prop · H103109 · 2014-03-05 00:00:00 — De pensionärer som inte klarar variationerna i pensionsutbetalningarna kan ytta sitt pensionskapital till ett alternativ med lägre risk. konstaterar att nuvarande regler innebär att man i sådana fall måste ytta hela sitt sparande från förvalsalternativet , då nuvarande regler innebär att det inte går att ha en del av sparandet i förvalsalternativet. Det innebär en nansiell risk för pensionären. Om sparandet yttas vid ett ogynnsamt tillfälle får det negativa konsekvenser för de kommande pensionsutbetalningarna. sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? granskar: hållbara pensioner 4Sjunde AP-fondens interna styrning och kontroll Den interna styrningen och kontrollen, där riskhantering ingår, är en viktig del i Sjunde AP-fondens förvaltning av verksamheten. Resultatet av Sjunde AP-fondens förvaltning av förvalsalternativet påverkas både av fondens placeringsinriktning och fondens förmåga att hantera och kontrollera riskerna i verksamheten. Det gäller både risker inom placeringsverksamheten och inom verksamheten i övrigt. Kapitlet inleds med en beskrivning av Sjunde och styrelsens ansvar för den interna styrningen och kontrollen. Det gäller ansvar att utforma den bakomliggande strukturen som bland annat ska säkerställa att styrelsen får en rättvisande bild av verksamheten och dess risker. Det gäller även ansvaret att följa upp och utvärdera om fondens arbete med intern styrning och kontroll är tillfredsställande. Därefter redogörs för utformningen av den interna styrningen och kontrollen, riskhanteringsprocessen och de iakttagelser gjort inom dessa områden. 4.1Styrelsens ansvar för intern styrning och kontroll Sjunde är ytterst ansvarig för fondens organisation och förvaltning. Det inkluderar en tillfredsställande intern styrning och kontroll av verksamheten. Styrelsens ansvar kan inte delegeras och om uppgifter delegeras till vd:n kvarstår det yttersta ansvaret hos styrelsen. Vid starten av Sjunde AP-fonden fastslog styrelsen att det faktum att tillsyn av Sjunde AP-fonden var lågt prioriterad ställde extra höga krav på styrelsen att engagera sig i kontrollfrågor. Av arbetsordningen för styrelsen framgår styrelsens odelade ansvar för fondens organisation och förvaltningen av fondens medel. Styrelsen fattar beslut om fondbestämmelserna och fastställer den årliga verksamhetsplanen med riktlinjer för placeringsverksamheten i placeringspolicyn och riskhanteringsplanen. I dessa styrdokument beslutar styrelsen om placeringsstrategier, den strategiska tillgångsförvaltningen och val av jämförelseindex. Där fastställer styrelsen även limiter för risktagandet och vilka frågor om den löpande förvaltningen som ska tas till styrelsen för beslut. sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? 4.1.2Uppdrag att handla på styrelsens vägnar Styrelsen har i enlighet med lagen om AP-fonder utsett en verkställande direktör (vd) som har i uppdrag att sköta den löpande verksamheten. Den första vd:n var verksam . Den efterföljande vd:n har varit verksam i fonden sedan starten av Sjunde AP-fonden. Av nuvarande instruktion till vd:n framgår att det är vd:ns ansvar att leda arbetet och säkerställa en ändamålsenlig organisation så att förvaltningen och övrig verksamhet fungerar. Vd:n ska se till att fonden följer lagar och fastställda instruktioner och handlingsplaner, samt se till att styrelsen får relevanta beslutsunderlag. Vd:n är också ansvarig för att rapportera väsentliga händelser till och styrelsen. Det ingår i styrelsens uppgifter att följa upp och utvärdera hur väl vd:n utför sitt uppdrag. konstaterar att styrelsens utvärdering av vd:n har behandlats i samband med styrelsemöten, men att dokumentation av utvärderingarna i form av bilagor till styrelseprotokollen saknas. 4.2Utformningen av den interna styrningen och kontrollen granskning av Sjunde AP-fondens interna styrning och kontroll omfattar , men har av aktualitetsskäl fördjupat granskningen av perioden under och efter omläggningen 2010. En god intern styrning och kontroll bygger på att det nns en genomtänkt struktur, att ansvar och processer är fastställda i styrdokument, samt att det är tydligt hur rapportering och samverkan ska ske i organisationen. genomföra detta i praktiken krävs också tillräckliga resurser i form av personal. Dokumentation av underlag och beslut är viktigt både för spårbarhet och vid utvärderingar. Sjunde AP-fonden har börjat tillämpa modellen med tre så kallade försvarslinjer, vilken beskrivs schematiskt i gur 2 nedan. I den första försvarslinjen är det riskägarna i respektive verksamhetsområde som ansvarar för att verksamheten bedrivs enligt interna riktlinjer, lagar och förordningar. Den andra försvarslinjen utgörs av funktionerna för risk och regelefterlevnad och den tredje försvarslinjen utgörs av internrevisionen. granskar: hållbara pensioner Beskrivning av de tre försvarslinjerna. 4.2.1Låg prioritering har påverkat utformningen av den interna styrningen och kontrollen granskning av styrelseprotokoll visar att styrelse och ledning inte har prioriterat området intern styrning och kontroll. Styrelsen har inte heller gjort någon utvärdering av hur ledningen säkerställer den interna styrningen och kontrollen . Frågor som berör området har behandlats av styrelse och ledning efter att det aktualiserats av yttre faktorer som rekommendationer från externrevisorer eller av förändringar i lagstiftning. Det har ofta tagit innan ledningen har presenterat förslag eller åtgärder för styrelsen. Externrevisorerna har uppmärksammat två viktiga områden inom fondens interna styrning och kontroll som är väsentliga även för De två områdena var Sjunde AP-fondens IT- och informationssäkerhetspolicy samt utformningen av den interna styrningen och kontrollen. Sjunde AP-fondens verksamhet är beroende av en fungerande IT- miljö. Externrevisorerna påpekade 2005 att fondens IT-policy och informationssäkerhetspolicy var och att dessa styrdokument till vissa delar var inaktuella. Enligt informationssäkerhetspolicyn skulle det nnas avbrotts- och katastrofplaner, men sådana saknades. Året därefter noterade externrevisorerna att fonden arbetat med att upprätta dokumentation avseende avbrotts- och katastrofplan, men att nya dokument kring IT-policy inte var uppdaterade . Enligt Sjunde AP-fonden beslutade vd:n om en avbrotts-/katastrofplan under 2006.96 Det dröjde dock till innan styrelsen tog beslut om ny IT-policy. När det gäller utformningen av den interna styrningen och kontrollen uppmärksammade externrevisorerna och 2008 ledningen och styrelsen om att fonden avviker från branschstandard och det regelverk som privata fondbolag har att följa. Externrevisorerna rekommenderade ledning och 96 Skriftlig uppgift från Sjunde AP-fonden . sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? styrelse att ta ställning till vilka delar av regelverket som skulle följas. Styrelsen tog då ställning till att Sjunde AP-fonden även fortsättningsvis skulle avvika från regelverket. Fondens arbete med att göra anpassningar av den interna styrningen och kontrollen med avsikt att följa regelverket dröjer och 2012. Ett annat exempel på att ledningen inte varit lika drivande i dessa frågor är fondens projekt 2009 inför omläggningen av förvalsalternativet. I projektet denierades och omhändertogs viktiga områden, men frågor kring behovet av att anpassa styrning, kontroll och riskhantering ingick inte. I efterhand, , konstaterade ledningen enligt ett styrelseprotokoll att Sjunde AP-fonden sedan starten inte har haft några särskilda funktioner för regelefterlevnad, riskhantering och internrevision.97 Vidare konstaterade ledningen att fonden nu har ett nytt uppdrag med nya produkter vilket kan vara skäl för att göra anpassningar. beslutade styrelsen att fonden skulle inleda ett arbete med att anpassa fondens interna styrning och kontroll till UCITS IV-direktivet.98 Skälen för avvikelser i dessa delar från föreskrifter i fondens styrdokument skulle också ses över. Ledningen ck då i uppdrag att komma med förslag till genomförande. granskning av protokoll visar att ledningen hade vissa svårigheter med att ta fram förslag, vilket gjorde att frågan drog ut . tog Sjunde AP-fonden in en extern konsult för en analys och bedömning av om fonden har de regler som regelverket föreskriver och hur funktionen för regelefterlevnad kan utvecklas. Konsulten lämnade också förbättringsförslag för den interna styrningen och kontrollen. Konsultrapporten som presenterades på styrelsemötet har legat till grund för fondens fortsatta arbete att utveckla utformningen av den interna styrningen och kontrollen. Sammanfattningsvis visar granskningen att den interna styrningen och kontrollen har varit lågt prioriterad fram . Då ändrade styrelsen strategi, vilket har manifesterats i att styrdokument anpassades och förändringar i fondens interna styrning och kontroll började genomföras. 4.2.2 Styrelsens beslut om styrdokument och rapportering Styrelsen har fastställt styrdokument för verksamheten. Dessa kan ligga till grund för uppföljning och utvärdering av intern styrning och kontroll. Placeringspolicyn och riskhanteringsplanen ska i enlighet med lagen vara inriktade på placeringsverksamheten vilket skiljer dem från övriga styrdokument som omfattar hela verksamheten. 97AP7 (2010), Styrelseprotokoll nr 86. 98Directive 2009/65/EC of parliament and the council of 13 2009 on the coordination of laws, regulations and administrative provisions relating to undertakings for collective investment in transferable securities (UCITS). granskar: hållbara pensioner har främst granskat följande styrdokument: placeringspolicy och riskhanteringsplan, arbetsordning för styrelsen, vd-instruktion, riktlinjer för internrevision, riktlinjer för regelefterlevnad och riktlinjer för utlagd verksamhet. Styrelsen har inte fastställt några riktlinjer för hantering av intressekonikter eller riktlinjer för hantering av operativa risker. har jämfört de olika versionerna av styrdokument med den reglering som gäller för de privata fondbolagen i premiepensionssystemet. Vidare har den praktiska tillämpningen följts upp genom granskning av styrelseprotokoll med bilagor samt i intervjuer. 4.2.3Övergripande riktlinjer och rapporteringsstruktur saknas granskning visar att det inte nns något övergripande styrdokument som beskriver strukturen för den interna styrningen och kontrollen och hur den ska samordnas till en helhet. hade styrelsen fastställt riktlinjer för intern kontroll som beskrev vad en god intern kontroll innebar. I dessa riktlinjer hänvisades till föreskrifter som omfattar privata fondbolag. att fonden är en liten organisation och angav det som skäl för att avvika från denna standard. Styrelsen ersatte dessa riktlinjer 2009 med riktlinjer för regelefterlevnad, riskhantering och internrevision. Istället nns vissa skrivningar om detta i riskhanteringsplanen som är till för att styra placeringsverksamheten. Det nns inte heller något separat dokument som övergripande beskriver den interna rapporteringsstrukturen med koppling till fastställda styrdokument. Istället nns en rapportplan i riskhanteringsplanen som avser viss rapportering. Rapportplanen är inte tydlig i alla delar när det gäller vem som har ansvar att rapportera och när rapporteringen ska vara skriftlig. Riskhantering är en väsentlig del av den interna styrningen och kontrollen och Sjunde är enligt lag skyldig att ta fram en riskhanteringsplan. Av lagtexten framgår att riskhanteringsplanen ska beskriva de huvudsakliga riskerna som är förenade med placeringsverksamheten och hur dessa risker ska hanteras. Det ska också nnas interna instruktioner för hantering av dessa risker. Riskhanteringsplanen och instruktionerna ska följas upp löpande.99 I Sjunde AP-fondens riskhanteringsplan framgår att syftet med dokumentet är att beskriva de risker som fonden exponeras mot i förvaltningen av fonderna, fastställa riktlinjer och riskmandat för förvaltningen samt fastställa organisation och 99 5 kap. 6 § och 4 kap. 2 § lag (2000:192) om allmänna pensionsfonder (AP-fonder). sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? riktlinjer för uppföljning, kontroll och rapportering av risker och de riskbegränsningar som följer av lag och interna regler.100 Som framgår ovan ska riskhanteringsplanen enligt lagen vara inriktad på riskerna i placeringsverksamheten och säkerställa en tillfredsställande Sjunde AP-fonden har dock valt att lägga in skrivningar som beskriver hur intern styrning och kontroll ska vara utformad där det framgår att Grunden för den interna kontrollen är denna riskhanteringsplan.101 Riskhanteringsplanen innehåller riktlinjer för riskansvarig, den andra försvarslinjen. Däremot framgår inte vilket ansvar chefer och andra riskägare i verksamheten har för riskhantering och riskkontroll och vad det ansvaret innebär i praktiken. noterar att exempelvis Tredje AP-fondens riskhanteringsplan innehåller ett omfattande avsnitt där även roller och ansvar i den operativa verksamheten denieras. granskning visar att det fanns diskussioner inom Sjunde AP-fonden som rörde vilka riskbegränsningar som skulle hanteras genom riskhanteringsplanen och vilket ansvar som vilade på förvaltarna Resultatet blev att fonden inte redovisar alla limiter i riskhanteringsplanen utan hänvisar till placeringspolicyn när det gäller riskbegränsningar för marknadsrisk102, emittentrisk103 och likviditetsrisk104. Att inte redovisa alla riskbegränsningarna i riskhanteringsplanen avviker enligt bedömning från lagens intentioner.105 Det avviker även från Sjunde AP-fondens egen formulering i riskhanteringsplanen. Fondens motiv för avvikelsen är att de nämnda riskerna är sådana som fonden är villig att acceptera och som ska optimeras inom den fastställda riskprolen för att möjliggöra bästa avkastning. Dessa risker anges i anslutning till avkastningsmålen i placeringspolicyn. 4.2.5Riskansvarig är inte en oberoende kontrollfunktion Den riskansvariges uppgifter motsvarar de uppgifter som riskhanteringsfunktionen ansvarar för enligt föreskrift.106 Det framgår av riskhanteringsplanen att den riskansvarige ska arbeta 100AP7 (2012) Riskhanteringsplan , avsnitt 1.2 Syftet med riskhanteringsplanen. 101AP7 (2012) Riskhanteringsplan , avsnitt 5.3 Intern kontroll. 102Marknadsrisk innebär en risk för en förlust på grund av förändringar i marknadsvärdet. 103Emittentrisk innebär risk för värdeförändringar som är kopplade till emittenten, det vill säga utgivaren av värdepapperet eller det nansiella instrumentet. 104Likviditetsrisk innebär risk för att en tillgång eller position inte kan säljas, lösas in eller avslutas till en rimlig kostnad inom en rimlig tid. 1055 kap. 6 § och 4 kap. 2 § lag (2000:192) om allmänna pensionsfonder (AP-fonder). granskar: hållbara pensioner oberoende av de operativa enheterna inom fonden. Riskansvarig, som ska utgöra andra försvarslinjen, är underställd chefen för administrationen i första försvarslinjen där fondadministrationen ingår. Det innebär att riskansvarig ska granska den del av verksamheten som riskansvarig själv tillhör och den chef som riskansvarig är underställd. bedömer att detta påverkar förutsättningarna för den riskansvariges oberoende. uttalade externrevisorerna att det är en god grundläggande princip kring riskhantering att den bör utföras av en separat funktion. Det dröjde dock innan fonden anställde en risk manager. Det har under granskningen framkommit att riskansvarig formellt har titeln och är chef för enheten Middle Oce. Denna roll tillhör den första försvarslinjen, det vill säga de riskägande enheterna. Middle Oce brukar ha både aärsstödjande och kontrollerande uppgifter. När riskansvarig anställdes övertogs uppgifter från tidigare ansvarig för Middle Oce som den nya rollen som riskansvarig i andra försvarslinjen utvecklades. granskning visar att gränsdragning mellan riskhantering och kontroll i första och andra försvarslinjen inte är tydlig och fonden har bekräftat att interna diskussioner om ansvar och uppgifter förs. 4.2.6 Regelefterlevnadsfunktionens oberoende kan också ifrågasättas Ledningen beslutade att anställa en regelverksansvarig. Det hade tidigare varit ett önskemål från externrevisorerna att inrätta en sådan tjänst. Det var inte helt klart hur uppdraget skulle se ut när den ansvarige anställdes. Förändringen innebar att fonden ersatte den tidigare lösningen som infördes , då den administrativa chefen var regelansvarig med vissa begränsade uppgifter inom regelefterlevnad. Enligt Sjunde AP-fonden har man från starten anlitat en extern konsult inom regelefterlevnad. Konsulten har bland annat haft uppdrag från ledningen att ta fram och uppdatera fondens styrdokument.107 Nuvarande riktlinjer föreskriver att den regelverksansvarige ska vara underställd vd:n och ha ett direkt rapporteringsansvar till styrelsen. att ge stöd till verksamheten inom regelefterlevnad och lämna förslag om nya eller uppdaterade styrdokument. Vidare ska funktionen kontrollera och bedöma fondens regelefterlevnad, följa upp åtgärder och rapportera till vd och styrelse. Av riktlinjerna framgår att funktionen ska vara oberoende, permanent och eektiv. Trots att styrelsen tidigare i riktlinjerna beskriver att fonden förvaltar ett omfattande kapital, och att nansiella instrument som används i förvaltningen kan betraktas som komplexa, hänvisar styrelsen även här till proportionalitetsprincipen när den uttrycker att organisationen är liten 107 Intervju med Sjunde AP-fonden . sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? och fonderna få. Enligt styrelsen talar det sammantaget emot att inrätta en heltidstjänst för funktionen och den regelverksansvarige kan därför ges andra arbetsuppgifter även om den regelansvarige så långt som möjligt ska hållas utanför den operativa verksamheten. Enligt uppgift från fonden arbetade regelverksansvarig ungefär halvtid med uppgifter som inte var kopplade till uppdraget som regelverksansvarig.108 Internrevisionens granskning 2012 visade att regelverksansvarig behöver mer tid för kontrollarbete. På styrelsemötet fanns en separat punkt i protokollet där det framgick att regelverksansvarig lämnat rapport om regelefterlevnad till styrelsen. Det dröjde innan den första årliga skriftliga rapporten om fondens regelefterlevnad lämnades till styrelsen. 4.2.7Fonden har saknat internrevision Sjunde AP-fonden framhöll länge i sina styrdokument som berör intern styrning och kontroll att fonden inte hade behov av en särskild internrevisionsfunktion. Det fastställde styrelsen senast . Styrelsen använde inte möjligheten att ge särskilda granskningsuppdrag inom internrevision. ändrade styrelsen ståndpunkt och på styrelsemötet behandlades bland annat framtagande av granskningsplan för internrevisionen. På styrelsemötet föreslogs inrättandet av ett revisionsutskott. Utskottet består av tre styrelseledamöter och där extern- och internrevisorer, vd och administrativ chef deltar som adjungerade. I riktlinjer för internrevision, som uppdaterades , framhåller styrelsen att en oberoende granskningsfunktion (internrevision) fyller en viktig funktion för att styrelsen ska kunna fullgöra sitt ansvar att följa upp och kontrollera verksamheten. Styrelsen hänvisar åter till proportionalitetsprincipen när det gäller beslutet att inte inrätta en egen funktion utan istället ge uppdraget till en revisionsrma. Av riktlinjerna framgår att internrevisionens uppgifter är att undersöka och bedöma att fondens system, interna kontrollmekanismer och rutiner är tillämpliga och eektiva. Vidare ska internrevisionen lägga särskild vikt vid uppföljning av riskhantering, riskkontroll och regelefterlevnad. Arbetet ska normalt omfatta två av styrelsen beslutade granskningsområden . Ledningen har tidigare budgeterat för uppdraget och enligt fonden har man dubblerat budgeten för 2013.109 Internrevisionen ska i samråd med revisionsutskottet ta fram ett förslag till granskningsplan. Rapporteringen sker till revisionsutskottet, samt en gång till hela Rapporteringen ska vara skriftlig och stämmas av med ledningen, vars kommentarer ska infogas i rapporten. Den första årliga skriftliga rapporten från internrevision lämnades till styrelsen . 108Intervju med Sjunde AP-fonden . 109Skriftlig uppgift från Sjunde AP-fonden . granskar: hållbara pensioner 4.2.8 Riktlinjer för utlagd verksamhet fastställdes sent Sjunde AP-fonden har ända sedan starten bedrivit verksamheten genom att väsentliga delar av förvaltningen har lagts ut till externa förvaltare. andra verksamhetskritiska tjänster som depåbank, viss ekonomihantering och funktioner inom IT hanteras genom uppdragsavtal. Fonden har tidigare, trots den stora omfattningen av uppdragsavtal, saknat styrdokument för hanteringen av dessa. rekommenderade externrevisorerna att processen att följa upp uppdragsavtal kunde förbättras. Det ledde till att särskilda riktlinjer för utlagd verksamhet fastställdes av styrelsen . När det gäller uppföljning och kontroll föreskrivs det att all utlagd verksamhet ska utvärderas löpande, men det framgår inte hur och till vem avrapportering ska göras internt inom fonden. När det gäller incidentrapportering från uppdragstagare är det verksamhetsansvarig som ansvarar för att informera dessa om rutinen och att incidenter rapporteras till regelverksansvarig. I följande avsnitt beskrivs intern styrning och kontroll av risker, det vill säga riskhanteringsprocessen inom Sjunde AP-fonden. Hanteringen av risker brukar delas upp i riskidentiering, riskvärdering, riskmitigering110 och riskkontroll i form av uppföljning och utvärdering av riskerna och riskhanteringen. Riskhantering består alltså både av hanteringen av de specika riskerna och av de interna processer som säkerställer att de ingående delmomenten kan leda fram till en övergripande riskanalys och riskkontroll. Riskhanteringsprocessen är beroende av en väl fungerande rapportstruktur. har granskat dessa områden genom att undersöka hur fonden har arbetat med att hantera incidenter och andra sätt att identiera risker samt hur begränsningen av risker i form av limithantering har fungerat. Ett annat väsentligt område som granskats är fondens riskrapportering på olika nivåer, med visst fokus på rapporteringen till styrelsen. Riskhanteringsprocessen i Sjunde AP-fonden börjar med att styrelsen fastställer fondens strategiska mål och den risknivå de är villiga att exponera fonden mot för att kunna nå det strategiska målet. noterar att Sjunde AP-fonden inte använder metoden Value at Risk (VaR) för att mäta risktagandet. Det är en beräkningsmodell som kan användas för att väga samman olika risker till ett sammantaget kvantierat värde. Genom att använda VaR kan man deniera storleken på det riskerade beloppet hos en investering med en viss sannolikhet och över . Fonden gjorde en del utvecklingsarbete kring VaR , men det ledde inte 110 Olika former av riskbegränsning. sjunde ap-fonden – svarar förvaltningen av premiepensionen mot spararnas krav? till att metoden infördes. Enligt Sjunde AP-fonden kan det nnas behov av mer framåtblickande riskarbete genom VaR om fonden börjar använda nya strategier i den aktiva förvaltningen.111 För att säkerställa att risktagandet inte överskrids fastställs Sjunde AP-fondens risktolerans genom de limiter som sätts av styrelsen eller av vd:n inom den ram som styrelsen har beslutat. Risktagandet begränsas även av de lagstadgade limiter som Sjunde AP-fonden måste följa. Syftet med interna limiter är att säkerställa att man som fondförvaltare håller förvaltningsstrategin och kontraktet med spararna samt att man inte bryter mot de lagstadgade limiterna. För att säkerställa att limiter inte överskrids behövs en strukturerad löpande rapportering och uppföljning av att risktagandet genomförs. Det är ansvariga chefer inom första försvarslinjen som har ansvar för att rapportera till kontrollfunktionerna i andra försvarslinjen.