Bank leverandøravhengighet – hva det er og hvorfor det betyr noe for investorer

Hva er bank leverandøravhengighet?

Bank leverandøravhengighet er et begrep som brukes for å beskrive en banks avhengighet av eksterne leverandører for å utføre kritiske oppgaver og tjenester. I dagens digitale bankhverdag er det få banker som utvikler all teknologi selv. De fleste norske banker, fra DNB til mindre sparebanker, benytter seg av tredjepartsleverandører for alt fra kjernesystemer og betalingsløsninger til skytjenester og kundedataanalyse.

Avhengigheten kan være strategisk valgt for å spare kostnader og få tilgang til spesialisert kompetanse, men den innebærer også risiko. Dersom en viktig leverandør får driftsproblemer, går konkurs, eller blir utsatt for cyberangrep, kan det lamme bankens tjenester i flere dager. I verste fall kan det føre til tap av kundetillit og regulatoriske sanksjoner.

For investorer er det derfor viktig å forstå graden av leverandøravhengighet i en bank. Den påvirker både bankens risikoprofil og dens evne til å opprettholde stabil drift. En bank med høy avhengighet av én enkelt leverandør – såkalt «single point of failure» – er mer sårbar enn en bank som har spredt risikoen på flere leverandører eller har egne backup-systemer.

Forstå bank leverandøravhengighet

For å forstå bank leverandøravhengighet må man først identifisere hvilke områder i banken som er mest kritiske og hvor eksterne leverandører spiller en rolle. Typiske områder inkluderer:

• Kjernesystemer: Systemer som håndterer kontoer, transaksjoner og renter. Mange norske banker bruker plattformer fra Tietoevry eller Evry.
• Betalingsformidling: Norske banker er avhengige av BITS (Bankenes Betalingssentral) og Vipps, men også internasjonale nettverk som SWIFT.
• Skytjenester: Amazon Web Services (AWS) og Microsoft Azure brukes i økende grad for lagring og databehandling.
• Sikkerhet og overvåkning: Leverandører som Palo Alto Networks eller norske selskaper som Mnemonic.

En nyttig måte å kvantifisere avhengigheten på er å se på andelen av IT-budsjettet som går til eksterne leverandører, eller antall kritiske systemer som driftes eksternt. Tabellen under viser et tenkt eksempel for to norske banker:

Område	Bank A (høy avhengighet)	Bank B (lav avhengighet)
Kjernesystem (ekstern)	100 % (én leverandør)	60 % (to leverandører)
Betalingsformidling (ekstern)	80 % (én sentral aktør)	50 % (egne systemer)
Skytjenester	90 % (AWS)	30 % (hybridløsning)
Sikkerhet	100 % (én leverandør)	70 % (intern + ekstern)

Bank A har dermed en betydelig høyere leverandøravhengighet og er mer utsatt for driftsforstyrrelser dersom en av leverandørene svikter. Bank B har spredt risikoen og har også interne kapabiliteter som kan fungere som backup.

Hvordan fungerer bank leverandøravhengighet?

Bank leverandøravhengighet fungerer som et tveegget sverd. På den ene siden gir det banken tilgang til avansert teknologi uten å måtte investere tungt i egen utvikling. På den andre siden skaper det en avhengighet som kan være vanskelig å bryte. Leverandørene har ofte spesialkompetanse og proprietære systemer som gjør det kostbart og tidkrevende å bytte.

Mekanismen er enkel: Banken inngår en kontrakt med en leverandør for en bestemt tjeneste. Over tid blir bankens drift tett integrert med leverandørens systemer. Personalet lærer seg leverandørens verktøy, og bankens prosesser blir tilpasset. Dette skaper en «lock-in»-effekt. Jo lengre tid som går, desto vanskeligere blir det å skifte leverandør uten store forstyrrelser.

Regulatoriske myndigheter, inkludert Finanstilsynet i Norge, har blitt stadig mer oppmerksomme på denne risikoen. De krever at banker har beredskapsplaner og regelmessig tester sine evner til å håndtere leverandørsvikt. For eksempel må banker som bruker skytjenester, dokumentere hvordan dataene er beskyttet og hva som skjer ved avbrudd. Dette påvirker bankens compliance-kostnader og kan derfor ha betydning for verdsettelsen.

Historisk bakgrunn

Frem til 1990-tallet utviklet de fleste norske banker sine egne IT-systemer. DNB (den gang Den norske Bank) hadde egne stormaskiner og programmerere. Men utover 2000-tallet økte kostnadene og kompleksiteten, og bankene begynte å outsource mer. Finanskrisen i 2008 akselererte denne trenden da bankene måtte kutte kostnader.

I Norge ble Tietoevry (tidligere TietoEnator) og Evry (nå en del av Tietoevry) dominerende leverandører for banksektoren. Mange sparebanker gikk sammen i felles IT-selskaper som Sparebank 1 Gruppen, som igjen er avhengig av underleverandører. Dette førte til en konsentrasjon av risiko: flere titalls banker ble avhengige av de samme få leverandørene.

I 2020-årene har flere hendelser vist sårbarheten. For eksempel førte et cyberangrep mot en leverandør av betalingsløsninger i 2022 til at flere norske banker opplevde forsinkelser i kortbetalinger i flere dager. Slike hendelser har ført til økt regulatorisk fokus. Finanstilsynet har publisert egne retningslinjer for outsourcing og leverandørstyring, og EUs Digital Operational Resilience Act (DORA) setter nå felles krav for hele EØS-området, inkludert Norge.

Praktisk eksempel

La oss se på et tenkt, men realistisk eksempel. Bank X er en mellomstor norsk sparebank med 50 ansatte og 10 milliarder kroner i forvaltningskapital. Banken har outsourcet hele sin IT-drift til en leverandør, kalt ITPartner. ITPartner leverer kjernesystem, nettbank, betalingsformidling og sikkerhetsovervåkning. Bank X har ingen interne IT-utviklere.

En dag rammes ITPartner av et omfattende ransomware-angrep. Systemene blir utilgjengelige i en uke. Bank X kan ikke gjennomføre betalinger, kunder får ikke tilgang til nettbanken, og ansatte må føre manuelle regnskap. Etter en uke gjenopprettes systemene, men banken taper omdømme og mister flere kunder til konkurrenten Bank Y.

Bank Y har derimot en hybridløsning: den bruker to forskjellige leverandører for kjernesystem (én primær og én backup) og har et internt team på fem IT-spesialister. Da angrepet rammet ITPartner, kunne Bank Y raskt koble over til backup-systemet og opprettholde de fleste tjenester. Bank Ys leverandøravhengighet er lavere, og den fremstår som mer robust overfor investorer.

Dette eksempelet viser hvordan leverandøravhengighet direkte kan påvirke bankens evne til å opprettholde drift og dermed dens verdi for aksjonærene. En bank med høy avhengighet kan ha høyere driftskostnader i krisesituasjoner og større risiko for regulatoriske bøter.

Fordeler og ulemper

Fordeler:

• Kostnadseffektivitet: Banker slipper å investere i egen infrastruktur og kan i stedet betale for tjenester etter behov.
• Tilgang til spesialkompetanse: Leverandører har ofte mer avansert teknologi og ekspertise enn det banken selv kan bygge opp.
• Raskere innovasjon: Banker kan ta i bruk nye løsninger raskere ved å kjøpe dem fra leverandører.
• Fleksibilitet: Lettere å skalere opp eller ned avhengig av behov.

Ulemper:

• Operasjonell risiko: Svikt hos leverandør kan lamme banken.
• Lock-in-effekt: Høye byttekostnader og avhengighet av én leverandør.
• Mindre kontroll: Banken mister direkte kontroll over kritiske systemer og data.
• Regulatorisk byrde: Stadig strengere krav til dokumentasjon og beredskap øker compliance-kostnadene.
• Konsentrasjonsrisiko: Mange banker bruker samme leverandør, slik at en hendelse kan ramme hele sektoren.

For investorer er ulempene ofte undervurdert. En bank som fremstår som lønnsom på kort sikt på grunn av lave IT-kostnader, kan skjule en høy leverandøravhengighet som utgjør en betydelig langsiktig risiko.

Vanlige misforståelser

En vanlig misforståelse er at bank leverandøravhengighet kun handler om IT-systemer. I virkeligheten omfatter det også tjenester som betalingsformidling, kredittvurdering, compliance-rapportering og til og med kundeservice. Mange banker outsourcer for eksempel telefonsupport til eksterne selskaper, noe som også skaper avhengighet.

En annen misforståelse er at leverandøravhengighet alltid er negativt. For mindre banker kan det være helt nødvendig for å overleve i konkurransen med større aktører. Risikoen kan håndteres gjennom gode kontrakter, backup-løsninger og regelmessige tester. Det er graden av avhengighet og hvor godt den er styrt som teller.

Noen investorer tror også at regulatoriske krav alene er nok til å sikre bankene. Selv om Finanstilsynet stiller krav, er det bankens egen risikostyring som avgjør hvor sårbar den er. En bank som bare gjør det minimale for å tilfredsstille tilsynet, kan fortsatt ha høy reell risiko.

Oppsummering

Bank leverandøravhengighet er en sentral risikofaktor som investorer bør ta hensyn til når de vurderer banker. Avhengigheten kan gi kostnadsbesparelser og innovasjon, men også skape sårbarhet for driftsforstyrrelser og regulatoriske reaksjoner. Norske banker er i stor grad avhengige av et fåtall store leverandører, noe som øker systemrisikoen.

For å vurdere en banks leverandøravhengighet bør investorer se på:

• Hvor stor andel av kritiske systemer som driftes eksternt.
• Antall leverandører og graden av diversifisering.
• Bankens interne kompetanse og backup-løsninger.
• Historiske hendelser og hvordan banken har håndtert dem.