6.6 Avaliação de outros riscos

As autoridade competentes devem avaliar a importância de outros riscos para os fundos próprios da empresa de investimento que não sejam abrangidos pelos requisitos de fundos próprios do Pilar 1, em conformidade com os artigos 36.º e 40.º da Diretiva (UE) 2019/2034. Ao avaliarem estes outros riscos, as autoridades competentes devem ter em conta a natureza e a complexidade das atividades da empresa de investimento que tenham impacto na importância desses riscos.

6.6.2 Avaliação dos riscos inerentes

Através da avaliação dos riscos inerentes não abrangidos pelos requisitos de fundos próprios do Pilar 1, as autoridades competentes devem determinar os principais fatores dos riscos da empresa de investimento e avaliar a importância do impacto desses riscos na empresa de investimento. A avaliação desses riscos deve ser estruturada em torno das seguintes etapas principais:

• a. Avaliação preliminar;
• b. Avaliação da natureza e da escala das atividades de investimento que impliquem um risco para a empresa de investimento não abrangido pelos requisitos de fundos próprios do Pilar 1;
• c. Avaliação dos sistemas e processos relativos a estas atividades.

As autoridades competentes devem avaliar os riscos não abrangidos pelos requisitos de fundos próprios do Pilar 1 em termos atuais e em termos futuros.

Se for caso disso, as autoridades competentes devem também realizar uma avaliação de riscos que não estejam enumerados no presente capítulo.

Avaliação preliminar

Para determinar o âmbito da avaliação de riscos não abrangidos pelos requisitos de fundos próprios do Pilar 1, as autoridades competentes devem, em primeiro lugar, identificar as fontes de riscos a que a empresa de investimento está ou poderá vir a estar exposta.

No mínimo, as autoridades competentes devem ter em consideração o seguinte:

• a. O modelo de negócio e a apetência pelo risco;
• b. O desenvolvimento a nível interno ou subcontratado de soluções informáticas;
• c. As funções de apoio, nomeadamente nos domínios da conformidade, jurídico e fiscal (inclusive se subcontratadas);
• d. Os custos de processos judiciais e contencioso;

76

• e. As perdas operacionais totais, incluindo o custo de fraudes internas e externas;
• f. O âmbito das atividades não incluídas na carteira de negociação.

As autoridades competentes devem realizar a análise preliminar tendo em conta as alterações sofridas ao longo do tempo pelos elementos acima referidos, a fim de formar uma opinião fundamentada acerca dos principais fatores dos outros riscos da empresa de investimento.

Risco de taxa de juro resultante de atividades não incluídas na carteira de negociação

As autoridades competentes devem avaliar o risco de taxa de juro resultante de atividades não incluídas na carteira de negociação às quais a empresa de investimento esteja exposta.

As autoridades competentes devem avaliar o modo como as alterações nas taxas de juro podem ter um impacto adverso nos ativos, nos passivos e nos elementos extrapatrimoniais da empresa de investimento. Para melhor determinar a complexidade e

• o perfil de risco de taxa de juro da empresa de investimento, as autoridades competentes devem igualmente compreender as principais caraterísticas dos ativos, dos passivos e dos elementos extrapatrimoniais da empresa de investimento.

No âmbito da avaliação quantitativa, as autoridades competentes devem ainda ter em conta os resultados das metodologias internas da empresa de investimento no que respeita à medição do risco de taxa de juro resultante de atividades não incluídas na carteira de negociação. Além disso, as autoridades competentes devem ponderar cenários de choque adequados tendo em conta a natureza da exposição ao risco de taxa de juro resultante de atividades não incluídas na carteira de negociação da empresa de investimento.

Riscos operacionais não abrangidos pelo Pilar 1

As autoridade competentes devem avaliar os riscos operacionais não abrangidos pelos requisitos mínimos de fundos próprios em conformidade com o Regulamento (UE) 2019/2033. Esses riscos podem levar a perdas operacionais diretas e a perdas indiretas resultantes de queixas e litígios. Os grandes riscos operacionais também podem levar a falta de pessoal em posições essenciais. A avaliação deve ter em conta, não só as perdas operacionais, mas também quase perdas e eventos relativos ao risco operacional que terminem com um ganho.

As autoridades competentes devem ter em conta as seguintes fontes de risco inerente e, se for caso disso, concentrar-se na avaliação dos aspetos que sejam considerados os mais significativos para a empresa de investimento:

• a. Segurança no local de trabalho;
• b. Danos ao património físico;
• c. Fraude interna;

77

• d. Fraude externa;
• e. Riscos associados às TIC;
• f. Risco de conduta;
• g. Riscos regulamentares, jurídicos e fiscais;
• h. O risco de modelo, em relação aos modelos utilizados para fins comerciais;
• i. Recursos técnicos e humanos insuficientes (quantitativa e qualitativamente) em posições essenciais;
• j. Riscos de reputação.

No âmbito de todas as avaliações do SREP, as autoridades competentes devem formar uma opinião sobre o grau de risco associado às TIC e sobre a coerência das operações de TIC com a estratégia de negócio. As autoridades competentes devem inclui, na sua avaliação, todos os aspetos pertinentes do risco associado às TIC, nomeadamente o risco de segurança, os riscos associados a projetos informáticos e o risco da gestão das TIC, na medida em que este não seja já abrangido por outras partes das presentes orientações e tendo em conta as Orientações da EBA relativas à gestão dos riscos associados às TIC e à segurança¹⁹ e as Orientações da ESMA relativas à subcontratação de prestadores de serviços de computação em nuvem²⁰ ;

As autoridades competentes devem formar uma opinião sobre o grau de risco de conduta relacionado com atividades de investimento e de mercado da empresa de investimento, na medida em que este não seja já abrangido pelos requisitos de fundos próprios do Pilar 1. O risco de conduta deve ser entendido como o risco atual ou futuro incorrido pelos clientes, pelos mercados ou pela própria empresa devido a um comportamento inapropriado por parte da empresa ou do seu pessoal. Este risco pode decorrer de casos de conduta dolosa ou negligência (incluindo prestação abusiva de serviços financeiros), na medida em que possam conduzir a impactos negativos financeiros ou de reputação. Este risco de reputação pode, por sua vez, causar uma perda nas quotas de mercado ou junto dos principais clientes, e aumentar o número de queixas de clientes.

As autoridades competentes devem concentrar-se nas seguintes fontes de risco de conduta inerente, se pertinente:

• a. Encerramento ou suspensão de um fundo;
• b. Número de incidentes de conduta irregular: vendas abusivas, manipulação de mercado;
• c. Sanções regulamentares incorridas.

19 Orientações da EBA relativas à gestão dos riscos associados às TIC e à segurança (EBA/GL/2019/04).

20 Orientações da ESMA relativas à subcontratação de prestadores de serviços de computação em nuvem (ESMA50-164-4285). 78

As autoridades competentes devem formar uma opinião sobre os riscos regulamentares, jurídicos e fiscais decorrentes do incumprimento das disposições legislativas e regulamentares. Estes riscos podem levar a litígios e sanções para a empresa de investimento. Os programas de reparação também podem implicar despesas avultadas para o cumprimento das disposições legislativas e regulamentares.

As autoridades competentes devem concentrar-se nas seguintes fontes de riscos regulamentares, jurídicos e fiscais inerentes, se pertinente:

• a. Os custos da conformidade com as disposições regulamentares aplicáveis;
• b. O pagamento de coimas ou outras sanções por incumprimento;
• c. A reavaliação fiscal ou o pagamento de juros de mora, coimas e sanções;
• d. A antecipação de alterações regulamentares que afetem a empresa de investimento.

As autoridades competentes devem avaliar o risco relacionado com os modelos utilizados para fins comerciais, nomeadamente modelos de avaliação/fixação de preço, modelos de negociação algorítmica e outros modelos que possam ter um impacto significativo nas decisões comerciais e nas atividades da empresa de investimento.

Tendo em conta as especificidades da empresa de investimento, ao realizarem a avaliação dos riscos não abrangidos pelos requisitos de fundos próprios do Pilar 1, as autoridades competentes podem ter em consideração outras fontes de riscos não incluídas nas categorias supramencionadas.

Risco sistémico

Com base em critérios quantitativos e qualitativos, as autoridades competentes devem formar uma opinião sobre o risco sistémico da empresa de investimento. Com base nesta avaliação, as autoridades competentes devem determinar se a insolvência da empresa de investimento poderia resultar em perturbações graves nos mercados financeiros em que a empresa de investimento opera.

Se for caso disso, a avaliação do risco sistémico pode ser efetuada de forma agregada para um grupo de empresas de investimento com um modelo de negócio e um perfil de risco semelhantes. Ao realizarem essa avaliação agregada, as autoridades competentes devem ter em conta potenciais impactos da insolvência simultânea de um número/percentagem específico destas empresas de investimento nos mercados financeiros em que operam. Para este fim, as autoridades competentes podem analisar um ou mais cenários.

6.6.3 Avaliação dos controlos e da gestão de riscos

De modo a compreender de forma abrangente o perfil de risco da empresa de investimento em matéria de riscos não abrangidos pelos requisitos de fundos próprios do Pilar 1, as autoridades competentes devem rever o quadro de governo e de gestão do risco

79 que reduz o risco decorrente de outras fontes de riscos. Para tal, as autoridades competentes devem avaliar os seguintes elementos, tendo em conta o volume, a natureza e a complexidade das atividades da empresa de investimento:

• a. Se a estratégia da empresa de investimento reflete adequadamente a apetência da empresa de investimento por este tipo de riscos e se é coerente com a apetência global pelo risco;
• b. Se a empresa de investimento possui orientações e políticas internas para garantir uma cultura de risco sã;
• c. Se a empresa de investimento possui um quadro adequado para a gestão, a medição, a monitorização e o controlo do risco de taxa de juro decorrente de atividades não incluídas na carteira de negociação;
• d. Se a empresa de investimento dispõe de um quadro adequado à gestão, à avaliação, à monitorização e ao controlo dos riscos informáticos, com recursos técnicos e humanos suficientes (quantitativa e qualitativamente);
• e. Se a empresa de investimento possui políticas e procedimentos claramente definidos de controlo do risco operacional.

6.6.4 Síntese das conclusões e da notação

Na sequência da avaliação acima referida, as autoridades competentes devem formar uma opinião sobre os outros riscos da empresa de investimento. A opinião deve estar refletida numa síntese das conclusões e ser acompanhada por uma notação do risco calculada com base nas considerações especificadas no quadro 8. Se, tendo em conta a importância de certos fatores de risco, as autoridades competentes decidirem avaliá-los e atribuir-lhes uma notação individual, as indicações dadas no seguinte quadro devem ser aplicadas, na medida do possível, por analogia.

As autoridades competentes devem considerar todos estes fatores de forma paralela e não isoladamente e devem compreender quais são os fatores que determinam os riscos não abrangidos pelos requisitos de fundos próprios do Pilar 1.