prop · H103109 · 2014-03-05 00:00:00 — Kontrollfunktionerna i andra försvarslinjen ska både analysera innehållet i rapporterna och övervaka att riskhanteringen i första försvarslinjen fungerar, så att rapporterna är rättvisande. Riskhanteringsprocessen kan i detta avseende beskrivas som ett signalsystem som till exempel varnar i takt med att säkerhetsmarginaler till limiter minskar. Syftet är att Sjunde AP-fonden ska få tid att vidta åtgärder för att förhindra att limitöverträdelser sker. 4.3.1Riskägarnas ansvar för riskhantering i verksamheten har inte tydliggjorts Ledningen och andra ansvariga i verksamheten är riskägare i den första försvarslinjen och har ansvar både för att ta risker i syfte att öka avkastningen och för att begränsa dessa risker. Det innebär att det kan uppstå motsättningar mellan viljan att öka risktagandet och benägenheten att begränsa riskerna. Riskägarnas ansvar är inte denierat i riskhanteringsplanen. För att följa upp att riskägarna i verksamheten fullgör sitt ansvar krävs en löpande rapportering från dessa till den riskansvarige. granskning visar att riskhanteringsplanen endast innehåller få och begränsade anvisningar om hur den rapporteringen ska fullgöras. I riskhanteringskommittén sker bland annat uppföljning av risker och riskhantering. Kommittén består av vd:n, chefen för administration, regelverksansvarige och riskansvarige. Vd:n beslutar efter samråd med kommitténs ledamöter och vd:n kan utse ytterligare ledamöter bland Sjunde AP-fondens anställda. Den riskansvarige är sammankallande och föredragande i kommittén. 111 Intervju med Sjunde AP-fonden . granskar: hållbara pensioner I aktuell riskhanteringsplan beskrivs operativa risker, men avsnittet om riskbegränsning av operativa risker är mycket kort. Det består av ett par rader om att Sjunde AP-fonden tillämpar dualitetsprincipen i hanteringen av samtliga transaktioner. Någon närmare beskrivning kring hur detta ska göras eller följas upp nns inte. Därtill följer ett kort avsnitt om att en årlig kartläggning av operativa risker ska göras, där varje risk ska värderas utifrån sannolikhet och konsekvens. Sammanfattningsvis saknas enligt förtydligande om ansvaret för att hantera operativa risker och för hur fonden avser att begränsa dessa. Det nns inte heller något separat styrdokument med riktlinjer för hantering av operativa risker. granskning visar att ledningen tillsammans med riskägare inte har genomfört löpande riskkartläggningar tidigare. Genom riskkartläggningar ökas medvetenheten om verksamhetens risker och hur ansvaret för risktagande och riskbegränsning i första försvarslinjen ser ut. Ledningen genomförde en första riskkartläggning 2012 i syfte att identiera de viktigaste riskområdena och för att ta fram underlag inför framtagandet av internrevisionens granskningsplan. Denna riskkartläggning resulterade i en riskmatris över de väsentligaste riskerna med en bedömning om sannolikhet och inverkan. kan dock konstatera att ledning och styrelse i avsaknad av tidigare riskkartläggningar och riskmatriser inte har kunnat utveckla en systematisk uppföljning av fondens väsentligaste risker. Det innebär också att ledning och styrelse inte haft tillgång till sådana underlag när prioriteringar av investeringar i den egna verksamheten skulle göras. har noterat att externrevisorerna 2007 rekommenderade att incidenthantering skulle införas vilket också gjordes. infördes mer utvecklade rutiner för att hantera incidenter, både IT-incidenter och incidenter av annan karaktär. kan dock konstatera att Sjunde AP- fonden saknat ett incidentregister vilket innebär att samlad och strukturerad information saknats om sådana incidenter eller händelser som kan ha inträat internt eller hos fondens uppdragstagare. Enligt uppgift från Sjunde AP-fonden har ett första steg till register införts genom att regelverksansvarig samlar in och arkiverar incidentrapporter.112 4.3.2Kontrollfunktionernas ansvar och gränsdragningen mot verksamheten Syftet med att riskhanteringsfunktionen och regelefterlevnadsfunktionen ska vara självständiga både vad gäller resurser och kompetens är att säkerställa att de kan fullgöra sitt uppdrag att övervaka och kontrollera riskägarna. Enligt är det viktigt att gränsdragningen mellan första och andra försvarslinjen är tydlig och att samordningen mellan de två kontrollfunktionerna fungerar. 112 Intervju med Sjunde AP-fonden . sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? Internrevision har som tredje försvarslinje bland annat ansvar att granska att andra försvarslinjen fullgör sina uppdrag och skyldighet att rapportera direkt till styrelsen. Dessa kontrollfunktioner i andra och tredje försvarslinjen ska analysera och bedöma systemet för riskhantering och regelefterlevnad och de processer som ingår. Deras rapporter är ett stöd för ledning och styrelse. ck styrelsen årliga rapporter från riskansvarige och regelefterlevnadsfunktionen. Årsrapporten för regelefterlevnad innehåller bland annat en beskrivning av regelverk och regelutveckling samt noterade brister i regelefterlevnaden och vidtagna åtgärder.113 Till årsrapporten hör Den årliga riskrapporten innehåller en analys och bedömning av Sjunde AP-fondens system för riskhantering, identierade brister och redovisning av åtgärder som vidtagits eller bör övervägas men någon granskningsplan för riskhanteringsfunktionen har inte tagits fram.114 4.3.3Styrelsen har inte ställt krav på fondens riskrapportering Styrelsen har det yttersta ansvaret för riskhanteringen och för att vd:n säkerställer en ändamålsenlig organisation även i detta avseende. Styrelsen har ansvar för att fastställa de limiter som krävs för att upprätthålla ett tillfredsställande riskhanteringssystem. Om limitsättning i vissa delar har delegerats till vd:n har styrelsen ansvar för att följa upp detta. Det är styrelsen som är ansvarig för att den får den rapportering och de beslutsunderlag som behövs. granskning av styrelseprotokoll visar att skriftlig rapportering om den interna kontrollen, inklusive övergripande rapporter om riskkontroll, har saknats då rutiner för rapportering från de införda kontrollfunktionerna tillkom. konstaterar också att styrelsen inte har utvärderat hur riskrapporteringen har fungerat. 4.4Bristande styrning och kontroll och dess konsekvenser har uppmärksammat ett antal konsekvenser som uppkommit till följd av att Sjunde AP-fondens interna styrning och kontroll inte fungerat på ett ändamålsenligt sätt. Det handlar närmare om att en informell riskkultur har utvecklats, att rapporteringen om riskerna inte är heltäckande och att verksamheten bedrivits på ett sådant sätt att era allvarliga limitöverträdelser skett. har även uppmärksammat att styrelsen har vidtagit åtgärder för att rätta till brister . 113AP7 (2013) Funktion för regelefterlevnad - Årsrapport och granskningsplan 2013. 114AP7 (2013) Riskrapport . granskar: hållbara pensioner 4.4.1Brister inom intern styrning och kontroll kan orsaka förluster för spararna Brister i den interna styrningen och kontrollen skulle enligt kunna leda till att Sjunde AP-fondens agerande orsakar förluster för spararna. Här avses inte sådana förluster som följer av att fondsparare tar nansiella risker i sin placering. Istället avses sådana förluster som direkt kan ha orsakats av fonden, exempelvis om fonden skulle brista i hanteringen av operativa risker. Det kan gälla att förvaltare inte följer fondens riktlinjer och går utanför vad som är tillåtet, att en anställd döljer problem eller risker som borde rapporteras för att kunna åtgärdas eller på annat sätt handlar bedrägligt. Om en sådan situation skulle uppstå kan fonden bli skyldig att betala skadestånd. Rent formellt är det som kan väcka talan mot Sjunde AP-fonden.115 I fall att skadestånd skulle utkrävas av Sjunde AP-fonden ska skadeståndet betalas till som företräder spararna genom att vara den ende fondandelsägaren. Sjunde AP-fonden har till skillnad från privata fondbolag inget eget kapital. För att nansiera ett högt skadestånd, till exempel vid en grupptalan, riskerar staten att antingen behöva skjuta till pengar eller öka krediten till Sjunde AP-fonden. Sjunde AP-fondens egna anställda är få och personalomsättningen har varit låg. granskning visar att Sjunde AP-fonden både i styrdokument och vid intervjuer refererat till fonden som en liten organisation och att styrning och kontroll kan anpassas efter detta. Sjunde AP-fonden har stort fokus på att hålla låga kostnader vilket kan ha bidragit till att kompetensen inom området intern styrning och kontroll har varit lägre. konstaterar att det funnits en informell riskkultur inom fondorganisationen. Det riskhanteringsarbete som Sjunde AP-fonden har utfört i första försvarslinjen har inte kunnat övervakas och kontrolleras i tillräcklig omfattning då rutiner och resurser inte har varit tillräckliga. Ett tecken på informell riskkultur är att fonden inte har haft tillräcklig kontroll på att interna regler följts av de anställda. noterar också att ledningens uppföljning av att Sjunde AP- fondens anställda och styrelseledamöter följer gällande regler om egna värdepappersaärer har åsidosatts. nns en strukturerad uppföljning. Det framkommer dock i den senaste uppföljningen att inte alla berörda följt regelverket. 115 64 kap. 32 § socialförsäkringsbalk (2010:110). sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? 4.4.3 Riskrapporteringen till styrelsen har inte gett en rättvisande bild granskning av samtliga styrelseprotokoll och relevanta bilagor har bland annat inriktats på rapportering om intern styrning och kontroll och riskhantering. –2005 hade styrelsen Rapport avseende riskkontroll som stående punkt på dagordningen, och rapporteringen var då inriktad på de nansiella riskerna. användes rubriceringen Rapport om interna kontrollen av risker i förvaltningen och risker i övrigt och riskkontroll av hela verksamheten omfattades . Rapportering till styrelsen mellan 2000–2011 gjordes från verksamhetsansvariga, det vill säga chefer från första försvarslinjen, då självständiga kontrollfunktioner saknades. Av tidigare styrdokument framgår att rapporteringen skulle vara inriktad på avvikelser och viktigare iakttagelser. Det fanns inga krav på övergripande analys av den interna styrningen eller kontrollen, eller av de sammantagna riskerna, analyser som kunde ha legat till grund för styrelsens uppföljning och utvärdering av intern styrning, kontroll och riskhantering. –2011 rapporterade ledningen vid mer än hälften av styrelsemötena att det inte fanns några problem med limitöverträdelser eller andra avvikelser. rapporterade ledningen på de resterande styrelsemötena att det funnits problem av olika slag. menar därför att det inte funnits någon övergripande och uppföljande riskanalys, utan att rapporteringen endast varit inriktad på den aktuella riskexponeringen vid rapporteringstillfället. Enligt har riskrapporteringen varit fokuserad på de nansiella riskerna. Ledningen har inte haft något att rapportera avseende övriga risker i verksamheten, trots att sådana brister redovisats i externrevisorernas årsrapporter. Externrevisorernas rapportering om den interna kontrollen I riskhanteringsplanen hänvisar Sjunde AP-fonden till externrevisorernas rapportering om intern kontroll. När gått igenom samtliga årliga rapporter från externrevisorerna framkommer att revisorerna vid era tillfällen gjort generella uttalanden om att den interna kontrollen är god. har externrevisorerna, i samma rapporter, lämnat synpunkter eller rekommendationer på specika brister. Det har, förutom det som nämnts avsnitt 4.2.1, gällt problem med värdering av tillgångar, limitöverträdelser eller annat. genomgång visar också att externrevisorerna har tydliggjort för styrelse och ledning att deras bedömning av den interna kontrollen är kopplad till den nansiella rapporteringen. Av årsrapporten framgår att: Omfattningen av vår granskning av den interna kontrollen baseras på vår riskanalys. Våra noteringar täcker inte in alla svagheter i rutiner och intern kontroll. Vidare har externrevisorerna i de senaste två årens revisionsberättelser, i likhet med andra granskar: hållbara pensioner revisorer, infört en standardformulering som innebär en friskrivning från visst ansvar: Vid denna riskbedömning beaktar revisorn de delar av den interna kontrollen som är relevanta för hur fonden upprättar årsredovisningen för att ge en rättvisande bild i syfte att utforma granskningsåtgärder som är ändamålsenliga med hänsyn till omständigheterna, men inte i syfte att göra ett uttalande om eektiviteten i fondens interna kontroll. Sammantaget bedömer att styrelsen inte har fått en rättvisande bild av verksamheten då kontrollfunktioner och övergripande riskanalyser har saknats. Ledningens bristande rapportering om övriga risker i verksamheten har också bidragit till detta. Eftersom externrevisorernas granskning av intern styrning och kontroll inte är heltäckande bedömer att deras granskning inte kan ersätta en intern utvärdering utan endast kan ses som ett underlag för bedömning. 4.4.4 Limitöverträdelser och andra problem i riskhanteringen Sjunde AP-fonden ska deniera och fastställa lämpliga limitnivåer som sedan ska övervakas för att förhindra att limitöverträdelser sker. Om risktagandet riskerar att bli för stort kan fonden agera genom att minska risktagandet så att limiten inte överträds. Sjunde AP-fonden måste följa en del av de limiter som anges i lagen (2004:46) om värdepappersfonder och av lagen (2000:192) om allmänna pensionsfonder (AP-fonder). Utöver dessa ska fonden sätta egna limiter som är anpassade till fondens risktolerans och dessa limiter anges i riskhanteringsplanen. Det innebär att fonden har möjlighet att minst analysera, omdeniera och ändra egna limiter i de fall limitnivån inte längre Denna limithantering är alltså väsentlig för att styra och kontrollera placeringsverksamheten och förhindra att limitöverträdelser sker. konstaterar att ett ertal limitöverträdelser har rapporterats till styrelsen –2012 och att det är olika slag av risktagande som har överskridits. De rapporterade limitöverträdelserna var färre –2007. granskning visar att två överträdelser inneburit att Sjunde AP-fonden brutit mot lagstadgade limiter116 och att fonden haft problem att hantera riskerna med aktiva mandat och derivatanvändning vilket lett till limitöverträdelser. 1165 kap. 3 § lag (2000:192) om allmänna pensionsfonder (AP-fonder) och 5 kap. 6 § lag (2004:46) om värdepappersfonder. sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? Bristande förmåga att hantera limiter har särskilt granskat vilka limitöverträdelser som skett , 2008–2012, för att bedöma hur riskhanteringen har fungerat före och efter omläggningen. rapporterades ett tiotal limitöverträdelser till styrelsen. har här bortsett från de överträdelser som orsakades av extrema förhållanden under nanskrisen . Limitnivåer och limithantering ska visserligen fungera i både bra och dåliga marknadslägen, men i samband med nanskrisen var det sannolikt olämpligt, kanske även omöjligt, att agera enligt normala rutiner. har noterat ett handlingsmönster i omhändertagandet av limitöverträdelser. Det har bestått i att ledningen på styrelsemöten muntligen rapporterat om limitöverträdelser och föreslagit en ändring av limiten så att risktagandet ryms inom den nya limiten. Det saknas skriftliga redogörelser till styrelsen om bakgrund och orsaker till överträdelserna. Styrelsen har därefter beslutat enligt ledningens förslag. genomgång av protokoll visar att limitöverträdelser skett vid nio tillfällen. Den senaste noteringen är från styrelsemötet då ledningen redogjorde för alternativa lösningar och därefter beslutade styrelsen att justera limiten vilket innebar en viss riskökning. De inträade överträdelserna visar på att Sjunde AP-fonden i dessa fall inte har lyckats att förebygga överträdelserna genom att analysera och följa fondens risktagande. Överträdelse av lagstadgade limiter Sjunde AP-fondens riskhanteringssystem har inte förhindrat att fonden brutit mot lagstadgade limiter. På styrelsemötet rapporterade ledningen att den legala limiten117 att säkerställda obligationer från en och samma emittent118 får uppgå till max hade överskridits. Enligt uppgift till var denna överträdelse mycket kortvarig. bröts den legala limiten119 om att Sjunde AP-fonden maximalt får inneha av röstetalet för samtliga aktier i ett bolag. Sjunde AP-fonden upptäckte överträdelsen då händelsen också anmäldes Anmälan om överträdelsen skulle ha gjorts senast en handelsdag efter överträdelsen. beslutade att Sjunde AP- fonden skulle betala en straavgift på för försenad anmälan.120 Denna överträdelse upptäcktes inte av fondens riskhanteringssystem utan 1175 kap. 6 § lag (2004: 46) om värdepappersfonder. 118Utgivare av obligation. 1195 kap. 3 § lag (2000:192) om allmänna pensionsfonder (AP-fonder). 120Finansinspektionen (2012), Särskild avgift enligt lagen (1991:980) om handel med nansiella instrument, beslut (FI dnr 12-2289). Sjunde AP-fondens yttrande med anledning av för sen anmälan nns som bilaga till beslutet. granskar: hållbara pensioner uppmärksammades när depåbanken informerade om ändrade regler i . Ledningen gjorde därefter en genomgång och det för stora Fondens beskrivning av händelsen i skriftväxlingen med visar att den interna riskkontrollen inte fungerade. Det berodde på att beslutade bevakningsrutiner inte hade följts och att kontrollrutiner som kunde ha upptäckt detta saknades. Problem relaterade till användning av derivat överskreds limiten för hävstångens aktiva mandat som styrelsen beslutat om i riskhanteringsplanen. Limiten innebar att förlusten inte ck överstiga . Efter omläggningen hade hävstången ökats successivt då normalläget uppnåddes. Under infasningen hade aktiemarknaderna utvecklats positivt och avkastningen blev hög. Sjunde AP-fonden ökade därefter riskexponeringen ytterligare enligt det aktiva mandatet som innebar att hävstången kunde varieras mellan . fram beslutade vd:n efter samråd med placeringsrådet att i era steg öka hävstången till . Oron på nansmarknaderna påverkade fonden negativt och det hölls extra styrelsemöten . rapporterades att hävstångens resultat var minus och hade förlusterna ökat och överskred limiten om . Styrelsen beslutade då att tillfälligt att utöka limiten med och att det aktiva mandatet för hävstången skulle stängas om situationen förvärrades. beslutade vd:n att minska hävstången till . beslutade styrelsen att mandatet skulle tas bort och ersättas med ett mindre mandat att variera hävstången mellan . Hävstången har därefter och legat kring normalläget . noterar även att ledningen uppmärksammade styrelsen på att det fanns vissa valutarisker som var relaterade till hävstången. Ledningen som inte tidigare hade identierat dessa risker rapporterade om de eekter som kontrakten i amerikansk valuta hade gett upphov till. Det framgår av styrelseprotokollet att styrelsen noterade följande: Mot bakgrund av vad som sagts i samband med beslutet om den strategiska portföljen blev det dessutom uppenbart att det inte var tillräckligt tydligt denierat i placeringspolicyn hur denna typ av valutapåverkan skulle hanteras. För även om inga limiter bryts så har denna valutaeekt inte tydliggjorts. Ytterligare ett exempel var överträdelsen kopplad till de nansiella instrument som ledningen beslutade om att använda för att öka investeringsrisken i tillväxtmarknaderna. Beslutet togs efter alfa- och betasepareringen 2007. Dessa nansiella instrument var så kallade notes som består av en obligationsdel och en derivatdel och de medförde även en ökad kreditrisk. sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? har uppgett till att det i efterhand visat sig att de underskattade riskerna som var förenade med dessa notes och att de dragit viktiga lärdomar av sina erfarenheter. avvecklade fonden helt investeringen i notes. I tabell 1 nedan redovisas investeringsvolymen och resultatet av investeringen. Investeringsvolymen har varierat mellan cirka 6 och och det sammanlagda resultatet för perioden –2013 blev . Resultatet har dock varierat mycket kraftigt mellan åren, mellan minus och plus . utgång, miljarder kronor –5,5 –1,9 Sammantaget konstaterar att det funnits brister i Sjunde AP- fondens förmåga att hantera både risker och de riskbegränsande limiterna. När fonden valt att öka risktagandet, exempelvis genom placeringen i notes, underskattade fonden riskerna som var förenade med dessa nansiella instrument. De limitöverträdelser som inträat visar på brister i förmågan att förebygga överträdelser genom att löpande utvärdera om de egna limiterna är rätt satta. Även fondens förmåga att analysera och följa risktagandet har haft brister. 4.4.5 Styrelsens ändrade strategi och åtgärder Styrelsen har bytt strategi vilket manifesterades i Sjunde AP- fondens styrdokument 2012. Styrelsen uttrycker nu tydligt att fonden ska följa samma regler om intern styrning och kontroll som de privata fondbolagen i premiepensionssystemet. Styrelsen har förnyats och kompetens inom området har tillkommit. Fonden har infört funktioner för regelefterlevnad och internrevision och anställt en riskansvarig samt förbättrat rapporteringsrutinerna. Arbetet fortgår för att anpassa utformningen av den interna styrningen och kontrollen efter god branschstandard. Det gäller till exempel fondens planerade arbete med att utvärdera granskar: hållbara pensioner utformningen av den interna styrningen och kontrollen. I utvärderingen ingår bland annat att bedöma om resurserna är tillräckliga, graden av oberoende hos kontrollfunktionerna i andra försvarslinjen samt gränsdragningen mellan första och andra försvarslinjen. har frågat styrelse och ledning121 om det tagits några initiativ till samverkan kring kontrollfunktioner med andra myndigheter, till exempel övriga AP-fonder. Styrelse och ledning har svarat att det inte varit aktuellt. Utformningen av intern styrning och kontroll har haft allvarliga brister Sjunde AP-fonden har inte levt upp till den standard inom intern styrning och kontroll som enligt lagen (2004:46) om värdepappersfonder krävs för de privata fondbolagen inom premiepensionssystemet. De externa revisorerna har rekommenderat fonden att utveckla utformningen av den interna styrningen och kontrollen. Styrelse och ledning har hänvisat till att fonden är en liten organisation med få fonder och att utformningen av den interna styrningen har kunnat anpassas till detta. Styrelse och ledningen har stort fokus på att hålla låga kostnader. Det påverkar i sin tur omfattningen av resurser som avsätts för arbete rörande intern styrning och kontroll. Bristerna har orsakats av låg prioritering hos styrelse och ledning granskning visar att det funnits en informell riskkultur inom Sjunde AP-fonden. Det riskhanteringsarbete som fonden har utfört har inte kunnat övervakas och kontrolleras då rutiner och resurser inte har varit tillräckliga. Ett exempel på informell riskkultur är att fonden inte har haft tillräcklig kontroll av att interna regler följs av de anställda. Sjunde AP-fondens arbete med att utveckla utformningen mot branschstandard har gått långsamt fram till att styrelsen ändrade strategi 2011. Styrelsen har inte genomfört någon utvärdering av hur ledningen säkerställer den interna styrningen och kontrollen . Brister i riskhanteringen har orsakat limitöverträdelser och andra problem granskning visar att riskrapporteringen på olika nivåer har haft brister. Det har saknats skriftlig översiktlig rapportering med analys och övergripande riskbedömningar från kontrollfunktioner. Istället har styrelsen fått löpande rapportering om främst de nansiella riskerna direkt från riskägare och chefer i verksamheten. 121 Intervju med Sjunde AP-fonden och dess styrelse 2, 24 och . sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav?