18 Novos produtos e alterações significativas

As funções de gestão de riscos e conformidade devem ser envolvidas na aprovação de novos produtos ou nas alterações significativas de produtos, processos e sistemas existentes. A sua contribuição deve incluir uma avaliação completa e objetiva dos riscos suscitados pelas novas atividades em vários cenários, das eventuais insuficiências dos quadros de gestão de riscos e de controlo interno da instituição, e da capacidade desta última para gerir de forma efetiva os novos riscos que possam surgir. A função de gestão de riscos também possui uma perspetiva clara do lançamento de novos produtos (ou da introdução de alterações significativas em produtos, processos e sistemas existentes) nas diversas áreas de atividade e carteiras, e poderes para exigir que alterações aos produtos existentes sejam submetidas ao processo formal previsto na PANP.

As funções de controlo interno devem incluir uma função de gestão de riscos (ver a Secção 20), uma função de conformidade (ver a Secção 21) e uma função de auditoria interna (ver a Secção 22). As funções de gestão de riscos e de conformidade são sujeitas a revisão pela função de auditoria interna. As responsabilidades das funções de controlo incluem também assegurar o cumprimento dos requisitos em matéria de BC/FT.

As tarefas operacionais das funções de controlo interno podem ser subcontratadas, tendo em conta os critérios de proporcionalidade enumerados no Título I, à instituição consolidante ou a outra entidade pertencente ou não ao grupo, com a aprovação dos órgãos de administração das instituições envolvidas. Mesmo nos casos em que as tarefas operacionais de controlo interno são subcontratadas na totalidade ou em parte, o responsável pela função de controlo interno em causa e o órgão de administração continuam a ser responsáveis por estas atividades, bem como pela manutenção de uma função de controlo interno na instituição.

Sem prejuízo da legislação nacional que transpôs a Diretiva 2015/849/UE, as instituições atribuem a um membro do pessoal a responsabilidade por assegurar o cumprimento pela instituição dos requisitos da referida diretiva e das suas políticas e procedimentos (por ex., responsável pela conformidade). As instituições podem estabelecer uma função de controlo do cumprimento em matéria de BC/CFT segregada, como uma função de controlo independente.³⁸ A pessoa responsável pelo BC/FT deve, caso necessário, poder reportar diretamente ao órgão de administração nas suas funções de gestão e de supervisão.

³⁸ Ver também EBA Guidelines on the AML/CTF compliance function [Orientações da EBA sobre a função de controlo do cumprimento em matéria de BC/FT] (atualmente em elaboração)

As funções de controlo interno são estabelecidas a um nível hierárquico adequado que lhes confira as seus responsáveis a autoridade e o estatuto necessários para cumprirem com as suas responsabilidades. Sem prejuízo da responsabilidade global do órgão de administração, as funções de controlo interno devem ser independentes das áreas de negócio ou unidades que controlam. Para este efeito, os responsáveis pelas funções de gestão de riscos, conformidade e auditoria interna reportam e respondem diretamente perante o órgão de administração, que também avalia o seu desempenho.

Caso necessário, os responsáveis das funções de controlo interno devem poder ter acesso e reportar diretamente ao órgão de administração na sua função de fiscalização para manifestarem preocupações e alertar este órgão, se for caso disso, no caso de uma evolução específica que afete ou possa afetar a instituição. Tal não deve impedir que os responsáveis pelas funções de controlo interno também utilizem as linhas de reporte regulares.

As instituições têm estabelecidos processos documentados de nomeação e destituição do responsável por uma função de controlo interno. Em qualquer caso, os responsáveis pelas funções de controlo interno (e, nos termos do artigo 76.º, n.º 5, da Diretiva 2013/36/UE, o responsável pela função de gestão de riscos) não podem ser destituídos sem a aprovação prévia do órgão de administração na sua função de fiscalização. Nas instituições significativas, as autoridades competentes são informadas de imediato da aprovação e das razões da substituição do responsável por uma função de controlo interno.

Para as funções de controlo interno poderem ser consideradas independentes, têm de preencher as seguintes condições:

• a. Os seus membros do pessoal não desempenham quaisquer tarefas operacionais abrangidas pelas atividades que as funções de controlo interno devem monitorizar e controlar;
• b. Estão separadas, do ponto de vista organizacional, das atividades que lhes compete monitorizar e controlar;
• c. Sem prejuízo da responsabilidade global dos membros do órgão de administração da instituição, o responsável por uma função de controlo interno não deve estar subordinado a uma pessoa com responsabilidades pela gestão das atividades que a função de controlo interno monitoriza e controla; e
• d. A remuneração dos membros do pessoal das funções de controlo interno não deve estar associada aos resultados das atividades que estas monitorizam e controlam, nem pode comprometer de outro modo a sua objetividade³⁹ .

³⁹ Ver também as orientações da EBA relativas a políticas de remuneração sãs, disponíveis em https://www.eba.europa.eu/regulation-and-policy/remuneration/guidelines-on-sound-remuneration-policies.

Tendo em conta os critérios de proporcionalidade estabelecidos no Título I, a função de gestão de riscos pode ser combinada com a função de conformidade. A função de auditoria interna não deve ser combinada com outra função de controlo interno.

As funções de controlo interno devem estar dotadas de recursos suficientes e dispor de um número adequado de colaboradores qualificados (tanto a nível da empresa-mãe como das filiais). As qualificações dos seus membros do pessoal devem ser permanentemente atualizadas e estes devem receber formação adequada, sempre que necessário.

As funções de controlo interno devem dispor também de sistemas informáticos e de apoio adequados, com acesso às informações internas e externas necessárias para o exercício das suas responsabilidades. Devem ter acesso a todas as informações necessárias relativas a todas as áreas de atividade e às filiais com assunção de riscos relevantes, em especial as que possam originar riscos significativos para a instituição.