5.7. Sistemas de TIC, agregação de dados sobre riscos e comunicação de riscos

As autoridades competentes devem avaliar se os sistemas de TIC da instituição são fiáveis, resilientes e adequados para medir, avaliar e comunicar a dimensão, a composição e a qualidade das exposições em todos os tipos de risco, produtos e contrapartes da instituição, bem como para apoiar plenamente as capacidades de agregação de dados de risco, tanto em condições normais como em situações de esforço.

As autoridades competentes devem verificar se a instituição desenvolve e mantém capacidades adequadas de agregação de dados de risco e de comunicação de riscos proporcionais ao seu perfil de risco e à sua importância sistémica. Ao analisar as capacidades da instituição em matéria de agregação e comunicação de dados de risco, as autoridades competentes devem ter em conta os princípios BCBS 239 para uma agregação e comunicação eficazes de dados de risco²⁵ , no que diz respeito às instituições supervisionadas que se enquadram no âmbito de aplicação desses princípios. Em particular, as autoridades competentes devem avaliar se a instituição está apta a gerar dados e relatórios de risco precisos, coerentes, completos e fiáveis para toda a instituição, abrangendo todos os riscos significativos e refletindo adequadamente o perfil de risco da instituição e as suas necessidades de capital e liquidez, bem como se esses dados e relatórios podem ser agregados e disponibilizados de forma atempada e flexível ao órgão de administração e à direção. Se aplicável, as autoridades competentes devem avaliar se a instituição criou, a nível de todo o grupo, um sistema eficaz de informação e de comunicação ao órgão de administração e fiscalização, aplicável a todos os segmentos de atividade e entidades jurídicas importantes, e se o órgão de administração e fiscalização da empresa-mãe consegue aceder-lhe em tempo oportuno.

²⁵ Basel Committee on Banking Supervision, Principles for effective risk data aggregation and risk reporting (Princípios para a eficaz agregação de dados de risco e relatórios de risco) (BCBS 239).

As autoridades competentes devem determinar se o órgão de administração da instituição aprova o quadro de agregação de dados de risco e de comunicação de riscos da instituição e supervisiona a sua implementação eficaz, incluindo a afetação de recursos adequados para apoiar esses esforços. As autoridades competentes devem também avaliar se as capacidades de agregação de dados de risco e as práticas de comunicação de riscos da instituição são validadas de forma independente, em conformidade com o quadro de controlo interno da instituição.