6.4. Avaliação do risco operacional

Ao avaliar o quadro de gestão do risco operacional, as autoridades competentes devem avaliar, entre outros aspetos, o cumprimento, por parte da instituição, dos atos jurídicos publicados separadamente no sítio Web da EBA, tal como referido no ponto 12.

As autoridades competentes devem avaliar o risco operacional em todos os segmentos de atividade e operações da instituição, tendo em conta as conclusões da avaliação dos elementos de governo interno e dos controlos a nível da instituição, prevista no título 5. Ao realizarem esta avaliação, as autoridades competentes devem determinar a forma como o risco operacional se pode materializar, tendo igualmente em conta o conjunto de dados relativos às perdas da instituição e os potenciais impactos de outros riscos conexos (por exemplo, o risco operacional na fronteira com o risco de crédito e com o risco de mercado).

As autoridades competentes devem avaliar a materialidade do risco operacional decorrente de prestadores de serviços terceiros, incluindo a concentração (ao nível da entidade e, quando relevante, ao nível do grupo) num ou mais serviços prestados por um único prestador de serviços terceiro (diretamente ou indiretamente através de cadeias de subcontratação) ou por um número limitado de prestadores de serviços terceiros que apoiam funções críticas ou importantes da instituição, e se tal poderá afetar a resiliência operacional, o desempenho e a gestão de riscos da instituição. Ao efetuarem essa avaliação, as autoridades competentes deverão ter em conta em que medida os mesmos prestadores de serviços terceiros são considerados fiáveis por outras instituições, caso essas informações lhes sejam disponibilizadas.

Ao avaliar o risco operacional, as autoridades competentes devem avaliar o risco relacionado com as tecnologias da informação e da comunicação (TIC), nos termos do Regulamento DORA, e o seu potencial impacto nas funções críticas ou importantes da instituição, incluindo qualquer potencial impacto financeiro, reputacional, regulamentar e estratégico para a instituição.

As autoridades competentes devem avaliar se a instituição dispõe de uma abordagem adequada em matéria de resiliência operacional que lhe permita resistir, adaptar-se e recuperar de perturbações quando estas ocorram, e se essa abordagem foi devida e coerentemente alinhada com o quadro de gestão de riscos existente, os planos de continuidade de atividades e a gestão de terceiros.

Ao avaliarem o risco operacional, as autoridades competentes devem verificar, se for caso disso, se as políticas e procedimentos da instituição identificam, avaliam e gerem de forma adequada os riscos operacionais decorrentes das atividades relacionadas com criptoativos e tecnologia subjacente.

As autoridades competentes devem avaliar o risco de reputação em conjunto com o risco operacional, uma vez que este está intrinsecamente associado a eventos de risco operacional. No entanto, o resultado da avaliação do risco reputacional não deve ser refletido na pontuação do risco operacional, mas, quando relevante, deve ser considerado no âmbito da BMA e/ou da avaliação do risco de liquidez, uma vez que os seus principais efeitos podem deteriorar a confiança dos investidores, dos depositantes ou dos participantes no mercado interbancário em relação à instituição.

As autoridades competentes devem avaliar o impacto dos riscos ASG nos riscos operacionais e reputacionais inerentes, bem como a adequação dos controlos dos riscos operacionais e dos riscos de reputação relacionados com os riscos ASG, dando prioridade aos riscos ambientais físicos e de transição. Em particular, as autoridades competentes devem ter em conta os riscos ambientais e os riscos de «greenwashing» ao realizarem a avaliação dos riscos jurídicos e de reputação.

6.4.2. Avaliação do risco operacional inerente

As autoridades competentes devem adquirir um conhecimento aprofundado das exposições ao risco operacional inerentes à instituição e avaliar a relevância do impacto prudencial desse risco para a instituição, bem como o impacto na sua capacidade de desempenhar funções críticas ou importantes em caso de perturbação.

Para apoiar esta avaliação, as autoridades competentes devem ter em conta o requisito de fundos próprios relativo ao risco operacional em comparação com o requisito total de fundos próprios e, se for caso disso, o capital interno afetado ao risco operacional pela instituição em comparação com o total do capital interno. Além disso, as autoridades competentes devem tirar partido dos conhecimentos adquiridos através da avaliação de outros elementos do SREP (em particular dos títulos 4 e 5), da comparação com entidades semelhantes, de quaisquer outras atividades de supervisão (incluindo os contributos das autoridades de supervisão ABC/CFT e das autoridades de vigilância do mercado) e de outras fontes de informação relevantes.

As autoridades competentes devem ter em conta, no mínimo, os principais fatores de risco operacional e os cenários potencialmente perturbadores e, sempre que relevante, analisá-los por segmento de atividade, entidade jurídica, área geográfica e categoria de tipo de evento (sujeito à disponibilidade de dados), bem como comparar a posição da instituição com a dos seus pares. Estes fatores devem abranger, no mínimo, a estratégia principal da instituição em matéria de risco operacional e a sua apetência pelo risco operacional, o ambiente empresarial (incluindo a presença geográfica, as operações de TIC e os canais de distribuição), acontecimentos empresariais significativos recentes (tais como fusões, aquisições, alienações e reestruturações), os sistemas de TIC e outros aspetos relacionados com as TIC, conforme previsto na secção 6.4.2.3, alterações nos processos, acordos com terceiros, questões de conformidade regulamentar, ambições empresariais e regimes de incentivos, bem como outros fatores-chave de risco operacional. Natureza e importância das exposições ao risco operacional

As autoridades competentes devem determinar a natureza das exposições ao risco operacional analisando as exposições aos principais fatores e fontes de risco operacional, a fim de formar uma perspetiva de futuro sobre potenciais riscos operacionais. Para esta análise, as autoridades competentes:

• a. podem ter em conta o modelo operacional, os segmentos de atividade, os produtos, os processos e as geografias relevantes para a instituição, a avaliação das dependências e das exposições ao risco operacional em relação aos fatores de risco primários (por exemplo, processos, pessoas, sistemas e fatores externos) e as interações dos fatores de risco, tirando partido da autoavaliação do risco da instituição, da análise entre pares, dos dados e das bases de dados públicas e/ou de consórcios, se disponíveis e relevantes;
• b. devem ter em conta a frequência e a gravidade dos eventos a que está exposta a instituição, e distinguir os eventos que causam perdas graves dos que ocorrem com frequência elevada. Com base nesta distinção, as autoridades competentes devem avaliar as tendências das perdas de risco operacional e a sua concentração; e
• c. devem utilizar as análises de cenários e ter em conta as operações comerciais planeadas e as análises prospetivas dos riscos operacionais realizadas pela instituição, se disponíveis, tendo em conta as medidas corretivas e as medidas de mitigação já aplicadas e eficazes.

Após a identificação e análise das principais fontes e fatores determinantes do risco operacional, as autoridades competentes devem centrar-se naqueles que têm maior impacto potencial para a instituição.

Uma das principais fontes de informação que as autoridades competentes devem ter em conta é o conjunto de dados relativos a perdas e eventos da instituição, uma vez que pode fornecer informações valiosas sobre a evolução do perfil de risco operacional da instituição. As autoridades competentes devem avaliar periodicamente a exaustividade, a exatidão e a qualidade dos dados relativos às perdas. Outra fonte de informação deve ser os registos da instituição de todos os incidentes relacionados com as TIC e das ciberameaças significativas (em conformidade com o artigo 17.º, n.º 2, do Regulamento DORA) e as fontes identificadas de risco associado às TIC (em conformidade com o artigo 8.º, n.º 2, do Regulamento DORA).

Avaliação das subcategorias do risco operacional

As autoridades competentes devem centrar a avaliação das subcategorias de risco operacional naquelas que são consideradas significativas para a instituição. As autoridades competentes devem também aplicar o seu juízo especializado ( expert judgment ) para identificar subcategorias significativas, com base em todas as fontes de informação internas e externas disponíveis. Ao realizarem a avaliação, as autoridades competentes devem prestar sempre atenção aos seguintes aspetos do risco operacional³² :

• a. risco jurídico;
• b. risco do modelo;
• c. risco de TIC.

6.4.2.1. Risco jurídico

³² Consulte o Anexo III para obter uma lista não exaustiva das subcategorias de risco operacional.

Ao avaliarem a relevância e a importância das exposições da instituição ao risco jurídico, as autoridades competentes devem ter em conta o seguinte:

• a. a venda abusiva de produtos ou serviços;
• b. os conflitos de interesses na condução da atividade;
• c. a manipulação de valores de referência de taxas de juros, taxas cambiais ou outros instrumentos ou índices financeiros;
• d. os obstáculos à troca de produtos financeiros durante o seu período de vigência e/ou à troca de prestadores de serviços financeiros;
• e. as renovações automáticas de produtos ou penalizações de saída; e/ou
• f. o tratamento de reclamações de clientes;
• g. a violação de normas e regulamentos nacionais e internacionais (normas fiscais, fraude interna ou furto interno, normas de combate ao branqueamento de capitais, normas de combate ao terrorismo e sanções económicas);
• h. os riscos de litígio relacionados com questões ASG, em particular no que diz respeito ao ambiente e ao «greenwashing».

As autoridades competentes devem considerar a possibilidade de a instituição incorrer em quaisquer despesas, multas, sanções ou indemnizações punitivas resultantes de processos judiciais, bem como o número e o teor das reclamações. Os resultados da avaliação do título 4 devem também ser aproveitados, a par de uma análise minuciosa das políticas de incentivos, para obter uma visão aprofundada das fontes de possíveis condutas indevidas. Neste contexto, as autoridades competentes devem também avaliar se a instituição dispõe de sistemas e processos adequados e eficazes para aplicar e cumprir as medidas restritivas (por exemplo, sanções), incluindo a avaliação do cumprimento, por parte da instituição, das Orientações da EBA sobre políticas, procedimentos e controlos internos³³ .

³³ Orientações da EBA sobre políticas, procedimentos e controlos internos para garantir a aplicação das medidas restritivas da União e nacionais (EBA/GL/2024/14)

Todavia, as autoridades competentes devem aplicar um método prospetivo, tendo igualmente em conta o possível impacto dos desenvolvimentos na regulamentação e da atividade das autoridades responsáveis na proteção do consumidor e na prestação de serviços financeiros de um modo geral.

6.4.2.2. Risco de modelo

No âmbito do risco operacional, as autoridades competentes devem avaliar o risco de modelo, no que respeita especificamente aos modelos internos não regulamentares (por exemplo, modelos de IA, fixação de preços dos produtos, determinação e monitorização dos limites em matéria de risco, modelos ICAAP/ILAAP, opções de recuperação).

Para a avaliação do risco de modelo, as autoridades competentes devem ter em conta:

• a. até que ponto e com que finalidade a instituição utiliza modelos para tomar decisões e a importância dessas decisões para a atividade. As autoridades competentes devem determinar a atividade para a qual a instituição faz uma utilização significativa dos modelos e avaliar o potencial impacto do risco do modelo, nomeadamente através de análises de sensibilidade e de cenários ou de testes de esforço; e
• b. a solidez dos mecanismos de controlo (em termos de métodos, frequência, acompanhamento, etc.), incluindo um processo de aprovação de modelos, as revisões regulares realizadas e o nível de sensibilização da instituição relativamente a deficiências dos modelos ou a evoluções do mercado e da atividade empresarial.

Quando os modelos são utilizados para fins de tomada de decisão (por exemplo, fixação de preços de produtos, modelos de IA, avaliação de instrumentos financeiros, definição do perfil dos clientes), as autoridades competentes devem avaliar se existe um processo de validação interna e/ou um processo de revisão de modelos adequado para identificar e mitigar o risco de modelo (para além dos modelos regulamentares).

Ao realizarem a avaliação do risco do modelo, as autoridades competentes devem considerar a avaliação de outros riscos para o capital e de riscos para a liquidez e para o financiamento, em especial no que se refere à adequação das metodologias utilizadas na medição dos riscos, na fixação dos preços e na avaliação de ativos e/ou passivos. Os resultados da avaliação devem informar as conclusões sobre o risco operacional.

6.4.2.3. Risco das TIC - Avaliação do risco inerente às TIC

Identificação de riscos significativos das TIC

Em conformidade com o Regulamento DORA, as autoridades competentes devem analisar a identificação, classificação e documentação que a instituição possui de todas as funções, papéis e responsabilidades empresariais suportados pelas TIC, bem como os ativos de informação³⁴ e os ativos de TIC³⁵ que apoiam essas funções, e ainda os seus papéis e dependências em relação ao risco das TIC. Esta análise deve permitir às autoridades competentes desenvolver uma compreensão aprofundada das exposições inerentes da instituição ao risco das TIC (perfil de risco das TIC), identificar os seus riscos inerentes materiais em matéria de TIC e formar uma opinião sobre o respetivo impacto prudencial. Para o efeito, as autoridades competentes devem ter em conta, pelo menos, os seguintes aspetos, sempre que tal seja pertinente e aplicável:

• a. o relatório sobre a revisão do quadro de gestão do risco associado às TIC (nos termos do artigo 6.º, n.º 5, do Regulamento DORA);
• b. as fontes de risco das TIC, em especial a exposição ao risco em relação a outras entidades financeiras e proveniente destas, identificadas pela instituição nos termos do artigo 8.º, n.º 2, do Regulamento DORA;
• c. os incidentes de caráter severo relacionados com as TIC comunicados (nos termos do artigo 19.º, n.º 1, do Regulamento DORA), incluindo a estimativa dos custos e perdas anuais agregados causados por incidentes de caráter severo relacionados com as TIC (nos termos do artigo 11.º, n.º 10, do Regulamento DORA);
• d. os resultados dos testes previstos no programa de testes de resiliência operacional digital (nos termos do artigo 24.º do Regulamento DORA), incluindo um resumo dos resultados dos testes de penetração baseados em ameaças (TLPT) e dos planos corretivos conexos (nos termos do artigo 26.º, n.º 6, do Regulamento DORA);
• e. o registo de informações (nos termos do artigo 28.º, n.º 3, do Regulamento DORA), incluindo o grau de concentração em terceiros prestadores de serviços de TIC, incluindo os prestadores intragrupo de TIC, por tipo de serviços de TIC e/ou sistemas de TIC;
• f. as recomendações e pareceres das autoridades fiscalizadoras principais (nos termos do artigo 40.º, n.º 3, e do artigo 42.º, n.º 7, do Regulamento DORA) e respostas, relatórios e informações conexos de terceiros prestadores de serviços de TIC críticos (nos termos do artigo 35.º, n.º 1, alínea c), do artigo 42.º, n.º 1, e do artigo 48.º, n.º 2, do Regulamento DORA);
• g. o nível de complexidade dos sistemas TIC e os resultados da avaliação do risco associado às TIC nos sistemas de TIC obsoletos(nos termos do artigo 8.º, n.º 7, do Regulamento DORA);
• h. a avaliação do risco aquando de qualquer alteração substancial (nos termos do artigo 8.º, n.º 3, do Regulamento DORA);
• i. o nível de adoção e integração de soluções de TIC inovadoras;
• j. as localizações, nomeadamente as regiões ou países, dos centros de dados e das áreas consideradas sensíveis, incluindo os locais onde são prestados serviços contratuais de TIC por terceiros prestadores de serviços de TIC, abrangendo igualmente o tratamento e o local de armazenamento de dados;
• k. quaisquer deficiências ou pontos fracos relevantes identificados ao abrigo do título 5;
• l. as autoavaliações de controlos e riscos associados às TIC (se forem fornecidas nas avaliações do ICAAP);
• m. as informações de gestão relacionadas com os riscos associados às TIC apresentadas ao órgão de administração da instituição;
• n. as conclusões de auditorias internas e externas relacionadas com as TIC;
• o. o cenário de ameaças externas, incluindo informações sobre ameaças e vulnerabilidades. Análise dos sistemas e serviços de TIC

³⁴ Artigo 3.º, n.º 6, do Regulamento (UE) 2022/2554

³⁵ Artigo 3.º, n.º 7, do Regulamento (UE) 2022/2554

As autoridades competentes devem analisar a documentação, a metodologia e os processos pertinentes da instituição e formar um parecer sobre se a instituição identificou adequadamente os sistemas e serviços de TIC que apoiam funções essenciais ou importantes. Para o efeito, as autoridades competentes devem ter em conta:

• a. os sistemas de TIC que apoiam funções operacionais críticas ou importantes, bem como os ativos de informação e os ativos de TIC críticos identificados pela instituição (em conformidade com o artigo 8.º do Regulamento DORA);
• b. os processos essenciais que dependem de terceiros prestadores de serviços de TIC, incluindo interconexões com os terceiros prestadores de serviços de TIC que prestam serviços de apoio a funções críticas ou importantes, identificados pela instituição (nos termos do artigo 8.º, n.º 5, do Regulamento DORA).

Identificação e mapeamento dos riscos significativos para os sistemas e serviços de TIC que suportam funções críticas ou importantes

As autoridades competentes devem, em seguida, mapear o risco concreto em matéria de TIC identificado nas categorias de risco em matéria de TIC estabelecidas no Anexo III. Espera-se que as instituições mantenham as suas próprias categorizações e não que utilizem a categorização indicada no anexo. 6.4.3. Avaliação dos controlos e da gestão dos riscos operacionais

As autoridades competentes devem avaliar o quadro e os mecanismos de que a instituição dispõe para gerir e controlar o risco operacional, tendo em conta o resultado da análise do quadro global de gestão dos riscos e de controlo interno referido no título 5, uma vez que tal influenciará as exposições da instituição ao risco operacional. No que diz respeito ao risco de BC/FT, a autoridade competente deve ter em conta a avaliação fornecida pela autoridade de supervisão ABC/CFT.

Estratégia de risco operacional e apetência pelo mesmo

As autoridades competentes devem avaliar se a instituição dispõe de uma estratégia de risco operacional sólida, claramente formulada e documentada, bem como de um nível de apetência pelo risco aprovado pelo órgão de administração, que defina a natureza, os tipos e os níveis de risco operacional que a instituição está disposta a assumir. Para esta avaliação, entre outros fatores, as autoridades competentes devem ter em conta o papel do órgão de administração na definição, aprovação, implementação e revisão da estratégia e da apetência pelo risco operacional (incluindo a apetência pelo risco das TIC e a estratégia de resiliência operacional digital), bem como a suficiência da cobertura e a adequação da estratégia em relação à natureza e à materialidade do perfil de risco operacional da instituição.

Quadro organizacional e de controlo interno

As autoridades competentes devem avaliar a conformidade da instituição com o artigo 323.º do Regulamento (UE) n.º 575/2013. Nesta avaliação, as autoridades competentes devem avaliar a solidez e a eficácia do quadro organizacional e dos mecanismos de governação, de modo a permitir uma gestão, medição e controlo eficazes do risco operacional, com recursos humanos e técnicos suficientes para realizar as tarefas necessárias. As autoridades competentes devem verificar se existem linhas de responsabilidade claras para a identificação, avaliação, mitigação, monitorização e comunicação do risco operacional, bem como para o cumprimento do modelo das três linhas de defesa.

As autoridades competentes devem avaliar se a instituição dispõe de um quadro de controlo sólido e de salvaguardas adequadas para mitigar o seu risco operacional, incluindo políticas e procedimentos adequados, que abranjam também o risco residual, e se estes são coerentes com a apetência e a estratégia de gestão do risco operacional da instituição e abrangem todas as operações e processos essenciais. Tal inclui, entre outros aspetos, a avaliação da forma como estas políticas e procedimentos são claramente formalizados, comunicados e aplicados de forma coerente em toda a instituição.

As autoridades competentes devem também avaliar a operacionalidade da função de auditoria interna em termos de adequação, âmbito e frequência das auditorias internas relativas ao quadro de gestão do risco operacional. Continuidade, resposta e recuperação das atividades

As autoridades competentes devem avaliar a conformidade da instituição com i) as Orientações da EBA sobre governo interno em relação à gestão global da continuidade da atividade e com ii) o Regulamento DORA em relação à política de continuidade das atividades no domínio das TIC ou aos planos de resposta e recuperação em matéria de TIC. Neste contexto, as autoridades competentes devem determinar se a política de continuidade das atividades no domínio das TIC e os planos de resposta e recuperação em matéria de TIC fazem parte integrante da política global de continuidade das atividades e do plano de resposta e recuperação da instituição.

As autoridades competentes devem avaliar se a instituição estabeleceu uma gestão eficaz da continuidade das atividades, com planos testados de continuidade das atividades, resposta e recuperação que abranjam, pelo menos, as suas funções críticas ou importantes (incluindo as que são subcontratadas a terceiros prestadores de serviços) e se esses planos têm em conta uma série de cenários graves, mas plausíveis, aos quais a instituição possa estar vulnerável. As autoridades competentes devem também avaliar se a política de continuidade das atividade da instituição permite a adoção de medidas adequadas de resposta e recuperação face a qualquer tipo de incidente.

As autoridades competentes devem determinar se a gestão da continuidade das atividades da instituição inclui:

• a. uma análise do impacto na atividade (BIA);
• b. estratégias de recuperação adequadas, que englobem dependências internas e externas, bem como prioridades de recuperação e níveis de resiliência claramente definidos;
• c. planos abrangentes e flexíveis para lidar com cenários de perturbação plausíveis, definidos com base na BIA e em coordenação com as partes interessadas internas e externas;
• d. planos que estabelecem estratégias de contingência e procedimentos de resposta e recuperação;
• e. testes eficazes da conceção e da eficácia operacional dos planos;
• f. programas de consciencialização e de formação sobre os processos de gestão da continuidade da atividade (BCM);
• g. planos de comunicação para informar a gestão e todas as partes interessadas pertinentes, bem como documentação relativa à gestão de crises, medidas e uma função de gestão de crises, se for caso disso (nos termos do artigo 11.º, n.º 7, do Regulamento DORA).

As autoridades competentes devem avaliar se os planos de continuidade das atividades, de resposta e de recuperação da instituição:

• a. estabelecem funções e responsabilidades, incluindo orientações claras sobre potenciais sucessões, e definem o processo de tomada de decisão interno, juntamente com a definição dos fatores desencadeadores da ativação;
• b. são revistos para assegurar que as estratégias de contingência se mantêm coerentes com as operações, os riscos e as ameaças atuais, bem como com os níveis de resiliência e os objetivos e prioridades de recuperação;
• c. dão prioridade às medidas de continuidade das atividades, utilizando uma abordagem baseada no risco;
• d. são testados regularmente para garantir que os objetivos e prazos de recuperação possam ser cumpridos; e
• e. incluem o teste dos serviços prestados por terceiros prestadores de serviços, quando aplicável.

As autoridades competentes devem igualmente avaliar se os resultados dos testes são documentados e comunicados ao órgão de administração.

Avaliação do quadro de gestão de riscos das TIC

As autoridades competentes devem avaliar a conformidade da instituição com o Regulamento DORA e as Orientações da EBA sobre governo interno em relação ao governo interno e à organização da gestão do risco associado às TIC. As autoridades competentes devem formar uma opinião sobre se o órgão de administração da instituição é globalmente responsável pela gestão do risco associado às TIC e define, aprova e fiscaliza adequadamente a aplicação de todos os mecanismos relacionados com as TIC. As autoridades competentes devem considerar se os membros do órgão de administração possuem conhecimentos e competências suficientes para compreender e avaliar o risco associado às TIC e o seu impacto nas operações da instituição.

As autoridades competentes devem avaliar de que forma as funções e responsabilidades relativas a todas as áreas relacionadas com as TIC, bem como os mecanismos de governação estabelecidos, estão incorporados e integrados no quadro de controlo e governo interno da instituição, com vista à gestão do risco associado às TIC. Para o efeito, as autoridades competentes devem analisar se a instituição atribuiu efetivamente a responsabilidade pela gestão e supervisão do risco em matéria de TIC a uma função de controlo independente que tenha acesso direto e possa reportar diretamente ao órgão de administração no âmbito da sua função de fiscalização, e avaliar se a instituição:

• a. possui uma comunicação, atribuição e integração claras de papéis e responsabilidades em todas as funções relacionadas com as TIC, incluindo as funções operacionais apoiadas pelas TIC e os processos;
• b. dispõe de orçamento suficiente e adequado para suprir as necessidades de resiliência operacional digital a respeito de todos os tipos de recursos, incluindo programas de sensibilização, formação e competências no domínio das TIC relevantes para todos os membros do pessoal (nos termos do artigo 5.º, n.º 2, alínea g), do Regulamento DORA);
• c. acompanha e comunica adequadamente ao órgão de administração os resultados críticos da auditoria TIC e as conclusões comunicadas nos termos do artigo 13.º, n.º 5, do Regulamento DORA.

As autoridades competentes devem adquirir um conhecimento aprofundado do quadro de gestão de riscos de TIC da instituição e avaliar se esta dispõe de estratégias, políticas, procedimentos, protocolos e ferramentas de TIC suficientes e adequados — incluindo níveis de tolerância — para gerir de forma eficaz, eficiente e abrangente os riscos de TIC significativos, em conformidade com o Regulamento DORA. Para o efeito, as autoridades competentes devem ter em conta, sempre que aplicável:

• a. a adequação e a eficácia das políticas³⁶ , processos e procedimentos de gestão de riscos de TIC da instituição, abrangendo, nomeadamente, a gestão de terceiros no domínio das TIC, a deteção e resposta a incidentes relacionados com as TIC, a gestão de ativos de TIC, a encriptação e a criptografia, a segurança das operações de TIC, a segurança da rede, o controlo de acesso, e se estes foram aprovados pelo órgão de administração e comunicados a todas as partes interessadas relevantes (nos termos do artigo 14.º do Regulamento DORA);
• b. a adequação do nível de tolerância da instituição ao risco associado às TIC e a tolerância ao impacto de eventuais perturbações nas TIC (em conformidade com o artigo 6.º, n.º 8, alínea b), do Regulamento DORA);
• c. a adequação e implementação da estratégia de resiliência operacional digital da instituição, incluindo o seu alinhamento com a estratégia empresarial;
• d. a coerência da estratégia em matéria de risco associado às TIC devido a terceiros, tendo em conta a estratégia com múltiplos fornecedores, quando disponível, com a estratégia empresarial global e o quadro de gestão de riscos das TIC;
• e. o risco residual decorrente dos riscos identificados da instituição no que diz respeito às disposições contratuais relativas à utilização de serviços de TIC que apoiam funções essenciais ou importantes;
• f. o risco residual decorrente dos riscos identificados da instituição em projetos de TIC que tenham impacto em funções críticas ou importantes, comunicados ao órgão de administração, bem como nas aquisições, no desenvolvimento e na manutenção de sistemas de TIC e nas alterações às TIC;
• g. a solidez e a abrangência do programa de testes de resiliência operacional digital;
• h. a tendência e a magnitude dos resultados e incidentes de caráter severo relacionados com as TIC comunicados ao órgão de administração nos termos do artigo 17.º, n.º 3, alínea e), e do artigo 13.º, n.º 5, do Regulamento DORA;
• i. os controlos de riscos das TIC específicos para o risco significativo das TIC identificado;
• j. a comunicação atempada de informações sobre a gestão dos riscos de TIC ao órgão de administração e à direção de topo;
• k. a cobertura e os resultados das auditorias internas.

³⁶ De acordo com o Regulamento DORA, estas devem incluir, no mínimo, a política de segurança da informação, as políticas de cópias de segurança, a política de gestão de ativos de TIC, a política de encriptação e controlos criptográficos, a política de gestão de chaves criptográficas, a política de gestão de projetos de TIC, a política de aquisição, desenvolvimento e manutenção de sistemas de TIC, a política de recursos humanos, a política de segurança física e ambiental, a política de gestão de incidentes relacionados com as TIC e a política relativa à utilização de serviços de TIC que suportam funções críticas ou importantes, prestados por terceiros prestadores de serviços de TIC.

Ao avaliarem a gestão dos riscos associados às TIC, as autoridades competentes devem prestar especial atenção à gestão dos riscos associados a terceiros prestadores de serviços de TIC, incluindo o nível de concentração da instituição em terceiros prestadores de serviços de TIC. Para o efeito, as autoridades competentes devem assegurar uma estreita cooperação com as entidades fiscalizadoras principais de terceiros prestadores de serviços de TIC críticos (CTPP), em conformidade com as Orientações Conjuntas das AES³⁷ , caso a instituição em avaliação receba serviços de TIC de um CTPP. As autoridades competentes deverão também analisar a eficácia da função específica criada pela instituição, ou do membro designado da direção de topo, no acompanhamento dos acordos com terceiros prestadores de serviços de TIC.

³⁷ Orientações conjuntas das AES relativas à cooperação e ao intercâmbio de informações em matéria de superintendência entre as AES e as autoridades competentes nos termos do Regulamento (UE) 2022/2554 (JC/2024/36).

As autoridades competentes devem considerar se a função de auditoria interna é eficaz e possui conhecimentos, competências e experiência suficientes para auditar o quadro de gestão de riscos das TIC da instituição, analisando se:

• a. o quadro de gestão de riscos das TIC é auditado com a qualidade, a exaustividade e a frequência exigidas e é proporcional ao perfil de risco das TIC da instituição;
• b. o plano de auditoria inclui auditorias aos riscos significativos em matéria de TIC identificados pela instituição, incluindo análises independentes dos planos de resposta e recuperação em matéria de TIC;
• c. os resultados críticos da auditoria às TIC são verificados e corrigidos em tempo útil, incluindo a comunicação de informações ao órgão de administração;
• d. os resultados da auditoria às TIC, incluindo as ações acordadas, são periodicamente acompanhados e os relatórios de progresso analisados pela direção de topo e/ou pelo comité de auditoria.

6.4.4. Avaliação do risco de reputação

As autoridades competentes devem avaliar o risco de reputação a que a instituição está exposta, tirando partido dos conhecimentos adquiridos nos Títulos 4 a 6.2. A avaliação deve também centrar-se no quadro global do risco de reputação, garantindo a capacidade da instituição para gerir quaisquer eventos relativos à reputação. Para esta avaliação, as autoridades competentes devem evitar a dupla contabilização de aspetos já considerados no âmbito da avaliação do risco jurídico (secção 6.4.2.1).

Ao avaliar a relevância do risco de reputação, as autoridades competentes devem ter em conta a dimensão da instituição, bem como a natureza, a escala e a complexidade dos seus serviços, atividades e operações (por exemplo, títulos de capital cotados ou dívidas, ou a participação nos mercados interbancários).

As autoridades competentes devem ter em consideração os fatores e eventos internos e externos que possam dar origem a preocupações relativas à reputação da instituição, excluindo eventos que resultem em processos jurídicos. Em relação às instituições das categorias 1 e 2, as autoridades competentes devem considerar todos os seguintes indicadores na sua avaliação:

• a. a cobertura negativa nos meios de comunicação social e nas redes sociais, bem como iniciativas de associações de consumidores que possam prejudicar a perceção pública e a reputação da instituição;
• b. o número e a evolução das reclamações dos clientes ou a perda repentina de clientes ou investidores;
• c. os acontecimentos negativos relacionados com instituições homólogas da instituição que
• o público possa associar ao conjunto do setor financeiro ou a um grupo de instituições;
• d. a reputação das pessoas envolvidas na gestão da instituição ou que detenham participações qualificadas;
• e. o envolvimento ou atuação em setores ou jurisdições altamente expostos a BC/FT, ou com indivíduos associados a um risco elevado do ponto de vista do BC/FT;
• f. o envolvimento ou operação em setores ou jurisdições e/ou com contrapartes altamente expostas a questões relevantes ou controvérsias públicas relacionadas com fatores ASG, incluindo, entre outros, fatores ambientais;
• g. o impacto reputacional de incidentes relacionados com as TIC, tal como registados pela instituição, em conformidade com o Regulamento Delegado (UE) 2024/1772 da Comissão³⁸ ;
• h. Outros indicadores de «mercado», caso disponíveis (designadamente, revisões em baixa da notação de crédito ou alterações no preço das ações ao longo do ano).

³⁸ Regulamento Delegado (UE) 2024/1772 da Comissão, de 13 de março de 2024, que complementa o Regulamento (UE) 2022/2554 do Parlamento Europeu e do Conselho no que respeita às normas técnicas de regulamentação que especificam os critérios de classificação dos incidentes relacionados com as TIC e das ciberameaças, estabelecem limiares de materialidade e especificam os pormenores das notificações dos incidentes de caráter severo, C/2024/1519 (JO L 2024/1772, de 25.6.2024, ELI: http://data.europa.eu/eli/reg_del/2024/1772/oj).

As autoridades competentes devem avaliar a relevância da exposição da instituição ao risco de reputação e a sua interligação com os outros riscos, recorrendo às avaliações de risco pertinentes (incluindo as de outras autoridades de fiscalização) para identificar quaisquer possíveis efeitos secundários em qualquer dos sentidos.

No contexto da análise do risco operacional, as autoridades competentes devem ter em conta a relevância e a importância das exposições da instituição ao risco de BC/FT numa perspetiva prudencial no âmbito do risco operacional. A este respeito, as autoridades competentes devem utilizar os dados pertinentes recebidos das autoridades de supervisão ABC/CFT para complementar as suas conclusões da supervisão contínua e avaliar se estas suscitam preocupações prudenciais relativas ao risco de BC/FT.

As autoridades competentes devem ter em conta que qualquer instituição pode estar exposta ao risco de BC/FT, independentemente da sua dimensão ou solidez financeira. Por conseguinte, também deve ser dada atenção adequada às instituições consideradas financeiramente sólidas e que têm uma boa reputação, uma vez que essas instituições podem ser especificamente visadas para fins de BC/FT. Deve também ser prestada atenção às instituições que são muito bem-sucedidas na atração de novos clientes ou na expansão da sua quota de mercado — em especial através da utilização de canais de distribuição não tradicionais — uma vez que tal poderá estar a associado a controlos insuficientes do dever de diligência quanto à clientela na fase de angariação.

As autoridades competentes devem partilhar com as autoridades de supervisão ABC/CFT as informações pertinentes sobre as questões de risco operacional identificadas que possam dar origem a riscos de BC/FT, a riscos de incumprimento e de evasão a sanções financeiras específicas e a preocupações tais como deficiências no sistema de TIC ou no quadro de controlo interno das instituições.

As autoridades competentes devem avaliar se a instituição implementou disposições, estratégias, processos e mecanismos adequados para gerir o risco de reputação. Em especial, as autoridades competentes devem ter em conta se:

• a. a instituição adotou formalmente políticas e procedimentos para a identificação, gestão e monitorização deste risco, incluindo um sólido código de conduta, e se estas políticas e estes procedimentos são proporcionais à sua dimensão e à sua importância no sistema;
• b. a instituição aborda este risco de forma preventiva, nomeadamente através da implementação de indicadores e ferramentas de monitorização adequados, da inclusão de potenciais problemas de reputação nos planos de contingência, da realização de sessões de formação e sensibilização relevantes e da aplicação das lições aprendidas;
• c. a instituição efetua testes de esforço ou análises de cenários para avaliar eventuais efeitos secundários do risco de reputação (por exemplo, liquidez e custos de financiamento, operações de titularização, acesso a serviços de banca de correspondência);
• d. a instituição toma medidas para proteger a sua marca através de ferramentas de monitorização dos meios de comunicação social e das redes sociais, de protocolos para lidar com a desinformação e a publicidade negativa, bem como de campanhas de comunicação imediatas;
• e. a instituição tem em consideração o potencial impacto da sua estratégia, dos seus planos de atividade e, de um modo geral, do seu comportamento, na reputação.

6.4.5. Resiliência operacional

As autoridades competentes devem formar uma visão holística sobre a capacidade da instituição para desempenhar funções críticas ou importantes em situações de perturbação (nível de resiliência operacional), um resultado que beneficia de uma gestão eficaz do risco operacional, tendo em conta a dimensão da instituição, o seu modelo de negócio e o seu perfil de risco global. Para o efeito, as autoridades competentes devem basear-se nas suas avaliações existentes sobre a gestão do risco operacional, a continuidade das atividades, as capacidades de gestão da mudança, os serviços prestados por terceiros e as TIC de que a instituição depende, a fim de avaliar de forma holística se estes elementos, no seu conjunto, contribuem para a resiliência operacional da instituição. As autoridades competentes devem igualmente considerar se a instituição aplica o seu quadro de gestão dos riscos, os planos de continuidade das atividades, a gestão por terceiros (já avaliada no contexto do Regulamento DORA e das Orientações da EBA emitidas nos termos do artigo 74.º, n.º 3, da Diretiva 2013/36/UE relativamente aos sistemas, processos e mecanismos de governo interno) e os quadros de recuperação e resolução de forma coerente e coordenada. Além disso, as autoridades competentes devem avaliar se a instituição identificou de forma adequada as interligações e interdependências internas e externas necessárias ao desempenho das suas funções críticas ou importantes.

As autoridades competentes devem ter em conta a atenção prestada pelo órgão de administração e pela direção de topo à capacidade da instituição para responder a perturbações e recuperar-se delas, partindo do pressuposto de que ocorrerão falhas. Para o efeito, as autoridades competentes devem ponderar se:

• a. o órgão de administração desempenha um papel ativo na promoção de uma compreensão abrangente da abordagem de resiliência operacional em toda a instituição e no acompanhamento da eficácia dessa abordagem;
• b. são apresentados relatórios atempados sobre a resiliência operacional contínua da instituição, a fim de apoiar a função de fiscalização do órgão de administração, nomeadamente quando sejam identificadas deficiências graves que possam afetar o desempenho das funções críticas ou importantes da instituição.

6.4.6. Resumo das conclusões, da notação e das medidas de supervisão

Na sequência da avaliação supracitada, as autoridades competentes devem formar uma opinião sobre o risco operacional da instituição. A opinião deve estar refletida numa síntese das conclusões e ser acompanhada por uma notação do risco calculada com base nas considerações especificadas no quadro 10. Se, tendo em conta a importância de certas subcategorias de risco, as autoridades competentes decidirem avaliá-las e atribuir-lhes uma notação individual, as orientações fornecidas neste quadro devem ser aplicadas, na medida do possível, por analogia.

Quadro 10. Considerações de supervisão relativas à atribuição de uma notação do risco operacional Notação Opinião do Considerações relativas ao risco Considerações relativas à gestão e do risco supervisor inerente aos controlos adequados

O quadro seguinte apresenta uma lista não exaustiva de medidas de supervisão que as autoridades competentes podem tomar em caso de identificação de deficiências no quadro de gestão dos riscos operacionais e na resiliência operacional da instituição (tendo em conta a estreita interligação entre a resiliência operacional e a gestão dos riscos operacionais). As autoridades competentes devem decidir sobre o tipo de medida com base na sua eficácia face à deficiência específica identificada. As autoridades competentes podem aplicar medidas de supervisão adicionais (incluindo medidas quantitativas, em conformidade com o artigo 104.º, n.º 1, alínea a), da Diretiva 2013/36/UE) ou uma combinação destas com as medidas enumeradas no quadro seguinte, se estas forem consideradas mais adequadas para corrigir as deficiências identificadas. Em caso de violação do Regulamento DORA, as autoridades competentes devem considerar as medidas corretivas aplicáveis previstas no artigo 50.º do referido regulamento. Quadro 11. Lista potencial e não exaustiva de medidas de supervisão decorrentes da avaliação do risco operacional e da resiliência operacional Potenciais medidas de supervisão a adotar pelas autoridades competentes, em conformidade com o artigo 104.º, n.º 1, alíneas b), d), e), f), j), l), m) e n), da Diretiva 2013/36/UE e com o artigo 50.º do Regulamento (UE) 2022/2554 – As autoridades competentes podem exigir que a instituição: A. envolva mais ativamente o órgão de administração ou os seus comités na tomada de decisões relativas à gestão dos riscos operacionais; B. melhore os sistemas de medição do risco operacional; C. reforce os controlos dos processos operacionais, incluindo a identificação, a monitorização, a resposta e a recuperação; D. melhore o quadro de governação operacional; E. melhore a comunicação de informações sobre os riscos operacionais ao órgão de administração e à direção de topo; F. desenvolva e aplique planos de ação corretivos para corrigir as deficiências; G. limite determinados acordos com terceiros, em especial no que diz respeito a funções críticas ou importantes; H. reforce os testes de esforço e a análise de cenários do risco operacional; I. implemente medidas operacionais mais rigorosas; J. reforce os planos de continuidade das atividades, de resposta e de recuperação; K. melhore a gestão dos riscos operacionais relacionados com os riscos ASG, em especial os riscos ambientais, potencialmente com base numa ou várias das ações acima enumeradas.