Høring over udkast til bekendtgørelse om systemrevisionens gennemførelse i operatører af finansiel digital infrastruktur

Finanstilsynet har sendt et udkast til en ny bekendtgørelse om systemrevisionens gennemførelse i operatører af finansiel digital infrastruktur i høring. Denne bekendtgørelse er en konsekvens af den nylige ændring af lov om finansiel virksomhed (lov nr. 481 af 22. maj 2024), som erstattede reglerne om fælles datacentraler med regler om operatører af finansiel digital infrastruktur. Formålet med den nye bekendtgørelse er primært at foretage nødvendige formelle ændringer og præciseringer, og den indeholder ingen nye krav eller forpligtelser for de omfattede virksomheder.

Anvendelsesområde og definitioner

Bekendtgørelsen finder anvendelse for virksomheder, der er udpeget som operatører af finansiel digital infrastruktur i henhold til § 333 i lov om finansiel virksomhed. Systemrevision defineres som revision af generelle it-kontroller, it-baserede brugersystemer og it-systemer til dataudveksling med tilsluttede finansielle virksomheder. Begreberne system-, data- og driftssikkerhed defineres også detaljeret.

Ekstern systemrevision

Operatører skal vælge mindst én godkendt revisor (den eksterne systemrevision) til at udføre systemrevisionen i overensstemmelse med god revisorskik. Den eksterne systemrevision skal årligt afgive en erklæring om system-, data- og driftssikkerheden til de tilsluttede virksomheder. Denne erklæring skal omfatte alle relevante forhold, herunder dem i medfør af afsnit IX c i lov om finansiel virksomhed. Erklæringen skal kategorisere kontrolmål som 'Betryggende', 'Betryggende, men behov for nogle forbedringer' eller 'Ikke betryggende'. Den eksterne systemrevision skal føre en særskilt systemrevisionsprotokol og udarbejde et årsprotokollat, der indsendes til Finanstilsynet.

Intern systemrevision

Bestyrelsen i en operatør kan beslutte at oprette en intern systemrevision, og det er obligatorisk for operatører, der varetager væsentlige it-driftsopgaver for pengeinstitutter. Den interne systemrevision skal ledes af en systemrevisionschef, der skal have relevant erfaring og være uafhængig af den daglige ledelse. Den interne systemrevision skal også føre protokol og udarbejde et årsprotokollat, der indsendes til Finanstilsynet. Der skal foreligge en funktionsbeskrivelse og en systemrevisionsaftale mellem den eksterne og interne systemrevision.

Fælles bestemmelser og ledelsens redegørelse

Både den interne og eksterne systemrevision skal have tilstrækkelig viden og kompetencer og løbende vedligeholde disse. De skal straks meddele Finanstilsynet, hvis de formoder, at operatørens samlede system-, data- og driftssikkerhed ikke er betryggende, eller hvis der opstår betydelige it-driftsproblemer. Operatørens ledelse skal udarbejde en redegørelse baseret på den eksterne systemrevisions erklæring, der skal hjælpe tilsluttede virksomheder med at vurdere risici. Denne redegørelse skal indeholde ledelsens vurdering af kontrolsvagheder, hvordan de håndteres, og hvilke kompenserende foranstaltninger tilsluttede virksomheder kan implementere.