17 Quadro de gestão dos riscos

No âmbito do quadro global de controlo interno, as instituições possuem um quadro de gestão de riscos holístico, que abrange todas as suas áreas de negócio e unidades internas, incluindo as funções de controlo interno, reconhecendo plenamente a realidade económica de todos os riscos a que estão expostas. O quadro de gestão dos riscos deve permitir à instituição a tomada de decisões com pleno conhecimento de causa sobre a assunção de riscos. O quadro de gestão de riscos deve abranger os riscos patrimoniais e extrapatrimoniais, bem como todos os riscos atuais e futuros a que a instituição pode vir a estar exposta. Os riscos são avaliados no sentido ascendente e descendente, dentro e entre as vários áreas de negócio, utilizando uma terminologia coerente e metodologias compatíveis em toda a instituição e ao nível consolidado ou subconsolidado. O quadro de gestão dos riscos inclui todos os riscos materiais, tendo em devida consideração os riscos financeiros e não financeiros, incluindo os riscos de crédito, de mercado, de liquidez, de concentração, operacional, TI, reputacional, jurídico, de conduta, de cumprimento em matéria de combate ao branqueamento de capitais e ao financiamento do terrorismo e outros crimes financeiros, ASG e risco de estratégia.

O quadro de gestão dos riscos da instituição inclui políticas, procedimentos, limites de risco e controlos de risco que permitam, de uma forma adequada, atempada e contínua, identificar, medir ou avaliar, monitorizar, gerir, mitigar e comunicar os riscos aos níveis das áreas de negócio, da instituição e ao nivel consolidado e sub-consolidado.

O quadro de gestão dos riscos da instituição deve fornecer orientações específicas sobre a implementação das suas estratégias. Essas orientações estabelecem e mantêm, quando apropriado, limites internos consentâneos com a apetência pelo risco da instituição e compatíveis com o bom funcionamento, a solidez financeira, a base de fundos próprios e os objetivos estratégicos da instituição. O perfil de risco da instituição é mantido dentro desses limites estabelecidos. O quadro de gestão dos riscos assegura que existe um processo definido para que as infrações dos limites de risco sejam transmitidas ao nível hierárquico superior e tratadas através de um procedimento de acompanhamento adequado.

O quadro de gestão dos riscos é objeto de uma análise interna independente, p. ex., realizada pela função de auditoria interna, e é reavaliado periodicamente quanto à apetência pelo risco da instituição, tendo em conta as informações da função de gestão de riscos e, caso tenha sido constituído, do comité de risco. Os fatores a ter em conta incluem acontecimentos internos e externos, nomeadamente alterações no balanço ou nos proveitos, qualquer aumento na complexidade da atividade, no perfil de risco ou na estrutura operacional da instituição, expansão geográfica, fusões e aquisições e a introdução de novos produtos ou áreas de negócio.

Para efeitos da identificação e da medição ou avaliação dos riscos, as instituições devem desenvolver metodologias adequadas, incluindo instrumentos prospetivos e retrospetivos. As metodologias permitem agregar as exposições ao risco das diversas áreas de negócio e ajudam a identificar concentrações de riscos. Os instrumentos incluem a avaliação do perfil de risco atual em relação à apetência pelo risco da instituição, bem como a identificação e avaliação de exposições de risco potenciais e excessivas em relação à capacidade de risco da instituição com base num conjunto de circunstâncias adversas presumidas. Os instrumentos fornecem informações sobre eventuais ajustamentos do perfil de risco que possam ser necessários. Quando elaboram cenários de esforço, as instituições devem basear-se em pressupostos conservadores adequados.

As instituições devem ter em consideração que os resultados das metodologias de avaliação quantitativas, incluindo os testes de esforço, dependem muito das limitações e dos pressupostos dos modelos (incluindo a gravidade e a duração do choque e os riscos subjacentes). Por exemplo, o facto de os modelos indicarem uma rendibilidade muito elevada docapital económico pode dever-se a uma deficiência inerente a esses modelos (por exemplo, a exclusão de alguns riscos relevantes) e não a uma estratégia excecional ou a uma execução excelente de uma estratégia por parte da instituição. Assim, a determinação do nível de risco assumido não deve basear-se apenas em informações quantitativas ou em resultados de modelos, mas incluir também uma abordagem qualitativa (incluindo pareceres especializados e análises críticas). As tendências e os dados relevantes da conjuntura macroeconómica são explicitamente considerados para identificar o seu potencial impacto nas exposições e carteiras.

A responsabilidade final pela avaliação dos riscos cabe exclusivamente à instituição, a qual avalia, assim, os seus riscos de forma crítica e não depende exclusivamente de avaliações externas. Por exemplo, as instituições devem validar os modelos de risco que adquirem e calibrá-los em função das suas próprias circunstâncias específicas para assegurar que o modelo capta e analisa o risco de forma precisa e exaustiva.

As instituições devem ter pleno conhecimento das limitações dos modelos e das métricas e utilizar não apenas instrumentos de avaliação quantitativa mas também instrumentos de avaliação qualitativa dos riscos (incluindo pareceres especializados e análises críticas).

Além das suas próprias avaliações, as instituições podem utilizar avaliações de risco externas (incluindo notações de crédito externas ou modelos de risco adquiridos no exterior). As instituições devem ter total conhecimento do âmbito preciso dessas avaliações, bem como das suas limitações.

São estabelecidos mecanismos de informação regulares e transparentes para que o órgão de administração, o seu comité de risco, caso tenha sido constituído, e todas as unidades relevantes da instituição recebam relatórios oportunos, precisos, concisos, compreensíveis e significativos, e possam partilhar informações relevantes sobre a identificação, medição ou avaliação, monitorização e gestão dos riscos. O quadro de reporte é claramente definido e documentado.

A comunicação e sensibilização eficazes no que respeita aos riscos e à estratégia de risco são essenciais para o processo de gestão de riscos no seu conjunto, incluindo os processos de revisão e de tomada de decisão, e contribuem para que não se adotem decisões suscetíveis de aumentar inadvertidamente o risco. A comunicação eficaz dos riscos envolve uma adequada consideração e uma comunicação a nível interno da estratégia de risco e dos dados de risco relevantes (p. ex., exposições e principais indicadores de risco), tanto horizontalmente, por toda a instituição, como verticalmente, no sentido ascendente e descendente, ao longo da cadeia de gestão.