3. Skape en trygg økonomisk hverdagØkonomisk kriminalitet er et alvorlig samfunnsproblem og en trussel mot velferdssamfunnet. Den raske digitale utviklingen gir også stadig nye utfordringer i vårt arbeid med å forhindre økonomisk kriminalitet. Vi jobber systematisk med å forhindre at våre produkter og tjenester benyttes til dette formålet. Konsernet har nulltoleranse for korrupsjon, hvitvasking og annen økonomisk kriminalitet.
3.1 Hvitvasking og terrorfinansiering
Forebygging av hvitvasking og terrorfinansiering er et viktig samfunnsmessig ansvar. Etterlevelse av hvitvaskingsloven er derfor avgjørende for den allmenne tilliten til finansnæringen. Det er etablert strenge regulatoriske krav og et økt fokus på etterlevelse for å motvirke hvitvasking og terrorfinansiering. I tillegg møter vi lovkrav som representerer tiltak mot korrupsjon. Som eksempel må styremedlemmene, daglig leder og fagansvarlige i selskaper som skal drive eiendomsmegling, legge fram politiattest for å kunne ha stillingen/vervet. Innenfor regnskapsvirksomheten må alle som vil oppnå autorisasjon legge fram politiattest, og i banken må alle ansatte kunne framvise politiattest før man blir ansatt. Se mer under vedlegg D. Orden i eget hus.
3.1.1 AHV Bank
Bankens arbeid med antihvitvasking (AHV) har som formål å forebygge og avdekke transaksjoner knyttet til hvitvasking og terrorfinansiering. Arbeidet med antihvitvask er regulert gjennom styringsdokument for antihvitvasking og terrorfinansiering, rolleinstrukser og retningslinjer. I 2021 endret vi organiseringen på området ved å etablere et eget team for økonomisk kriminalitet og har i nå følgende organisering:
Arbeidet for å motvirke hvitvasking er et område som har hatt stort fokus gjennom året. Myndighetene setter, gjennom Finanstilsynet, krav til at bankenes eksisterende kundeportefølje skal være i samsvar med krav i hvitvaskingsloven. I et konsern der alle virksomheter driver etter konsesjon fra Finanstilsynet, er det naturlig at arbeidet mot hvitvasking og terrorfinansiering flagges høyt.
Ansatte gjennomfører jevnlig oppdateringskurs på antihvitvaskområdet. I tillegg til å gjennomføre obligatoriske e-læringskurs så gjennomføres det jevnlig møter med alle rådgivere/kundeveiledere i banken. Styret får også tildelt kurs som omhandler antihvitvask og det leveres kvartalsvise rapporter fra AHV-området.
Dersom det avdekkes forhold som kan indikere at midler har tilknytning til hvitvasking eller terrorfinansiering så skal banken foreta nærmere undersøkelser. Hvis det er forhold som gir grunnlag for mistanke om hvitvasking eller terrorfinansiering plikter vi som bank å oversende opplysninger til Økokrim om forholdene i en MT-rapport så raskt som mulig. Utviklingen i antall MT-rapporter viser at vi oppdager flere mistenkelig forhold som rapporteres videre til Økokrim.
3.1.2 Regnskap
Regnskapshuset sitt arbeid med antihvitvasking (AHV) har som formål å forebygge og avdekke transaksjoner knyttet til hvitvasking og terrorfinansiering. Arbeidet med antihvitvask er på lik linje med banken regulert gjennom styringsdokument for antihvitvasking og terrorfinansiering, rolleinstrukser og retningslinjer.
Dette er et område som har hatt stort fokus gjennom året. Myndighetene setter, gjennom Finanstilsynet, krav til at autoriserte regnskapsførerforetak sin eksisterende kundeportefølje skal være i samsvar med krav i hvitvaskingsloven. Det er i 2022 tatt i bruk nye verktøy for søk og rutinene er tilpasset og endret.
Ansatte gjennomfører jevnlig oppdateringskurs på antihvitvaskområdet, både interne kurs og bruk av eksterne ressurser. Styret får også tildelt kurs som omhandler antihvitvask og det leveres kvartalsvise rapporter fra AHV-området.
3.1.3 Eiendomsmegler 1 Fjellmegleren
Fjellmegleren jobber hver dag med arbeid mot hvitvask av penger og bekjempelse av terrorfinansiering. Området er lovregulert, samt det finnes gode veiledere fra Finanstilsynet. Fjellmegleren etterstreber å møte de krav lovgiver setter til eiendomsmeglerforetak til enhver tid.
I 2022 var vi gjennom et stort tilsyn med fokus på antihvitvask og bekjempelse av terrorfinansiering. Tilsynet ga Fjellmegleren en tidsfrist for når AHV-arbeidet måtte være på plass og i henhold til lov og forskrift. I endelig rapport fra Finanstilsynet heter det at tilsynet ikke fant noe å bemerke. Det ble lagt ned et stort stykke arbeid for å få alle overordene dokumenter og systemer på plass.
For andre halvdel av 2022 ble implementering og etterlevelse av nytt system og nye rutiner iverksatt. Det ble ansatt en jurist som kvalitetssjef for Fjellmegleren. Kvalitetssjef og fagansvarlig har satt AHV på agendaen i månedlige fagmøter i Fjellmegleren.
Eiendomsmegler 1 Ringerike Hadeland har i andre halvdel av 2022 gjort AVH-stikkprøvekontroller i Fjellmegleren. Dette har gitt oss et godt verktøy for å evt. se hvor skoen trykker, og hvor vi bør sette inn tiltak.
Fjellmegleren har utarbeidet en opplæringsplan for AHV-feltet. Planen omfatter alle ansatte, samt styret.
3.2 Svindel - Bank
Gjennom 2022 har vi opplevd en stor økning i antall svindelsaker. Det har de siste årene blitt iverksatt et omfattende arbeid i SpareBank 1 på området, hvor fokuset har vært samhandling, sentralisering av kompetanse og felles ressursutnyttelse. Banken følger felles retningslinjer som andre banker i SpareBank 1-Alliansen når det gjelder svindelforebyggende tiltak og har også iverksatt egne tiltak for å redusere risikoen for svindel mot kundene. Det blir arbeidet kontinuerlig for at tjenester på nett og mobil skal være sikre, og at kundene bruker disse på en sikker måte. På vår hjemmeside sb1.no finner man retningslinjer for blant annet sikker bruk av nettbank og sikker netthandel, generelle nettvett- og kortvettregler, og anbefalte tiltak fra kundens side for å sikre seg mot ID-tyveri.
Dette har det vært et enda sterkere fokus på de siste årene, da alle banker opplever en økende mengde med svindelsaker og at det er viktigere enn noen gang å være ekstra varsom og opplyse kundene om det. Volumet er generelt høyt for alle banker og trusselen forventes å vedvare. Vi har ikke godt nok tallgrunnlag fra 2021 til å si noe om antallet saker, men vi vet at antall saker har økt betraktelig.
3.3 InformasjonssikkerhetI konsernet SpareBank 1 Hallingdal Valdres jobbes det mye med informasjonssikkerhet. Det brukes ressurser på mange felt, hvor informasjon og opplæring av ansatte og organisasjon sees på som det viktigste.
Det gjennomføres opplæring av alle nyansatte, og SpareBank 1 sitt interne opplæringsprogram Passopp sørger for å oppdatere kunnskap hos ansatte minimum 6 ganger i året. Samarbeidet i SpareBank 1 bistår bankene med egne program hvor vi blant annet samarbeider om egne phishingtester hvor ansatte testes på om de klarer å avdekke svindelmail. Samarbeidet i SpareBank 1 arrangerer også sikkerhetswebinar og har eget opplegg i oktober hvor det arrangeres sikkerhetsmåned sammen med konsernene i SpareBank 1.
Selv om opplæring av ansatte er viktig, jobbes det også med å herde systemene mot angrep utenfra. It-systemene våre er i mange tilfeller felles og vi følger rutiner og anbefalinger blant annet fra både Finanstilsynet og Nasjonal SikkerhetMyndighet. Vi har rutiner for oppdatering av systemer og software, og vi risikovurderer jevnlig både våre interne og eksterne systemer. Vi sikkerhetstester også jevnlig felles systemer i SpareBank 1 og har avtaler om sikkerhetstesting med selskaper som er spesialister på området. Rapportene viser også at vi har god kontroll på it-systemene våre og vi ser den positive effekten av jevnlig sikkerhetstesting.
I en intern sikkerhetsvurdering har vi sett på hva trenden for 2023 er når det gjelder svindel og nettkriminalitet. Vi har rangert svindelmetoden fra 1 til 9, og skal også ha oppfølging internt på hvordan vi møter disse risikoene.
- Løsepengevirus. Løsepengevirus med digital utpressing er den fremste trusselen mot konsernet i dagens trusselbilde
- Kritiske sårbarheter. Sårbarheter i programvare og all software kan utnyttes. Det er et kappløp mellom nettkriminelle og leverandører/oss om å lukke sårbarheter.
- Spionasje. Statlig eller statlig styrte operasjoner mot mål med etterrettningsverdi.
- Leverandørkjedeangrep. Lange leverandør- og verdikjeder øker risiko. Flere angrep de siste årene der leverandørkjedeangrep har rammet både offentlige og private virksomheter.
- Datainnbrudd med datalekkasje. Datalekkasjer forekommer enten utilsiktet eller tilsiktet. Skjer også ifm. løsepengevirusangrep.
- Tjenestenektangrep (DDOS). Vedvarende trussel og primærmetode for pro-russiske hacktivister relatert til den sikkerhetspolitiske situasjonen.
- Sabotasje. Ble aktualisert ifm. Ukraina-krigen. Viper-skadevare har forekommet, men i begrenset omfang
- Innsidetrussel. Risiko for at egne ansatte stjeler virksomhetssensitiv informasjon eller saboterer er til stede, inkluderer også spionasje. Gjelder også utilsiktet sletting av data.
- Svindel. Målrettet og sofistikert svindel, hovedsakelig faktura-/direktørsvindel
Vi ser viktigheten av å møte disse truslene med intern opplæring og oppfølging. Konsernet fortsetter å bygge en sikkerhetskultur. IT-miljøene både hos oss, i Sb1 Utvikling, SamSpar og leverandørene våre jobber kontinuerlig for å gjøre IT-systemene som konsernet bruker stadig mere motstandsdyktig mot truslene som er avdekket.
3.4 PersonvernVåre kunder og ansatte skal ha tillit til at deres personopplysninger er trygge hos oss.
Vi håndterer store mengder personopplysninger som en del av daglig drift. Dette gjelder både personopplysninger om kunder og om egne medarbeidere. Vi har stort fokus på å ivareta kravene i personopplysningsloven og GDPR (General Data Protection Regulation). Vi har en personvernerklæring som ligger lett tilgjengelig på våre hjemmesider. Denne beskriver hvordan vi behandler personopplysninger.
En viktig måte å forbedre seg på er å avdekke og håndtere brudd på personopplysningssikkerheten, såkalte hendelser. Alle ansatte skal melde personvernhendelser i et internt hendelsesregister. For banken har vi i 2022 registrerte 38 personvernhendelser, og 2 av disse er meldt til Datatilsynet. Virksomhetens evne til å oppdage hendelser øker, og dette gir oss mulighet til forbedringer. Vi har ikke fått pålegg eller overtredelsesgebyr fra Datatilsynet i 2022 for noen av hendelsene. Dette skyldes at hendelsene ikke er vurdert som alvorlige brudd på personvernsikkerheten, og at det ble iverksatt tilstrekkelige tiltak for å rette opp feil og hindre framtidige hendelser. Banken har ingen kundeklager på brudd på personvern i 2022.
I vår daglige drift er det nødvendig å behandle kundene og de ansattes personopplysninger. Vi har som mål å respektere de registrerte privatliv, sikre at personvernreglene blir etterlevd og ivareta vårt omdømme når vi har behov for og krav om å behandle personopplysninger.
Alle ansatte får jevnlig opplæring på personvernområdet. Vi gjennomfører jevnlig ulike typer e-læringer/nanolæringer i vårt konsern, og disse er ofte spisset mot personvern.