+243. Na sequência da avaliação supracitada, as autoridades competentes devem formar uma opinião …

243. Na sequência da avaliação supracitada, as autoridades competentes devem formar uma opinião …

Na sequência da avaliação supracitada, as autoridades competentes devem formar uma opinião sobre o risco operacional da instituição. A opinião deve estar refletida numa síntese das conclusões e ser acompanhada por uma notação do risco calculada com base nas considerações especificadas no quadro 10. Se, tendo em conta a importância de certas subcategorias de risco, as autoridades competentes decidirem avaliá-las e atribuir-lhes uma notação individual, as orientações fornecidas neste quadro devem ser aplicadas, na medida do possível, por analogia.

Quadro 10. Considerações de supervisão relativas à atribuição de uma notação do risco operacional Notação Opinião do Considerações relativas ao risco Considerações relativas à gestão e do risco supervisor inerente aos controlos adequados

Existe um baixo risco de impacto 1 prudencial significativo na instituição,	 	As exposições aos riscos  Existe coerência entre, por um operacionais estão limitadas a lado, a estratégia e a política algumas categorias com um dos riscos operacionais da impacto de frequência elevada instituição e, por outro, a sua e gravidade reduzida. estratégia global e apetência A importância da exposição ao pelo risco. risco operacional não é  O quadro organizacional
Notação Opinião do do risco supervisor tendo em conta o nível de risco inerente, a gestão e os controlos.	Considerações     	relativas ao risco Considerações relativas à gestão e inerente aos controlos adequados significativa ou é muito baixa, relativo ao risco operacional é conforme demonstrado pela robusto, com responsabilidades análise de cenários e em claramente definidas e uma comparação com as perdas dos separação nítida de tarefas pares. entre os responsáveis pela O nível das perdas brutas (antes assunção de riscos e as funções das recuperações e incluindo as de gestão e de controlo. perdas na carteira de crédito  O quadro dos riscos causadas pelo risco operacionais inclui todos os operacional) sofridas pela riscos pertinentes. instituição nos últimos anos não  Os sistemas de medição, foi significativo ou foi muito monitorização e reporte dos baixo ou diminuiu a partir de riscos operacionais são um nível mais elevado. adequados. Não existem exposições  O quadro de controlo dos riscos significativas a riscos de TIC, a operacionais é sólido. arquitetura de TIC é simples,  Os controlos e a gestão dos resiliente e ágil e os riscos de riscos de TIC são adequados no TIC são insignificantes ou muito que diz respeito aos requisitos baixos. estabelecidos no Regulamento O nível de risco de DORA. concentração relativamente a  O quadro de gestão de riscos terceiros prestadores de associados a terceiros é sólido e serviços é baixo, com cadeias eficaz, sendo complementado de subcontratação simples. por disposições contratuais A intensidade da ameaça adequadas. passível de resultar numa  A gestão da continuidade da perturbação operacional grave atividade é sólida e eficaz, (incluindo incidentes incluindo planos de relacionados com as TIC) de continuidade da atividade, de funções críticas ou importantes resposta e de recuperação é baixa. testados. As exposições ao risco operacional ocorrem essencialmente em categorias
Existe um risco médio-baixo de impacto prudencial significativo 2 na instituição, tendo em conta o nível de risco inerente, a gestão e os	 	com um impacto de frequência elevada e gravidade reduzida. A importância da exposição ao risco operacional é reduzida a média, conforme demonstrado pela análise de cenários e em comparação com as perdas dos pares. O nível das perdas brutas sofridas pela instituição nos últimos anos foi baixo a médio, ou prevê-se que aumente de um nível histórico mais baixo ou
controlos.		que diminua de um nível histórico mais elevado. Existe baixa exposição a riscos de TIC, uma arquitetura de TIC
Notação Opinião do do risco supervisor	Considerações    	relativas ao risco Considerações relativas à gestão e inerente aos controlos adequados moderadamente complexa/parcialmente limitada e riscos de TIC baixos/médios. O nível de risco de concentração relativamente a terceiros prestadores de serviços é médio, com cadeias de subcontratação moderadas. A intensidade da ameaça passível de resultar numa perturbação operacional grave (incluindo incidentes relacionados com as TIC) de funções críticas ou importantes é média. As exposições ao risco  Não existe total coerência operacional da instituição entre, por um lado, a estratégia abrangem algumas categorias e a política dos riscos com impacto de reduzida operacionais da instituição e, frequência/elevada gravidade. por outro, a sua estratégia A importância da exposição ao global e apetência pelo risco. risco operacional é média a  O quadro organizacional elevada, conforme relativo ao risco operacional demonstrado pela análise de não é suficientemente sólido. cenários e em comparação com  O quadro dos riscos
Existe um nível médio-elevado risco impacto de de		as perdas dos pares. operacionais não inclui todos os O nível das perdas brutas riscos pertinentes. sofridas últimos elevado aumente anos pela ou face prevê-se instituição foi a um médio nível que a nos  Os monitorização riscos sistemas operacionais de e medição, reporte não são dos
prudencial 3 significativo na instituição,		histórico mais baixo ou que adequados. diminua mais elevado. de um nível histórico  O operacionais quadro de controlo é frágil. dos riscos
tendo em conta o nível de risco inerente, a gestão e os controlos.	  	Indicações de possíveis  Os controlos e a gestão dos exposições significativas no riscos associados às TIC não domínio das TIC, de uma estão em conformidade com os arquitetura de TIC requisitos estabelecidos no complexa/rígida/fragmentada e Regulamento DORA. de domínio riscos das médios/elevados TIC. no  O associados quadro de a gestão terceiros dos está riscos O nível de risco de incompleto/é fraco, sendo concentração em relação a complementado por terceiros prestadores de disposições contratuais serviços é elevado, com cadeias inadequadas. de subcontratação de duração  A gestão da continuidade da moderada a longa/complexas. atividade é inadequada, A intensidade da ameaça incluindo planos de passível de resultar numa continuidade das atividades, de perturbação operacional grave resposta e de recuperação (incluindo incidentes pouco fiáveis, ineficazes ou
Notação Opinião do do risco supervisor	Considerações  	relativas ao risco Considerações relativas à gestão e inerente aos controlos adequados relacionados com as TIC) de incompletos. funções críticas ou importantes é elevada. As exposições ao risco operacional abrangem todas as categorias principais. A importância da exposição ao risco operacional é elevada e crescente, conforme demonstrado pela análise de cenários e em comparação com as perdas dos pares.
Existe um elevado risco de impacto prudencial significativo na instituição, tendo em 4 conta o nível de risco	 	O nível das perdas brutas sofridas pela instituição nos últimos anos foi elevado ou o risco aumentou significativamente. Várias indicações de exposições significativas a riscos no domínio das TIC, de uma arquitetura de TIC altamente complexa/frágil e de riscos
inerente, a gestão e os controlos.	 	elevados no domínio das TIC. O nível de risco de concentração relativamente a terceiros prestadores de serviços é muito elevado/grave, com cadeias de subcontratação longas/complexas. A intensidade da ameaça passível de resultar numa perturbação operacional grave (incluindo incidentes relacionados com as TIC) de funções críticas ou importantes é muito elevada/grave.

1. Visão geral

Título	Regulamentação

1.1 Referências

1.2 Requisitos identificados

1.3 Normas relacionadas

2. Requisitos identificados

Requisitos
Fonte	Requisito

3. Normas relacionadas

Normas
Fonte	Requisito

EBA -
EN: Guidelines and other publications of the European Banking Authority (EBA), https://www.eba.europa.eu/. © European Banking Authority. Reproduction is authorised provided the source is acknowledged (EBA legal notice). Divided into sections and converted into the GRCA format, the wording unchanged. Only the versions published by the EBA are authoritative.

DE: Leitlinien und weitere Veröffentlichungen der Europäischen Bankenaufsichtsbehörde (EBA), https://www.eba.europa.eu/. © European Banking Authority. Wiedergabe mit Quellenangabe gestattet (Rechtlicher Hinweis der EBA). In Abschnitte aufgeteilt und in das GRCA-Format umgewandelt, der Wortlaut unverändert. Maßgeblich sind allein die von der EBA veröffentlichten Fassungen.