8 Política de subcontratação

O órgão de administração aprova, revê regularmente e atualiza a política de subcontratação da instituição, assegurando a implementação em tempo oportuno de eventuais alterações.

A política de subcontratação toma em consideração o impacto da subcontratação nas atividades da instituição e nos riscos que ela enfrenta (nomeadamente, o risco operacional, incluindo o risco jurídico e de TI, o risco reputacional e o risco de concentração). A política deve incluir os mecanismos de reporte e de monitorização que devem ser implementados desde o início até ao ao termo de um acordo de subcontratação (incluindo a elaboração do estudo de viabilidade, a celebração do contrato, a execução do contrato até ao seu termo, os planos de contingência e as estratégias de saída). A instituição continua a ser inteiramente responsável por todos os serviços e atividades subcontratados, bem como pelas decisões de gestão deles decorrentes. Por conseguinte, a política de subcontratação deve referir expressamente que a subcontratação não exonera a instituição das suas obrigações regulamentares nem das suas responsabilidades para com os seus clientes.

A política deve estipular que os acordos de subcontratação não devem obstar a uma supervisão efetiva da instituição, no local ou remota, e que não devem infringir quaisquer restrições regulamentares aplicáveis aos serviços e atividades. A política deve também abranger a subcontratação intragrupo (ou seja, serviços prestados por uma entidade jurídica distinta pertencente ao grupo da instituição) e ter em conta quaisquer circunstâncias específicas do grupo.

Os requisitos em matéria de governo da Diretiva 2013/36/UE e disposições constantes das presentes orientações são aplicáveis às instituições, independentemente do facto de poderem ser filiais de uma empresa-mãe num país terceiro. Sempre que uma filial na UE de uma empresa-mãe num país terceiro for uma instituição consolidante, o perímetro de consolidação prudencial não inclui o nível da empresa-mãe situada no país terceiro nem outras filiais diretas dessa empresa-mãe. A instituição consolidante assegura que a política de governo ao nível do grupo da instituição-mãe num país terceiro seja tida em consideração nas suas próprias políticas de governo, desde que tal seja compatível com os requisitos estabelecidos no direito da UE aplicável, incluindo a Diretiva 2013/36/UE e com as especificações adicionais das presentes orientações.

Ao definirem políticas e documentarem governação os sistemas de governo, as instituições têm em conta os aspetos enumerados no Anexo I das presentes orientações. Embora as políticas e a documentação possam ser incluídas em documentos distintos, as instituições devem ponderar combiná-las ou incluí-las num único documento relativo ao quadro de governo.

Um dos elementos fundamentais de uma gestão de riscos eficaz é uma cultura de risco sólida, diligente e coerente que permita às instituições tomar decisões fundamentadas e informadas.

As instituições devem desenvolver, em toda a sua estrutura, uma cultura de risco integrada e global, baseada na plena compreensão e numa visão holística dos riscos que enfrentam e do modo como estes são geridos, tendo em conta a sua apetência pelo risco.

As instituições devem desenvolver uma cultura de risco através de políticas, comunicação e formação ao pessoal relativamente às suas atividades, estratégia e perfil de risco, e devem adaptar a comunicação e a formação do pessoal, de forma a ter em conta as responsabilidades destes em matéria de assunção e gestão de riscos.

Os membros do pessoal devem estar plenamente cientes das suas responsabilidades na gestão de riscos, a qual não deve estar reservada a especialistas do risco, nem às funções de controlo interno. As unidades de negócio sob a supervisão do órgão de administração são as principais responsáveis pela gestão quotidiana de riscos, em consonância com as políticas, procedimentos e controlos da instituição e tendo em conta a sua capacidade de risco e apetência pelo risco.