Internal Controls

Internkontrollrutiner — Drop (ALAI Holding AS)

Dokument: Rammeverk for internkontroll Hjemmel: Finansforetaksloven §13-5, hvitvaskingsloven §§7-8 og §37, internkontrollforskriften Virksomhet: ALAI Holding AS, org.nr 932 516 136 Produkt: Drop — betalingsformidling og pengeoverføringer Versjon: 1.0 Dato: 2026-02-12 Godkjent av: Styre Neste revisjon: 2027-02-12

---

1. Formål

Internkontrollrutinene skal sikre at ALAI Holding AS gjennom produktet Drop:

• Overholder gjeldende lovverk, herunder finansforetaksloven, hvitvaskingsloven og personopplysningsloven
• Har effektiv risikostyring og kontroll med virksomheten
• Har klare ansvarslinjer og rapporteringsveier
• Identifiserer, vurderer og håndterer operasjonelle risikoer
• Har en kultur for etterlevelse (compliance)

---

2. Tre forsvarslinjer

Selskapet organiserer sin internkontroll etter prinsippet om tre forsvarslinjer, jf. Finanstilsynets veiledning og internasjonale standarder (COSO/IIA):

2.1 Første forsvarslinje — Operativ drift

Hvem: Alle ansatte i operative roller (utvikling, drift, kundeservice)

Ansvar:

• Daglig etterlevelse av rutiner og policyer
• Identifisere og rapportere avvik til nærmeste leder
• Gjennomføre kontroller integrert i arbeidsprosesser
• Dokumentere egne kontrollhandlinger

Kontrollaktiviteter:

Kontroll	Frekvens	Ansvarlig
KYC-kvalitetskontroll ved onboarding	Hver kunde	Operativ medarbeider
Verifikasjon av transaksjonsdata	Fortløpende	System (automatisk)
Rapportering av hendelser og avvik	Ved forekomst	Alle ansatte
Oppfølging av automatiske varsler	Fortløpende	Operativ medarbeider

2.2 Andre forsvarslinje — Risikostyring og Compliance

Hvem: Hvitvaskingsansvarlig / Compliance-funksjon

Ansvar:

• Overvåke og teste etterlevelse av lover, forskrifter og interne rutiner
• Utarbeide og vedlikeholde policyer og rutiner
• Gjennomføre risikiovurderinger
• Rådgi første forsvarslinje
• Rapportere til daglig leder og styret
• Håndtere forholdet til tilsynsmyndigheter

Kontrollaktiviteter:

Kontroll	Frekvens	Ansvarlig
Stikkprøvekontroll av KYC-dokumentasjon	Månedlig (min. 10% av nye kunder)	Hvitvaskingsansvarlig
Gjennomgang av flaggede transaksjoner	Ukentlig	Hvitvaskingsansvarlig
Testing av transaksjonsovervåkingsregler	Kvartalsvis	Compliance
Oppdatering av risikovurdering	Årlig + ved vesentlige endringer	Hvitvaskingsansvarlig
Regelverksovervåking	Løpende	Compliance
Compliance-rapport til styret	Kvartalsvis	Hvitvaskingsansvarlig

2.3 Tredje forsvarslinje — Uavhengig kontroll

Hvem: Ekstern revisor / Uavhengig internrevisor

Ansvar:

• Uavhengig vurdering av internkontrollens effektivitet
• Vurdering av risikostyringsrammeverket
• Rapportering til styret

Kontrollaktiviteter:

Kontroll	Frekvens	Ansvarlig
Ekstern revisjon av AML-program	Årlig	Ekstern revisor
Revisjon av IT-sikkerhet	Årlig	Ekstern IT-revisor
Uavhengig gjennomgang av internkontroll	Årlig	Ekstern revisor
Rapportering av funn og anbefalinger	Etter hver revisjon	Ekstern revisor

---

3. Governance og organisering

3.1 Styret

Ansvar:

• Fastsette overordnet strategi for risikostyring og internkontroll
• Godkjenne policyer, rutiner og risikoappetitt
• Motta og behandle kvartalsrapporter fra compliance og revisor
• Sikre tilstrekkelige ressurser til internkontroll
• Overordnet ansvar for etterlevelse

Styreaktiviteter:

Aktivitet	Frekvens
Behandle compliance-rapport	Kvartalsvis
Godkjenne oppdatert risikovurdering	Årlig
Godkjenne oppdaterte hvitvaskingsrutiner	Årlig
Behandle revisjonsrapporter	Etter mottakelse
Evaluere internkontrollens effektivitet	Årlig

3.2 Daglig leder

Ansvar:

• Operativt ansvar for implementering av styrets vedtak
• Sikre at organisasjonen har nødvendig kompetanse og ressurser
• Godkjenne høyrisiko-kundeforhold (etter anbefaling fra compliance)
• Rapportere til styret om vesentlige risikoforhold

3.3 Hvitvaskingsansvarlig / Chief Compliance Officer

Ansvar:

• Daglig leder for compliance-funksjonen
• Hvitvaskingsansvarlig etter hvitvaskingsloven §8 fjerde ledd
• Rapporterer direkte til daglig leder og styret (uavhengig av operative linjer)
• Har myndighet til å stoppe transaksjoner og avvise kundeforhold

3.4 Organisasjonskart — internkontroll

┌─────────────────────────────────────────┐
│              STYRET                      │
│  Overordnet ansvar, godkjenner rammer    │
└────────────────┬────────────────────────┘
                 │
    ┌────────────┼─────────────────┐
    │            │                 │
    ▼            ▼                 ▼
┌────────┐  ┌────────────┐  ┌──────────────┐
│DAGLIG  │  │COMPLIANCE  │  │EKSTERN       │
│LEDER   │  │FUNKSJON    │  │REVISOR       │
│        │  │(2. linje)  │  │(3. linje)    │
│Operativ│  │HVV-ansvarl.│  │Uavhengig     │
│drift   │  │Rapporterer │  │vurdering     │
│        │  │til styre   │  │              │
└───┬────┘  └────────────┘  └──────────────┘
    │
    ▼
┌────────────────┐
│OPERATIVE       │
│MEDARBEIDERE    │
│(1. linje)      │
│Tech, support,  │
│kundeservice    │
└────────────────┘

---

4. Risikostyring

4.1 Risikorammeverk

Selskapet identifiserer og vurderer følgende risikokategorier:

Risikokategori	Beskrivelse	Eier
HV/TF-risiko	Risiko for misbruk til hvitvasking/terrorfinansiering	Hvitvaskingsansvarlig
Operasjonell risiko	Systemfeil, menneskelige feil, prosesssvikt	Daglig leder
IT- og cyberrisiko	Datainnbrudd, tjenestenekt, systemsårbarhet	Tech Lead
Compliance-risiko	Brudd på regelverk, tilsynssanksjoner	Compliance
Omdømmerisiko	Hendelser som skader selskapets omdømme	Daglig leder
Strategisk risiko	Feil forretningsbeslutninger	Styret

4.2 Risikovurderingsprosess

1. Identifisering: Kartlegge relevante risikoer per kategori
2. Vurdering: Sannsynlighet x konsekvens (skala 1-4)
3. Tiltak: Definere risikoreduserende tiltak
4. Overvåking: Løpende overvåking av risikoindikatorer
5. Rapportering: Kvartalsvise risikorapporter til styret
6. Revisjon: Årlig oppdatering av risikovurderingen

4.3 Risikoindikatorer (KRI)

Indikator	Terskel (gul)	Terskel (rød)	Frekvens
Antall flaggede transaksjoner	>50/mnd	>100/mnd	Månedlig
Gjennomsnittlig behandlingstid flagg	>48 timer	>72 timer	Ukentlig
Andel EDD-kunder	>10% av kundebasen	>20%	Kvartalsvis
Antall EFE-rapporter	>2/kvartal	>5/kvartal	Kvartalsvis
KYC-mangler ved stikkprøve	>5%	>10%	Månedlig
Systemnedetid	>99.5% oppetid	<99% oppetid	Daglig
Antall sikkerhetshendelsar	>1/mnd	>3/mnd	Månedlig

---

5. Compliance-overvåking

5.1 Overvåkingsplan

Område	Kontrollhandling	Frekvens	Ansvarlig	Rapporteres til
KYC/CDD	Stikkprøve av onboarding-kvalitet	Månedlig	Compliance	Daglig leder
Transaksjonovervåking	Review av regler og terskler	Kvartalsvis	Compliance	Styret
PEP/sanksjoner	Test av screeningeffektivitet	Halvårlig	Compliance	Styret
Opplæring	Kontroll av gjennomføring	Årlig	Compliance	Daglig leder
Rutiner	Gjennomgang og oppdatering	Årlig	Compliance	Styret
Regelverksendringer	Overvåking av nye krav	Løpende	Compliance	Daglig leder
Hendelseslog	Gjennomgang av logger	Ukentlig	Compliance	Daglig leder
IT-sikkerhet	Penetrasjonstesting	Årlig	Ekstern	Styret
Personvern	DPIA-oppdatering	Årlig	Compliance	Daglig leder

5.2 Rapporteringskalender

Rapport	Mottaker	Frekvens	Innhold
Compliance-statusrapport	Styret	Kvartalsvis	HV/TF-statistikk, avvik, tiltak, regelverksendringer
Risikorapport	Styret	Kvartalsvis	KRI-status, risikoendringer, handlingsplan
AML-årsrapport	Styret	Årlig	Full gjennomgang av AML-programmet
Hendelsesrapport	Daglig leder	Ved hendelse	Beskrivelse, tiltak, læringspunkter
Revisjonsrapport	Styret	Årlig	Ekstern revisors funn og anbefalinger

---

6. Avviksbehandling

6.1 Definisjon

Et avvik er ethvert brudd på, eller manglende etterlevelse av:

• Lover og forskrifter
• Interne rutiner og policyer
• Styrets vedtak og retningslinjer
• Tilsynsmyndighetenes pålegg

6.2 Avviksprosess

1. IDENTIFISERING        2. REGISTRERING         3. VURDERING
   Alle ansatte →           Avvikslogg →            Compliance →
   rapporterer              dokumenteres            alvorlighetsgrad

4. TILTAK                 5. OPPFØLGING           6. RAPPORTERING
   Korrigerende →           Verifisere →            Til styre/
   tiltak defineres         effekt                  tilsynsmyndighet

6.3 Alvorlighetsgrader

Grad	Beskrivelse	Responstid	Rapporteres til
Kritisk	Lovbrudd, tilsynssanksjon, stor kundeeksponering	Umiddelbart	Styre, Finanstilsynet
Høy	Vesentlig rutinebrudd, gjentatte avvik	24 timer	Daglig leder, styre
Middels	Enkeltavvik fra rutiner, forbedringspotensial	1 uke	Daglig leder
Lav	Mindre prosessavvik, ingen kundekonsekvens	30 dager	Compliance-logg

6.4 Avvikslogg

Alle avvik registreres i avviksloggen med:

• Dato og tidspunkt
• Beskrivelse av avviket
• Hvem som oppdaget det
• Alvorlighetsgrad
• Korrigerende tiltak
• Ansvarlig for oppfølging
• Frist for lukking
• Status (åpent/lukket)
• Læringspunkter

---

7. Eskalering

7.1 Eskaleringsprosedyre

Situasjon	Eskaleres til	Tidsfrist
Mistenkelig transaksjon (flagget av system)	Hvitvaskingsansvarlig	24 timer
Bekreftet mistanke om HV/TF	EFE/Økokrim + daglig leder	Uten ugrunnet opphold
Sanksjonstreff (bekreftet)	Daglig leder + UD	Umiddelbart
Kritisk avvik	Styre + eventuelt Finanstilsynet	Umiddelbart
Sikkerhetshendeelse (datainnbrudd)	Daglig leder + Datatilsynet (72t)	Umiddelbart
Tilsynsforespørsel	Daglig leder + compliance	Innen tilsynets frist
Kundeklage (compliance-relatert)	Compliance	5 virkedager

7.2 Varsling (Whistleblowing)

Jf. arbeidsmiljøloven kapittel 2A:

• Alle ansatte har rett til å varsle om kritikkverdige forhold
• Varslingskanal er etablert (direkte til styreleder)
• Varsler beskyttes mot gjengjeldelse
• Alle varsler behandles konfidensielt og dokumenteres

---

8. IT-kontroller

8.1 Tilgangsstyring

Prinsipp	Implementering
Minste privilegium	Brukere får kun tilgang til det de trenger
Rollebasert tilgang (RBAC)	Tilgang basert på rolle, ikke person
Separation of duties	Kritiske funksjoner krever to personers godkjenning
Periodisk tilgangsgjennomgang	Kvartalsvis gjennomgang av alle tilganger
Logging	Alle tilgangsendringer og datautrekk logges

8.2 Systemovervåking

Kontroll	Beskrivelse	Frekvens
Oppetidsovervåking	Automatisk varsling ved nedetid	Kontinuerlig
Ytelsesovervåking	Responstider og feilrater	Kontinuerlig
Sikkerhetslogg-gjennomgang	Analyse av innloggingsforsøk og anomalier	Daglig
Sårbarhetsskanning	Automatisk skanning av kjente sårbarheter	Ukentlig
Penetrasjonstesting	Ekstern testing av sikkerhet	Årlig
Backup-verifisering	Test av gjenoppretting fra backup	Månedlig

8.3 Endringsstyring

Alle endringer i produksjonssystemer skal:

1. Dokumenteres med beskrivelse og begrunnelse
2. Testes i staging-miljø
3. Godkjennes av tech lead og compliance (ved regelverksrelevante endringer)
4. Rulles ut med rollback-plan
5. Overvåkes etter utrulling

---

9. Opplæring og kompetanse

9.1 Opplæringsprogram

Kurs	Målgruppe	Frekvens	Innhold
Grunnkurs HV/TF	Alle ansatte	Ved ansettelse + årlig	Lovverk, rutiner, gjenkjennelse
Avansert AML	Compliance, operativ	Årlig	Typologier, caseøvelser, EDD
PEP og sanksjoner	Compliance, operativ	Årlig	PEP-definisjoner, screeningprosess
IT-sikkerhet	Alle ansatte	Årlig	Phishing, passord, hendelsesrapportering
GDPR	Alle ansatte	Ved ansettelse + årlig	Personvern, behandlingsgrunnlag
Etikk og varsling	Alle ansatte	Årlig	Etiske retningslinjer, varslingskanal

9.2 Kompetansekrav

Rolle	Minimumskompetanse
Hvitvaskingsansvarlig	Sertifisering (f.eks. CAMS), min. 3 års erfaring
Compliance-medarbeider	Relevant utdanning, opplæring i HV/TF
Daglig leder	Egnethetsvurdering, grunnleggende HV/TF-forståelse
Styremedlemmer	Egnethetsvurdering, forstå regulatorisk rammeverk
Tech Lead	IT-sikkerhetskompetanse, forståelse av compliance-krav

---

10. Beredskapsplan

10.1 Scenarioer

Scenario	Alvorlighet	Umiddelbare tiltak
Datainnbrudd / personopplysninger kompromittert	Kritisk	Isolere system, varsle Datatilsynet (72t), varsle berørte kunder
Sanksjonert transaksjon gjennomført ved feil	Kritisk	Fryse midler, varsle UD, rapportere til EFE
Systemnedetid > 4 timer	Høy	Aktivere failover, informere kunder, loggføre
Tjenestenektangrep (DDoS)	Høy	Aktivere DDoS-beskyttelse, eskalere til hosting-partner
Mistanke om intern svindel	Kritisk	Fryse tilganger, undersøke, varsle styre og evt. politi

10.2 Kommunikasjonsplan ved hendelse

Interessent	Tidsfrist	Kanal	Ansvarlig
Finanstilsynet	Uten ugrunnet opphold	Altinn / epost	Daglig leder
Datatilsynet	72 timer (datainnbrudd)	Altinn	Daglig leder
Berørte kunder	Uten ugrunnet opphold	App + epost	Kundeservice
Styret	Umiddelbart	Epost + telefon	Daglig leder
Ansatte	Umiddelbart	Intern kanal	Daglig leder

---

11. Endringslogg

Versjon	Dato	Endring	Godkjent av
1.0	2026-02-12	Førstegangs utarbeidelse	Styre

---

Dokumentet er utarbeidet i henhold til finansforetaksloven §13-5, hvitvaskingsloven §§7-8 og §37, og Finanstilsynets veiledninger om internkontroll i betalingsforetak.