Hovedkonklusjon for tilsynet i 2019

Vurdering av hovedstyrets styring og kontroll

Innledning

Norges Banks representantskap rapporterer om tilsyn og øvrige oppgaver etter lov om Norges Bank og pengevesenet mv. (sentralbankloven), og denne rapporten er en samlet uttalelse for arbeidet i 2019.

Ny sentralbanklov ble vedtatt i Stortinget 21. juni 2019 og gjelder fra 1. januar 2020. Loven stiller krav om at «Representantskapet rapporterer til Stortinget om tilsynet med banken etter § 4-1 fjerde ledd». Oppgavene til representantskapet er videre beskrevet slik: «Representantskapet fører tilsyn i samsvar med § 4-1, vedtar budsjett etter § 4-2, godkjenner regnskap etter § 4-3, utpeker revisor etter § 4-4 og fastsetter eventuell valgmåte for ansattes representanter til hovedstyret etter § 2-3 annet ledd tredje punktum.»¹

Hovedbestemmelsen om tilsynet er:

«Representantskapet skal føre tilsyn med Norges Banks drift og med at bestemmelsene for virksomheten blir fulgt. Representantskapet skal føre tilsyn med at hovedstyret har tilfredsstillende styring og kontroll med bankens administrasjon og virksomhet, og med at det er etablert hensiktsmessige rutiner for å sikre at bankens virksomhet utøves i henhold til lov, avtaler, vedtak og rammeverk for øvrig.»²

Tilsynet i 2019 er gjennomført i samsvar med tidligere sentralbanklov av 1985 med senere endringer, forskrifter og mandater som gjaldt for tilsynsåret. Tilsynsoppdraget og andre oppgaver for representantskapet er videreført i ny lov. Denne rapporten er avgitt i samsvar med den nye sentralbankloven.³

Et viktig utgangspunkt for innhold i tilsynet er beskrevet i forarbeidene til sentralbankloven.⁴

«I Meld. St. 7 (2018–2019) side 38 fremholder departementet at representantskapets tilsyn fortsatt skal være en etterfølgende kontroll og et tilsyn med utgangspunkt i hovedstyrets protokoller, slik at det ikke åpnes opp for at representantskapet kan omgjøre hovedstyrets beslutninger.

En etterfølgende kontroll avskjærer ikke representantskapet fra å stille spørsmål knyttet til vedtak fattet av hovedstyret, blant annet for å forstå bakgrunnen for vedtaket. Representant-skapet kan også gi anbefalinger om endringer som er egnet til å styrke styringen og kontrollen i Norges Bank og be om tilsvar til dette. Dersom representantskapet etter at hovedstyret er gitt god mulighet til å begrunne sine vedtak mv., mener at hovedstyret ikke har hatt tilfredsstillende styring, eller det har vært brudd på regelverk, vil representantskapets reaksjon kunne være å protokollføre merknader om for eksempel ytterligere oppfølgingsbehov og å omtale forholdet i representantskapets årlige rapport til Stortinget om det anser at saken krever en slik omtale. Det er denne type reaksjoner som omfattes av et aktivt tilsyn i Norges Bank, og ikke vedtak som skal operasjonaliseres direkte.»

Rammeverk for risikostyring og internkontroll

Hovedstyrets oppgaver er regulert i sentralbankloven:

«(1) Styringen og driften av Norges Bank hører under hovedstyret, med unntak av saker som i eller i medhold av loven er lagt til komiteen for pengepolitikk og finansiell stabilitet. Hovedstyret har ansvaret for Norges Banks forvaltning av Statens pensjonsfond utland. Hovedstyret skal sørge for en forsvarlig og effektiv organisering av banken.

(3) Hovedstyret skal påse at Norges Banks virksomhet, regnskapsavleggelse og formuesforvaltning blir betryggende styrt og kontrollert, og føre tilsyn med den daglige ledelsen og virksomheten for øvrig. Hovedstyret skal ikke føre tilsyn med komiteens utøvelse av skjønnsmyndighet.» ⁵

I tillegg er det gitt krav til risikostyring og internkontroll i forskrift om risikostyring og internkontroll i Norges Bank (internkontrollforskriften).⁶ Hovedstyret skal «fastsette mål og strategi for Norges Bank, samt overordnede retningslinjer for bankens virksomhet». Norges Bank skal på alle områder foreta en systematisk vurdering av vesentlige risikoer knyttet til virksomheten. Den etablerte internkontrollen skal håndtere de identifiserte risikoene på en forsvarlig måte.

I samsvar med forskriften legger hovedstyret fram «en samlet vurdering av risikosituasjonen for Norges Banks virksomhet til representantskapet».⁷ Det skal også minst én gang årlig foretas en oppsummerende vurdering av om internkontrollen har vært gjennomført på en tilfredsstillende måte. Denne vurderingen bygger på oppsummeringer av internkontroll fra virksomhetsområdene og internrevisjonen.⁸ Sentralbanksjefens samlede vurdering behandles av hovedstyret.

Hovedstyret har fastsatt prinsipper for risikostyring i Norges Bank på overordnet nivå og videre for sentralbankvirksomheten og NBIM. Rammeverket er fortløpende lagt fram for representantskapet til orientering. Representantskapet legger vesentlig vekt på hovedstyrets oppfølging og vurderinger av risikostyring og internkontroll.

Representantskapets vurdering av hovedstyrets rapportering om risikosituasjonen og internkontrollen i 2019

Gjennom året har representantskapet behandlet kvartals- og halvårsrapportering fra hovedstyret om virksomhetsstyring og etterlevelse og kontroll i kapitalforvaltingen og sentralbankvirksomheten. Rapportene gir oversikt over operasjonell risiko og internkontrollaktiviteter gjennom året. Under behandlingen har sentralbanksjefen svart på spørsmål fra representantskapet om håndteringen av ulike rapporterte temaer som etablering av roller og ansvar ved insourcing av IT-systemer og -personell i NBIM og generelt om gjennomføring av endringer i Norges Banks organisasjon.

Under representantskapets behandling av periodiske rapporter har sentralbankledelsen redegjort for spørsmål knyttet til hvordan det rapporteres om ikke-finansiell informasjon og ansvar og roller knyttet til større IT-prosjekter i virksomheten. Representantskapet har merket seg at Norges Bank har etablert en ny modell for leveranser av IT-tjenester der utkontraktert løsning har blitt erstattet med spesialiserte leverandører samt overgang til skybasert IT-infrastruktur. Representantskapet er orientert fra sentralbankledelsen om at de er i mål med ansettelser innen IT-sikkerhetsområdet.

Representantskapet har behandlet hovedstyrets samlede vurdering av risikosituasjonen og internkontrollen i 2019. Vurderingen viser til at hovedstyret har behandlet årsrapporter fra sentralbankvirksomheten og NBIM. Gjennom året er det også behandlet ni periodiske rapporter om operasjonell risikostyring, internkontroll og etterlevelse. Representantskapet har tatt de periodiske rapportene og redegjørelsene i møtene til etterretning. Vurdering av sikkerhetstilstanden i Norges Bank i henhold til virksomhetssikkerhetsforskriften er dekket gjennom rapportene.

Internrevisjonen har levert 15 rapporter fra internrevisjonsprosjekter som er behandlet av hovedstyret gjennom året. Ni av disse har dekket kapitalforvaltingen, og fem har dekket sentralbankvirksomheten. Rapportene og internrevisjonens årsrapport er med i hovedstyrets vurderingsgrunnlag av internkontrollen. Internrevisjonen har i sin rapportering vært opptatt av at administrasjonen har utarbeidet en tilfredsstillende tiltaksplan for å følge opp eventuelle anbefalinger i rapportene.

Hovedstyrets konklusjon for 2019 er:

• Internkontrollen i Norges Bank er gjennomført på en tilfredsstillende måte.

• Den operasjonelle risikoeksponeringen i kapitalforvaltningen har gjennom året vært innenfor hovedstyrets definerte risikotoleranse.

• Den operasjonelle risikoeksponeringen i sentralbankvirksomheten har gjennom året vært akseptabel.

Hovedstyret opplyser at det ikke har vært identifisert vesentlige brudd på lover og forskrifter i 2019. Uønskede hendelser blir rapportert og fulgt opp fortløpende. Feil i IT-systemer var den vanligste årsakskategorien. Ingen av hendelsene er vurdert å ha hatt alvorlig faktisk konsekvens siste år eller har nødvendiggjort melding til Datatilsynet. Enkelte uønskede hendelser i NBIM ble rapportert med en økonomisk effekt på mer enn fem millioner kroner og ble således vurdert som vesentlige.

Følgende områder er belyst under behandlingen av internkontrollrapporten:

• Bruk og forståelse av begrepet modenhet

• Hendelser med økonomiske konsekvenser

• Samarbeid med andre samfunnsinstitusjoner og virksomheter om sikkerhet og beredskap

Representantskapet har stilt spørsmål og fått redegjørelser om arbeidet med å forbedre prosesser slik at uønskede hendelser ikke får betydelige negative konsekvenser. Sentralbanksjefen redegjorde for spørsmålene og orienterte om organisering av arbeidet med IT-sikkerhet.

Representantskapet har tatt hovedstyrets samlede vurdering av risikosituasjonen og internkontrollen i Norges Bank for 2019 til etterretning og mener at det er etablert prosesser og rapportering som oppfyller kravene i sentralbankloven og forskrift om risikostyring og internkontroll i Norges Bank.

Hovedkonklusjon

Norges Bank har gjennomført flere endringer i 2019 som er i samsvar med representantskapets anbefalinger og påpekninger fra tilsynsarbeidet over tid. Med utgangspunkt i ny sentralbanklov og gjennom endringer i mandatet for forvaltningen av SPU har Finansdepartementet hensyntatt innspill fra representantskapet om tydeliggjøring av hovedstyrets ansvar. Hovedstyret gjennomfører endringer i organiseringen av Norges Bank som over tid ser ut til å gi gode resultater for uttak av synergier og kostnadseffektivisering. En anbefaling fra representantskapet om innhenting av attestasjonsuttalelse til rapportering om samfunnsansvar og ansvarlighet i forvaltningen er etterkommet. Dette er et område under sterk utvikling internasjonalt.

Representantskapets prioriteringer for tilsynet i 2019 ble omtalt i eget kapittel i Dokument 9 (2018–2019). Gjennom året har representantskapet behandlet rapporter fra tilsynsgjennomganger og utredninger med temaer som periodiske offentlige og interne rapporter, representantskapets tilsynsansvar ut over sentralbankloven og kostnadseffektiv styring og utnyttelse av ressurser. Det er også behandlet attestasjonsrapporter om tredjepartsrisiko og rammeverk i kapitalforvaltningen. Tilsynsrapporter er oversendt til hovedstyret, som på vanlig måte gir kommentarer i brev til representantskapet med opplysning om hvordan anbefalinger og vurderinger vil bli fulgt opp.

Utredninger, tilsynsrapporter og attestasjonsuttalelser med hovedstyrets oppfølging er beskrevet i denne rapporten. Ingen spørsmål er ubesvart. Enkelte temaer videreføres i tilsynet, som etterlevelse av mandatreguleringer i forvaltningen av SPU og rammeverk for tiltak mot hvitvasking og terrorfinansiering. Representantskapet vil fortsatt ha særlig høy oppmerksomhet på hovedstyrets kostnadsstyring og reell åpenhet om Norges Banks virksomhet. Med reell åpenhet mener representantskapet at rapportering skal være korrekt, relevant og forståelig for et bredt publikum.

Representantskapet har gjennomgått hovedstyrets protokoller.⁹ Under behandlingen er det reist spørsmål til saker som er referert til i protokollene, og til dokumenter og rapporter som er oversendt fra hovedstyret. Medlemmer i representantskapet har hatt synspunkt på at hovedstyrets protokoller kunne inneholdt mer informasjon fra diskusjoner. Spørsmål har vært knyttet til godtgjørelsesordningen i kapitalforvaltningen, arealdisponering og organisering av administrative funksjoner med mulig budsjettmessig konsekvens.¹⁰ Sentralbanksjefen har gitt utdypende redegjørelser til problemstillingene.

Representantskapet har mottatt alle opplysningene det har bedt om. Det er ikke avdekket forhold gjennom tilsynet som gir grunnlag for særskilte merknader etter loven.¹¹

Etter representantskapets oppfatning har hovedstyret utøvd styring av og kontroll med Norges Banks virksomhet i samsvar med krav i sentralbankloven, forskrift om risikostyring og internkontroll i Norges Bank samt mandat for forvaltningen av Statens pensjonsfond utland. Det er etablert hensiktsmessige rutiner som sørger for at virksomheten utøves i henhold til lov, avtaler, vedtak og rammeverk for øvrig.

I tilsynet med Norges Banks drift og med at bestemmelsene for virksomheten blir fulgt, er det i 2019 ikke rapportert om brudd av kritisk betydning. Representantskapet legger gjennom denne rapporten fram sin vurdering av hovedstyrets styring av og kontroll med Norges Bank.

Norges Bank er en offentlig virksomhet med betydelig oppmerksomhet, og representantskapet er opptatt av at hovedstyret ivaretar Norges Banks samlede ressursbruk på en kostnadseffektiv og forsvarlig måte. Ved behandlingen av årsregnskapet for Norges Bank og rapporteringen om forvaltningen av SPU merket representantskapet seg hovedstyrets omtale av Norges Banks virksomhet og vurdering av resultater i SPU 2019.

Investeringene i Statens pensjonsfond utland hadde en avkastning på 19,9 pst. i 2019. Avkastningen var 0,23 prosentpoeng høyere enn avkastningen på referanseindeksen som forvaltningen måles mot. Hovedstyret er tilfreds med at avkastningen både i 2019 og over tid har vært god, og høyere enn avkastningen på referanseindeksen. Fra Norges Banks overføringsfond tilføres statskassen 19,7 mrd. kroner for 2019.

Representantskapet har godkjent Norges Banks årsregnskap for 2019 og vedtatt budsjett for 2020. Representantskapet mener at hovedstyrets årsberetning og Norges Banks årsregnskap gir dekkende informasjon om virksomheten i overensstemmelse med krav i lov og forskrifter.