VP Securities A/S

VP Securities har som den eneste danske værdipapircentral en central rolle i den finansielle infrastruktur på det danske kapitalmarked. VP’s kerneaktiviteter består i udstedelse og opbevaring af værdipapirer samt drift af det system, hvor værdipapirhandler afvikles. VP er i sin rolle som værdipapircentral underlagt finansiel regulering, der bl.a. tilsiger, at VP skal have effektive ledelsesordninger herunder funktioner for compliance og risikostyring. På inspektionen gennemgik Finanstilsynet dette. Siden februar 2022 har VP også haft en forpligtelse til at have foranstaltninger til at håndtere forsinkelser i værdipapirafviklingen. Finanstilsynet kan konstatere, at afviklingseffektiviteten i det danske marked generelt er god. Det er dog også Finanstilsynets vurdering, at VP’s foranstaltninger for at forbedre afviklingsdisciplinen er utilstrækkelige. Finanstilsynet har påbudt VP at styrke de interne processer for dels afdækning af årsager til afviklingsforsinkelser, dels suspension af deltagere, der konsistent og systematisk er skyld i forsinkelser af afviklingen. AI-genererede svar baseret på vores hjemmeside. Verificer via links.

Inspektionen omfattede virksomhedens governance på området, beredskabsmålsætninger, beredskabsplanlægning herunder krav til backup samt test af beredskabet. Finanstilsynet vurderer, at VP Securities har mangler i sin organisering på IT-sikkerhedsområdet og i virksomhedens IT-beredskab. Disse forhold medfører en forøget operationel risiko for virksomheden. Finanstilsynet har givet VP Securities påbud for at udbedre manglerne. VP Securities har ikke sikret, at der er tilstrækkelig uafhængighed mellem første og anden forsvarslinje på IT-sikkerhedsområdet, herunder ift. virksomhedens IT-beredskab. Finanstilsynet har derfor påbudt VP Securities at sikre uafhængighed mellem første og anden forsvarslinje på IT-sikkerhedsområdet. VP Securities’ processer og metode til at styre sit IT-beredskab har mangler. VP Securities har ikke sikret, at virksomhedens IT-beredskab er tilstrækkeligt vedligeholdt samt understøttet af forretningsgange. Derudover har VP Securities ikke sikret, at virksomhedens metode til at styre sit IT-beredskab skaber en tydelig sammenhæng på tværs af beredskabsplanlægningen og -rapporteringen, herunder at alle væsentlige risikoscenarier adresseres af IT-beredskabet. På den baggrund har Finanstilsynet påbudt VP Securities at sikre, at virksomhedens IT-beredskab vedligeholdes og understøttes af opdaterede forretningsgange, der sikrer sammenhæng på tværs. AI-genererede svar baseret på vores hjemmeside. Verificer via links.

VP Securities har en central rolle i infrastrukturen for danske værdipapirer som aktier, obligationer og investeringsforeningsbeviser. Alle centrale aktører i det danske kapitalmarked er direkte eller indirekte forbundet til VP Securities. Det er derfor også afgørende, at VP Securities’ risikoarbejde inklusive arbejdet med cyberrisici tager udgangspunkt i VP Securities’ centrale rolle. Det er Finanstilsynets overordnede vurdering, at VP Securities har fokus på risiko, herunder cyberrisiko. Finanstilsynet har givet VP Securities påbud om at sikre klarhed over uafhængighed i compliancefunktionen og en tilsvarende klar rapporteringslinje til bestyrelsen. VP Securities har også fået påbud om at styrke styringen af kritiske IT-leverandører i relation til IT-sikkerhed herunder cybersikkerhed. Finanstilsynet har endvidere givet VP Securities påbud om at dokumentere, at forretningsgangen for patch-management, dvs. opdatering af IT-udstyr, er efterlevet. Finanstilsynet har bedt VP Securities redegøre for, hvordan beredskabet er forbedret eller planlægges forbedret, samt om der er testet på fejlrettelser efter beredskabstest. AI-genererede svar baseret på vores hjemmeside. Verificer via links.

Inspektionen omfattede også VP Securities’ accessoriske aktiviteter. Endvidere havde Finanstilsynet fokus på at afdække, om der er væsentlige risici for VP Securities forbundet med håndteringen af selskabshændelser som f.eks. negativ rente og udbyttebetaling. VP Securities er den eneste virksomhed med tilladelse til clearing, afvikling og registreringsvirksomhed efter værdipapirhandelsloven. VP Securities’ er i en overgangsfase, idet VP Securities’ forretningsområde er ved at blive harmoniseret af EU regler. Således står VP Securities over for at skulle overgå til at være reguleret af EU’s forordning om forbedring af værdipapirafviklingen i Den Europæiske Union og om værdipapircentraler (CSDR). VP Securities vil som konsekvens af CSDR i højere grad blive underlagt regler, der i store træk svarer til anden finansiel regulering. F.eks. skal en værdipapircentral, jf. CSDR have en risiko- og compliancefunktion. VP Securities har igennem en længere periode arbejdet målrettet med at omstille organisationen til de kommende EU-regler. Gennemgangen af VP Securities’ accessoriske aktiviteter afdækkede, at aktiviteterne er blevet reduceret i de senere år og nu har et relativt begrænset omfang set i forhold til kerneaktiviteten. VP Securities’ infrastruktur anvendes især til udstedelse af aktier, obligationer og investeringsforeningsandele. Infrastrukturen får derfor også en central rolle i håndteringen af selskabshændelser. Det er de kontoførende institutter, der som deltagere i VP Securities’ infrastruktur benytter systemet til at generere selskabshændelser. Finanstilsynet vurderer, at VP Securities, i det omfang det er muligt, arbejder for at nedbringe operationelle risici ved brugen af systemet bl.a. gennem udvikling af automatiserede processer for tilbagevendende selskabshændelser.

Finanstilsynet gennemgik udvalgte dele af it-området, herunder it-strategi og sikkerhedspolitik, organisation, retningslinjer, it-beredskab, adgange til systemer og data samt selskabets styring af outsourcede it-funktioner samt kontroller og rapportering vedrørende it-sikkerhed. Finanstilsynet vurderer på baggrund heraf, at selskabets it-sikkerhedsstyring, organisation og samlede risikohåndtering på ovenstående områder generelt er tilrettelagt på et tilfredsstillende niveau og i al væsentlighed lever op til kravene til it-sikkerhed efter Finanstilsynets bekendtgørelse om ledelse og styring af pengeinstitutter samt gældende krav i Finanstilsynets bekendtgørelse om outsourcing. Finanstilsynet vurderer, at der på enkelte områder, primært centreret omkring ledelsesrapportering, er behov for en højere grad af dokumentation og formalisering. Finanstilsynet har i forlængelse heraf påbudt VP Securities A/S at styrke eksisterende forretningsgange på enkelte områder. AI-genererede svar baseret på vores hjemmeside. Verificer via links.