Kapitalforvaltning | ESMA varsler tilsynsundersøkelse av risikostyringsfunksjonen
Vi vil i dette nyhetsbrevet se nærmere på tematilsynet og hva norske kapitalforvaltere kan foreta seg allerede nå for å være best mulig rustet dersom de blir valgt ut til å delta i tematilsynet.
Om tematilsynet
Tematilsynet vil fokusere på:
- Organisering av risikostyringsfunksjonen
- Identifisering, måling og overvåking av risiko
- Rapportering til ledelse og styret
Omfang og format vil mest sannsynlig tilsvare det som ble benyttet for tematilsynet om kontrollfunksjonen og internrevisjon som ble gjennomført i 2025/2026.
Overordnet om risikostyringsfunksjonen til AIF-forvaltere og tematilsynet
Forvaltere av alternative investeringsfond plikter å ha en risikostyringsfunksjon som opererer uavhengig og funksjonelt adskilt fra porteføljeforvaltningsfunksjonen. Risikostyringsfunksjonen har ansvaret for å identifisere, overvåke og håndtere all risiko som er relevant med hensyn til fondenes investeringsstrategi.
Styret har det overordnede ansvaret for at risikostyringen er forsvarlig og fungerer etter hensikten. Dersom foretaket ikke har en forsvarlig risikostyring som fungerer etter hensikten, er det derfor styret som får kritikk fra Finanstilsynet.
Kravene til risikostyring er teknologinøytrale og gjelder uavhengig av aktivaklasse, men den praktiske innretningen av risikostyringsfunksjonen vil variere betydelig mellom for eksempel en forvalter av et eiendomsfond og en forvalter av et PE-fond.
Organisering av risikostyringsfunksjonen
Etter lov om forvaltning av alternative investeringsfond av 20. juni 2014 nr. 28 (AIF-loven) § 3-7 første ledd skal forvalter ha en risikostyringsfunksjon som er adskilt fra forvalterens operative virksomhet. Risikostyringsfunksjonen skal være permanent.
At risikostyringsfunksjonen skal være adskilt fra forvalterens operative virksomhet innebærer at det må utpekes en egen ansvarlig for risikostyringsfunksjonen, og denne personen kan ikke være involvert i porteføljeforvaltningen. Formålet er å sikre at risikostyringen er en reell kontrollfunksjon, og at risikostyringsfunksjonen ikke i realiteten kontrollerer egne oppgaver. At risikostyringsfunksjonen skal være permanent innebærer blant annet at det må etableres en forsvarlig stedfortrederordning ved uforutsett og planlagt fravær.
Forvaltere kan med fordel allerede nå gjøre følgende for å være best mulig rustet dersom de blir valgt ut til å delta i tematilsynet:
- Foreta en gjennomgang av de oppgaver som er lagt på personen som er ansvarlig for risikostyringsfunksjonen for å sikre at risikostyringen er tilstrekkelig uavhengig
- Foreta en gjennomgang av opplegg og rutiner for stedfortrederfunksjonen for risikostyringsfunksjonen for å sikre at den er permanent
Identifisering, måling og overvåking av risiko
Etter AIF-loven § 3-7 annet ledd skal forvalteren ha systemer for risikostyring som løpende identifiserer, styrer og overvåker alle risikoer som er relevante for investeringsstrategien til hvert av de alternative investeringsfondene som forvaltes, og som fondene kan bli eksponert for. Forvalteren skal sikre at risikoprofilen til hvert fond under forvaltning er i samsvar med fondets størrelse, porteføljestruktur, investeringsstrategi og investeringsmål, herunder ved bruk av stresstester. Forvalteren skal vurdere risikostyringssystemene regelmessig og minst en gang i året.
Hva som ligger i dette rent praktisk vil arte seg forskjellig for ulike typer forvaltere. En forvalter av et eiendomsfond må for eksempel identifisere og løpende overvåke risikoer som er typiske for denne aktivaklassen. Dette inkluderer blant annet:
- Markedsrisiko: Risikoen for verdifall på eiendommene i porteføljen som følge av endringer i avkastningskrav, leiepriser eller etterspørsel i de relevante segmentene (f.eks. logistikk, kontor eller bolig). Risikostyringsfunksjonen må ha etablerte metoder for å verdsette eiendommene løpende og for å vurdere verdifallsrisikoen, for eksempel gjennom regelmessige eksterne takseringer og sensitivitetsanalyser.
- Likviditetsrisiko: Eiendomsfond er eksponert for likviditetsrisiko fordi eiendeler vanligvis ikke kan omsettes raskt uten vesentlig prisreduksjon. For fond med mulighet for innløsning (halvlikvide fond) er det særlig viktig at risikostyringsfunksjonen løpende vurderer balanseforholdet mellom fondets likviditetsbeholdning, eventuelle kredittrammer og sannsynlige innløsningsbehov.
- Leietakerrisiko (motpartsrisiko): Risikoen for at leietakere misligholder leieforpliktelsene. Risikostyringsfunksjonen bør ha oversikt over leietakerkonsentrasjon, gjenværende leieperioder (WAULT) og kredittverdigheten til de største leietakerne.
- Renterisiko: De fleste eiendomsfond er belånte. Risikostyringsfunksjonen må følge opp at renterisikoen er håndtert på en forsvarlig måte, for eksempel gjennom rentesikringsavtaler, og at kravene til belåningsgrad (LTV) i låneavtalene overholder fastsatte risikogrenser.
En forvalter av et PE-fond må tilsvarende tilpasse risikostyringen til at porteføljebedriftene er unoterte og verdsettes på grunnlag av skjønnsmessige modeller. Typiske risikoer som må identifiseres og overvåkes inkluderer:
- Verdsettelsesrisiko: Risikoen for at porteføljebedriftene er feilverdsatt. Risikostyringsfunksjonen bør etablere klare metodekrav for verdsettelse i tråd med IPEV-retningslinjene og sikre at det gjennomføres uavhengig gjennomgang av verdsettelsen, enten internt eller ved bruk av ekstern tredjepart.
- Konsentrasjonsrisiko: PE-fond har typisk konsentrert eksponering mot et begrenset antall porteføljebedrifter. Risikostyringsfunksjonen bør ha oversikt over konsentrasjonsrisikoen på sektornivå, geografisk nivå og selskapsnivå, og vurdere om konsentrasjonen er i samsvar med fondets investeringsstrategi.
- Finansieringsrisiko (porteføljeselskaper): Risikoen for at porteføljebedriftene ikke klarer å refinansiere sin gjeld eller bryter betingelser i låneavtaler. Risikostyringsfunksjonen bør løpende overvåke gjeldsgrad og overholdelse av betingelser i låneavtaler i porteføljebedriftene.
- Nøkkelpersonsrisiko: Risikoen for at fondet mister nøkkelpersoner som er avgjørende for å generere avkastning. Dette er en operasjonell risiko risikostyringsfunksjonen bør ha et bevisst forhold til.
Forvaltere kan med fordel gjøre følgende for å være best mulig rustet dersom de blir valgt ut til å delta i tematilsynet:
- Foreta en gjennomgang av at alle risikoer som er relevante for investeringsstrategien er inkludert i risikostyringen, og at beskrivelsen av risikoene er tilstrekkelig presise
- Vurdere om stresstester som eventuelt benyttes fortsatt er relevante gitt investeringsstrategi, risikoforhold og markedssituasjon
- Foreta en full gjennomgang av risikostyringssystemene dersom det er mer enn ett år siden sist
Rapportering til ledelse og styret
Risikostyringsfunksjonen skal jevnlig rapportere til forvalterens styre om overholdelsen av risikogrenser og samsvar med fondets risikoprofil, samt om risikostyringsprosessens effektivitet og tilstrekkelighet.
I praksis betyr dette at risikorapporten til styret bør inneholde:
- Oversikt over risikoeksponering per fond – en samlet fremstilling av de vesentligste risikoene fondet er eksponert for, herunder markedsrisiko, likviditetsrisiko, motpartsrisiko og operasjonell risiko, med kvantifisering der dette er mulig
- Status på risikogrenser – en gjennomgang av om fondet er innenfor de risikogrensene som er fastsatt i fondets dokumentasjon og interne retningslinjer, og en forklaring av eventuelle brudd
- Stresstestresultater – resultater fra gjennomførte stresstester med beskrivelse av scenarioer, forutsetninger og konsekvenser, for eksempel effekten av et rentesjokk på 200 basispunkter på et belånt eiendomsfond eller et EBITDA-fall på 30 % i porteføljebedriftene i et PE-fond
- Likviditetsanalyse – for halvlikvide fond eller fond med gjeldsfinansiering bør rapporten inneholde en vurdering av fondets likviditetssituasjon og evne til å møte forventede forpliktelser under stressede markedsforhold
- Nøkkelrisikoindikatorer (KRI-er) – et begrenset sett med forhåndsdefinerte indikatorer som styret kan følge over tid, for eksempel belåningsgrad (LTV), WAULT og leietakerkonsentrasjon (eiendom) eller gjeldsgrad og overholdelse av betingelser i låneavtaler (PE)
- Hendelser og tiltak – en beskrivelse av risikohendelser siden forrige rapport, herunder hvilke tiltak som er iverksatt eller planlagt
Forvaltere kan med fordel gjøre følgende for å være best mulig rustet dersom de blir valgt ut til å delta i tematilsynet:
- Foreta en gjennomgang av at risikorapportene som styret mottar er tilstrekkelig omfattende til at styret kan utføre sin kontrollfunksjon
- Sørge for at risikostyring inngår i foretakets årsplan og er et fast punkt på styrets agenda
Særlig om utkontraktering
Forvaltere av alternative investeringsfond kan gi et annet foretak i oppdrag å utføre deler av virksomheten, herunder risikostyringsfunksjonen. Sammen med porteføljeforvaltning inngår risikostyring i den konsesjonspliktige virksomheten «forvaltning av alternative investeringsfond» etter AIF-loven. Oppdragstaker må derfor ha tillatelse eller være registrert til å yte slik tjeneste og være underlagt betryggende tilsyn, med mindre Finanstilsynet samtykker til utkontrakteringen.
Selv om risikostyringsfunksjonen utkontrakteres, må forvaltningsselskapet utpeke en ansvarlig for risikostyringsfunksjonen og løpende kontrollere utførelsen av tjenesten. Ansvaret for en forsvarlig risikostyringsfunksjon vil fortsatt ligge hos forvalter selv om den i sin helhet utføres av noen andre.
Ved innleie eller utkontraktering av risikostyringstjenester er det flere forhold som må vurderes. Det må sikres at leverandøren har tilstrekkelig erfaring og kunnskap med området og tilhørende arbeid, at det ikke er noen interessekonflikter, samt at arbeidet utføres i henhold til de krav som stilles.
Finanstilsynet har i flere tilsynsrapporter fremhevet at et foretak må kunne dokumentere at relevante vurderinger er foretatt av oppdragstaker og utkontrakteringen før avtale inngås. Forvaltere som utkontrakterer risikostyringsfunksjonen, bør derfor sikre at:
- Det er foretatt vurderinger av oppdragstakers kompetanse og ressurser til å utføre oppgavene
- Det er foretatt vurderinger av om utkontrakteringen kan medføre interessekonflikter mellom oppdragstaker og forvalteren eller fondets investorer som tilsier at risikostyringen ikke kan utkontrakteres
- Foretaket har tilstrekkelige interne ressurser til å følge opp de utkontrakterte oppgavene
Det ovennevnte må dokumenteres skriftlig og med henvisning til hvilke undersøkelser og vurderinger som er foretatt.
BAHR mener
Tematilsynet om risikostyringsfunksjonen kommer kort tid etter et tilsvarende tematilsyn om kontrollfunksjonen og internrevisjon. Tematilsynene viser at det er fokus på disse funksjonene fra tilsynsmyndighetene, og det må antas at funn fra tematilsynet vil bli fulgt opp av Finanstilsynet. Det er derfor gode grunner for forvaltere til å initiere en gjennomgang av egen organisering for å sikre at man overholder dette regelverket før man eventuelt blir plukket ut til å delta i tematilsynet.
En gjennomgang av risikostyringsfunksjonen bør ikke gjøres som en ren formaløvelse, men med et reelt blikk på om funksjonen faktisk er i stand til å identifisere, måle og rapportere de risikoene som er relevante for den aktuelle investeringsstrategien. Ulike typer av forvaltere vil ha ulike risikoer, og risikostyringsfunksjonen – og rapporteringen til styret – bør reflektere dette.