Kontrollfunksjonen og internrevisjonsfunksjonen

1. Bakgrunn

Den europeiske verdipapir- og markedstilsynsmyndigheten (ESMA) gjennomførte i 2025/26 et felleseuropeisk tilsyn (Common Supervisory Action/CSA) av organiseringen av kontrollfunksjonen og internrevisjonen hos forvaltningsselskaper og AIF-forvaltere¹⁾.

Som ledd i arbeidet har Finanstilsynet gjennomført et dokumentbasert tematilsyn hos tre forvaltningsselskaper for verdipapirfond og fem AIF-forvaltere av varierende størrelse, og med vekt på foretak som retter seg mot ikke-profesjonelle kunder. Tilsynet omfattet gjennomgang av proporsjonalitetsvurderinger, rutiner og risikohåndtering, ressurser og kompetanse, kontrollplaner, rapportering til styret og utkontraktering.

Formålet med tilsynet var å vurdere om foretakene har etablert effektive kontrollfunksjoner med tilstrekkelige ressurser, kunnskap og myndighet til å kunne utføre sine oppgaver i samsvar med kravene til disse funksjonene. Det vises til verdipapirfondloven og AIF-loven med forskrifter, herunder kommisjonsforordning (EU) nr. 231/2013 artikkel 60-62. For forvaltningsselskap kommer også forskrift om risikostyring og internkontroll til anvendelse.

Denne rapporten oppsummerer hovedfunn fra tematilsynet. Resultatene er formidlet til ESMA på anonymisert basis.

2. Oppsummering

Finanstilsynet mottok et omfattende dokumentasjonsgrunnlag fra foretakene. Samlet sett hadde foretakene etablert tilfredsstillende rammeverk for kontrollfunksjonen og internrevisjonen, men kvaliteten og den praktiske operasjonaliseringen varierte betydelig. I større foretak og foretak som inngår i konsern var retningslinjer og rutiner gjennomgående mer systematiske og tilpasset virksomheten. I mindre foretak fremsto rutineverket oftere som generisk og lite operasjonalisert, med svak kobling til faktisk risikobilde. Kontrollfunksjonene var gjennomgående etablert og fremsto formelt uavhengige, men foretakenes begrunnelser for proporsjonalitetstilpasninger var ofte svakt dokumentert. Der oppgaver var utkontraktert, ble det avdekket svakheter i evalueringen av avtalene og oppfølgingen av foretakets ansvar.

Organisering og omfang av internrevisjonen varierte betydelig. Flere mindre foretak hadde ikke etablert internrevisjon av proporsjonalitetshensyn, men dokumentasjonen av vurderingsgrunnlaget var ofte begrenset. Enkelte av disse foretakene benyttet ekstern revisor for å vurdere om foretakets internkontroll fungerer tilfredsstillende.

Det ble identifisert svakheter i gjennomføringen av egne rutiner hos flere foretak. Finanstilsynet legger til grunn at foretakenes styrer og ledelse følger opp disse påpekningene ved gjennomgang av egne rutiner og prosesser.

3. Compliancefunksjonen

3.1 Organisering, kompetanse og ressurser i compliancefunksjonen

Compliancefunksjonen skal være organisert slik at den kan utføre sine oppgaver på en forsvarlig, effektiv og uavhengig måte, med tilstrekkelige ressurser og kompetanse.

Mindre foretak har ofte begrensede ressurser og benyttet i flere tilfeller ekstern tjenesteyter for å utføre compliancefunksjonens oppgaver. Blant de mindre foretakene varierte compliance-kapasiteten fra om lag 0,2 til 1 årsverk. Tre foretak benyttet ekstern tjenesteyter for hele, eller vesentlige deler av compliancefunksjonen. Ett foretak delte ressurser med konsernforetak. Foretakenes vurderinger og evalueringer i forbindelse med utkontrakteringen var i mange tilfeller lite grundige. Styret hadde ofte ikke vurdert effektiviteten av utkontrakteringen. Det var også flere foretak som bare i liten grad kunne vise at de tok et reelt ansvar for og kontrollerte de utkontrakterte tjenestene.

Ansvarlig for kontrollfunksjonen var i flere tilfeller også ansvarlig for risikostyring. Slike løsninger kan være forenlige med kravene etter konkrete proporsjonalitetsvurderinger, men dokumentasjonen av vurderingene var ofte knapp. I stor grad viste foretakene kun til lovtekst og gjenga ordlyden, uten å gjennomføre en konkret vurdering opp mot foretakets virksomhet. Foretakene var gjennomgående også lite tydelige på om det gjøres løpende vurderinger.

3.2 Foretakets rutiner og prosedyrer for håndtering av compliancerisiko

Foretakene skal ha effektive rutiner og prosedyrer som reduserer risikoen for manglende etterlevelse, og som er tilpasset virksomhetens art, omfang og risiko²⁾.

Foretakenes retningslinjer og prosedyrer var stort sett tilfredsstillende. De store foretakene har rutiner som i større grad beskriver hvordan compliancerisiko identifiseres, oppdages og måles, og om dette er operasjonalisert gjennom risikovurderinger og kontroller. Mindre foretak har mindre detaljerte prosedyrer, en mindre systematisk risikobasert tilnærming til compliancerisiko og risikoreduserende tiltak.

Foretakene gjennomgikk rutinene jevnlig, men gjennomgangen fremsto ofte som begrenset til endringer i regelverket. Risikovurderinger av egen virksomhet ble i mindre grad benyttet systematisk som grunnlag for oppdatering av rutiner og kontrolltiltak. I mindre foretak var rutineverket ofte overordnet og fremstod lite operasjonalisert. Det var også variasjon i hvordan foretakene identifiserte, vurderte og håndterte etterlevelsesrisiko.

For flere av de mindre forvalterne fulgte det ikke av rutineverket eller oversendt dokumentasjon at compliancefunksjonen skal involveres eller konsulteres ved strategiske beslutninger, etablering av nye fond eller ved vesentlige endringer. Uten tilstrekkelig inkludering av kontrollfunksjonen i forbindelse med slike saker og spørsmål svekkes kontrollfunksjonens effektivitet. 

3.3 Kontrollplaner og gjennomføring

Compliancefunksjonen skal regelmessig kontrollere og vurdere om foretakets tiltak, rutiner og prosedyrer for etterlevelse er tilstrekkelige og effektive³⁾.

Foretakene må ha dokumentasjon som beskriver hvordan compliancearbeidet planlegges, prioriteres og gjennomføres gjennom året, og der den risikobaserte tilnærmingen fremgår. Finanstilsynet forventer at identifiserte og estimerte risikoer ligger til grunn for valg av kontroller og kontrollfrekvens. Planene bør synliggjøre hvilke områder som prioriteres ut fra sannsynlighet og konsekvens, hvordan øvrige områder dekkes gjennom en flerårig rullering, og hvilke kontroller som faktisk er gjennomført. Funn og avvik skal følges opp gjennom dokumenterte tiltak med angivelse av ansvar, frister og status, slik at prioriteringene og oppfølgingen er etterprøvbare.

Det var stor variasjon i kvaliteten på kontrollplanene. Enkelte foretak hadde overordnede årsplaner med lav grad av operasjonalisering og uten tydelig kobling til dokumenterte risikovurderinger. I slike tilfeller fremsto prioriteringene som lite etterprøvbare, og oppfølging av funn var i begrenset grad formalisert. Andre foretak hadde etablert mer strukturerte og risikobaserte planer, der kontrollaktiviteter, frekvens og oppfølging fremgikk tydelig. Løpende kontroll av regulatorisk investorinformasjon og markedsføring inngikk i svært liten grad i kontrollplanene, og skjedde hovedsakelig ved nyetablering av fond.

Kontrollfunksjonens oppgave med å gi råd og veiledning om relevant regelverk var i mindre foretak generelt lite strukturert, og med svak dokumentasjon. Større foretak hadde gjennomgående mer systematiske og risikobaserte opplæringsplaner.

3.4 Rapportering og eskalering

Foretakets ledelse skal regelmessig, og minst én gang årlig, motta skriftlig rapportering om etterlevelse, herunder om identifiserte mangler og korrigerende tiltak⁴⁾. Foretakene skal ha effektive og dokumenterte prosesser for rapportering, og rettidig eskalering av complianceforhold. Rapporteringen skal være egnet til å gi styret et helhetlig grunnlag for å vurdere foretakets etterlevelse, og dokumentasjonen må vise hvordan identifiserte mangler følges opp.

Foretakene hadde systemer for registrering av avvik og hendelser, men det varierte hvor systematisk oppfølgingen var dokumentert. Foretakene kunne i stor grad vise til konkrete tiltak etter identifiserte avvik eller svakheter. Det fremgikk imidlertid ikke alltid tydelig hvem som var ansvarlig for oppfølgingen, når tiltakene skulle være gjennomført, eller om gjennomførte tiltak senere var kontrollert eller vurdert med hensyn til effekt.

Foretakene rapporterte regelmessig til styret, men omfanget og detaljnivået i rapporteringen varierte. I enkelte foretak ga rapporteringen begrenset informasjon om gjennomførte kontroller, identifiserte avvik og den konkrete oppfølgingen av disse. Andre foretak ga mer utfyllende informasjon om identifiserte risikoer og avvik, anbefalte tiltak, frister og status for oppfølgingen. Styreprotokollene dokumenterte normalt at rapporteringen var behandlet av styret, men ga i varierende grad informasjon om styrets nærmere vurderinger, spørsmål og forventninger til oppfølging. I enkelte tilfeller var det derfor vanskelig å etterprøve hvordan styret hadde vurdert rapporterte avvik og oppfølgingen av disse.

4. Internrevisjonen

4.1 Internrevisjon

Etter verdipapirfondloven og AIF-loven skal foretakene i utgangspunktet ha internrevisjon, men funksjonen kan likevel utelates ut fra en konkret vurdering av virksomheten. Foretak som ikke har etablert internrevisjon, skal kunne vise til en konkret og oppdatert forholdsmessighetsvurdering basert på virksomhetens art, omfang eller størrelse og kompleksitet. Vurderingen skal behandles på egnet nivå i foretaket og gjennomgås på nytt regelmessig og ved vesentlige endringer eller hendelser.

Foretak som har internrevisjon, skal sikre at revisjonsplanen bygger på et tilstrekkelig og oppdatert risikobilde, kan dokumentere hvordan egne risiko- og internkontrollprosesser inngår i planene og gir tilstrekkelig dekning av vesentlige aktiviteter over tid. Ledelsen og kontrollfunksjonen skal bidra med relevant informasjon uten å begrense internrevisjonens selvstendige vurderinger. Styret må ha et tilstrekkelig grunnlag for å vurdere om internrevisjonsfunksjonen fungerer effektivt, herunder resultatene av gjennomført kvalitetssikring. Vesentlige funn og anbefalinger skal følges opp på en dokumentert måte, slik at styret kan følge gjennomføringen av tiltak og eventuelle forsinkelser.

Tre av foretakene i tematilsynet hadde etablert internrevisjon. Dokumentasjonen viste at revisjonsplaner og rapporteringsrutiner var etablert. Samtidig varierte omfanget og kvaliteten på dokumentasjonen av internrevisjonens arbeid, rolle og samspill med andre kontrollfunksjoner.

Styrets evaluering av internrevisjonens effektivitet varierte mellom foretakene og spente fra overordnede vurderinger som var lite dokumentert, til formaliserte og dokumenterte prosesser som var integrert i den årlige rapporteringen.

Flere små foretak var uten internrevisjon og viste til proporsjonalitetsprinsippet. Dokumentasjonen av de konkrete vurderingene var overfladisk. Begrunnelsene besto hovedsakelig av generelle henvisninger til virksomhetens størrelse, art og kompleksitet.

Enkelte foretak uten internrevisjon viste til gjennomgang av risikostyring og internkontroll foretatt av ekstern revisor. For forvaltningsselskaper for verdipapirfond følger krav om årlig uavhengig bekreftelse fra valgt revisor av forskrift om risikostyring og internkontroll § 10. For AIF-forvaltere som etter en forholdsmessighetsvurdering ikke har etablert internrevisjon, anser Finanstilsynet en tilsvarende uavhengig vurdering som god praksis.

5. ESMAs oppsummering fra CSAen

Finanstilsynets observasjoner etter tilsynet med norske forvaltningsselskaper og AIF-forvaltere er i hovedsak sammenfallende med hvordan ESMA oppsummerer resultatene fra det felleseuropeiske tilsynet (CSAen). Dette gjelder særlig forhold som svak dokumentasjon, begrenset risikobasering, forskjeller mellom små og store foretak og utfordringer knyttet til utkontraktering.

Det vises til ESMAs endelige rapport fra CSAen datert 11. mai 2026:

• 2025 CSA on compliance and internal audit functions of fund managers

Foretak som deltok i tematilsynet

Credo Partners AS
DNB Asset Management AS
Heimdal Forvaltning AS
Pareto Asset Management AS
Positron Capital AS
REQ AS
Swiss Life Asset Managers Funds AS
Turnstone Alternative Investments AS

Noter

1) I rapporten benyttes «kontrollfunksjonen» og «compliancefunksjonen» som alternative begreper.

2) For forvaltningsselskaper for verdipapirfond, se verdipapirfondloven § 2-11 og verdipapirfondforskriften § 2-10 første ledd. For AIF-forvaltere, se AIF-loven § 3-1, jf. AIF-forskriften § 8-1 og kommisjonsforordning (EU) nr. 231/2013 artikkel 61 nr. 1.

3) For forvaltningsselskaper for verdipapirfond, se verdipapirfondloven § 2-11 og verdipapirfondforskriften § 2-10 annet ledd. For AIF-forvaltere, se AIF-loven § 3-1, jf. AIF-forskriften § 8-1 og kommisjonsforordning (EU) nr. 231/2013 artikkel 61 nr. 2 bokstav a.

4) For forvaltningsselskaper for verdipapirfond, se verdipapirfondforskriften § 2-9 tredje ledd og § 2-10 tredje ledd nr. 2. For AIF-forvaltere, se AIF-loven § 3-1, jf. AIF-forskriften § 8-1 og kommisjonsforordning (EU) nr. 231/2013 artikkel 60 nr. 4 og artikkel 61 nr. 3 bokstav b.