P+, Pensionskassen for Akademikere

Finanstilsynet var i januar 2023 på funktionsinspektion i P+, Pensionskassen for Akademikere (herefter P+ eller virksomheden) vedrørende hyppighed af den løbende værdiansættelse af alternative investeringer. Denne redegørelse er en af flere redegørelser i forbindelse med Finanstilsynets funktionsinspektioner i pensionssektoren vedrørende hyppighed af den løbende værdiansættelse af alternative investeringer. Inspektionen vedrørte hyppigheden af virksomhedens løbende værdiansættelse af aktivklasserne private equity, infrastruktur og illikvide kreditinvesteringer (inklusiv senior loans og securitiseringer). Inspektionen fokuserede på processer og metoder forbundet med virksomhedens løbende værdiansættelse og omfattede ikke den konkrete værdiansættelse. Livsforsikringsselskaber m.fl. skal have processer og metoder, der sikrer, at værdiansættelsen af virksomhedens alternative investeringer løbende sker til dagsværdi. Finanstilsynet har i rapporten ”Pensionssektoren - Løbende værdiansættelse af alternative investeringer i 2020” henvist til, at værdiansættelsesprocesser skal sikre, at værdiansættelser af alternative investeringer er retvisende. Dette indebærer, at virksomheden sikrer, at nødvendige værdireguleringer sker tilstrækkeligt hurtigt og hyppigt. Virksomheden skal have værdiansættelsesprocesser, der understøtter dette f.eks. ved relevante markedsbevægelser og væsentlige ændringer i risikobilledet. P+ havde ultimo 2022 investeringer i infrastruktur for 8,3 mia. kr., investeringer i kredit for 17,8 mia. kr. samt investeringer i private equity for 6,9 mia. kr., svarerende til 24,3 pct. af virksomhedens samlede investeringsaktiver. Finanstilsynet konstaterede, at P+ har fastsat processer og metoder for den løbende værdiansættelse af virksomhedens alternative investeringer. Finanstilsynet vurderer dog ikke, at processerne i tilstrækkelig grad sikrer, at der sker en løbende værdiansættelse af virksomhedens alternative investeringer til dagsværdi. På baggrund af nedenstående observationer har Finanstilsynet påbudt P+ at sikre, at værdiansættelsesprocessen bliver sat i gang med tilstrækkelig rettidig og hyppig frekvens.

Finanstilsynet har gennemført en IT-inspektion i P+ Pensionskassen for akademikere (herefter P+) i perioden oktober 2018 til januar 2019 og januar 2020. styring af IT-sikkerhed og -risici, herunder IT-sikkerhedspolitikken, men har endvidere omfattet gennemgang på andre områder forbundet hermed: Finanstilsynet har vurderet, at P+ havde væsentlige mangler i sin IT-sikkerhedsstyring og IT-risikostyring. Der manglede rammer og struktur for IT-sikkerhedsstyring, og som følge heraf havde direktion og bestyrelse et utilstrækkeligt overblik og kontrol med virksomhedens risikoeksponering på IT-området. P+ opererede derfor på en række områder med forhøjet risiko. Finanstilsynet har givet påbud om, at P+ skal sikre en dokumenteret metode for styring af IT-sikkerhed, som sikrer sammenhæng mellem IT-sikkerhedsrisici og -kontroller, en dokumenteret ledelsesopfølgning og en tilfredsstillende kontrol med implementering og efterlevelse af IT-sikkerhedspolitikken mv. P+ skal sikre en struktureret og tydelig styring af og sammenhæng mellem den af bestyrelsen fastlagte IT-risikoappetit, IT-risici og risikovurderinger. Risikostyringen skal forankres direkte i forretningsgange og kontroller, og risikorapporteringen til direktion og bestyrelse skal indeholde tilstrækkelig information om den faktiske risikoeksponering på IT-området. Samtidigt skal kvaliteten af P+’s forretningsgange og IT-sikkerhedskrav forbedres på flere centrale områder. Finanstilsynet har givet påbud om at fastlægge, forbedre og implementere krav og forretningsgange i relation til outsourcing, herunder risikovurdering af processer og leverandører. P+ skal forbedre forretningsgange og tydeliggøre risikovurderinger i relation til adgangsstyring til systemer og data, blandt andet sikring af funktionsadskillelse. P+ skal endvidere fastlægge og implementere tilstrækkelige krav til logning, herunder kontrol med og opfølgning på adgang og anvendelse. P+ havde mangler i beredskabsplanlægningen.