att flytta driften av systemet till en reservanläggning och där fortsätta driften. Det ordinarie och det alternativa driftstället använder samma gemensamma nätverk, vilket innebär att en överflyttning kan ske på ett 5Deltagare i är enligt : BGC, Citibank, , , , , , Euroclear , /NV, Kommuninvest, , , , , , , , , , , , , och Ålandsbanken . 6Villkor för och penningpolitiska instrument, webbversion, . En övergång till det alternativa driftstället ska kunna ske efter ett beslut av systemägaren. Vid större avbrott i systemet och när en flytt till reservanläggningen inte är effektiv finns en separat PC-baserad reservlösning, som ska kunna användas för att hantera ett begränsat antal, men stora, transaktioner. Reservlösningarna har testats tillsammans med RIX-deltagarna och resultatet visade att reservlösningarna fungerar, vilket enligt utvärderingen tyder på att det finns förutsättningar att kunna hantera ett avbrott i systemet åtminstone . bedömer sammanfattningsvis att principen avseende krav på hantering av operativa risker i RIX-systemet är uppfylld. () ägs av ett antal svenska banker och är den centrala aktören vid förmedling av massbetalningar mellan banker i . BGC äger och driver ett generellt betalsystem, Bankgirot, där 20 banker är deltagare. av de svenska företagen använder Bankgirots betalningstjänster. tecknade BGC ett avtal med det brittiska företaget om drift och utveckling av Bankgirot. Produkterna och Emittent har överförts till VocaLink. Överföring av det nya Autogirot påbörjades och överföring av kunder påbörjades . förmedlades i Bankgirot 751 miljoner betalningar, till ett värde av . Utöver Bankgirot tillhandahåller även BGC en clearing- och avvecklingstjänst. Clearing- och avvecklingstjänsten hanterar inkommande betalningar och skapar underlag till , där den slutliga avvecklingen sker. I BGC:s system avvecklades i genomsnitt per dag . BGC har tillstånd att bedriva clearingverksamhet enligt lagen (2007:528) om värdepappersmarknaden och står därmed under tillsyn. BGC:s avvecklingssystem har godkänts av och är anmält till Europeiska kommissionen i enlighet med lagen om avvecklingssystem. Dataclearingen, som ägs av och vars drift hanteras av BGC, är ett masstransaktionssystem för betalningsförmedling från konto till konto för transaktioner mellan banker Kort beskrivning av centrala betalningssystemet beräknas omkring 125 miljoner transaktioner utföras i systemet. Deltagande i Dataclearingen sker genom avtal med och förutsätter att institutet deltar, direkt eller indirekt, i RIX-systemet. Vidare förutsätter deltagande att institutet är anslutet till det s.k. avvecklingsavtalet mellan de i deltagande instituten. och har utvärderat Bankgirocentralens verksamhet utifrån samma principer som vid utvärderingen av RIX- systemet.8 För Bankgirocentralens del konstaterar och att principen avseende operativa risker till stor del är uppfylld. BGC har rutiner för att säkerställa redundanta system och upprättade kontinuitetslösningar. De operativa risker som identifieras i BGC:s verksamhet har sin grund i överflyttningen av drift, förvaltning och utveckling av produkterna och Emittent från BGC till det externa bolaget systemplattform. Överflyttningen har försenats, vilket enligt myndigheterna har medfört operativa risker för BGC:s befintliga verksamhet. (tidigare VPC) är centrala värdepappersförvarare och enda inhemska system för värdepappersavveckling. Företaget har fått tillstånd att bedriva clearingverksamhet enligt lagen om värdepappersmarknaden och står under tillsyn. Euroclear avvecklingssystem har godkänts av och är anmält till Europeiska kommissionen i enlighet med lagen om avvecklingssystem. Euroclear har även av fått auktorisation som central värdepappersförvarare i enlighet med lagen (1998:1479) om kontoföring av finansiella instrument. Euroclearkoncernen, med säte i , är ett användarägt infrastrukturföretag med cirka tvåhundra ägare, däribland , Nordea och . 8 Utvärdering av Bankgirocentralen BGC AB:s betalningssystem 2010, och . Euroclear för register över de flesta aktier och räntebärande värdepapper som handlas på de svenska finansiella marknaderna. Förutom att föra register är det Euroclear som utför clearing och avveckling av transaktioner med svenska aktier och räntebärande värdepapper. Bolaget tillhandahåller också tjänster till stöd för emissioner och kontohållning i enlighet med sin auktorisation som central värdepappersförvarare. Clearingen och avvecklingen i Euroclear avvecklingssystem för värdepapper (VPC-systemet) är uppdelad i en aktie- och en penningmarknad. Aktiemarknadsdelen hanterar huvudsakligen aktiemarknadsinstrument och räntebärande instrument som riktar sig till privatpersoner, såsom obligationer och premieobligationer. Penningmarknadsdelen hanterar räntebärande instrument för den institutionella marknaden, såsom statsskuldsväxlar, företags- och bostadscertifikat samt företags-, bostads- och statsobligationer. Per deltog 51 institut i VPC-systemet. Den slutliga avvecklingen av värdepapperstransaktioner sker i VPC-systemet. För att underlätta denna process har gett Euroclear rätt att i VPC-systemet föra speciella konton med centralbankspengar att användas för avvecklingen. Deltagarna i kan föra över likviditet mellan sina vanliga konton i och de betalningskonton som Euroclear administrerar. Euroclear tillhandahåller avvecklingstjänster via ett egenutvecklat avvecklingssystem. Bolaget upprätthåller sin drift via dubblerade datacentraler och samarbetar med ett större outsourcingföretag för att driva och utveckla IT-verksamheten. avvecklade Euroclear i genomsnitt cirka 1 200 penningmarknadstransaktioner och 43 000 aktiemarknadstransaktioner per dag, där varje transaktion resulterar i två instruktioner i avvecklingssystemet. Instruktioner kommer till Euroclear dels direkt från deltagarna i systemet och dels via centrala motparter. utgör European Multilateral Clearing Facility N.V. (EMCF) med bas i den enda centrala motparten för denna handel, men ytterligare europeiska aktörer förväntas etableras. Avvecklingsprocessen inleds genom att mottagna instruktioner i VPC-systemet matchas. Efter att matchning har skett kan ingen part ensidigt återkalla dem. De matchade instruktionerna genomgår därefter en täckningskontroll, där leveranskapaciteten hos värdepapperna kontrolleras och därefter betalningskapaciteten. Därefter klarmarkeras instruktionerna för avveckling och slutlig avveckling Kort beskrivning av centrala betalningssystemet I avvecklingen byter likvid ägare enligt principen leverans mot betalning. Det dagliga bruttovärdet av dessa transaktioner motsvarade för penningmarknadsinstrument och för aktiemarknadsinstrument. och har gemensamt utvärderat värdepappersavvecklingen i år 2010.9 Utvärderingen gjordes mot de rekommendationer och metoder som utarbetats av Banks (ESCB) i samarbete med Committee of Regulators (CESR). Myndigheterna konstaterar bl.a. att Euroclear tekniska system svarar för en stor del av de identifierade operativa riskerna. Euroclear använder ISO 27002-standarden som en referensram och anser sig uppfylla de standarder som är relevanta för verksamheten. Företaget är dock inte certifierat enligt denna standard. Rutiner innefattande beredskapsplaner och lämpliga backupsystem är etablerade. Ett alternativt driftställe med fristående infrastruktur är inrättad. Både beredskapsplaner och anläggningar testas regelbundet. Enligt planen ska driften kunna återställas vid en katastrof och vid enklare avbrott. Myndigheterna bedömer sammanfattningsvis att rekommendationen avseende operativa risker är uppfylld. (OMX) är den centrala marknadsplatsen för handel med bl.a. aktier, premieobligationer, konvertibler, warranter, obligationer och börshandlade fonder i . Även handel med derivat tillhandahålls. har auktorisation som börs enligt lagen om värdepappersmarknaden. genomfördes i i genomsnitt cirka 165 000 aktietransaktioner till en omsättning av . Transaktioner i aktier och räntebärande värdepapper avvecklas i Euroclear system för värdepappersavveckling. 10-6491, dnr. EMCF går in som central motpart i vissa värdepappersaffärer på bl.a. OMX Nordiska börser. Tjänsten är obligatorisk för de svenska aktier som tillhör listan Large Cap. Genom att EMCF går in som central motpart, förs säljarens och köparens motpartsrisk över till EMCF. För derivattransaktioner sker handel och avveckling i bifirman (OMX ). OMX är central motpart i clearingen av standardiserade derivatinstrument. handlades totalt knappt 99 miljoner standardiserade derivatkontrakt på OMX , motsvarande ett värde av . I egenskap av central motpart minskar OMX marknadens motpartsrisker i derivathandeln och är i denna egenskap viktig för stabiliteten i det finansiella systemet. OMX har tillstånd att bedriva clearingverksamhet enligt lagen om värdepappersmarknaden och dess avvecklingssystem är godkänt enligt lagen om avvecklingssystem. Vidare äger det fibernätverk, , som används av banker och fondkommissionärer för kommunikationen med för handel och clearing. Nätverket kan också användas av marknadens aktörer för kommunikation med RIX-systemet. och har utvärderat OMX i dess roll som central motpart för finansiella derivat utifrån Banks (ESCB) och Committee of Regulators (CESR) Recommendations for Central Counterparties In Union 2009.10 Myndigheterna konstaterar i sin utvärdering att OMX har etablerade rutiner för analys av operativa risker enligt en koncerngemensam standard. Det konstateras att kontrollprocedurer är framtagna och följs upp av ledningen samt är föremål för internrevision. Kontinuitetsplaner finns och dessa testas regelbundet med deltagarna i systemet. Ett alternativt driftställe finns alltid tillgängligt och kan tas i bruk inom 45–. Myndigheterna bedömer att rekommendationen avseende operativ riskhantering är uppfyllda. 10 dnr 2010-617-AFS, dnr 10-7724. Kort beskrivning av centrala betalningssystemet ansvarar för statens finansförvaltning, vilket innebär att myndigheten är internbank åt svenska staten, förvaltar statsskulden samt ger statliga garantier och lån. De svenska myndigheternas in- och utbetalningar görs via bankkonton i de banker som har tecknat ramavtal med. Bankkontona är kopplade till toppkonton i varje ramavtalsbank. I toppkontona nettas myndigheternas inbetalningar mot utbetalningar. Täckning eller tömning nollställer myndigheternas saldo på kontot så att det inte finns likviditet på myndighetens konto . Beroende på om det blir ett över- eller underskott på toppkontot, så placeras eller finansieras det centralt av så att det slutliga saldot är noll. överförs likviditet mellan toppkontona och i . Utöver att ansvara för och likviditetshanteringen mellan staten och ramavtalsbankerna, ger även lån till myndigheter för investeringar. Myndigheterna placerar även tillfälliga likviditetsöverskott på konton hos . förvaltar statsskulden genom att ta upp lån både i och utomlands. lånar främst av stora institutioner, men även av företag och privatpersoner, t.ex. via statspapper och premieobligationer. Auktioner av obligationer och statspapper sker via och värdepapperen registreras hos Euroclear . Därutöver bedriver en omfattande derivathandel. Genom de stora volymerna har en viktig funktion i att förse systemet med likvider varje bankdag. verksamhet genomgår revision i enlighet med vad som gäller för myndigheter under regeringen. De fyra största bankerna i , Nordea, , och har tillsammans en marknadsandel på av inlåningen från de svenska privat- och företagskunderna. De fungerar som finansiella intermediärer och förmedlar finansiella tjänster såsom in- och utlåning, betalningar, kontantförsörjning samt placeringar åt företag och privatpersoner. Bankerna deltar i RIX- systemet, Euroclear system för clearing och avveckling av värdepapper, OMX:s system för clearing och avveckling av derivat, BGC:s system för betalningsförmedling inbegripet clearing och avveckling samt i CLS för clearing och avveckling av valutatransaktioner. CLS, Continous Linked Settlement, är ett globalt system för clearing och avveckling av valutatransaktioner. Medlemmar i systemet utgörs av banker, som i systemet kan göra betalningar som uppstått till följd av valutatransaktioner. Betalningarna sker i separata konton för varje valuta och nettot av respektive medlems transaktioner betalas in eller ut från CLS via respektive lands centralbank. ingår 17 valutor i CLS, däribland svenska kronor. utövar tillsyn över de individuella bankerna medan övervakar bankerna inom ramen för sin löpande analys över den finansiella stabiliteten i . 4.3Definitionen av det centrala betalningssystemet Den beskrivning av det centrala betalningssystemet som gjorts i detta kapitel syftar till att redogöra för några av dess viktigaste aktörer. Beskrivningen utgör dock inget försök att exakt definiera det centrala betalningssystemet. Som framgår av författningsförslaget, föreslår utredningen att det ska vara en uppgift för att definiera vilka aktörer och verksamheter som ska anses ingå i det centrala betalningssystemet. Det kan förutses att denna definition kommer att bli föremål för en fortlöpande översyn av med hänsyn till den dynamik som präglar utvecklingen inom den finansiella sektorn. I detta kapitel redovisas utredningens förslag till grundläggande säkerhetskrav på det centrala betalningssystemet. Utgångspunkten för de förslag som redovisas är de resonemang som förs i direktiven om att de mål som formuleras bör ha en mer kvantitativ karaktär än de mål som redovisades i rapporten 2010/1619 (). Ett underlag för detta kapitel är rapporten 2010/1619 samt remissvaren. Härutöver har (2007:28) om krisberedskapen i betalningssystemet genomgåtts. Internationella dokument inom området har kartlagts och analyserats. Övrigt underlag utgörs av det omfattande material om mål för olika delar av krisberedskapen som har tagits fram av () och Myndigheten för samhällsskydd och beredskap (MSB) . Arbete med grundläggande säkerhetsnivåer och andra typer av säkerhetskrav har också genomförts inom ramen för FSPOS och SOES.1 Begreppen grundläggande säkerhetsnivåer, grundläggande säkerhetskrav och mål används i det följande synonymt och avser krav som bör ställas på en verksamhet i en krissituation. Med kris avses i utredningen ett tillstånd som drabbar många människor, stora delar av samhället samt hotar grundläggande värden och funktioner. är ett tillstånd som inte kan hanteras med normala resurser och organisation. Att lösa krisen kräver skyndsamma, samordnade åtgärder från flera aktörer. 1 Den Finansiella Sektorns Privat-Offentliga Samverkansgrupp respektive SamverkansOmrådet Ekonomisk Säkerhet. Med kritiska beroenden avses en relation där den beroende verksamheten snabbt och varaktigt drabbas av en kraftig funktionsnedsättning vid ett bortfall av eller en svår störning i den levererande verksamheten. Med det centrala betalningssystemet avses de delar av det nationella betalningssystemet som har en samhällsfunktion av sådan betydelse att ett bortfall eller en allvarlig störning i funktionen, direkt eller , skulle innebära risk eller fara för samhällets funktionalitet eller samhällets grundläggande värden. Utredningen använder i det följande begreppen grundläggande säkerhetsnivåer, grundläggande säkerhetskrav och mål synonymt. Dessa begrepp står alla för krav som bör ställas på en verksamhet i en krissituation. Som framgår av avsnitt 5.4 har begreppet grundläggande säkerhetskrav eller säkerhetsnivåer använts i många sammanhang . Begreppet definieras nu av MSB som en i förväg bestämd miniminivå för förmågan hos en samhällsviktig verksamhet vid en extraordinär händelse eller en kris. Med en kris avses, enligt den nationella definition som gäller för samhällets krisberedskap, en händelse som drabbar eller berör många människor och stora delar av samhället samt hotar grundläggande värden och funktioner. Händelsen avviker från det normala, innebär en allvarlig störning eller överhängande risk för en allvarlig störning i viktiga samhällsfunktioner och kräver skyndsamma insatser. För att samhället ska kunna hantera en allvarlig händelse eller kris krävs att förberedande och förebyggande åtgärder genomförs, t.ex. i syfte att öka robustheten och därmed motståndskraften för funktioner och system i samhällsviktig verksamhet. Arbetet med att utveckla samhällets krisberedskap omfattar också att funktionaliteten i samhällsviktig verksamhet så snabbt som möjligt efter en störning återgår till det normala. Arbetet med att utveckla samhällets krisberedskap sker fortlöpande och omfattar således åtgärder före, under och efter en allvarlig händelse eller kris. Krisens karaktär, längd och svårighetsgrad är dimensionerande för de åtgärder som måste vidtas för att trygga den berörda verksamhetens funktion under dessa förhållanden.