Eika Gruppen Årsrapport 2024

Eika Gruppen har løpende fokus på overholdelse og praktisk håndtering av lovverket for behandling av personopplysninger, både i rollen som behandlingsansvarlig og som databehandler. Godt personvern skal være en naturlig og integrert del av Eika Gruppen.

Policy for behandling av personopplysninger ivaretar behandling av personopplysninger for registrerte; medarbeidere og kunder mv. Den legger til rette for at behandling av personopplysninger skjer på en lovlig, sikker og pålitelig måte. Videre klargjør policyen rollefordelingen mellom Eika Gruppen AS, datterselskapene og alliansebankene vedrørende ansvar for behandling av personopplysninger. Eika Gruppen har ansvaret og er behandlingsansvarlig for egne medarbeidere. Videre utvikler Eika Gruppen systemer og behandler personopplysninger i rollen som databehandler for datterselskapene og bankene i alliansen. For Eika Gruppen er det rollen som databehandler som innebærer høyest risiko som følge av omfanget og typen av personopplysninger. For å sikre riktig behandling av personopplysninger og at personvernprinsippene ivaretas i løsninger for selskapene og bankene, benyttes rutiner og sjekkliste for å kvalitetssikre at leveransene er iht. lovkrav og pålitelig behandling. Eika Gruppen revideres årlig av internrevisor som utarbeider en bekreftelse til selskapene og bankene for arbeidet som gjøres som databehandler.

Selskapene i Eika Gruppen er selvstendig ansvarlig for behandling av personopplysninger for egne medarbeidere og sine kunder. Selskapene har også egne personvernressurser som skal sikre lovmessig behandling av personopplysninger, og disse bistår også med bla. opplæring og veiledning. Uriktig håndtering av personopplysninger utgjør en risiko for medarbeidere og kundene (de registrerte) dersom de ikke får sine rettigheter ivaretatt, i tillegg til compliance-, forretnings- og omdømmerisiko for Eika Gruppen og bankene i alliansen.

Det er utarbeidet rollebaserte personvernkurs for alle medarbeidere, ledere, øverste leder og for styrer i alliansen. Alle nye medarbeidere gjennomfører obligatorisk personvernkurs. Det er også laget egen opplæring for personvernombudene i bankene.

Konsernets selskaper har stort fokus på hvitvaskingsrisikoen samt oppfyllelse av kravene i loven. Hvitvaskingsteamet i Eika Gruppen AS bistår konsernets selskaper og alliansebankene med malverk og systemstøtte for å ivareta lovpålagte krav.

Korrupsjon og påvirkningshandel er straffbart etter norsk lov, og Eika Gruppen har nulltoleranse for korrupsjon. I konsernets etiske retningslinjer spesifiseres det hvilke situasjoner medarbeidere skal være særskilt oppmerksomme på, og hva som ikke er tillatt. Risiko for korrupsjon i konsernet anses størst i verdikjeden. For å motvirke korrupsjon er konsernets etiske retningslinjer del av konsernets onboardingprogram for nyansatte, og det er videre begrenset hvilke ansatte som får inngå avtaler på konsernets vegne gjennom krav i konsernets fullmaktsmatrise og policy for anskaffelser og utkontrakteringer.

Eika Gruppens visjon er å styrke lokalbanken. Strategisk retning gir klare føringer på prioritering av leveranser til lokalbankene hvor alliansefokuset er rettet mot digitalisering, serviceorientering og lokal nærhet. Eika Gruppens strategiske retning følger prinsippene for balansert målstyring og er utgangspunktet for å implementere målekort, prosjekter og handlingsplaner. I tillegg utarbeider konsernet budsjetter og prognoser, målekriterier av finansiell og ikke-finansiell art, fullmakter, policy og rutiner som rapporteres og følges opp som en del av styringen i konsernet. Handlingsplaner og status på risiko og tiltak overvåkes nøye og inngår i løpende leder- og medarbeideroppfølging og rapportering gjennom året.

Selskapene styrer etter vedtatte risikopolicyer, og det er utviklet rutiner og instrukser som skal sikre at all risiko håndteres på en tilfredsstillende måte. Risikostyring og kontroll i Eika Gruppen tar utgangspunkt i konsernets verdier - pålitelig, modig og engasjert - sammen med vedtatt strategi. Strategien er videre brutt ned i operasjonelle handlingsplaner. Gitt føringene og rammene i strategi og handlingsplaner, bygges risikostyringen og kontrollen rundt og inn i de forretningsprosessene som er etablert for å levere på strategien. Styringen og kontrollen blir dermed tilpasset forretningsprosessene og konkrete behov. Dette utfordrer og fokuser risikostyring og kontroll på verdibidrag, forretningsnytte og de vesentlige forhold som virkelig betyr noe for måloppnåelse.

Konsernets styring og kontroll med operasjonell risiko omfatter overvåkning, rapportering og varsling av uønskede hendelser både internt og til tilsynsmyndigheter. Rapporteringen er del av ordinær lederoppfølging og inngår i konsernets kvartalsvise risk- og compliancerapportering til styret. Uønskede hendelser er relatert til forhold som brudd på regler for personvern og antihvitvask, god forretningsskikk, IT-hendelser, sykefravær, status på interne revisjoner og kundeklager.

Styret har vedtatt en styreinstruks som gir regler for styrets arbeid og saksbehandling. Styrets årsplan dekker oppgaver som er fastsatt i lover, forskrifter, myndighetskrav, vedtekter o.l. Styret har ansvar for fastsettelse av konsernets overordnede målsettinger og strategier, herunder risikostrategier og risikoprofil og øvrige sentrale prinsipper og retningslinjer, i tillegg til forvaltning av konsernet, samt å sørge for forsvarlig organisering av virksomheten. Styret har fastsatt en egen instruks for konsernsjefen. Styremøter avholdes månedlig eller etter behov.

Styret har etablert et risiko- og revisjonsutvalg som skal føre en uavhengig kontroll med konsernets finansielle rapportering og kontrollsystemer. Utvalget skal ikke treffe beslutninger på vegne av styret, men fremlegge vurderinger og anbefalinger til styret. Risiko- og revisjonsutvalget behandler konsernets års- og delårsregnskaper samt rapporter fra risikostyringsfunksjonen, compliancefunksjonen, samt intern- og eksternrevisjonen.

Styret har etablert et godtgjørelsesutvalg som skal vurdere foretakets godtgjørelsesordning og forberede alle saker om godtgjørelses-ordningen som skal behandles av styret. Godtgjørelsesutvalget skal videre innstille til styret i saker om godtgjørelse til konsernsjef og om pensjonsvilkår for konsernledergruppen.

Styret har en årlig egenevaluering av arbeidsmetoder, arbeidsfordeling, fokusområder, profesjonelle ferdigheter (kompetanse), sammensetning og innsikt. Rapport fra evalueringen forelegges valgkomiteen slik at valgkomiteen kan benytte denne for å vurdere behov for endringer i styresammensetningen.

På bakgrunn av evalueringen fastsettes en plan for å øke og/eller vedlikeholde styrets innsikt på ulike nærings- og selskapsspesifikke fagområder, for eksempel innen hvitvasking, bærekraft, personvern, kapitalkrav, risk, utkontraktering, sikkerhet eller oppdatert lovgivning.

Konsernsjefen forestår den daglige ledelsen av Eika Gruppen og har det overordnede ansvaret for konsernets samlede virksomhet. Konsernsjefen er ansvarlig for å gjennomføre strategier og retningslinjer vedtatt av styret. Konsernsjefen sørger for at risikostyring og kontroll blir gjennomført, dokumentert, overvåket og fulgt opp på en forsvarlig måte, og sørger for at risikostyrings- og compliancefunksjonen er sikret nødvendige ressurser, kompetanse og uavhengighet. Konsernsjefen sørger for at konsernets risikoer styres i henhold til styrets vedtatte rammer. Konsernsjefen skal videre løpende følge opp styring og kontroll i alle deler av konsernets virksomhet.

Risikostyringsfunksjonen sørger for at ledelsen og styret til enhver tid er tilstrekkelig informert om konsernets risikoprofil gjennom kvartalsvis risikorapportering og årlig risiko- og kapitalbehovsvurdering.

Risikostyringsfunksjonen har ansvar for å videreutvikle og implementere et helhetlig rammeverk for risikostyring, og sikre at dette er i samsvar med eksterne og interne krav. Dette innebærer at det må foreligge policyer og strategier som gir styring gjennom mål og rammer for ønsket risiko, og at policyer og strategier er operasjonalisert på en effektiv måte i løpende aktiviteter. Sentralt i styring og kontroll er å sikre klare ansvar og roller samt en oppfølgning av at risikorammer og operasjonelle retningslinjer etterleves. Risikostyringsfunksjonen rapporterer kvartalsvis til konsernsjefen og styret.

Compliancefunksjonen skal avdekke og forebygge risiko relatert til etterlevelse av regelverk. Compliancerisiko er en del av selskapets operasjonelle risiko, og defineres som en risiko for at selskapet pådrar seg offentlige sanksjoner, økonomisk tap eller tap av omdømme som følge av at lover, regler og standarder ikke etterleves. Det er etablert compliancefunksjoner i Eika Gruppen AS og i Eika Gruppens konsesjonsbelagte datterselskaper. Det enkelte selskap innretter sin compliancefunksjon etter selskapsspesifikke, regulatoriske krav. Dette inkluderer etablering av egne planer og testing iht. årlige risikobaserte kontrollplaner. Alle virksomhetsområdene i konsernet har felles malverk for å sikre et helhetlig rammeverk knyttet til compliancearbeidet.

Datterselskapenes compliancefunksjoner rapporterer regelmessig til sin respektive ledelse, til sine styrer og til konsernets administrative ledelse. Rapporteringen skjer kvartalsvis. Konserndirektør Risikostyring og Compliance rapporterer kvartalsvis til konsernets administrative ledelse og til styret. I rapporten inngår bl.a. rapportering fra compliancekontroller, beskrivelse av eventuelle uønskede hendelser, status innen veiledning, rådgivning og opplæring av ansatte, oversikt over gjennomførte internrevisjonsprosjekter, relevant korrespondanse med tilsynsorganer, andre compliance-saker av relevans for styret samt rapporterte forhold i datterselskapene. På bakgrunn av rapporteringen vil styret kunne beslutte nødvendige tiltak for å redusere selskapets compliancerisiko og/eller håndtere hendelser.

Internrevisjonen avgir en uavhengig bekreftelse til styret på at risiko er håndtert på en tilfredsstillende måte og at kommunikasjon og samspill mellom forsvarslinjene fungerer. Styret godkjenner internrevisjonens årsplaner og internrevisor rapporterer direkte til styret. Internrevisjonens rapporter behandles løpende i risiko- og revisjonsutvalget og i styret. Internrevisjonen utgjør selskapets tredje forsvarslinje. Eika Gruppens internrevisjonsfunksjon er utkontraktert til PwC.