5.5. Funções de controlo interno

Ao avaliarem as funções de controlo interno da instituição, as autoridades competentes devem verificar a conformidade da instituição com as Orientações da EBA sobre governo interno e com as disposições pertinentes do Regulamento (UE) 2022/2554 (DORA)²¹ . Neste contexto, as autoridades competentes devem ponderar, nomeadamente, se:

• a. a instituição dispõe de um quadro de controlo interno adequado que abrange todas as áreas, em conformidade com o modelo das «três linhas de defesa», incluindo funções de gestão de risco, conformidade e auditoria interna que funcionam bem, são eficazes e independentes;
• b. os responsáveis pelas funções de controlo interno (i) são nomeados a um nível hierárquico adequado que lhes confira a autoridade e o estatuto necessários para o cumprimento das suas responsabilidades, (ii) têm acesso direto e podem reportar diretamente ao órgão de administração no âmbito da sua função de supervisão, e (iii) dispõem de todos os recursos necessários para desempenhar as suas funções;
• c. a instituição dispõe de políticas de controlo interno adequadas, redigidas por escrito e efetivamente implementadas, bem como de uma clara repartição de responsabilidades pela implementação do quadro, separação de funções, procedimentos administrativos e contabilísticos sólidos e mecanismos de prestação de contas robustos.

²¹ DORA - Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho, de 14 de dezembro de 2022, relativo à resiliência operacional digital do setor financeiro e que altera os Regulamentos (CE) n.º 1060/2009, (UE) n.º 648/2012, (UE) n.º 600/2014, (UE) n.º 909/2014 e (UE) 2016/1011 (JO L 333 de 27.12.2022, p. 1, ELI: http://data.europa.eu/eli/reg/2022/2554/oj).

As autoridades competentes devem avaliar se a função de gestão dos riscos abrange toda a instituição, tendo uma visão holística de todos os riscos, participa ativamente numa fase precoce na elaboração da estratégia de risco da instituição e monitoriza a sua aplicação eficaz. As autoridades competentes devem também determinar se a função de gestão de riscos fornece ao órgão de administração informações completas, atualizadas e relevantes sobre os riscos, de modo a permitir a definição do nível de apetência pelo risco da instituição e dos limites de risco conexos. As autoridades competentes devem também ter em conta a avaliação da solidez e sustentabilidade da estratégia e da apetência pelo risco efetuada pela função de gestão de riscos, bem como o seu envolvimento na avaliação do impacto de alterações significativas ou de operações excecionais no risco global da instituição e do grupo (se for caso disso).

As autoridades competentes devem avaliar se a função de conformidade avalia e mitiga eficazmente os riscos de conformidade decorrentes do incumprimento dos requisitos legais e regulamentares aplicáveis, das obrigações contratuais ou das regras internas e códigos de conduta, incluindo as regras em matéria de ética, e se garante que todas as decisões relevantes em matéria de gestão de riscos têm devidamente em conta esses riscos.

As autoridades competentes devem avaliar se a função de auditoria interna analisa de forma independente e fornece garantias objetivas, em conformidade com o plano de auditoria e o programa de trabalho detalhado, quanto à adequação e eficácia das políticas, procedimentos e controlos internos da instituição, bem como quanto à conformidade de todas as atividades da instituição, incluindo as atividades prestadas por prestadores de serviços terceiros, com os requisitos legais e regulamentares. Sempre que aplicável, as autoridades competentes devem avaliar se a função de auditoria interna a nível do grupo é independente, dispõe de um plano de auditoria baseado no risco para todo o grupo, conta com recursos e prestígio adequados e beneficia de uma linha de reporte direta com o órgão de administração da instituição consolidante.