IT-risikostyring i AkademikerPension

Finanstilsynet var i januar og februar 2024 på funktionsinspektion i AkademikerPension. Inspektionen omhandlede virksomhedens IT-risikostyring samt overgang til nyt kernesystem. Undersøgelsen tog udgangspunkt i virksomhedens indsendte materiale og rapporteringer til Finanstilsynet. AkademikerPension er en medlemsejet pensionskasse, der administrerer pensionsordninger for ca. 170.000 akademikere. Virksomhedens forretningsmodel indebærer omfattende anvendelse af IT, hvilket medfører en række iboende IT-risici. Virksomheden har organiseret sig efter principperne med tre forsvarslinjer, hvor første forsvarslinje er afdelingscheferne, f.eks. under Investering og Økonomi, mens anden forsvarslinje udgøres af risikostyringsfunktionen. Generelt vurderer Finanstilsynet, at IT-risici er et væsentligt risikoområde for AkademikerPension. Bestyrelsen skal derfor fastsætte, hvilke og hvor store IT-risici pensionskassen må påtage sig, samt aktivt tage stilling til strategiske mål for håndtering af IT-risici. Finanstilsynet konstaterede, at pensionskassen har arbejdet med IT-risici og også foretager risikovurderinger på området samt overordnet set har fastsat en metode for blandt andet IT-risikostyring. Det er dog Finanstilsynets vurdering, at området skal styrkes yderligere. Finanstilsynet konstaterede, at pensionskassen ikke har sikret tilstrækkelig forankring af de anvendte risikotolerancegrænser for IT-risici i bestyrelsen. Risikotolerancegrænser er et vigtigt element i forhold til at sikre, at administrationens håndtering af IT-risici sker i overensstemmelse med bestyrelsens anvisninger. Finanstilsynet har derfor påbudt bestyrelsen at fastsætte, hvilke og hvor store IT-risici pensionskassen må påtage sig, samt at specificere risikotolerancegrænser for IT-risici Finanstilsynet konstaterede desuden, at politik eller retningslinjer ikke i tilstrækkelig grad angiver principperne for opgørelse eller måling af IT-risici, og at principperne derfor ikke er tilstrækkelig forankret i bestyrelsen.