Kapitaldekningsregelverket og internkontroll

Artikkelen gir en overordnet beskrivelse av regelverket rundt kapitaldekning og nødvendig internkontroll for å etterleve dette. For utdypende detaljer rundt reglene henvises det til de respektive lover, forskrifter samt rundskriv fra Finanstilsynet.

Virksomhetsreglene stiller spesifikke krav til kapitaldekning for å sikre forsvarlig kapital i forhold til finansinstitusjonenes risiko. Finanstilsynet overvåker og følger opp kravene. I den forbindelse må finansinstitusjonene beregne og rapportere kapitaldekning i henhold til krav fra kapitalkravforskrifter og Finanstilsynets rundskriv. Beregningene avhenger av hvilken type institusjon det er og hvilken type konsesjon foretaket har. Selv om rapportering foregår på gitte tidspunkter, skal kapitalkravet være dekket til enhver tid. Dagens regler baserer seg på Basel II-kommisjonens krav. I perioden 2013–19 vil det gradvis bli innført nye regler basert på Basel III. Disse er ikke gjeldene i dag og blir derfor ikke omtalt her. Dagens kapitaldekningsregler er organisert i følgende tre Pilarer:

Pilar I: Minimumskrav til ansvarlig kapital
Pilar II: Vurdering av faktisk kapitalbehov
Pilar III: Offentliggjøring av finansiell informasjon

Regelverket gjelder for banker, finansieringsforetak, holdingselskaper i finanskonsern, verdipapirforetak og forvaltningsselskaper for verdipapirfond som har tillatelse til å drive aktiv forvaltning.

Regelverk for banker

Reglene er uformet for å sikre stabilitet ved å begrense bankenes nedsiderisiko, eller med andre ord risikoen for konkurs. Bankens kapitalkrav består av summen av kravene etter Pilar I og II.

Figur 1-1 Fordeling av kapitalkrav mellom Pilar I og II

Figur 1-1 viser en typisk fordeling mellom Pilar I og II for en bank. Kapitalkravet fremkommer ved å summere kravene etter Pilar I og II.

Det følger av finansieringsvirksomhetsloven at ansvarlig kapital skal minst være 8 % av beregningsgrunnlaget.

Ansvarlig kapital tar utgangspunkt i balanseført egenkapital. Denne justeres for å ta hensyn til den risiko som banken er eksponert for. Under følger et eksempel på poster som kan ligge mellom balanseført egenkapital og ansvarlig kapital.

Figur 1-2 Ansvarlig kapital

Fremstillingen baserer seg kun på noen elementer fra beregningsforskriften og er således ikke uttømmende. Eksempelet over viser en ansvarlig kapital på 110. Hvorvidt dette er tilfredsstillende, vil avhenge av beregningsgrunnlaget. Dette grunnlaget tar utgangspunkt i de risikoer som banken er eksponert for slik som kredittrisiko, markedsrisiko og operasjonell risiko.

Figur 1-3 Beregningsgrunnlag

Illustrasjonen viser et eksempel på hvordan risikoen danner basis for beregningsgrunnlaget.

Fra Figur 1–3 fremkommer et beregningsgrunnlag på 1000. Med en ansvarlig kapital på 110 blir kapitaldekningen 11 %, som er over kravet på 8 %. Nedenfor redegjøres det nærmere for hvordan man kan finne beregningsgrunnlaget.

Grunnlag kredittrisiko

Banker skal vekte sine engasjementer, blant annet utlån, etter tilhørende risiko. Vektingen varierer fra 0 til 150 % etter estimert nedsiderisiko. Ved 100 % vekting består grunnlaget av engasjementets bokførte verdi. Vekting beregnes enten etter en standardmetode basertpå ekstern rating (f.eks. S&P, Moody) som er gitt i forskrift, eller etter en intern målemetode (IRB) hvor banken selv estimerer risiko for mislighold, tap ved mislighold og selskapets eksponering. Bruk av IRB krever godkjenning fra Finanstilsynet.

Grunnlag markedsrisiko

Banker med egenhandelsportefølje skal ha egne retningslinjer og rutiner vedrørende hvilke posisjoner som inngår, forvaltning, verdivurdering og overvåking. Posisjonene som inngår, samt valuta- og varerisiko, danner grunnlaget. Risikoen blir beregnet ved en vekting av posisjonene, typisk etter hvor utsatt de er i forhold til de generelle svingningene i verdipapir-markedet.

Grunnlag operasjonell risiko

Operasjonell risiko kan defineres som «risikoen for tap som følge av utilstrekkelige eller sviktende interne prosesser eller systemer, menneskelige feil eller eksterne hendelser». Selv om banker har strenge krav til styring og kontroll, vil det likevel alltid være noe gjenværende operasjonell risiko. Det beregnes derfor en operasjonell risiko basert på virksomhetens størrelse med utgangspunkt i inntekt. Beregningen kan gjøres ved hjelp av tre ulike metoder: basismetoden, sjablongmetoden eller AMA-metoden (Advanced Measurement Approach). Basismetoden kan benyttes av alle institusjoner, mens sjablongmetoden og AMA har egne krav. Grunnlaget etter basismetoden er 15 % av gjennomsnittsinntekten de siste tre årene multiplisert med 12,5. Kravet på 8 % av grunnlaget blir dermed 15 % av gjennomsnittsinntekten siste tre år (12,5*0,08 = 1).

Pilar II: Bankenes vurdering av faktisk kapitalbehov (ICAAP)

Pilar II består av et supplerende kapitalkrav som skal ta hensyn til de risikoer som ikke blir dekket av Pilar I. Hensikten er at banken skal ha en kapitaldekning basert på institusjonens samlede risikobilde. Ved utforming av Pilar II skal banken vurdere sine særskilte risikoer og beregne hvorvidt disse medfører økt krav til kapital. Det faktiske kapitalbehovet fremkommer av summen av estimert kapitalbehov fra de ulike risikoene. Resultatet skal rapporteres årlig til Finanstilsynet i form av en ICAAP-rapport.

Figur 1-4 viser et eksempel på hvordan kapitalkravet etter Pilar II kan fremkomme basert på forretningsrisiko, likviditetsrisiko og strategisk risiko. Beregningen skal også ta hensyn til diversifiseringseffekter så fremt det kan sannsynliggjøres at disse eksisterer. Eksempelet over viser kun et utdrag av risikoer som kan være aktuelle. Hver institusjon må selv vurdere hvilke risikoer som de er eksponert for.

Figur 1-4 Kapitalkrav Pilar II

Pilar III: Offentliggjøring av finansiell informasjon

Det følger av kapitalkravforskriften at institusjonene skal publisere resultatet, metodene og vurderingene som er gjort, etter reglene for Pilar I og II. Det vanlige er at disse opplysningene gis i årsregnskapet da disse foretakene ofte har egne krav til noteopplysninger om kapitaldekning.

Regelverk for forvaltningsselskaper

Forvaltningsselskaper med konsesjon til å drive aktiv forvaltning må levere kvartalsoppgave om kapitaldekning. Forvaltningsselskaper forvalter vanligvis kapital som ikke er i egen balanse. Resultatet er at operasjonell risiko blir den mest utslagsgivende ved beregningen av kapitalkrav. Det følger av kapitalkravforskriften at forvaltningsselskaper er underlagt særskilte krav vedrørende operasjonell risiko. Kravet innebærer at forvaltningsselskapet til enhver tid skal ha en ansvarlig kapital tilsvarende 25 % av de faste kostnadene. Definisjonen av faste kostnader avviker noe fra den man kjenner fra vanlig økonomisk teori, ved at kostnader som varierer med handelstransaksjoner eller forvaltningsselskapets resultat, typisk bonus, ikke anses som faste kostnader. I tillegg skal den ansvarlige kapitalen minst utgjøre 125 000 EUR pluss 0,02 % av forvaltningskapitalen over 250 mill. EUR, maksimalt 10 mill. EUR.

Regelverk for verdipapirforetak

Et verdipapirforetak som yter investeringstjenester, må rapportere kapitaldekning til Finanstilsynet etter finanstll. §4 nr. 3. Et meglerhus har kredittrisiko for aktiva de har i balansen, for eksempel fordringer, aksjer og obligasjoner knyttet til egenhandel. Meglerhuset kan også være eksponert mot Markedsrisiko ved for eksempel finansielle instrumenter holdt for egen regning, motpartsrisiko i derivathandel og valutarisiko i forbindelse med valutatransaksjoner. I likhet med forvaltningsselskaper, har også verdipapirforetak oftest størst eksponering mot operasjonell risiko. Kapitalkravet for kredittrisiko og markedsrisiko beregnes på tilsvarende måte som for banker. Operasjonell risiko møter derimot tilleggskrav hvor kapitalkravet minst skal være det høyeste av 15 % av gjennomsnittsinntekt de siste tre årene og 25 % av de faste kostnadene.

Regelverk for forsikringsselskaper og pensjonskasser

Forsikringsselskaper er strengt regulert da det er av allmenn interesse at disse kan stå imot eventuelle kriser og være i stand til å dekke sine forpliktelser overfor forsikringstaker. Forsikringsselskaper og pensjonskasser er underlagt de samme reglene om kapitaldekning på 8 % av ansvarlig kapital. Forsikringsselskaper har i tillegg egne minstekrav til egenkapital i egen forskrift. Det samme gjelder pensjonskasser, som krever en grunnkapital på minst ti ganger folketrygdens grunnbeløp (G) (jf. Forsikringsloven §7-5).

Beregningsgrunnlaget er basert på en risikovekting av både eiendelspostene og poster utenom balansen, basert på krav gitt i forskrift. Postene vektes i sju grupperinger fra 0 % til 150 % hvor 150 % benyttes på de mest risikable postene. Risiko kan ses på som størrelsen av svingninger i verdi over tid, eller som en usikkerhet bak estimert verdi. Kassebeholdning og andre likvide kontantinnskudd er de minst risikable eiendelene. Slike eiendeler gis en risikovekt på 0 %. Usikkerheten økes gjerne med avstanden fra selskapet, hvor fordringer får en middels vekt og hvor investeringer i oppkjøpsfond får den høyeste på 150 %.

Forsikringsselskapet garanterer utbetalinger i henhold til kundenes forsikringskontrakter. Loven stiller derfor egne krav som skal sikre en tilfredsstillende kapitalbase med hensyn til utbetaling av fremtidige forpliktelser. Dagens krav innebærer at solvensmarginkapitalen minst dekker ett beregnet solvensmarginkrav. Solvensmarginkapital består av ansvarlig kapital etter figur 1-2 inklusiv en andel av sikkerhetsavsetninger.

Solvensmarginen bygger på en prosentvis sats av ulike fond og risikoer som er gjeldene for selskapet. Beregningen er i høy grad detaljstyrt i forskrift. For eksempel skal solvensmarginen minst være det høyeste av:

18 % av premieinntekter opp til 50 mill. EUR
26 % av gjennomsnittlig erstatningsutbetaling opptil 35 mill. EUR

Forsikringsbransjen står overfor store regulatoriske endringer ved innføring av Solvens II. Prinsippene bak dette regelverket baserer seg på en pilarstruktur tilsvarende som Basel II og det er antatt at regelverket vil medføre behov for styrking av ansvarlig kapital.

Regelverk for konsolidert kapitaldekning

Selskaper som inngår i et konsern, må også oppfylle soliditetskravene på konsolidert basis. Dette innebærer at kapitalkravene også skal være tilfredsstilt på konsernnivå. Hensikten er at datterselskaper ikke skal kunne tilpasse seg slik at alle kommer innenfor grensen. Konsolideringsreglene følger samme prinsipp som oppkjøpsmetoden, slik at balanseført verdi av konserninterne forhold elimineres.

God praksis for intern kontroll knyttet til overholdelse av regelverket

Styret har det overordnede ansvaret for intern styring og kontroll i et foretak. Derfor må styret påse at foretaket har fastsatt retningslinjer og hensiktsmessige kontrollaktiviteter for å sikre en korrekt kapitaldekningsrapportering. Daglig leder må sørge for en hensiktsmessig plassering av ansvaret for kapitaldekningsrapporteringen i organisasjonen. Videre har daglig leder et ansvar for at organisasjonen gjennomfører retningslinjene fra styret gjennom tildeling av ansvar og myndighet i foretaket samt en hensiktsmessig rapporteringslinje som sikrer at daglig leder kan føre kontroll med tildelte oppgaver.

Sentrale prosesser knyttet til disse oppgavene delegert fra daglig leder, kan oppsummeres som vist i figuren. Grunnlaget for en riktig rapportering legges ved å benytte korrekte data, utfylle kapitaldekningsoppgaven riktig, implementere tilstrekkelige kontroller og sørge for at rapporteringen er underlagt en formell godkjennelse basert på de nevnte prosessene. Nedenfor redegjøres det kort for de ulike prosessene.

Datakvalitet

Det kreves god kvalitet av data som benyttes i beregningen av en korrekt kapitaldekning. En del av dataene vil være regnskapsinformasjon hvor det typisk er implementert gode kontroller for å sikre korrekt finansiell rapportering. Annen informasjon kan hentes fra andre kilder hvor det kan være større usikkerhet knyttet til dataene og behov for bruk av skjønn. Dette kan for eksempel være stamdata om verdipapirer, engasjementer, kredittverdighet mv.

Foretaket bør implementere kontroller som sikrer riktig overføring av stamdata til foretaket og at alle verdipapirer, engasjementer mv. registreres med korrekt informasjon. Dette gjelder for eksempel riktig kategorisering av verdipapirer, riktig bruk av risikovekter, riktig konverteringsfaktor og riktig registrering av misligholdte engasjementer.

Foretaket bør også implementere kontroller som for eksempel fanger opp bevegelser i kredittverdighet slik at disse kan undersøkes nærmere.

Enkelte foretak bruker en ekstern leverandør til å utføre hele eller deler av beregningen av kapitaldekning. Ved bruk av en ekstern leverandør sikres man ofte både uavhengighet i beregningen og tilgang til spesialister. Det er ikke mulig å utkontraktere ansvaret for beregningen av kapitaldekning, foretaket bør gjennomføre løpende risikovurderinger og oppfølging av leverandøren.

I policy for utkontraktering bør det fastsettes at det skal foretas en risikovurdering for utkontraktering og at implikasjonene for foretaket skal vurderes. Vurderingene ved utkontraktering bør ta hensyn til foretakets kompleksitet i beregningen av kapitaldekning og tilpasse valg av leverandør til dette. Foretaket bør også vurdere om man har beholdt tilstrekkelig kompetanse igjen i foretaket til å følge opp leverandøren.

Kapitaldekningsoppgave

En viktig forutsetning for korrekt rapportering er riktig utfylling av kapitaldekningsoppgaven. Et foretak bør derfor utarbeide retningslinjer for hvordan oppgaven skal fylles ut og for hvordan foretakets særskilte poster skal reflekteres i oppgaven. Eventuelle særlige tilpasninger bør dokumenteres særskilt for å redusere nøkkelpersonrisiko. Basert på etterkontroller utført av Finanstilsynet, viser det seg at noen poster er vanskelige og ofte rapporteres feil. Dette gjelder for eksempel feil bruk av skjema, feil ved posisjoner i handelsportefølje, feil i konsolidering, manglende konsolidering ved midlertidig eie og feil rapportering av sikkerheter.

Internkontroll

Kapitaldekningsregelverket er komplekst og det er derfor avgjørende at det implementeres tilfredsstillende kontroller for å sikre en korrekt rapportering. Det bør utarbeides en oversikt over hvilke kontroller som skal utføres og hvem som har ansvar for å dokumentere at disse er utført. Kontrollaktivitetene bør inkludere kontroll av stamdata, avstemningskontroller, kontroll av korrekt anvendelse av regelverk samt kontroll av korrekt utfylling av oppgaven.Kontrollene bør også inkludere leveranser fra andre enheter og etterprøving av kontroller utført av disse.

Rapporteringen av kapitaldekning til Finanstilsynet bør være en del av ledelsens internkontrollrapportering til styret da den er helt sentral for foretakets konsesjon. Ledelsens rapportering bør omtale resultatet av internkontrolltiltak som sikrer at kapitaldekningsberegningen og -rapporteringen er utført korrekt.

For foretak som har internrevisjon, vil det være naturlig at det med jevne mellomrom utføres revisjonshandlinger rettet mot kapitaldekningsrapporteringen.

Godkjennelse

Et foretak bør implementere formelle godkjennelsesrutiner knyttet til innsendelse av kapitaldekningsoppgavene. En slik godkjennelse bør være forankret på et hensiktsmessig nivå i organisasjonen og må dokumenteres. Godkjennelsesrutinen bør inkludere en gjennomgang av at implementerte kontroller er gjennomført og dokumentert før oppgavene sendes inn. Dette bør også gjelde der hvor rapporteringen er utkontraktert.

RISIKO: Det bør fastsettes at det skal foretas en risikovurdering for utkontraktering og at implikasjonene for foretaket skal vurderes.

Kilder:

FOR-1901-06-90-435 Forskrift om beregning av ansvarlig kapital for finansinstitusjoner, oppgjørssentraler og verdipapirforetak (1901-06-90)

FOR-1922-10-90-875 Forskrift om kapitaldekning, finansinstitusjoner. Minstekrav til kapitaldekning i finansinstitusjoner og verdipapirforetak. Forskrift om minstekrav til kapitaldekning i finansinstitusjoner og verdipapirforetak (1922-10-90)

FOR-1915-11-96-1130 Forskrift om rapportering av kapitaldekning. Rapportering av kapitaldekning. Forskrift om rapportering av kapitaldekning (1915-11-96)

FOR-2022-06-00-632 Forskrift om kapitaldekning for markedsrisiko. Minstekrav til kapitaldekning for markedsrisiko mv. for kredittinstitusjoner og verdipapirforetak. Forskrift om minstekrav til kapitaldekning for markedsrisiko mv. for kredittinstitusjoner og verdipapirforetak (2022-06-00)

FOR-2014-12-06-1506 Kapitalkravsforskriften. Kapitalkrav for forretningsbanker, sparebanker, finansieringsforetak, holdingselskaper i finanskonsern, verdipapirforetak og forvaltningsselskaper for verdipapirfond mv. (kapitalkravsforskriften). Forskrift om kapitalkrav for forretningsbanker, sparebanker, finansieringsforetak, holdingselskaper i finanskonsern, verdipapirforetak og forvaltningsselskaper for verdipapirfond mv. (kapitalkravsforskriften) (2014-12-06)

FOR-2022-12-06-1616 Forskrift om minstekrav til kapitaldekning. Minstekrav til kapitaldekning i forsikringsselskaper, pensjonskasser, innskuddspensjonsforetak og holdingsselskap i forsikringskonsern. Forskrift om minstekrav til kapitaldekning i forsikringsselskaper, pensjonskasser, innskuddspensjonsforetak og holdingsselskap i forsikringskonsern (2022-12-06)

Finanstilsynets rundskriv og hjemmeside.