prop · H303130 · 2016-05-25 00:00:00 — Därefter har styrelserna delegerat ett förvaltningsuppdrag till VD som innehåller ett riskmandat. Mandatet skiljer sig i storlek och typ mellan fonderna men är oftast en kombination av aktiv risk i procent kombinerat med intervaller av tillåtna limiter för kapitalallokering till olika tillgångsklasser i linje med lagstadgade placeringsregler. VD har sedan delegerat hela eller delar av mandatet vidare till förvaltningschefen () som delegerat mandatet vidare. Mandaten kan byta form vid vidare delegering. Allt detta dokumenteras i riktlinjer, policys och instruktioner. Ansvarig för risk ansvarar för att kontrollera att riskmandaten följs på samtliga delegerade nivåer medan Compliance Officer kontrollerar att lagrum och interna regelverk följs. Andra AP-fonden har valt att ha både ett riskutskott (mer än sex träffar ) och ett revisionsutskott (tre träffar varav en tillsammans med riskutskottet för gemensam planering). har ett riskutskott (fem träffar ) och Första (tre till fyra träffar ), Tredje (fyra träffar ) och Sjunde AP-fonden (fem träffar ) har ett revisionsutskott som också behandlar riskfrågor. Sjunde AP-fonden har dessutom ett konjunkturråd som fokuserar på riskbedömningen för hävstången. Fonderna som inte har ett riskutskott har diskuterat om de ska etablera ett separat riskutskott, men gjort bedömningen att det inte är rätt för deras fonder , bland annat på grund av att det skulle vara samma personer i ett riskutskott som i nuvarande revisionsutskott och begränsningar i fondernas möjlighet att arvodera mer styrelsearbete i utskott. Andra svenska institutionella investerare har oftast ett revisionsutskott som också behandlar Samtliga AP-fondstyrelser får riskrapporter till varje styrelsemöte där ansvarig för risk alltid närvarar och ger en muntlig presentation och svarar på frågor från styrelsen. En skriftlig compliancerapport bereds till varje styrelsemöte på Tredje, Fjärde och Sjunde AP-fonderna. Compliance officer medverkar alltid på styrelsemöten för avrapportering till styrelsen (i Tredje AP-fonden täcker CRO och Chefsjurist då Compliance Officer är tjänstledig101). Vidare gör samtliga styrelser en årlig risk- och complianceöversikt som dras i styrelsen (Bild 47). Styrelsens involvering i risk, kontroll och regelefterlevnad Hur diskuteras risk och compliance löpande på styrelsemöten? ▪Månatlig resultat-, avkastnings-, compliance- och riskrapport diskuteras vid varje styrelsemöte ▪Riskchef och compliance officer ger muntlig avrapportering och svarar på frågor ▪Månadsrapporterna sedan senaste styrelsemötet diskuteras där riskchef ger en muntlig rapportering och styrelsen ställer frågor ▪CRO rapporterar till riskutskott (samtliga incidenter/material tas genom Kommittén först) som sedan tar vidare till styrelsen ▪Compliance föredragande vid behov, riskchef kommenterar dock på varje möte riskloggen som täcker operativa risker ▪Har ett fördjupningsområde i risk varje möte ▪Rapport för risk och compliance diskuteras varje möte där riskchef ger muntlig presentation och styrelsen ställer frågor (CO närvarar ej p.g.a. tjänstledighet) ▪Bredare riskdialog /år vid strategimötet, genomgång av riskhanteringsplanen samt övergripande riskanalys ▪RMC rapporterar till revisionsutskott / år, från utskottet lyftes valda delar upp till styrelsen ▪Har haft dialog om riskutskott, men skulle bestå av samma personer ▪Resultat, avkastning- och riskrapport samt compliance diskuteras varje möte och presenteras av respektive chef ▪I riskutskottet diskuteras också ALM-frågor ▪Riskfrågor bereds i riskutskottet medan compliancefrågor förs rakt till styrelsen ▪Har ett fördjupningsområde i risk varje möte ▪Till varje styrelsemöte som stående punkt: genomgång och presentation av standardiserad avkastnings- och riskrapport samt kontrollrapport risk och compliance enligt fastställd kontrollplan, presenteras av COO, CRO, CO ▪Årlig riskkartläggning som definierar kontrollplanen, dessutom extern- och internrevision – allt bereds först i sedan tas det till styrelsen ▪Har aktivt valt att inte ha riskutskott, vill ta upp riskfrågor med hela styrelsen 1 Varav ett möte gemensamt med riskutskottet för gemensam planering och säkerställa att inget hamnar emellan KÄLLA: Intervjuer ledningspersoner i AP-fonderna Första, Tredje, Fjärde och Sjunde AP-fonderna följer principen med tre försvarslinjer fullt ut. Första AP-fonden genomförde sin första internrevision 2015, som fokuserade på förvaltning. Tredje AP-fonden har genomfört internrevision och Sjunde . Fjärde har 2015 fattat beslut att följa principen om tre försvarslinjer, men har ännu inte upphandlat en revisor eller bestämt vilka områden den eventuella revisionen skall fokusera på. Andra AP-fonden har lyft frågan om internrevision i styrelsen och med revisorer men kommit fram till att det ännu inte funnits något behov för att aktivera en tredje försvarslinje (Bild 48), men frågan är fortsatt aktuell och diskuteras återkommande. 101 Har även använt extern konsult under viss del av tiden för att täcka upp på den årliga riskkartläggningen och täcker 3-4 prioriterade områden per årAP3 haft genomfört internrevision och AP7 . AP7:s internrevision baserasAP1 genomförde sin första internrevision 2015 med fokusområde i förvaltning▪▪ AP4 har 2015 beslutat att internrevision skall genomföras men ännu inte upphandlat någon revisor▪ AP2 har diskuterat frågan om internrevision och beslutat att det inte har behövts ännu▪ Huvudsaklig princip för riskhantering, kontroll och regelefterlevnad ▪ Kontroll sker genom hela ▪ Beslut om internrevision tas av styrelsen och är oberoende av affärsverksamheten ▪ AP-fonderna har valt att lägga ut denna externt p.g.a. skala genomför majoriteten av AP-fonderna internrevision KÄLLA: Riskhanteringsplaner; intervjuer med AP-fonderna, intervjuer med personer inom branschen Samtliga fonder har liknande löpande kontroll av finansiella risker medan operativa risker har varit ett fokusområde hos samtliga fonder och hanteringen varierar mer. Finansiella risker kontrolleras löpande av samtliga fonder med automatiska eller semi-automatiska systemstöd. Riskerna kontrolleras genom kvantifierade begränsningar (limiter) utifrån det delegerade riskmandatet. Dessa kontrolleras löpande och hos samtliga fonder är de dagliga kontrollerna klara innan lunch och skickas ut antingen i rapporter per mail eller per intranät. I samtliga fall notifieras relevanta personer om överträdelser har skett – antingen automatiskt per mail eller efter kontroll av en analytiker. Samtliga överträdelser registreras i en logg102 som följs upp i relevanta forum över året – så som ledningsgrupper, riskhanteringskommittéer eller compliancegrupp. 102 Olika fonder har olika benämningar, men ett dokument som samlar överträdelser eller incidenter inklusive datum, kategorisering, beskrivning av händelser, ansvarig person och nästa steg inklusive åtgärder överträdelser, så som exempelvis styrelselimiter103, rapporteras till VD och styrelse direkt. Samtliga fonder sammanställer dagliga, månatliga och årliga rapporter över finansiella risker. Gällande löpande kontroll av operativa risker finns både likheter och skillnader mellan fonderna där alla kontrollerar operativa incidenter på ett övergripande plan, men det finns en större variation i omfattning, djup och systematik i hanteringen. Fonderna kontrollerar löpande operativa incidenter genom att dessa registreras i en logg82 och rapporteras på liknande sätt som finansiella risker till relevanta forum över året. Vidare har samtliga fonder dokumentation för regelverk, processer, ansvar och rapportering inspirerat av föreskrifter om operativa risker (2014:4) och alla AP-fonder utom gör en årlig självutvärdering där potentiella risker identifieras, klassificeras baserat på estimerad påverkan samt sannolikhet att inträffa, en åtgärdsplan läggs och ansvar tydliggörs samt presenteras för styrelsen. har påbörjat arbete med att ta fram en metod för identifiering och hantering av operativa risker. Andra, Sjunde och till viss del Tredje AP-fonden har en mer detaljerad klassificering av operativa incidenter enligt tidigare identifierade underkategorier av operativa risker. Första och Andra AP-fonderna har etablerat formaliserade organ för genomlysning av viktiga processer, benämnt Processgruppen respektive och ses fyra respektive för att se över nyckelprocesser. Andra AP-fonden har utvecklat arbetet med operativa risker med hjälp av en konsult och arbetat upp en tydlig systematik för processrisker som inkluderar en processkartläggning, utvärdering och prioritering av nyckelprocesser. Sjunde AP-fonden lägger upp en plan för kontroller över året som inkluderar operativa risker baserat på årets självutvärdering och riskkartläggning (Bild 49). 103 Limiter satta av styrelsen – oftast en kombination av placeringsregler och övergripande limiter uppsatta av styrelsen Övergripande beskrivning av löpande kontroll av risker Löpande kontroll av risker ▪Ingen automatiserad notifiering vid limitöverträdelse utan CIO och relevanta personer underrättas och möten tillkallas vid större överträdelser ▪Rapportering tillgänglig på intranät ▪Automatiska limituppföljningsrapporter, överträdelser rapporteras per mail till relevanta personer ▪Följs upp med ledning/styrelse ▪Automatiserad mail till relevanta personer vid limitöverträdelser ▪I allvarligare fall direkt-rapporteras VD och styrelse ▪Samtliga överträdelser loggas och rapporteras till ledningsgrupp, riskutskott och styrelse samt automatisk uppföljning till relevanta personer ▪Årligen redovisning samtliga överträdelser till riskutskott och styrelse ▪Daglig uppföljning av legala, styrelse-, VD-, och förvaltningschefbeslutade limiter. ▪Lag- eller styrelseöverträdelser rapporteras direkt till styrelse, övriga till VD och RHK ▪Samtliga överträdelser loggas och rapporteras genom compliancerapporten ▪Incidentshantering med rapportering till ledning ▪Processgruppen fyra ggr/år ser över processrisker ▪Årlig workshop med självutvärdering och klassificering ▪Löpande logg av incidenter enligt 6 kategorier ▪Systematiskt arbete med operativa risker med hjälp av konsult och FFFS ▪Metodisk genomlysning av topp 15-20 processer två ggr/år baserat på processkartläggning ▪Återrapportering till RMK och styrelse ▪Löpande log rapporteras till RMC och styrelse ▪Kategorisering enligt 4 kategorier ▪Årlig självutvärdering inkl. åtgärdersplan inspirerat av FFFS ▪Tittar på att genomlysa processer mer strukturerat ▪Incidenter loggas som IT- eller verksamhetsincidenter och eskaleras till respektive ansvarig samt vid större händelser vidare till ledning och styrelse (inspirerat av FFFS) ▪Vid nya strategiska investeringar används en 3-sidig mall för risk, avkastning och regelefterlevnad ▪Tydlig översikt över överträdelser av interna regelverk ▪Årlig redovisning av samtliga incidenter som presenteras för ledning till riskutskott och styrelse ▪Dokumentation (intern styrning & kontroll) baserat på FFFS inkl. befattnings- och processbeskrivningar ▪Årlig riskkartläggning inkl åtgärdsplan baserat på självutvärdering, kontrollplan läggs upp efter kartläggning ▪Incidenter loggas enligt 6 kategorier, tilldelas ansvar och åtgärdsplan, följs upp i RHK samt återkopplas till styrelsen 1 Logg innebär ett dokument där olika typer av incidenter registreras med information liksom datum, kategori, beskrivning av händelse, ansvarsperson och åtgärder KÄLLA: Dokumentation; intervjuer med AP-fonderna Andra, Tredje och Sjunde AP-fonderna har formaliserade organ för att behandla samtliga risk- och compliancefrågor – benämnt Kommitté eller Committee samt och träffas . Detta forum är det övergripande riskforumet för ledningen och inkluderar personer från risk, compliance, förvaltningen, administration och i Tredje och Sjunde AP-fondernas fall även VD (i Andra AP-fonden får VD information men är ej medlem). Här tas beslut kopplade till risk så som godkännande av motparter och förvaltare, diskussion om riskbedömningar så som nyckeltal, limit- och incidentsloggar, samt förberedelse av material till risk- eller revisionsutskott. I Andra och Tredje AP-fonderna tas även vissa investeringsfrågor upp, exempelvis vid alternativa investeringar. Första AP-fonden tar upp större frågor gällande marknadsrisk tillsammans med förvaltningen (investeringskommittén) medan operativa risker lyfts i processgruppen som ses . har risk- och compliance som en stående agendapunkt på ledningsgruppsmöten och tar upp risk kopplat till beslut om investeringar och/eller strategiska förändringar i . Daglig kontroll av överträdelser hanteras inom riskkontrollgruppen och incidenter hanteras löpande av compliance-gruppen vid möten (Bild 50). Övergripande beskrivning av forum inom verksamheten för riskfrågor Dedikerat forum för riskfrågor Större marknadsriskfrågor tas med förvaltningen (investeringskommittén) och operativa risker lyfts i process- CIO, COO, Riskchef Kommitté övergripande forum för risk t.ex. CRO, Chefsstrateg, motpartsgenomgångar, incident- och risklogg, löpande förändringar täcker processrisker två ggr/år; genomlyser nyckelprocesser och rapporterar till styrelse VD får information, ej medlem ▪Risk () 1 gång/mån ▪Samtliga riskincidenter, godkänner förvaltare/instrument, ser över exponeringar, styrelsematerial, vissa investeringsfrågor samt har årlig genomgång av alla motparter ▪Risk & compliance stående agendapunkt på ledningsgruppsmöte ▪Finanskommittén tar upp risk kopplat till beslut om investeringar och/eller strategiska förändringar 1 gång/månad ▪ ses två ggr/mån ▪Alla incidenter hanteras och åtgärdsplaner definieras samt rapporteras vidare revisionsutskottet ▪VD, CRO/CFO, CIO + förvaltningschefer, ▪Finanskommitté:VD, Chef affärs- och riskkontroll, CO, CIO, Chefsjurist ▪VD, CRO, CO, COO, CIO KÄLLA: Intervjuer och dokumentation från AP-fonderna Risk- och compliancerapportering till styrelse visar på generellt hög nivå men också på variation i innehåll och framställning. Samtliga fonder lyfter upp marknadsrisker, medan det finns variation i vad fonderna lyfter upp för kredit- och likviditetsrisk, operativ risk och stresstester. Noterbart är att fonderna gör riskbedömningar för dessa risktyper men har av olika anledningar valt att inte lyfta in det i den månatliga styrelserapporten. Samtliga fonders rapportering täcker även limitöverträdelser medan övriga compliancefrågor också visar på variation i rapporten. till presentation och framställning använder samtliga fonder grafer för att visualisera underlag och alla fonder har en syntes och/eller analys som hjälper läsaren att tolka underlaget. Graden av detaljrikedom i underlaget skiljer sig något mellan fonderna delvis på grund av behov, exempelvis har Sjunde AP-fonden främst exponering mot världsindex som leder till ett annat behov av detaljer i riskbedömningen (Bild 51). Innehåll och och presentation i styrelserapportering Innehåller eller stämmer delvis AP1 AP2 AP3 AP4 AP7 Kommentarer ▪Alla fonder beskriver marknadsrisk med de vanligaste riskmåtten ▪AP1 diskuterar endast likviditetsrisk – AP3 endast exponering mot riskklasser ▪Hanteras oftast som procentexponering mot viss motpart ▪Berörs av AP4 med delningen av överträdelser på passiv och aktiv, där aktiva innebär operativa fel ▪AP1 görs , men ej månatlig rapportering ▪AP1,4 har mätt hur t.ex. 2008 marknadskrisen skulle påverka portföljen ▪AP7 gör stresstester vid behov men ej del av månatlig rapportering ▪Alla fonder har en sektion för limitöverträdelser, angående åtminstone laglimiter ▪AP2 har inte en formaliserad punkt på agendan angående övrig compliance men tar upp ärenden vid behov ▪AP7 har också rapporterat kontakter med FI och andra myndigheter ▪AP4 har efter diskussion i riskutskott aktivt valt att inte presentera grafer för exempelvis historisk avkastning, grafer finns dock för derivatinstrument ▪Granulariteten i rapporterna skiljer sig mellan fonderna delvis pga behov; AP7 har bred exponering för världsindex, som leder till mindre behov av granularitet ▪AP7 har djupare analyser i sina skilda fördjupningsrapporter ▪AP1-4 har beskrivit marknadshändelser och deras påverkan på portföljen samt tolkat siffror i grafer och tabeller ▪AP2 har anknutit risk till marknadshändelser med att skilt observera exponering mot krisländer som exempelvis 1 Med granularitet menas djupet på rapporten, hög granularitet har utöver data och grafer på hög nivå också djupare analys på exempelvis olika tillgångsklasser KÄLLA: McKinsey-analys av AP-fondernas styrelserapporter; intervjuer med AP-fonderna Samtliga fonder har fokuserat på uppgradering av systemstöd för riskhantering till väletablerade och ledande system. Systemstödet för risk består i huvudsak av tre komponenter, ett grundläggande system för marknadsinformation (pris- och volymsdata) och limithantering, ett grundläggande system för daglig riskhantering (inklusive förvaltningen) samt ett system för djupare riskanalys. Som grundläggande system för marknadsinformation används SimCorp Dimension och Wallstreet Suite (Tredje AP-fonden). Som grundläggande system för daglig riskhantering kommer alla fonderna att ha implementerat MSCI: BarraOne som också internationellt är erkänt som marknadsledande och låter förvaltaren hantera risk i dagligt arbete och kan exempelvis göra faktor- och relativberäkningar. För djupare riskanalys har samtliga fonder förutom valt att använda Riskmetrics: Riskmanager som har funktionalitet för limit- och mandatuppföljning samt en kraftfull analysmotor för scenarioanalyser och stresstester. Risk manager-systemet anses också vara internationellt ledande. Utöver tre grundläggande systemstöd används flera andra system och program för exempelvis uppföljning av affärssituationen och rapportering i realtid. har samtliga fonder satsat på att utveckla sin rapportering med ett ökat fokus på automatisering för att säkerställa att rapportering kommer förvaltningen tillgodo (just nu innan lunch för samtliga fonder) och minskar operativ risk vid beräkningar (Bild 52). Huvudsakliga systemstöd för riskhantering SimCorp: Dimension eller Wallstreet Suite Används för djupare analys så Möjliggör följning av limiter och ▪Grundläggande riskhanterings- system för förvaltning (ex. mandathantering) ▪Kan hantera bl.a. faktor- och relativberäkningar ▪Historiskt sätt det mest allmänna programmet för aktier, kan nu också hantera räntor ▪Innehåller priser och positioner ▪Möjliggör följning av limiter och mandat System finns redan på plats men skall nu uppgradera till BarraOne Ej behov, används av externa förvaltare ”Vi gillar inte hemmabyggen, utan framöver använder vi ”Då vi fokuserar på automatiserandet av system får vi fort exakt de rapporter som krävs för förvaltningen” KÄLLA: Riskhanteringsplaner; intervjuer med AP-fonderna; intervjuer med internationella riskexperter och personer inom branschen Samtliga fonder har ökat sin kvant- och systemkompetens i personalen och utbildat risk- och compliancefunktionen – i linje med trenden i kapitalförvaltningsbranschen. Utöver kompetensutveckling av risk- och compliancefunktionen har även funktionen ett uppdrag att utbilda övriga organisationen i risk och regelefterlevnad, bland annat genom introduktionsprogram för nyanställda. AP-fonderna har etablerat samarbetsforum för exempelvis risk och avkastning, juridik (exklusive Sjunde AP-fonden) och administration. Fonderna träffas i dessa forum ca inom respektive område och har även informella kontakter mer frekvent. I forumet för risk- och avkastning har fonderna diskuterat gemensamma nyckeltal och upphandlandet av nya system för riskhantering. I juridikgruppen diskuteras hur nya lagar och regler skall tolkas och implementeras i verksamheten, exempelvis EMIR104 och MiFiD 2105, men även allmänna skattefrågor och affärsjuridik diskuteras. Forumet för förvaltning, administration och IT tar upp frågor angående system- och affärsstöd samt gemensamma frågor inom administration. Samtliga fonder har regelbundet kontakter med 104European Market Infrastructure Regulation () är en EU reglering för att öka stabiliteten för OTC- derivat marknder i EU och började gälla (Regulation (EU) 648/2012) 105Markets in Directive 2004/39/EC ("MiFID") är en EU-lag som harmoniserar regleringarna av investeringar för EU-länder samt , och . Syftet är att öka konkurrensen och konsumentskyddet. MiFID 2 är en vidareutveckling som skulle gälla men har försenats till 2018. internationella institutionella investerare som en del av sin kompetensutveckling där fonderna utbyter information om bästa praxis, organisation, förvaltning och systemstöd (Bild 53). Kompetensutveckling samt nationella och internationella samarbeten ▪ Samtliga fonder har ökat sin kvant- och systemkompetens inom riskhantering Utbildning viktigt fokusområde där systemkompetens har vart i fokus Samtliga fonder har introduktionsprogram till risk för nyanställda Diskuterar aktuella ämnen och ärenden, t.ex. upphandling av risk- hanteringssystem och gemensamma nyckeltal (exkl. AP7) Förvaltning, administration & IT Diskuterar nya och ändrade regleringar formellt och informellt – Huvudsak tre frågor: skattefrågor, interna/externa regler och affärsjuridik Har utformat gemensamma policys t.ex. för mutbrott Olika forum för respektive område Diskuterar t.ex. implementering av systemstöd, affärsstöd, gemensamma ▪ Samtliga fonder har kontakt med internationella aktörer genom konferenser, direktkontakt och nätverk Lyfter ofta frågor kring best practice inom exempelvis organisation och 1 Träffas formellt och informellt vid behov KÄLLA: Riskhanteringsplaner; intervjuer med AP-fonderna Utveckling och prioriteringar framåt Fonderna fokuserade 2010-2013 på att etablera grundläggande byggstenar för risk och compliance, exempelvis genom att etablera riskutskott i styrelser och lyfta in risk i revisionsutskotten, göra årliga risköversyner, öka fokus på regelverksefterlevnad och fortsätta rekrytera resurser för risk- och compliance. har fonderna etablerade och professionella risk- och compliancefunktioner som är oberoende från förvaltningen och en del av ledningen. Nyckeltal, rutiner och processer är på plats enligt branschstandard, väletablerade IT-system används, samarbeten finns med andra fonder och fonderna är medvetna om och fokuserar på riskkultur. Framöver ämnar AP-fonderna fortsätta professionaliseringen för risk- och compliance. Exempelvis nämner flera fonder utveckling av hanteringen av operativa risker, ökat fokus på analys och insikt i rapporteringen och att inkludera fler områden för compliance på ett mer strukturerat sätt, exempelvis genom tydligare och större complianceroll och tydliggjord intern rapportering (Bild 54). Utveckling av risk- och regelefterlevnad samt prioriteringar framöver AP-fonderna har gått från att etablera grundläggande byggstenar för risk- och compliancearbete… ▪Risk- och revisionsutskott i styrelser ▪Årliga risköversyner och första internrevisionerna ▪Ökat fokus på regelverk …till etablerade organisationer för risk- & compliance i linje med internationell standard… ▪Risk- och compliance en självklar del av ledningen ▪Etablerade IT-system i linje med marknaden och utökade resurser inom kvant- och systemkompetens ▪Rutiner och processer på plats –Löpande rapportering enligt branchens mått till ledning- och styrelsemöten ▪Samarbeten med andra fonder …för att framöver fokusera på att bredda risker och regelverk och förbättra beslutsunderlag… ▪Fortsatt systematisering i arbetet med operativa risker ▪Ökat fokus på analys och insikt framför rapportering genom digitalisering och automatisering ▪Riskkontroll och compliance ökat fokus inkl. genomlysning av fler processer och lagrum ▪Fortsatt utveckling av nyckeltal tvärs portföljen för att snabbt ge förståelse av helheten KÄLLA: Intervjuer med AP-fonderna Styrande regelverk och efterlevnad av regelverk Första till Fjärde AP-fonderna regleras i huvudsak av lag (2000:192) om allmänna pensionsfonder (APL) som lämnar stor självständighet och tolkningsutrymme.