9.4 Quadro de controlo interno

As autoridades competentes devem avaliar se a instituição de crédito requerente dispõe de um quadro de controlo interno adequado, proporcional às atividades, ao modelo de negócio, à complexidade e aos riscos associados previstos pela instituição de crédito (por exemplo, integração em linha de clientes, proteção e sistemas de cibersegurança). As autoridades competentes devem certificar-se da adequação dos recursos humanos afetos, tanto em termos de número de ETC como de qualificações, da adequação dos sistemas e do orçamento para apoiar a execução das tarefas.

As autoridades competentes devem analisar os documentos apresentados com o pedido e certificar-se de que a repartição de funções e responsabilidades permitirá ao órgão de administração conhecer inteiramente a estrutura da sua instituição de crédito⁴⁹ e que este «assegura que as funções de controlo interno são independentes das áreas de negócio que controlam, em especial que exista uma segregação de funções adequada e que tais funções estejam dotadas dos recursos financeiros e humanos e dos poderes adequados para desempenharem eficazmente as suas funções. As linhas de reporte e a repartição de responsabilidades, nomeadamente entre os titulares de funções essenciais, devem ser claras, bem definidas, coerentes, vinculativas e devidamente documentadas»⁵⁰ .

⁴⁹ N.º 71 das Orientações da EBA sobre governo interno.

⁵⁰ N.º 68 das Orientações da EBA sobre governo interno.

As autoridades competentes devem ter uma perspetiva clara sobre se o quadro de controlo interno abrange todas as áreas da instituição e reflete as três linhas do modelo de defesa para a identificação das funções de tratamento e de gestão dos riscos.

Para o efeito, as autoridades competentes devem verificar se estão implementados sistemas para garantir que as unidades de negócio e apoio, a primeira linha de defesa, sejam responsáveis, em primeiro lugar, pela identificação e gestão dos riscos em que incorrem no exercício das suas atividades e pelo estabelecimento e manutenção de processos e controlos adequados para garantir que esses riscos sejam analisados, medidos, monitorizados, devidamente comunicados e mantidos dentro dos limites da apetência pelo risco da instituição de crédito e que estejam em conformidade com os requisitos regulamentares internos e externos.

A função de gestão de riscos e a função de verificação do cumprimento, a segunda linha de defesa, juntamente com a função de auditoria interna, que é a terceira linha de defesa, constituem as funções de controlo interno no quadro do controlo interno. As autoridades competentes devem verificar se serão estabelecidas, tendo em conta os critérios de proporcionalidade previstos nos n.ºs 17–21, e se serão dotadas de autoridade, estatuto e acesso direto suficientes e adequados ao órgão de administração para o cumprimento da sua missão.

Para garantir que as funções de controlo interno cumprem os requisitos de independência⁵¹ , as autoridades competentes devem verificar se, com base nos documentos apresentados com

• o pedido, se prevê que:
• (a) os seus membros do pessoal não desempenham quaisquer tarefas operacionais abrangidas pelas atividades que as funções de controlo interno devem monitorizar e controlar;
• (b) estão separadas, do ponto de vista organizacional, das atividades que lhes compete monitorizar e controlar;
• (c) sem prejuízo da responsabilidade global dos membros do órgão de administração da instituição, o responsável por uma função de controlo interno não deve estar subordinado a uma pessoa com responsabilidades na gestão das atividades que a função de controlo interno monitoriza e controla;
• (d) a remuneração dos membros do pessoal das funções de controlo interno não está associada aos resultados das atividades que estas fiscalizam e controlam, nem pode comprometer de outro modo a sua objetividade.

⁵¹ Ver o n.º 175 das Orientações da EBA sobre governo interno.

As autoridades competentes devem verificar se os responsáveis das funções de controlo interno cumprem os seguintes requisitos:

• a) serão estabelecidos a um nível hierárquico adequado que lhes confira a autoridade e o estatuto necessários para cumprirem as suas responsabilidades;
• b) serão independentes das áreas de negócio ou unidades que controlam;
• c) reportarão e responderão diretamente perante o órgão de administração, que também avalia o seu desempenho;
• d) caso necessário, os responsáveis das funções de controlo interno devem poder ter acesso e reportar diretamente ao órgão de administração na sua função de fiscalização para manifestarem preocupações e alertar este órgão, se for caso disso, no caso de uma evolução específica que afete ou possa afetar a instituição.

A fim de assegurar o exercício eficaz das funções de controlo interno, as autoridades competentes devem certificar-se de que lhes são atribuídos recursos orçamentais e humanos suficientes, com qualificações adequadas, tendo em conta o tipo de atividades visadas, bem como um sistema de TIC adequado e apoio à sua disposição. 9.4.2 Função de gestão de riscos

As autoridades competentes devem certificar-se de que, no âmbito do quadro de controlo interno, a instituição de crédito disporá de um quadro de gestão de riscos holístico a nível da instituição de crédito, reconhecendo plenamente a realidade económica de todos os riscos a que está exposta.

As autoridades competentes devem certificar-se de que a função de gestão de risco (FGR) facilitará a aplicação de um quadro sólido de gestão de risco em toda a instituição e de que o seu papel no seio da instituição de crédito abrange a sua participação na a) estratégia e nas decisões em matéria de risco; b) avaliação das alterações significativas; c) identificação, medição, avaliação, gestão, mitigação, monitorização e reporte dos riscos; d) avaliação das infrações à apetência pelo risco ou aos limites de risco e recomendação de medidas corretivas. Para o efeito, as autoridades competentes devem também analisar e avaliar a forma como está delineada a estratégia de gestão desses riscos, incluindo uma declaração sobre a tolerância e a apetência pelo risco e medidas destinadas a alinhar o risco avaliado com a apetência pelo risco.

No que diz respeito ao papel da FGR na estratégia e nas decisões em matéria de risco, a análise das autoridades competentes deve ter por objetivo verificar se o pedido prevê a participação ativa da FGR, numa fase inicial numa perspetiva de continuidade, na elaboração da estratégia de risco da instituição de crédito, na garantia de que a instituição de crédito disponha de processos eficazes de gestão de riscos e na prestação ao órgão de administração de todas as informações relevantes relacionadas com o risco, a fim de permitir a fixação do nível de apetência pelo risco da instituição de crédito. As autoridades competentes devem assegurar que se preveja que a FGR avalie a solidez e a sustentabilidade da estratégia de risco e da apetência pelo risco e que esta se traduza de forma adequada em limites de risco específicos, incluindo ao nível das unidades de negócio, e que seja envolvida antes de o órgão de administração tomar decisões relativas às estratégias de risco.

No que se refere ao papel da FGR na avaliação de alterações significativas, as autoridades competentes devem verificar se está prevista a participação da FGR antes de serem tomadas decisões sobre operações excecionais, de modo a avaliar o impacto dessas alterações e operações excecionais no risco global da instituição de crédito, e comunicar as suas conclusões diretamente ao órgão de administração antes da tomada da decisão.

No que respeita ao papel da FGR na identificação, medição, monitorização, mitigação e reporte dos riscos e das concentrações de risco associadas a aprovar pelo organismo de administração, as autoridades competentes devem certificar-se da existência de políticas e procedimentos e de que a FGR terá acesso a todas as áreas de negócio e outras unidades com potencial para gerar riscos.

O papel da FGR deve igualmente incluir a avaliação independente das infrações aos limites de risco ou à apetência pelo risco (incluindo a determinação das suas causas e a realização de uma análise jurídica e económica do custo real do encerramento, redução ou cobertura da exposição face ao possível custo da sua manutenção). Deve prever-se que a FGR informará as unidades de negócio em causa e o órgão de administração e recomendará possíveis soluções. Para o efeito, a FGR reporta diretamente as infrações significativas ao órgão de administração na sua função de fiscalização, sem prejuízo do reporte a outras funções internas e comités.

9.4.3 Política de remuneração

No que se refere à forma como está delineada a política de remuneração, para além de avaliar

• o cumprimento dos requisitos de neutralidade do ponto de vista do género previstos no artigo 92.º, n.º 2, alínea a-A), da CRD, as autoridades competentes devem ter em conta especificamente a necessidade de verificar se a forma como está delineada a política relativa aos membros do pessoal cujas atividades profissionais tenham um impacto significativo no perfil de risco da instituição de crédito⁵² está em conformidade com o artigo 94.º da CRD e as Orientações da EBA relativas a políticas de remuneração .

⁵² Apresentada nos termos das RTS on information for authorisation .

Em especial, devem avaliar se: a) a forma como está delineada a política de remuneração está em conformidade com a apetência ao risco prevista pela instituição, com a sua estratégia de negócio e os seus interesses a longo prazo, e se se prevê que seja mantida, aprovada e supervisionada pelo órgão de administração; b) prevê que o pessoal que tenha um impacto significativo no perfil de risco da instituição seja adequadamente identificado em conformidade com o artigo 92.º, n.º 3, e o artigo 94.º, n.º 3, da CRD; c) prevê requisitos específicos em matéria de remuneração para esses membros do pessoal, nomeadamente (i) um rácio entre a remuneração variável e a remuneração fixa, em conformidade com o artigo 94.º, n.º 1, alínea g), da CRD e (ii) o pagamento em instrumentos, regimes de diferimento, incluindo regimes de redução («malus») ou de recuperação («clawback»), em conformidade com o artigo 94.º, n.º 1, alíneas l), m) e n), da CRD⁵³ .

9.4.4 Função de verificação do cumprimento

⁵³ Tendo especificamente em conta as derrogações previstas no artigo 94.º, n.ºs 3 e 4, da CRD.

As autoridades competentes devem verificar se se prevê que a função de verificação do cumprimento gerirá o risco de cumprimento, aconselhará o órgão de administração sobre as medidas a tomar para assegurar o cumprimento em matéria de legislação, regulamentação e normas aplicáveis e, sob a supervisão do órgão de administração, implementará políticas e processos para gerir os riscos de cumprimento e garantir a conformidade. As autoridades competentes devem verificar se a função de verificação do cumprimento é adequada aos tipos e à distribuição geográfica das atividades (por exemplo, conformidade com as legislações nacionais aplicáveis de várias jurisdições no caso de atividades exercidas de forma transfronteiriça), aos riscos e à complexidade, em conformidade com o modelo de negócio e a avaliação do plano de atividades realizada em conformidade com a secção 7 das presentes orientações.

A função de verificação do cumprimento deve assegurar que a monitorização da conformidade é efetuada através de um programa de monitorização da conformidade estruturado e bem definido e que a política em matéria de conformidade é observada. Deve também prever-se que a função de verificação do cumprimento e a FGR cooperam e trocam informações necessárias para o desempenho das respetivas funções.

As autoridades competentes devem igualmente verificar se a função de verificação do cumprimento será incumbida de verificar, em estreita cooperação com a FGR e o departamento jurídico, se os novos produtos e os novos procedimentos respeitam o quadro jurídico em vigor e, quando apropriado, as futuras alterações conhecidas da legislação, da regulamentação e dos requisitos de supervisão.

As autoridades competentes devem verificar se está prevista a criação de uma função de verificação do cumprimento em matéria de CBC/FT para o cumprimento da regulamentação específica sobre BC/FT e das políticas internas, no seio ou autónoma da função de verificação do cumprimento.

9.4.5 Política de CBC/FT

As autoridades competentes devem verificar se a política de CBC/FT, apresentada pela instituição de crédito requerente nos termos do artigo 5.º, n.º 1, alínea c), subalínea iii) das RTS on information for authorisation , contém uma panorâmica das principais políticas e procedimentos, tal como estabelecido no artigo 8.º, n.º 3, da DABC, que serão implementadas para combater o risco de BC/FT. Para o efeito, as autoridades competentes terão em conta os critérios de proporcionalidade estabelecidos nos n.ºs 17–21.

As autoridades competentes devem verificar se a forma como está delineada abrange todos os elementos estabelecidos no artigo 8.º, n.º 4,⁵⁴ da DABC e fundamentar a forma como a instituição de crédito requerente irá garantir que pode atenuar e gerir eficazmente os riscos de BC/FT a que está exposta a partir do dia em que tiver acesso ao mercado.

9.4.6 Função de auditoria interna

⁵⁴ Estabelece o seguinte: «As políticas, os controlos e os procedimentos a que se refere o n.º 3 incluem: (a) O desenvolvimento de políticas, controlos e procedimentos internos, nomeadamente relativamente aos modelos de práticas de gestão do risco, a diligência quanto à clientela, a comunicação de informações, a conservação de registos, ao controlo interno, a gestão da conformidade, incluindo, quando adequado à dimensão e natureza da atividade, a designação de um responsável pela conformidade ao nível da direção, e o controlo dos funcionários; (b) Quando adequado, em função da dimensão e natureza da atividade, uma função de auditoria independente para testar as políticas, controlos e procedimentos internos a que se refere a alínea a).

As autoridades competentes, tendo em conta os critérios de proporcionalidade estabelecidos nos n.ºs 17–21, devem avaliar a função de auditoria interna independente e eficaz («FAI») estabelecida pela instituição de crédito requerente. As autoridades competentes devem conseguir obter uma perspetiva clara sobre se a FAI, seguindo uma abordagem baseada no risco, poderá analisar de forma independente e fornecer uma garantia objetiva de conformidade de todas as atividades e unidades da instituição, incluindo as atividades subcontratadas, com as políticas e os procedimentos da instituição e com outros requisitos externos (não prudenciais).

Para o efeito, as autoridades competentes devem avaliar se a FAI tem a sua independência organizativa e a objetividade dos auditores internos protegida por reporte direto ao órgão de administração, bem como recursos adequados para o desempenho das suas funções. Para o efeito, devem igualmente certificar-se que a FAI tem livre acesso, ao nível de toda a instituição, a todos os registos, documentos, informações e instalações da instituição para o desempenho das suas funções.

As autoridades competentes devem igualmente avaliar se a FAI está incumbida, pelo menos, do seguinte:

• (a) a adequação do quadro de controlo interno, incluindo a adequação das políticas e procedimentos e a conformidade com os requisitos legais e regulamentares;
• (b) a elaboração de um plano de auditoria, pelo menos, uma vez por ano, com base nos objetivos anuais de controlo da auditoria interna e a ser aprovado pelo organismo de administração;
• (c) a apresentação de recomendações com base nas constatações das suas atividades.

Devem igualmente verificar se a forma como está delineada a metodologia e o plano de auditoria interna relativos aos três primeiros anos de atividade, incluindo a auditoria dos serviços subcontratados, é coerente com a estrutura organizativa, os tipos de atividades e o perfil de risco resultantes do plano de atividades avaliado em conformidade com a secção 7.

9.4.7 Política e plano de resiliência operacional e de continuidade do negócio

A forma como está delineada a política e o plano de continuidade do negócio deve garantir que o requerente terá um plano sólido de gestão da continuidade do negócio para assegurar a sua capacidade de funcionar em permanência e para limitar as perdas em caso de perturbação grave das atividades. Deve assegurar que a política e o plano de continuidade do negócio incluam uma análise dos principais riscos de perturbação das atividades e uma perspetiva das medidas de mitigação, bem como assegurar a realização de testes regulares ao plano de continuidade do negócio.

9.4.8 Política e sistemas de TIC

As autoridades competentes devem avaliar se a política de TIC proporcionará à instituição de crédito sistemas de informação e comunicação fiáveis e se os sistemas de TIC poderão apoiar plenamente as capacidades de agregação de dados de risco em períodos normais e durante períodos de esforço. Em especial, as autoridades competentes devem avaliar se a instituição de crédito poderá, pelo menos:

• (a) gerar dados sobre os riscos exatos e fiáveis;
• (b) captar e agregar todos os dados significativos sobre os riscos a nível da instituição;
• (c) gerar atempadamente dados agregados e atualizados sobre os riscos;
• (d) gerar dados agregados sobre os riscos para dar resposta a um amplo leque de solicitações do órgão de administração e fiscalização ou das autoridades competentes;
• (e) assegurar o funcionamento sólido, fiável e seguro dos sistemas de informação e comunicação que apoiam as atividades visadas pelas instituições.

No que diz respeito às TIC e ao risco de segurança⁵⁵ , as autoridades competentes devem certificar-se de que o quadro de gestão assegurará o funcionamento sólido, fiável e seguro dos sistemas de informação e comunicação que apoiam as atividades das instituições de crédito, bem como a prevenção, monitorização e mitigação adequadas dos riscos das TIC em períodos normais e durante períodos de esforço. As autoridades competentes devem avaliar, em especial:

• (a) se o órgão de administração assume a responsabilidade global pela definição, aprovação e supervisão da aplicação da estratégia em matéria de TIC das instituições financeiras, que deve ser alinhada com a estratégia de negócio global das instituições financeiras;
• (b) a definição e atribuição claras de funções e responsabilidades fundamentais, bem como linhas de comunicação de informações pertinentes, para as funções de TIC para que o quadro de gestão dos riscos associados às TIC e à segurança seja eficaz, incluindo a atribuição de um orçamento adequado para apoiar adequadamente as necessidades operacionais das TIC e a gestão dos riscos associados às TIC e à segurança;
• (c) se a gestão e a supervisão dos riscos associados às TIC e à segurança são atribuídas a uma função de controlo independente e objetiva, devidamente separada dos processos operacionais das TIC e que não seja responsável por qualquer auditoria interna, e a uma função de auditoria interna independente;
• (d) os mecanismos destinados a assegurar a identificação, a criação e a manutenção de um inventário atualizado das áreas de negócio, funções e processos de apoio para identificar a importância de cada um destes e as suas interdependências relativamente aos riscos associados às TIC e à segurança;
• (e) na medida em que a informação é mantida em sistemas de TIC, se os requisitos de segurança da informação estarão em vigor;
• (f) o âmbito, a complexidade e a importância das dependências relacionadas com as TIC, se estiver prevista a subcontratação de funções operacionais dos serviços de TIC e de qualquer atividade dos sistemas de TIC – incluindo a entidades de grupo – ou a utilização de terceiros em relação a essas funções e atividades.

⁵⁵ Tal como definido nas Orientações da EBA relativas à gestão dos riscos associados às TIC e à segurança , entende-se por «riscos associados às TIC e à segurança»: O risco de perdas por violação da confidencialidade, falta de integridade de sistemas e dados, inadequação ou indisponibilidade de sistemas e dados ou incapacidade para alterar as tecnologias da informação (TI) num período de tempo e custos razoáveis quando o ambiente ou os requisitos empresariais se alteram (isto é, agilidade). Tal inclui riscos de segurança resultantes de eventos externos ou processos internos inadequados ou deficientes, incluindo ciberataques ou uma segurança física inadequada.