rir · H1B514 · 2013-11-18 00:00:00 — Vidare ska funktionen kontrollera och bedöma fondens regelefterlevnad, följa upp åtgärder och rapportera till vd och styrelse. Av riktlinjerna framgår att funktionen ska vara oberoende, permanent och effektiv. Trots att styrelsen tidigare i riktlinjerna beskriver att fonden förvaltar ett omfattande kapital, och att finansiella instrument som används i förvaltningen kan betraktas som komplexa, hänvisar styrelsen även här till proportionalitetsprincipen när den uttrycker att organisationen är liten 107 Intervju med Sjunde AP-fonden . SJUNDE AP-FONDEN – SVARAR FÖRVALTNINGEN AV PREMIEPENSIONEN MOT SPARARNAS KRAV? och fonderna få. Enligt styrelsen talar det sammantaget emot att inrätta en heltidstjänst för funktionen och den regelverksansvarige kan därför ges andra arbetsuppgifter även om den regelansvarige så långt som möjligt ska hållas utanför den operativa verksamheten. Enligt uppgift från fonden arbetade regelverksansvarig ungefär halvtid med uppgifter som inte var kopplade till uppdraget som regelverksansvarig.108 Internrevisionens granskning 2012 visade att regelverksansvarig behöver mer tid för kontrollarbete. På styrelsemötet fanns en separat punkt i protokollet där det framgick att regelverksansvarig lämnat rapport om regelefterlevnad till styrelsen. Det dröjde innan den första årliga skriftliga rapporten om fondens regelefterlevnad lämnades till styrelsen. 4.2.7Fonden har saknat internrevision Sjunde AP-fonden framhöll länge i sina styrdokument som berör intern styrning och kontroll att fonden inte hade behov av en särskild internrevisionsfunktion. Det fastställde styrelsen senast . Styrelsen använde inte möjligheten att ge särskilda granskningsuppdrag inom internrevision. ändrade styrelsen ståndpunkt och på styrelsemötet behandlades bland annat framtagande av granskningsplan för internrevisionen. På styrelsemötet föreslogs inrättandet av ett revisionsutskott. Utskottet består av tre styrelseledamöter och där extern- och internrevisorer, vd och administrativ chef deltar som adjungerade. I riktlinjer för internrevision, som uppdaterades , framhåller styrelsen att en oberoende granskningsfunktion (internrevision) fyller en viktig funktion för att styrelsen ska kunna fullgöra sitt ansvar att följa upp och kontrollera verksamheten. Styrelsen hänvisar åter till proportionalitetsprincipen när det gäller beslutet att inte inrätta en egen funktion utan istället ge uppdraget till en revisionsfirma. Av riktlinjerna framgår att internrevisionens uppgifter är att undersöka och bedöma att fondens system, interna kontrollmekanismer och rutiner är tillämpliga och effektiva. Vidare ska internrevisionen lägga särskild vikt vid uppföljning av riskhantering, riskkontroll och regelefterlevnad. Arbetet ska normalt omfatta två av styrelsen beslutade granskningsområden . Ledningen har tidigare budgeterat för uppdraget och enligt fonden har man dubblerat budgeten för 2013.109 Internrevisionen ska i samråd med revisionsutskottet ta fram ett förslag till granskningsplan. Rapporteringen sker till revisionsutskottet, samt en gång till hela styrelsen. Rapporteringen ska vara skriftlig och stämmas av med ledningen, vars kommentarer ska infogas i rapporten. Den första årliga skriftliga rapporten från internrevision lämnades till styrelsen . 108Intervju med Sjunde AP-fonden . 109Skriftlig uppgift från Sjunde AP-fonden . GRANSKAR: HÅLLBARA PENSIONER 4.2.8 Riktlinjer för utlagd verksamhet fastställdes sent Sjunde AP-fonden har ända sedan starten bedrivit verksamheten genom att väsentliga delar av förvaltningen har lagts ut till externa förvaltare. andra verksamhetskritiska tjänster som depåbank, viss ekonomihantering och funktioner inom IT hanteras genom uppdragsavtal. Fonden har tidigare, trots den stora omfattningen av uppdragsavtal, saknat styrdokument för hanteringen av dessa. rekommenderade externrevisorerna att processen att följa upp uppdragsavtal kunde förbättras. Det ledde till att särskilda riktlinjer för utlagd verksamhet fastställdes av styrelsen . När det gäller uppföljning och kontroll föreskrivs det att all utlagd verksamhet ska utvärderas löpande, men det framgår inte hur och till vem avrapportering ska göras internt inom fonden. När det gäller incidentrapportering från uppdragstagare är det verksamhetsansvarig som ansvarar för att informera dessa om rutinen och att incidenter rapporteras till regelverksansvarig. I följande avsnitt beskrivs intern styrning och kontroll av risker, det vill säga riskhanteringsprocessen inom Sjunde AP-fonden. Hanteringen av risker brukar delas upp i riskidentifiering, riskvärdering, riskmitigering110 och riskkontroll i form av uppföljning och utvärdering av riskerna och riskhanteringen. Riskhantering består alltså både av hanteringen av de specifika riskerna och av de interna processer som säkerställer att de ingående delmomenten kan leda fram till en övergripande riskanalys och riskkontroll. Riskhanteringsprocessen är beroende av en väl fungerande rapportstruktur. har granskat dessa områden genom att undersöka hur fonden har arbetat med att hantera incidenter och andra sätt att identifiera risker samt hur begränsningen av risker i form av limithantering har fungerat. Ett annat väsentligt område som granskats är fondens riskrapportering på olika nivåer, med visst fokus på rapporteringen till styrelsen. Riskhanteringsprocessen i Sjunde AP-fonden börjar med att styrelsen fastställer fondens strategiska mål och den risknivå de är villiga att exponera fonden mot för att kunna nå det strategiska målet. noterar att Sjunde AP-fonden inte använder metoden Value at Risk (VaR) för att mäta risktagandet. Det är en beräkningsmodell som kan användas för att väga samman olika risker till ett sammantaget kvantifierat värde. Genom att använda VaR kan man definiera storleken på det riskerade beloppet hos en investering med en viss sannolikhet och över . Fonden gjorde en del utvecklingsarbete kring VaR , men det ledde inte 110 Olika former av riskbegränsning. SJUNDE AP-FONDEN – SVARAR FÖRVALTNINGEN AV PREMIEPENSIONEN MOT SPARARNAS KRAV? till att metoden infördes. Enligt Sjunde AP-fonden kan det finnas behov av mer framåtblickande riskarbete genom VaR om fonden börjar använda nya strategier i den aktiva förvaltningen.111 För att säkerställa att risktagandet inte överskrids fastställs Sjunde AP-fondens risktolerans genom de limiter som sätts av styrelsen eller av vd:n inom den ram som styrelsen har beslutat. Risktagandet begränsas även av de lagstadgade limiter som Sjunde AP-fonden måste följa. Syftet med interna limiter är att säkerställa att man som fondförvaltare håller förvaltningsstrategin och kontraktet med spararna samt att man inte bryter mot de lagstadgade limiterna. För att säkerställa att limiter inte överskrids behövs en strukturerad löpande rapportering och uppföljning av att risktagandet genomförs. Det är ansvariga chefer inom första försvarslinjen som har ansvar för att rapportera till kontrollfunktionerna i andra försvarslinjen. Kontrollfunktionerna i andra försvarslinjen ska både analysera innehållet i rapporterna och övervaka att riskhanteringen i första försvarslinjen fungerar, så att rapporterna är rättvisande. Riskhanteringsprocessen kan i detta avseende beskrivas som ett signalsystem som till exempel varnar i takt med att säkerhetsmarginaler till limiter minskar. Syftet är att Sjunde AP-fonden ska få tid att vidta åtgärder för att förhindra att limitöverträdelser sker. 4.3.1Riskägarnas ansvar för riskhantering i verksamheten har inte tydliggjorts Ledningen och andra ansvariga i verksamheten är riskägare i den första försvarslinjen och har ansvar både för att ta risker i syfte att öka avkastningen och för att begränsa dessa risker. Det innebär att det kan uppstå motsättningar mellan viljan att öka risktagandet och benägenheten att begränsa riskerna. Riskägarnas ansvar är inte definierat i riskhanteringsplanen. För att följa upp att riskägarna i verksamheten fullgör sitt ansvar krävs en löpande rapportering från dessa till den riskansvarige. granskning visar att riskhanteringsplanen endast innehåller få och begränsade anvisningar om hur den rapporteringen ska fullgöras. I riskhanteringskommittén sker bland annat uppföljning av risker och riskhantering. Kommittén består av vd:n, chefen för administration, regelverksansvarige och riskansvarige. Vd:n beslutar efter samråd med kommitténs ledamöter och vd:n kan utse ytterligare ledamöter bland Sjunde AP-fondens anställda. Den riskansvarige är sammankallande och föredragande i kommittén. 111 Intervju med Sjunde AP-fonden . GRANSKAR: HÅLLBARA PENSIONER I aktuell riskhanteringsplan beskrivs operativa risker, men avsnittet om riskbegränsning av operativa risker är mycket kort. Det består av ett par rader om att Sjunde AP-fonden tillämpar dualitetsprincipen i hanteringen av samtliga transaktioner. Någon närmare beskrivning kring hur detta ska göras eller följas upp finns inte. Därtill följer ett kort avsnitt om att en årlig kartläggning av operativa risker ska göras, där varje risk ska värderas utifrån sannolikhet och konsekvens. Sammanfattningsvis saknas enligt förtydligande om ansvaret för att hantera operativa risker och för hur fonden avser att begränsa dessa. Det finns inte heller något separat styrdokument med riktlinjer för hantering av operativa risker. granskning visar att ledningen tillsammans med riskägare inte har genomfört löpande riskkartläggningar tidigare. Genom riskkartläggningar ökas medvetenheten om verksamhetens risker och hur ansvaret för risktagande och riskbegränsning i första försvarslinjen ser ut. Ledningen genomförde en första riskkartläggning 2012 i syfte att identifiera de viktigaste riskområdena och för att ta fram underlag inför framtagandet av internrevisionens granskningsplan. Denna riskkartläggning resulterade i en riskmatris över de väsentligaste riskerna med en bedömning om sannolikhet och inverkan. kan dock konstatera att ledning och styrelse i avsaknad av tidigare riskkartläggningar och riskmatriser inte har kunnat utveckla en systematisk uppföljning av fondens väsentligaste risker. Det innebär också att ledning och styrelse inte haft tillgång till sådana underlag när prioriteringar av investeringar i den egna verksamheten skulle göras. har noterat att externrevisorerna 2007 rekommenderade att incidenthantering skulle införas vilket också gjordes. infördes mer utvecklade rutiner för att hantera incidenter, både IT-incidenter och incidenter av annan karaktär. kan dock konstatera att Sjunde AP- fonden saknat ett incidentregister vilket innebär att samlad och strukturerad information saknats om sådana incidenter eller händelser som kan ha inträffat internt eller hos fondens uppdragstagare. Enligt uppgift från Sjunde AP-fonden har ett första steg till register införts genom att regelverksansvarig samlar in och arkiverar incidentrapporter.112 4.3.2Kontrollfunktionernas ansvar och gränsdragningen mot verksamheten Syftet med att riskhanteringsfunktionen och regelefterlevnadsfunktionen ska vara självständiga både vad gäller resurser och kompetens är att säkerställa att de kan fullgöra sitt uppdrag att övervaka och kontrollera riskägarna. Enligt är det viktigt att gränsdragningen mellan första och andra försvarslinjen är tydlig och att samordningen mellan de två kontrollfunktionerna fungerar. 112 Intervju med Sjunde AP-fonden . SJUNDE AP-FONDEN – SVARAR FÖRVALTNINGEN AV PREMIEPENSIONEN MOT SPARARNAS KRAV? Internrevision har som tredje försvarslinje bland annat ansvar att granska att andra försvarslinjen fullgör sina uppdrag och skyldighet att rapportera direkt till styrelsen. Dessa kontrollfunktioner i andra och tredje försvarslinjen ska analysera och bedöma systemet för riskhantering och regelefterlevnad och de processer som ingår. Deras rapporter är ett stöd för ledning och styrelse. fick styrelsen årliga rapporter från riskansvarige och regelefterlevnadsfunktionen. Årsrapporten för regelefterlevnad innehåller bland annat en beskrivning av regelverk och regelutveckling samt noterade brister i regelefterlevnaden och vidtagna åtgärder.113 Till årsrapporten hör Den årliga riskrapporten innehåller en analys och bedömning av Sjunde AP-fondens system för riskhantering, identifierade brister och redovisning av åtgärder som vidtagits eller bör övervägas men någon granskningsplan för riskhanteringsfunktionen har inte tagits fram.114 4.3.3Styrelsen har inte ställt krav på fondens riskrapportering Styrelsen har det yttersta ansvaret för riskhanteringen och för att vd:n säkerställer en ändamålsenlig organisation även i detta avseende. Styrelsen har ansvar för att fastställa de limiter som krävs för att upprätthålla ett tillfredsställande riskhanteringssystem. Om limitsättning i vissa delar har delegerats till vd:n har styrelsen ansvar för att följa upp detta. Det är styrelsen som är ansvarig för att den får den rapportering och de beslutsunderlag som behövs. granskning av styrelseprotokoll visar att skriftlig rapportering om den interna kontrollen, inklusive övergripande rapporter om riskkontroll, har saknats då rutiner för rapportering från de införda kontrollfunktionerna tillkom. konstaterar också att styrelsen inte har utvärderat hur riskrapporteringen har fungerat. 4.4Bristande styrning och kontroll och dess konsekvenser har uppmärksammat ett antal konsekvenser som uppkommit till följd av att Sjunde AP-fondens interna styrning och kontroll inte fungerat på ett ändamålsenligt sätt. Det handlar närmare om att en informell riskkultur har utvecklats, att rapporteringen om riskerna inte är heltäckande och att verksamheten bedrivits på ett sådant sätt att flera allvarliga limitöverträdelser skett. har även uppmärksammat att styrelsen har vidtagit åtgärder för att rätta till brister . 113AP7 (2013) Funktion för regelefterlevnad - Årsrapport och granskningsplan 2013. 114AP7 (2013) Riskrapport . GRANSKAR: HÅLLBARA PENSIONER 4.4.1Brister inom intern styrning och kontroll kan orsaka förluster för spararna Brister i den interna styrningen och kontrollen skulle enligt kunna leda till att Sjunde AP-fondens agerande orsakar förluster för spararna. Här avses inte sådana förluster som följer av att fondsparare tar finansiella risker i sin placering. Istället avses sådana förluster som direkt kan ha orsakats av fonden, exempelvis om fonden skulle brista i hanteringen av operativa risker. Det kan gälla att förvaltare inte följer fondens riktlinjer och går utanför vad som är tillåtet, att en anställd döljer problem eller risker som borde rapporteras för att kunna åtgärdas eller på annat sätt handlar bedrägligt. Om en sådan situation skulle uppstå kan fonden bli skyldig att betala skadestånd. Rent formellt är det som kan väcka talan mot Sjunde AP-fonden.115 I fall att skadestånd skulle utkrävas av Sjunde AP-fonden ska skadeståndet betalas till som företräder spararna genom att vara den ende fondandelsägaren. Sjunde AP-fonden har till skillnad från privata fondbolag inget eget kapital. För att finansiera ett högt skadestånd, till exempel vid en grupptalan, riskerar staten att antingen behöva skjuta till pengar eller öka krediten till Sjunde AP-fonden. Sjunde AP-fondens egna anställda är få och personalomsättningen har varit låg. granskning visar att Sjunde AP-fonden både i styrdokument och vid intervjuer refererat till fonden som en liten organisation och att styrning och kontroll kan anpassas efter detta. Sjunde AP-fonden har stort fokus på att hålla låga kostnader vilket kan ha bidragit till att kompetensen inom området intern styrning och kontroll har varit lägre. konstaterar att det funnits en informell riskkultur inom fondorganisationen. Det riskhanteringsarbete som Sjunde AP-fonden har utfört i första försvarslinjen har inte kunnat övervakas och kontrolleras i tillräcklig omfattning då rutiner och resurser inte har varit tillräckliga. Ett tecken på informell riskkultur är att fonden inte har haft tillräcklig kontroll på att interna regler följts av de anställda. noterar också att ledningens uppföljning av att Sjunde AP- fondens anställda och styrelseledamöter följer gällande regler om egna värdepappersaffärer har åsidosatts. finns en strukturerad uppföljning. Det framkommer dock i den senaste uppföljningen att inte alla berörda följt regelverket. 115 64 kap. 32 § socialförsäkringsbalk (2010:110). SJUNDE AP-FONDEN – SVARAR FÖRVALTNINGEN AV PREMIEPENSIONEN MOT SPARARNAS KRAV? 4.4.3 Riskrapporteringen till styrelsen har inte gett en rättvisande bild granskning av samtliga styrelseprotokoll och relevanta bilagor har bland annat inriktats på rapportering om intern styrning och kontroll och riskhantering. –2005 hade styrelsen Rapport avseende riskkontroll som stående punkt på dagordningen, och rapporteringen var då inriktad på de finansiella riskerna. användes rubriceringen Rapport om interna kontrollen av risker i förvaltningen och risker i övrigt och riskkontroll av hela verksamheten omfattades . Rapportering till styrelsen mellan 2000–2011 gjordes från verksamhetsansvariga, det vill säga chefer från första försvarslinjen, då självständiga kontrollfunktioner saknades. Av tidigare styrdokument framgår att rapporteringen skulle vara inriktad på avvikelser och viktigare iakttagelser. Det fanns inga krav på övergripande analys av den interna styrningen eller kontrollen, eller av de sammantagna riskerna, analyser som kunde ha legat till grund för styrelsens uppföljning och utvärdering av intern styrning, kontroll och riskhantering. –2011 rapporterade ledningen vid mer än hälften av styrelsemötena att det inte fanns några problem med limitöverträdelser eller andra avvikelser. rapporterade ledningen på de resterande styrelsemötena att det funnits problem av olika slag. menar därför att det inte funnits någon övergripande och uppföljande riskanalys, utan att rapporteringen endast varit inriktad på den aktuella riskexponeringen vid rapporteringstillfället. Enligt har riskrapporteringen varit fokuserad på de finansiella riskerna. Ledningen har inte haft något att rapportera avseende övriga risker i verksamheten, trots att sådana brister redovisats i externrevisorernas årsrapporter. Externrevisorernas rapportering om den interna kontrollen I riskhanteringsplanen hänvisar Sjunde AP-fonden till externrevisorernas rapportering om intern kontroll. När gått igenom samtliga årliga rapporter från externrevisorerna framkommer att revisorerna gjort generella uttalanden om att den interna kontrollen är god. har externrevisorerna, i samma rapporter, lämnat synpunkter eller rekommendationer på specifika brister. Det har, förutom det som nämnts avsnitt 4.2.1, gällt problem med värdering av tillgångar, limitöverträdelser eller annat. genomgång visar också att externrevisorerna har tydliggjort för styrelse och ledning att deras bedömning av den interna kontrollen är kopplad till den finansiella rapporteringen. Av årsrapporten framgår att: Omfattningen av vår granskning av den interna kontrollen baseras på vår riskanalys. Våra noteringar täcker inte in alla svagheter i rutiner och intern kontroll. Vidare har externrevisorerna i de senaste två årens revisionsberättelser, i likhet med andra GRANSKAR: HÅLLBARA PENSIONER revisorer, infört en standardformulering som innebär en friskrivning från visst ansvar: Vid denna riskbedömning beaktar revisorn de delar av den interna kontrollen som är relevanta för hur fonden upprättar årsredovisningen för att ge en rättvisande bild i syfte att utforma granskningsåtgärder som är ändamålsenliga med hänsyn till omständigheterna, men inte i syfte att göra ett uttalande om effektiviteten i fondens interna kontroll. Sammantaget bedömer att styrelsen inte har fått en rättvisande bild av verksamheten då kontrollfunktioner och övergripande riskanalyser har saknats. Ledningens bristande rapportering om övriga risker i verksamheten har också bidragit till detta. Eftersom externrevisorernas granskning av intern styrning och kontroll inte är heltäckande bedömer att deras granskning inte kan ersätta en intern utvärdering utan endast kan ses som ett underlag för bedömning. 4.4.4 Limitöverträdelser och andra problem i riskhanteringen Sjunde AP-fonden ska definiera och fastställa lämpliga limitnivåer som sedan ska övervakas för att förhindra att limitöverträdelser sker. Om risktagandet riskerar att bli för stort kan fonden agera genom att minska risktagandet så att limiten inte överträds. Sjunde AP-fonden måste följa en del av de limiter som anges i lagen (2004:46) om värdepappersfonder och av lagen (2000:192) om allmänna pensionsfonder (AP-fonder). Utöver dessa ska fonden sätta egna limiter som är anpassade till fondens risktolerans och dessa limiter anges i riskhanteringsplanen. Det innebär att fonden har möjlighet att minst analysera, omdefiniera och ändra egna limiter i de fall limitnivån inte längre Denna limithantering är alltså väsentlig för att styra och kontrollera placeringsverksamheten och förhindra att limitöverträdelser sker. konstaterar att ett flertal limitöverträdelser har rapporterats till styrelsen –2012 och att det är olika slag av risktagande som har överskridits. De rapporterade limitöverträdelserna var färre –2007. granskning visar att två överträdelser inneburit att Sjunde AP-fonden brutit mot lagstadgade limiter116 och att fonden haft problem att hantera riskerna med aktiva mandat och derivatanvändning vilket lett till limitöverträdelser. 1165 kap. 3 § lag (2000:192) om allmänna pensionsfonder (AP-fonder) och 5 kap. 6 § lag (2004:46) om värdepappersfonder. SJUNDE AP-FONDEN – SVARAR FÖRVALTNINGEN AV PREMIEPENSIONEN MOT SPARARNAS KRAV? Bristande förmåga att hantera limiter har särskilt granskat vilka limitöverträdelser som skett , 2008–2012, för att bedöma hur riskhanteringen har fungerat före och efter omläggningen. rapporterades ett tiotal limitöverträdelser till styrelsen. har här bortsett från de överträdelser som orsakades av extrema förhållanden under finanskrisen . Limitnivåer och limithantering ska visserligen fungera i både bra och dåliga marknadslägen, men i samband med finanskrisen var det sannolikt olämpligt, kanske även omöjligt, att agera enligt normala rutiner. har noterat ett handlingsmönster i omhändertagandet av limitöverträdelser. Det har bestått i att ledningen på styrelsemöten muntligen rapporterat om limitöverträdelser och föreslagit en ändring av limiten så att risktagandet ryms inom den nya limiten. Det saknas skriftliga redogörelser till styrelsen om bakgrund och orsaker till överträdelserna. Styrelsen har därefter beslutat enligt ledningens förslag. genomgång av protokoll visar att limitöverträdelser skett vid nio tillfällen. Den senaste noteringen är från styrelsemötet då ledningen redogjorde för alternativa lösningar och därefter beslutade styrelsen att justera limiten vilket innebar en viss riskökning. De inträffade överträdelserna visar på att Sjunde AP-fonden i dessa fall inte har lyckats att förebygga överträdelserna genom att analysera och följa fondens risktagande. Överträdelse av lagstadgade limiter Sjunde AP-fondens riskhanteringssystem har inte förhindrat att fonden brutit mot lagstadgade limiter. På styrelsemötet rapporterade ledningen att den legala limiten117 att säkerställda obligationer från en och samma emittent118 får uppgå till max hade överskridits. Enligt uppgift till var denna överträdelse mycket kortvarig. bröts den legala limiten119 om att Sjunde AP-fonden maximalt får inneha av röstetalet för samtliga aktier i ett bolag. Sjunde AP-fonden upptäckte överträdelsen då händelsen också anmäldes till . Anmälan om överträdelsen skulle ha gjorts senast en handelsdag efter överträdelsen. beslutade att Sjunde AP- fonden skulle betala en straffavgift på för försenad anmälan.120 Denna överträdelse upptäcktes inte av fondens riskhanteringssystem utan 1175 kap. 6 § lag (2004: 46) om värdepappersfonder. 118Utgivare av obligation. 1195 kap. 3 § lag (2000:192) om allmänna pensionsfonder (AP-fonder).