VÅR REFERANSE DERES REFERANSE DATO 16/

Transkript

1 Asker og Bærum Boligbyggelag BA Postboks SANDVIKA VÅR REFERANSE DERES REFERANSE DATO 16/ Merknader - endelig rapport etter stedlig tilsyn Det vises til gjennomført tilsyn i foretakets lokaler den 6. og 7. april 2016, foreløpig rapport av 6. juni 2016 samt etterfølgende korrespondanse, senest ved foretakets brev av 15. september Generelt Asker og Bærum Boligbyggelag BA (heretter ABBL) har konsesjon fra Finanstilsynet til å drive eiendomsmegling, inkassovirksomhet og regnskapsføring for eksterne. Styrets leder er Petter Sørensen og daglig leder er Erling Rein. Johannes Rivertz er fagansvarlig for eiendomsmeglingen, Karianne Svalund og Søren Pedersen er faktiske ledere for inkassovirksomheten. Egil Arne Kjær er faglig leder for regnskapsførervirksomheten etter dispensasjon gitt fra Finanstilsynet, jf. regnskapsførerforskriften 1-3 tredje ledd. Finanstilsynet avholdt et stedlig tilsyn i foretaket den 6. og 7. april Tilsynet omfattet alle de konsesjonsbelagte virksomhetsområdene. Formålet med tilsynet var å kontrollere at foretaket drives i samsvar med kravene som stilles til de aktuelle virksomhetsområdene, i tillegg til etterlevelsen av risikostyringsforskriften og hvitvaskingsregelverket. Under tilsynet ble det foretatt en gjennomgang av den seneste dokumentasjonen som er utarbeidet av foretaket for etterlevelse av forskrift om risikostyring og internkontroll. Manglende etterlevelse av kravene i eiendomsmeglingsloven, inkassoloven og regnskapsførerloven er en sentral risiko i foretaket. Finanstilsynet foretok derfor en gjennomgang av de rutiner og systemer som er etablert for å bidra til å sikre etterlevelse av disse lovene og annen relevant lovgivning. På alle tre områdene ble det gjennomført stikkprøvekontroll av enkeltoppdrag for å kontrollere etterlevelse av lovgivningen og om de interne rutinene og systemene virker etter sin hensikt. Videre undersøkte Finanstilsynet foretakets håndtering av IKT-risiko og etterlevelse av pliktene etter hvitvaskingsregelverket. FINANSTILSYNET Revierstredet 3 Postboks 1187 Sentrum 0107 Oslo Telefon Telefaks post@finanstilsynet.no Saksbehandler Oda Stensrud Dir. tlf

2 FINANSTILSYNET SIDE 2 AV Eiendomsmegling Krav til uavhengighet Det ble under tilsynet avdekket at foretaket mottar ulike gratiskurs fra leverandør av eierskifteforsikringer. Det bemerkes at kurs som gjelder annet enn opplæring i produktet eierskifteforsikring er å anse som vederlag, som foretaket mottar i strid med eiendomsmeglingsforskriften 5-1 annet ledd bokstav a. Finanstilsynet forutsetter at kursvirksomheten heretter vil skje til ordinære forretningsmessige vilkår. Disposisjonsrett på klientkonto Det er bare foretakets fagansvarlig som kan disponere klientmidlene, jf. eiendomsmeglingsforskriften 3-11 første ledd. Fagansvarlig kan gi fullmakt til andre, men da basert på fagansvarliges egen risikovurdering. Eventuelle andre avtaler som etableres i tilknytning til klientkontoavtalen, som nettbankavtale eller fullmakter som gir tilgang til en annen juridisk enhets kontoer, f.eks. connect-avtaler, skal være knyttet til klientkontoen og er underlagt de samme krav som klientkontoavtalen. Det ble avdekket under tilsynet at en administrator i boligbyggelagets økonomiavdeling styrte disposisjonsretter på nettbank tilknyttet klientkontoene. Av foretakets tilsvar fremgår det at forholdet er rettet. 3. Inkasso Feilaktig inndrivelse overfor samskyldnere Etter inkassoloven 9 skal fordringshaver eller inkassator sende skriftlig varsel på papir om at inkasso vil bli satt i verk, før inkassoprosessen igangsettes. Inkassovarselet skal ha minimum 14 dagers betalingsfrist, og kan tidligst sendes etter kravets forfall. I henhold til inkassoloven 10 skal inkassator når kravet er mottatt til inkasso, sende skyldneren skriftlig oppfordring på papir om enten å betale eller komme med innsigelser mot kravet innen en 14-dagersfrist. Forutsetningen for at inkassoprosessen kan igangsettes er at betalingsfristen i inkassovarselet er løpt ut. Bakgrunnen for fristreglene følger av inkassolovens forarbeider (Ot.prp. nr. 2 ( ) s. 55 m.flg.). Hensikten med en 14-dagersfrist er at skyldneren skal ha tilstrekkelig tid til å områ seg når disse kravbrevene mottas. Det følger blant annet av s. 57 at "Departementet har kommet til at særlig fristen i inkassovarselet bør gi skyldneren en viss områdingstid før inkasso iverksettes og inkassosalær påløper." Videre plikter skyldneren å erstatte fordringshaverens nødvendige kostnader ved utenrettslig inndriving, jf. inkassoloven 17. Dette gjelder både kostnader ved å ha engasjert en inkassator og kostnader ved å drive inn kravet selv. Det er imidlertid en forutsetning for å kunne kreve kostnadene dekket, at inkassator har fulgt reglene i inkassoloven 9 til 11. Når det er to eller flere som hefter solidarisk for kravet, har Justisdepartementet i prinsipputtalelse av 24. september 1999 uttalt at det er adgang til å sette i verk inndriving mot flere av skyldnerne samtidig for samme krav. Etter nødvendighetskriteriet i inkassoloven 17 har inkassator følgelig anledning til å avkreve samtlige samskyldnere for separate utenrettslige omkostninger.

3 FINANSTILSYNET SIDE 3 AV 11 Foretaket har hatt en inndrivingsrutine som innebærer at én person (av foretaket kalt "hovedbetaler") mottar opprinnelig krav via innbetalingsblankett/efaktura/avtalegiro, selv om det er flere personer som hefter for kravet. Dersom kravet misligholdes, mottar kun hovedbetaleren inkassovarsel. Imidlertid sendes betalingsoppfordring med varsel om tvangsfullbyrde lse etter tvangsfullbyrdelsesloven 4-18 til samtlige samskyldnere. Det fremkommer av kravsoppstillingene i den enkelte betalingsoppfordringen at saken er påført inkassosalær. Foretaket har redegjort for at det kun bokføres ett salær per sak uavhengig av hvor mange som hefter og forfølges utenrettslig for det forfalte kravet. Dersom én person gjør en innbetaling på saken, nedskrives følgelig dette beløpet tilsvarende overfor samtlige samskyldnere. Inkassoklagenemnda har tidligere tatt stilling til tilsvarende rutiner hos andre foretak. Det fremkommer blant annet av vedtak at: "Nemnda legger til grunn at begge hjemmelshaverene, i medhold av sin eierandel, er solidarisk ansvarlig for felleskostnadene og at fordringshaver da kan forfølge hvem de vil for hele gjelden. I dette tilfellet har borettslaget valgt å forfølge det samme kravet mot begge solidarskylnerne samtidig, hvilket solidaransvaret også gir anledning til. Nemda er imidlertid av den klare oppfatning at Justisdepartementets prinsipputtalelse ikke fritar fordringshaver eller inkassator fra å bringe kravet til forfall mot hver og en av samskyldnerne. Inkassoloven gjelder inndriving av forfalte krav og det er en forutsetning at kravet er brakt til forfall, jf. inkassoloven 9 første ledd bokstav a som uttrykkelig angir at inkassotiltak først kan iverksettes etter kravets forfall. Nemnda legger til grunn at kravet er brakt til forfall overfor den av klagerne som har undertegnet på avtalen om AvtaleGiro. Det er ikke opplyst hvem av de to klagerne dette er. Nemnda er imidlertid i tvil om at eierskapet til boligen i seg selv er nok til å fastslå at kravene på felleskostnader er brakt til forfall, også overfor samskyldner. Selv om både leiekontrakten og boligselskapets vedtekter inneholder bestemmelser om at felleskostnadene skal betale månedlig, for eksempel den 1. i hver måned, åpner avtalen om AvtaleGiro for betydelige avvik fra dette. Dersom ikke forfall følger av avtale, forfaller et pengekrav ved påkrav, noe som ikke er benyttet i denne saken. Nemnda er kommet til at det, slik denne saken ligger an, ikke er dokumentert at forfall var klart nok avtalt med begge boligeierne. Kravet kan derfor ikke anses brakt til forfall overfor den av boligeierne som ikke betalte, og inkasso kan da ikke iverksettes overfor vedkommende." Slik vi ser det, gjelder denne uttalelsen uavhengig av om det kreves ett eller flere utenrettslige omkostninger. Inkassolovens varslings- og øvrige regler må følges uansett om sakene påføres omkostninger etter 17, eller om det kreves mindre enn de maksimale satsene som følger av inkassoforskriften kapittel 2. Etter foretakets rutine, blir ikke kravene korrekt varslet overfor samtlige samskyldnere som mottar betalingsoppfordring. Vedkommende som kun mottar betalingsoppfordringen får derfor fremsatt et utenrettslig omkostningskrav, som denne personen ikke er ansvarlig for. Det fremkommer heller ikke av betalingsoppfordringen at omkostningskravet vil reduseres overfor samtlige samskyldnere ved innbetaling fra den ene. Etter vår vurdering fremstår betalingsoppfordringen som om vedkommende er uforbeholdent personlig ansvarlig for å betale disse omkostningene, uten at denne personen tidligere er varslet om at det vil igangsettes en inkassoprosess. Vedkommende er da verken gitt muligheten til å rette innsigelser mot kravet eller å betale for å unngå at inkasso-omkostninger påløper.

4 FINANSTILSYNET SIDE 4 AV 11 Foretaket har redegjort for at rutinene nå er endret, i samsvar med Finanstilsynets påpekninger. Fremover vil dermed kun hovedbetaler motta alle kravbrev fra inkassator i forbindelse med den utenrettslige inndrivingsprosessen. Finanstilsynet tar dette til etterretning. Inkassosaker med negativ saldo I forkant av tilsynet ble foretaket bedt om å sende inn uttrekk fra saksbehandlingssystemet for saker begrenset til en nærmere angitt periode. Det fulgte av uttrekket at det var registrert enkelte saker med negativ saldo. Foretaket redegjorde for at årsaken til dette var overinnbetalinger fra skyldner. Finanstilsynet ba om konkret tilbakemelding på hvordan overinnbetalingene var fulgt opp i ti saker. Foretakets redegjørelse viser at det i fem av sakene var fulgt opp ved avtale om at midlene skal gå til dekning av andre eller fremtidige krav, kreditering eller korrigering. I de resterende fem sakene ble overinnbetalingen tilbakeført til skyldneren 6. april, det vil si samme dag som det stedlige tilsynet ble avholdt. Finanstilsynet påpeker viktigheten av at inkassator avdekker overinnbetalinger snarest mulig, og tilbakefører det aktuelle beløpet til skyldner. Inkassator kan ved dette arbeidet holde tilbake et beløp som tilsvarer de faktiske kostnadene ved tilbakeføringen, dersom skyldner selv er ansvarlig for at overinnbetalingen har skjedd. Foretaket har redegjort for at det tas ut månedlige rapporter for å avdekke overinnbetalinger, slik at disse kan følges opp overfor skyldner. Finanstilsynet tar dette til etterretning. Renteberegning I henhold til forsinkelsesrenteloven 2 kan fordringshaveren kreve rente når kravet ikke innfris ved forfall. Renten løper fra forfallsdag når denne er fastsatt i forveien, og ellers fra 30 dager etter at fordringshaveren har sendt skyldneren skriftlig påkrav med oppfordring om å betale. Dersom inkassator inndriver renter som skal tilfalle fordringshaveren, og disse beregnes for lavt, vil dette utgjøre et tap for fordringshaveren. Dersom inkassator derimot skal beholde rentene selv, er det fri adgang til å beregne lavere rente enn øvre tillatte grense etter forsinkelsesrenteloven. Det samme er tilfellet dersom det er avtalt mellom inkassator og fordringshaver at det skal avkreves lavere rente overfor skyldneren. Finanstilsynet kontrollerte foretakets renteberegning i enkelte saker. Kontrollene viste at inkassator avkrevde lavere rente enn tillatt. Rentene skulle tilfalle fordringshaver, og foretakets beregninger har medført et tap for fordringshaver. Foretaket har redegjort for at den avvikende renteberegningen skyldes at saksbehandlingssystemet var innstilt på 30 dager per måned. Innstillingene er nå endret slik at det beregnes rente etter antall faktiske dager. 4. Regnskapsføring Gjennomføring av kontrollen Det ble foretatt en gjennomgang av rutiner knyttet til regnskapsføringen og dokumentasjon av utført arbeid. Dette ble primært gjennomført i samtale med autorisert regnskapsfører /fagansvarlig for regnskapsførervirksomheten Egil Arne Kjær og avdelingsleder for forvaltningsavdelingen Geir Ellefsen.

5 FINANSTILSYNET SIDE 5 AV 11 Finanstilsynet vurderte blant annet følgende: Kapasitet og kompetanse i virksomheten til å utføre regnskapsføringsoppdragene. Bruk av skattetrekkskonto og betaling av offentlige oppgaver for virksomheten og for oppdragsgiverne. Resultatene fra kontroller som bransjeforeningen har avhold med medlemmet /selskapet og oppfølgningen av dette. Om det er innhentet taushetserklæringer fra ansatte og andre som har tilgang til lokalene. Overholdelse av lovbestemt etterutdanning for selskapets autoriserte regnskapsførere. Selskapets ledelse sin gjennomgang/vurdering og styrets behandling av risikostyring og internkontroll vedrørende regnskapsføringsvirksomheten. Datasystemer benyttet i regnskapsføringsvirksomheten. Om det er foretatt overordnet kontroll på oppdragsnivå i henhold til kravet i GRFS. Om det er foretatt tilfredsstillende kvalitetskontroll av det arbeidet som er utført av medarbeidere uten autorisasjon som regnskapsfører. Om det er etablert tilfredsstillende oppdragsavtaler og fullmakter for alle oppdragsgiverne. Om det er etablert rutiner for overtagelse av regnskapsføreroppdrag. Om det er etablert tilfredsstillende rutiner for utarbeidelse og oppbevaring av oppdragsdokumentasjon for regnskapsføringsoppdragene. Om det er etablert tilfredsstillende rutiner for avstemming av oppdragsgivernes balansekontoer og vestlige resultatkontoer. I tillegg ble tre enkeltoppdrag valgt ut for nærmere kontroll av oppdragsutførelsen. Også andre forhold som er spesielle for regnskapsførervirksomheten i ABBL ble vurdert. En mer detaljert oversikt over hva Finanstilsynet gjennomgikk og vurderte under det stedlige tilsyn fremgår av foreløpige rapporten. Resultater av Finanstilsynets kontroll Følgende mangler og svakheter i regnskapsførervirksomheten ble avdekket under det stedlige tilsynet: a. Overordnet kontroll på oppdragsnivå Det følger av den bransjefastsatte standarden for God regnskapsføringsskikk, GRFS punkt 7.1 at det skal foretas en overordnet og dokumentert internkontroll på oppdragsnivå. Det er den oppdragsansvarlige regnskapsførerens ansvar å påse at dette faktisk blir gjort. Kravet til slik kontroll gjelder uavhengig av om det benyttes medarbeider på oppdraget eller ikke. Rutinene må sikre at det fremgår av oppdragsdokumentasjonen at kontrollene faktisk er gjennomført. Videre må det det fremkomme at eventuelle feil og mangler blir fulgt opp og at de er rettet. Det foreligger ikke en skriftlig rutine som skulle bidra til å sikre at dette kravet blir ivaretatt. I tilsvaret har foretaket opplyst at selv om det ikke foreligger en skriftlig rutine, gjennomføres det en overordnet kontroll på oppdragsnivå. Etter Finanstilsynets syn skulle disse kontrollene ha avdekket for eksempel at oppdragsavtalene ikke inneholder navn på oppdragsansvarlig regnskapsfører m.m. Den rutinen som følges ivaretar uansett ikke kravet til dokumentasjon for at kontroller er utført og hvem som har utført dem.

6 FINANSTILSYNET SIDE 6 AV 11 Selv om flere av de punktene som fremgår GRFS punkt 7.1 (a i) i praksis blir kontrollert, vil en skriftlig rutine for overordnet kontroll på oppdragsnivå bidra til å sikre kvaliteten i kontrollene og at oppdraget gjennomføres i samsvar med regnskapsførerloven. Foretaket har bekreftet at det vil bli utarbeidet en skriftlig rutine. Det vil bli benyttet et skjema for kontroll av de enkelte selskapene som vil bli lagret elektronisk sammen med øvrig oppdragsdokumentasjon. Kontrollen vil dekke alle oppdragene. Finanstilsynet ber om at den skriftlige rutinen blir oversendt etter at den er godkjent av foretakets ledergruppe og av styret. b. Kvalitetskontroll av arbeid utført av medarbeidere uten autorisasjon som regnskapsfører Virksomheter som velger å benytte autoriserte regnskapsførere skal kunne ha tillit til at regnskapsføreren ivaretar selskapets plikter etter regnskapsloven, bokføringsloven m.m., innenfor det oppdragsavtalen dekker. Regnskapsførerloven bidrar til å sikre at autoriserte regnskapsførere har kompetanse og at oppdraget gjennomføres med nødvendig kvalitet. Når det benyttes medarbeidere uten autorisasjon er det derfor helt sentralt at dette arbeidet kvalitetssikres av en autorisert regnskapsfører, jf. regnskapsførerloven 2 andre ledd og GRFS pkt Det følger av regnskapsførerloven 2 andre ledd, jf. GRFS pkt. 7.3 og 7.4 at slik kvalitetskontroll må kunne dokumenteres og at avvik og feil som avdekkes ved kvalitetskontrollen skal dokumenteres og påses korrigert så snart som mulig. Foretaket har etablert en rutine, som inneholder hva som skal gjøres. Rutinen innebærer at kontrollene gjøres stikkprøvebasert for hvert tertial, uavhengig av om arbeidet er utført av autorisert regnskapsfører eller ikke. Etter Finanstilsynets syn er ikke dette tilstrekkelig for å dekke opp nødvendig kvalitetskontroll av uautoriserte medarbeidere. Foretaket har opplyst at rutinen vil bli endret slik at samtlige årsregnskap utført av medarbeidere uten autorisasjon vil bli kontrollert en gang i året før innsending av årsregnskapet. For de som har plikt for innlevering av selvangivelse (kun et selskap pr d.d.) vil kontrollen utføres før innsending av årsregnskap og ligning. Dokumentasjon for kvalitetskontrollen vil bli lagret Finanstilsynet tar foretakets tilbakemelding til etterretning og forutsetter at det påses at rutinen etterleves. c. Bruk av felles skattetrekkskonto for alle forvaltningskunder/oppdragsgivere Foretaket har opprettet en felles skattetrekkskonto som benyttes for samtlige forvaltningskunder/oppdragsgivere det håndteres skattetrekk for. Dette gjelder om lag 230 av 250 boligselskaper. Dette har blitt ansett som praktisk. ABBL har ikke vurdert hvilken risiko ordningen innebærer for oppdragsgiver. Finanstilsynet ba ABBL om å innhente en uttalelse fra Kemneren i Asker og Bærum kommune om lovligheten av en slik felles skattetrekkskonto og at svaret skulle oversendes Finanstilsynet. ABBL rettet et spørsmål til Kemneren 20. april I et foreløpig svar fra Kemneren datert 2. mai 2016 fremgår det at Kemneren i utgangspunktet er skeptisk. Det er blant annet henvist til bestemmelsene

7 FINANSTILSYNET SIDE 7 AV 11 som lovverket har om skattetrekkskonto, personlig erstatningsansvar, ansvar for manglende separering osv. Kemneren reiser også spørsmål ved muligheten for å stille en skattetrekksgaranti for disse midlene. ABBL ønsker å beholde ordningen og vurderer hvilke tiltak som i så fall er nødvendig. I brev til Finanstilsynet datert 20. august 2016 opplyser ABBL at det ennå ikke er mottatt noe svar fra Kemneren, men at svaret fra Kemneren vil ble ettersendt til Finanstilsynet så snart dette foreligger. Finanstilsynet tar dette til etterretning og vil komme tilbake til dette punktet når slikt svar foreligger og foretaket har redegjort for hvilken ordning som etableres. d. Oppdragsavtale og fullmakter Navn på oppdragsansvarlig: I GRFS punkt 3.2 om krav til oppdragsavtalens innhold fremgår blant annet at oppdragsavtalen skal utpeke den autoriserte regnskapsføreren som er ansvarlig regnskapsfører for oppdraget på vegne av regnskapsførerselskapet. Dette er av betydning både for den ansvarlige regnskapsføreren og for oppdragsgiver. Ved kontroll av enkeltoppdrag ble det avdekket at oppdragsavtalene ikke inneholder navn på oppdragsansvarlig regnskapsfører. Det ble opplyst at dette ikke fremkom av noen av oppdragsavtalene. Bakgrunnen er at den faglig ansvarlige for regnskapsføringsvirksomheten anser seg som oppdragsansvarlig for alle oppdragene. Foretaket har opplyst at det vil bli laget en tilleggsavtale som viser hvem som er oppdragsansvarlige regnskapsfører. Denne avtalen blir sendt til selskapets kunder høsten Fullmaktsforhold: Det følger av regnskapsførerloven 2 andre ledd, jf. GRFS pkt. 3.6 at det skal foreligge skriftlige fullmakter dersom regnskapsførervirksomheten overfor tredjemann skal opptre på oppdragsgivers vegne. Kravet er viktig for å skape klarhet og trygghet i tilfeller der regnskapsfører får fullmakt fra oppdragsgiver til å utføre oppgaver på dennes vegne. Ved gjennomgang av enkeltoppdrag ble det avdekket at det ikke er utarbeidet tilstrekkelige fullmakter. Dette gjelder primært manglende og mangelfulle fullmakter fra oppdragsgiver og bankforbindelse for å disponere bankkontoer på vegne av oppdragsgiver. Det er ikke tilstrekkelig at tilgang er delegert i bank eller Altinn. I oppdragsavtalene fremgår det at ABBL kan disponere bankkontoen(e), men det er ikke angitt hvem i ABBL som kan disponere de enkelte kontoene. Foretaket har opplyst at det høsten 2016 vil bli laget en "tilleggsavtale" der det fremkommer hvem i ABBL som disponerer oppdragsgivers bankkontoer. Finanstilsynet presiserer at det også må sikres en uttrykkelig fullmakt fra oppdragsgiveren, enten til ABBL eller til den i ABBL som er utpekt til å disponere oppdragsgivers kontoer.

8 FINANSTILSYNET SIDE 8 AV 11 e. Bruk av yrkestittel og yrkesbetegnelse Det fremgår av regnskapsførerloven 1 tredje ledd at alle autoriserte regnskapsførere skal benytte yrkesbetegnelsen "autorisert regnskapsfører" og at regnskapsførerselskap skal bruke "autorisert regnskapsførerselskap" i tilknytning til navnet. Dette kravet var ikke oppfylt blant annet fra faglig leder for regnskapsførervirksomheten og for ABBL på fakturaer. Foretaket har bekreftet alle autoriserte regnskapsførere nå har lagt inn yrkestittelen i sin e- postsignatur og at yrkesbetegnelsen skal benyttes på brev og fakturaer. 5. Hvitvasking Generelt Det følger av hvitvaskingsloven at hvitvaskingsregelverket gjelder for ABBLs regnskapsføringsvirksomhet og eiendomsmeglervirksomhet, jf. hvitvaskingsloven 4 andre ledd nr. 2 og 4. Hvitvaskingsloven gjelder ikke for inkassovirksomheten. Finanstilsynet fant ikke grunnlag for å konstatere at kravene i hvitvaskingsloven til risikobasert kundekontroll og løpende oppfølging av eksisterende kundeforhold var oppfylt, jf. hvitvaskingsloven 5. Foretaket foretar kundekontroll (ID-sjekk, hjemmel, fullmakt m.m.) i henhold til hvitvaskingsloven 8 og opplyser at det også gjøres risikovurderinger, men at disse vurderingene ikke dokumenteres. Foretaket har lagt til grunn at risikoen er lav for samtlige oppdragsgivere, men likevel størst innenfor eiendomsmeglingen. Risikovurderingen og den løpende oppfølgningen av kundeforholdet er ikke dokumentert og det er dermed ikke etterprøvbart at det her skjedd en slik vurdering og kvaliteten av vurderingen. Finanstilsynet forutsetter at dette bringes i orden. På bakgrunn av opplysninger gitt av foretaket i et spørreskjema utsendt av Finanstilsynet, reiste Finanstilsynet også spørsmål knyttet til opplæringstiltak i ABBL. Foretaket har redegjort nærmere for dette, herunder at også ansatte i stillinger som inneholder behandling av pengetransaksjoner skal gjennomføre kurs. Rutinene skal utarbeides for å sikre etterlevelsen av pliktene etter hvitvaskingslovgivningen, jf. hvitvaskingsloven kapittel 5. Disse skal tilpasses foretakets virksomhet og kundeportefølje. Det vil da ikke være behov for omfattende rutiner for å oppfylle hvitvaskingsloven på området som ikke er aktuelle for virksomheten. Hvilke vurderinger som er gjort i forbindelse med utarbeidelsen av rutinene på områder som ikke er dekket, må dokumenteres. 6. Særskilte bankkontoer for oppdragsgiverne ABBL opplyser at de har opprettet bankkontoer som disponeres av ABBL på vegne av boligbyggelag og sameier som ABBL er forretningsfører for. Det følger av forretningsføreravtalen at innestående på kontoene tilhører det enkelte boligbyggelag og sameie og at de skal holdes adskilt fra ABBLs egne midler. ABBLs revisor har bekreftet at midlene ikke inngår i ABBLs regnskap, men i de aktuelle boligbyggelagenes og sameienes regnskaper. ABBLs revisor er også revisor for de fleste boligbyggelagene og sameiene.

9 FINANSTILSYNET SIDE 9 AV 11 Fordi årsoppgavene for disse kontoene ble sendt til ABBL med "kopi til klient", fant Finanstilsynet det nødvendig å bringe klarhet i det formelle eierskapet til disse bankkontoene. Banken opplyste til Finanstilsynet at ABBL har fremstått som den formelle (juridiske) eier av kontoene, at de i praksis har blitt ansett som "klientkontoer" og at kontoene dermed bare kan disponeres av ABBL. Dette innebærer at det enkelte boligbyggelag og sameie ikke har hatt tilgang til innestående. Både ABBL og banken er enig i at ordningen har svakheter og har derfor etablert nye bedriftskontoavtaler for alle boligselskapene der det klart fremkommer at midlene på de aktuelle kontoene tilhører oppdragsgiver. For enkelte oppdrag vil dette bli brakt i orden på et senere tidspunkt. 7. Risikostyring og internkontroll Generelt Forskrift om risikostyring og internkontroll (heretter risikostyringsforskriften) omfatter eiendomsmegling, inkassovirksomhet og regnskapsførervirksomhet, jf. forskriften 1 nr. 10, 11 og 12. At pliktene etter den særlovgivningen som gjelder for den konsesjonspliktige virksomheten etterleves, er en sentral risiko i ABBL. Interne retningslinjer og rutiner som skal bidra til å sikre etterlevelsen av disse pliktene er et viktig risikoreduserende tiltak. Finanstilsynet viser til omtalen av dette i øvrige punkter i brevet, herunder punkt 8 og 9. Også at annen lovgivning som gjelder for virksomheten etterleves vil måtte inkluderes i risikovurderingen og håndteres, herunder hvitvaskingslovgivningen, jf. punkt 5. De mest sentrale og særlig viktige risikoer for de tre virksomhetsområdene er vurdert med hensyn til sannsynligheten for at risikoen oppstår og konsekvensen for selskapet dersom risikoen oppstår. Det mangler imidlertid en klarere beskrivelse av hvilke risikoer som er ansett som de største ut fra sannsynlighet for at hendelsen inntrer og konsekvensen av dette og hvilke kontrolltiltak som er, eller vil bli, iverksatt for å redusere disse risikoene. Dette er også påpekt av revisor i et innspill til selskapet med forslag til forbedringer. Det fremgår at ABBL vil sørge for at risikoer og konsekvenser blir tydeligere synliggjort ved oppdatering av "Risikostyring og interkontroll" dokumentasjonen slik at det også etableres tydelige kontrolltiltak på "de tre bevillingsområdene". Finanstilsynet tar dette til etterretning, men fremhever at forskrift om risikostyring og internkontroll (risikostyringsforskriften) gjelder for hele ABBLs virksomhet. Risikovurderingen må derfor også inkludere risiko på andre områder som kan være av betydning for ABBLs etterlevelse av eiendomsmeglingsloven, inkassoloven og regnskapsførerloven og annen relevant lovgivning. Inkasso Bestemmelsene i risikostyringsforskriften suppleres av inkassoloven 6, hvor det følger at bevillingshaver plikter å påse at virksomhet utøves i henhold til nærmere angitte bestemmelser, herunder plikten til god inkassoskikk. Dette innebærer at faktisk leder har et selvstendig ansvar for virksomheten utover de krav som stilles i risikostyringsforskriften. Finanstilsynet har i rundskriv 9/2012 gitt kontrollansvaret et nærmere innhold, herunder at faktisk leder skal kartlegge risikoområder, etablere skriftlige rutiner for saksbehandling, etablere løpende kontroller for å

10 FINANSTILSYNET SIDE 10 AV 11 avdekke systematiske feil og ha en løpende gjennomgang og evaluering av fastsatte rutiner og kontrollaktiviteter. I følge Finanstilsynets rundskriv 3/2009 "Veiledning til forskrift om risikostyring og internkontroll" kapittel 3, innebærer en tilfredsstillende internkontroll at skriftlige saksbehandlingsrutiner foreligger, og at viktige retningslinjer, kontrolltiltak og avviksrapportering er dokumentert. Finanstilsynet kunne ikke finne dokumentasjon for internkontrollen på inkassoområdet, herunder var det ikke dokumentert hvilke kontroller som skulle gjennomføres i saksbehandlingssystemet, og heller ikke dokumentasjon for hvilke kontroller som var gjennomført. Foretaket har redegjort for at det nå er utarbeidet nye skjemaer for å føre bedre dokumentasjon for internkontrollen. Finanstilsynet påpekte også at foretaket ikke hadde identifisert risikoer ved noen sider av inkassosaksbehandlingen. Foretaket har nå igangsatt arbeidet med å utarbeide en slik risikovurdering. Regnskapsføring For en av de særlige risikoene på regnskapsføring /forvaltningsområdet avdekket Finanstilsynet at en kontrollhandling som skal utføres for å redusere risikoen for at uautoriserte transaksjoner ikke skjer, og som innebærer at to personer må godkjenne betalinger fra bank, ikke er nedfelt i håndboken som en egen del av områdets internkontroll. Foretaket opplyser at håndboken er endret slik at det fremkommer klart at det er to personer som skal godkjenne betalinger i bank. 8. Taushetsplikt m.m. For både eiendomsmegling, inkasso- og regnskapsførervirksomhet er det oppstilt særskilte krav til taushetsplikt, jf. eiendomsmeglingsloven 3-6, inkassoloven 28 og regnskapsførerloven 10. Taushetspliktsreglene gjelder ikke bare overfor eksterne aktører, men innebærer også at det ikke skal utveksles taushetsbelagte opplysninger mellom ulike virksomhetsområder. Foretaket håndterer også personopplysninger som skal behandles i samsvar med personopplysningsloven. Særlig på inkassoområdet vil det kunne være personopplysninger som det er viktig å beskytte. Også personopplysninger som foretaket mottar som ledd i annen virksomhet må behandles i samsvar med personopplysningsloven. Det er fri adgang mellom avdelingene i ABBL og at det benyttes felles printere. Dette innebærer at de ulike avdelingene i foretaket har tilgang til fysiske dokumenter og kan overhøre samtaler med skyldnere/kunder mv. Etter Finanstilsynets syn foreligger det en risiko for at taushetsbelagt informasjon og personopplysningen kan tilflyte personer i foretaket som må anses som uvedkommende. Denne risikoen var ikke identifisert og vurdert i foretakets risikostyringsdokument og Finanstilsynet fant derfor ikke grunnlag for å konkludere med at risikoen for brudd på taushetsplikten og personopplysningsloven ble ivaretatt på en forsvarlig måte. Foretaket har redegjort for tiltak som skal bidra til å redusere risikoen. Dette gjelder blant annet tiltak knyttet utskrifter av dokumenter som inneholder taushetsbelagte opplysninger og personopplysninger, herunder separate printere og personlige koder for utskrift. Også tiltak rettet

11 FINANSTILSYNET SIDE 11 AV 11 mot annen håndtering av slike dokumenter er iverksatt i forbindelse med trykking, utsendelse, makulering m.m. Finanstilsynet mener at dette er viktige tiltak, og at dette vil føre til økt bevissthet blant foretakets ansatte om viktigheten av at taushetsbelagte opplysninger og personopplysninger håndteres på en forsvarlig måte. 9. IKT-systemer IKT-risikoen er en sentral risiko som ABBL må håndtere på en forsvarlig måte i samsvar med risikostyringsforskriften. For eiendomsmeglingsvirksomheten og inkassovirksomheten gjelder også IKT-forskriften. Etterlevelse av IKT-forskriften vil normalt tilsi at IKT-risikoen er håndtert på en forsvarlig måte. Foretaket ble bedt om å fylle ut IT-tilsynsskjema og ut i fra svarene ble det stilt spørsmål på følgende områder: Risikoprosess for IKT-virksomheten Tilgangsstyring Hendelseshåndtering og læring av oppståtte hendelser Informasjonssikkerhet Opplæring og ansvar informasjonssikkerhet Arkivering og gjenoppretting Styring og kontroll i forhold til Risikostyringsforskriften I tilsvaret Finanstilsynet mottok på i forbindelse med foreløpig rapport og for områdene vist i kulepunktene over, tar Finanstilsynet foretakets svar til etterretning og legger til grunn foretakets henvisninger til de relevante kapittel i Sikkerhetshåndboken. Det var også noen områder som omhandler IKT-driftsprosesser som det ble stilt spørsmål angående: Endringshåndtering Håndtering av taushetserklæringer Vedlikehold og utvikling I ABBLs tilsvar fremkommer det at foretaket mener innholdet og kvaliteten av driftsdokumentasjon er i henhold til ITIL (rammeverk for kvalitetssikring av leveranse, drift og support). Finanstilsynet tar dette til etterretning. For Finanstilsynet Anne-Kari Tuv seksjonssjef Kjersti Elvestad seksjonssjef Dokumentet er godkjent elektronisk og har derfor ikke håndskrevne signaturer.