Aviso do Banco de Portugal n.º 2/2025, de 20 de março

Aviso do Banco de Portugal n.º 2/2025

Em 15 de julho de 2020 foi publicado o Aviso do Banco de Portugal n.º 3/2020 (“Aviso n.º 3/2020” ou “Aviso”), que regulamenta os sistemas de governo e controlo interno e define os padrões mínimos em que deve assentar a cultura organizacional das instituições.

Dada a relevância do Aviso n.º 3/2020 para a boa gestão das instituições de crédito e sociedades financeiras, o Banco de Portugal considera essencial promover a sua atualização regular para garantir um adequado alinhamento com a legislação e regulação europeias, incorporar a experiência de supervisão adquirida com a sua aplicação, bem como dar resposta às necessidades do setor entretanto identificadas. Nesse sentido, o Banco de Portugal vem atualizar o Aviso n.º 3/2020, aproveitando também a oportunidade para atualizar e clarificar algumas das suas disposições.

Uma das alterações mais relevantes que agora se introduz prende-se com a possibilidade de as entidades supervisionadas poderem adotar soluções colaborativas para o exercício de tarefas operacionais das suas funções de controlo interno. Adicionalmente, a subcontratação das tarefas operacionais das funções de controlo interno deixa de ser, por regra, meramente ocasional, passando a permitir-se que ocorra de forma permanente. Estas alterações visam alargar o leque de opções disponíveis para as instituições, designadamente as de menor dimensão em linha com o princípio da proporcionalidade, de forma a ser possível dar resposta efetiva às necessidades de gestão de riscos, bem como à crescente complexidade do enquadramento regulatório europeu.

Adicionalmente, é flexibilizado o modelo organizativo das funções de controlo interno de modo a permitir o seu ajustamento de acordo com as necessidades específicas de cada instituição. Desde logo, passa a ser permitido que as instituições desdobrem a função de gestão de riscos em várias unidades, para melhor permitir a execução das responsabilidades que lhe estão globalmente atribuídas. Em todo o caso, uma dessas unidades terá de continuar a assegurar uma visão global e holística de todos os riscos a que a instituição está ou pode vir a estar exposta. O responsável desta unidade de estrutura é considerado o responsável pela função de gestão de riscos nos termos e para os efeitos do disposto no artigo 17.º do Aviso n.º 3/2020 e os responsáveis das demais unidades que a formam são considerados titulares de funções essenciais.

Por outro lado, em linha com o disposto nas orientações da Autoridade Bancária Europeia (“EBA” na sigla inglesa) sobre governo interno (EBA/GL/2021/05, divulgadas através da Carta Circular do Banco de Portugal n.º CC/2018/00000016), e tendo em consideração o princípio da proporcionalidade, passa a estar prevista a possibilidade de combinação das funções de gestão de riscos e de conformidade nas instituições habilitadas a receber depósitos, desde que verificadas determinadas condições. Neste caso, as entidades supervisionadas terão de assegurar que a função combinada de gestão de riscos e de conformidade cumpre com todos os requisitos legais e regulamentares aplicáveis, em particular no que respeita a recursos materiais, técnicos e humanos necessários para o desempenho das suas funções.

Outra das matérias cuja alteração merece destaque corresponde aos planos de formação. O Aviso n.º 3/2020 passa a prever a obrigatoriedade da sua elaboração relativamente aos membros dos órgãos de administração e de fiscalização das instituições supervisionadas, com vista a assegurar a sua permanente atualização quanto a todos os riscos a que a instituição está ou pode vir a estar exposta, com especial foco nos riscos considerados emergentes.

Por sua vez, aproveitou-se a oportunidade para clarificar o conceito de deficiências. Com efeito, os incumprimentos passam agora a integrar o conceito de deficiências, o que se antecipa poder vir a simplificar e uniformizar a forma como são tratados pelas instituições supervisionadas.

Em matéria de transações com partes relacionadas, passam a admitir-se expressamente as aprovações prévias agregadas, verificados determinados requisitos, e são detalhadas algumas das matérias que têm de constar das políticas em vigor nas instituições sobre a matéria. Adicionalmente, e de modo a evitar a dispersão de exigências de reporte, passa a estar previsto que as políticas de transações com partes relacionadas devem incluir os procedimentos para assegurar a comunicação prevista no n.º 2 do artigo 85.º e no n.º 4 do artigo 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras à autoridade de supervisão competente. Assim sendo, é revogada a Instrução do Banco de Portugal n.º 17/2011, na medida em que, com exceção da referida comunicação, as demais disposições já se encontram vertidas no Aviso n.º 3/2020.

Assinala-se também que, relativamente às políticas de seleção e designação de revisores oficiais de contas ou sociedades de revisores oficiais de contas de entidades habilitadas a receber depósitos, passa a estar previsto que têm de incluir os procedimentos para assegurar o reporte à autoridade de supervisão competente da designação do revisor oficial de contas ou sociedade de revisores oficiais de contas.

São também ajustadas as datas de referência e de reporte do relatório de autoavaliação da adequação e eficácia da cultura organizacional e dos sistemas de governo e controlo interno das instituições supervisionadas. O relatório anual passa a ser elaborado com referência a 30 de setembro de cada ano, ao invés de ser elaborado com referência a 30 de novembro. Nos casos previstos no Aviso n.º 3/2020 e na Instrução do Banco de Portugal n.º 18/2020 - que consagra as obrigações, periodicidade e modo de reporte das matérias definidas pelo Aviso n.º 3/2020 - este relatório é reportado à autoridade de supervisão competente até ao dia 15 de novembro de cada ano (ao invés de 31 de dezembro de cada ano, como sucedia até aqui).

Relativamente aos grupos financeiros, é simplificada a obrigação de reporte, passando a prever-se o envio apenas do relatório de autoavaliação do grupo à autoridade de supervisão competente. Os relatórios de autoavaliação individuais passam a ser reportados apenas se a autoridade de supervisão competente o exigir.

Por último, aproveita-se a oportunidade para incorporar os artigos 10.º e 11.º da Instrução do Banco de Portugal n.º 28/2007, a qual é revogada na medida em que as demais disposições passaram a constar de legislação e regulamentação europeia.

Em face das alterações consagradas pelo aviso alterador, opta-se igualmente por republicar o Aviso n.º 3/2020 com as alterações introduzidas pelo presente Aviso.

O projeto do presente Aviso foi sujeito a consulta pública, tendo sido consultadas a Comissão do Mercado de Valores Mobiliários e a Autoridade de Supervisão de Seguros e Fundos de Pensões.

Nestes termos, o Banco de Portugal, no uso das competências que lhe são conferidas pelo artigo 17.º da sua Lei Orgânica, aprovada pela Lei n.º 5/98, de 31 de janeiro, pelo disposto no n.º 12 do artigo 30.º-B, no n.º 9 do artigo 35.º-B, no n.^os 1 e 2 do artigo 99.º, no n.º 3 do artigo 115.º, no n.º 3 do artigo 115.º-G, no n.º 2 do artigo 115.º-I, no n.º 8 do artigo 115.º-X, na alínea f) do n.º 1 do artigo 116.º, no artigo 116.º-AH, no n.º 2 do artigo 120.º e na alínea c) do artigo 133.º, todos do Regime Geral das Instituições de Crédito e Sociedades Financeiras, aprovado pelo Decreto-Lei n.º 298/92, de 31 de dezembro e pelo disposto no n.º 1 do artigo 13.º do Decreto-Lei n.º 145/2006, de 31 de julho, determina o seguinte:

Artigo 1.º

Objeto

O presente Aviso procede à alteração do Aviso do Banco de Portugal n.º 3/2020.

Artigo 2.º

Alterações ao Aviso do Banco de Portugal n.º 3/2020

1 - O artigo 1.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 1.º

[...]

1 - [...]

a) [...]

b) [...]

c) Companhias financeiras, companhias financeiras mistas e sociedades gestoras de participações sociais sujeitas à supervisão do Banco de Portugal nos termos do disposto no artigo 117.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando sejam consideradas empresas-mãe nos termos da alínea q) do artigo 2.º-A do mesmo diploma.

2 - [...]

3 - [...]

4 - O presente Aviso regulamenta ainda os artigos 15.º e 16.º do Decreto-Lei n.º 145/2006, de 31 de julho.»

2 - O artigo 5.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 5.º

[...]

1 - Os órgãos de administração e de fiscalização da instituição identificam e avaliam as respetivas necessidades ao nível da sua composição e organização e, salvo se outro órgão for competente para o efeito nos termos da legislação em vigor, aprovam, respetivamente, regulamentos internos próprios.

2 - [...]

3 - No caso previsto no n.º 3 do artigo 14.º, os pelouros respeitantes às diferentes unidades de estrutura que formam a função de gestão de riscos são atribuídos ao mesmo administrador executivo.

4 - Os órgãos de administração e de fiscalização aprovam planos de formação plurianuais a frequentar pelos seus membros, os quais são revistos anualmente, de modo a assegurar a sua atualização permanente quanto a todos os riscos a que a instituição está ou pode vir a estar exposta, com especial foco nos riscos considerados emergentes.

5 - Em resultado da identificação e avaliação promovidas ao abrigo do n.º 1, os órgãos de administração e de fiscalização, ou o Comité de Nomeações previsto no artigo 115.º-B do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando constituído, elaboram e mantêm atualizada, num documento único, uma descrição detalhada das responsabilidades e funções a desempenhar por cada um dos seus membros e das competências e experiência profissional necessárias para o efeito.

6 - Para dar cumprimento ao disposto nos números 1, 2 e 5 do presente artigo, o órgão de administração, em articulação com o órgão de fiscalização, assegura que a instituição dispõe de políticas e processos internos, devidamente documentados e aprovados, que permitam:

a) A identificação e avaliação das necessidades referidas no n.º 1, e a elaboração da descrição referida no n.º 5;

b) A identificação, seleção e avaliação de potenciais candidatos a membros dos seus órgãos de administração e de fiscalização que permita suprir as necessidades referidas no n.º 1, atendendo à descrição referida no n.º 5.

7 - (Anterior n.º 5.)

8 - Tendo presente o disposto nos números 1 e 5, a instituição dispõe de uma política de sucessão, que tem em consideração o disposto na política de seleção e avaliação dos membros dos órgãos de administração e de fiscalização e dos titulares de funções essenciais e que inclui, nomeadamente, a identificação e descrição de perfis de função detalhados, incluindo o papel organizacional do cargo, as principais responsabilidades e interações, bem como a formação académica, experiência profissional e competências de gestão ou aptidões específicas necessárias

9 - (Anterior n.º 7.)

10 - Para efeitos do disposto nos números 8 e 9, a instituição recolhe e mantém apenas os dados pessoais necessários à prossecução dos objetivos que as referidas disposições visam atingir, nomeadamente, nome, contactos, habilitações académicas e percurso profissional.»

3 - O artigo 6.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 6.º

[...]

1 - As instituições abrangidas pelo presente Aviso, com exceção das previstas na alínea b) do n.º 1 do artigo 1.º, estão obrigadas a adotar um órgão de fiscalização.

2 - O órgão de administração interage de forma regular e efetiva com o órgão de fiscalização e assegura que este dispõe da informação, dos recursos materiais, técnicos e humanos, incluindo para recorrer a serviços externos, que o órgão de fiscalização considere necessários para o cabal exercício das competências que lhe são conferidas pela legislação e pela regulamentação aplicáveis.

3 - O órgão de fiscalização dispõe de um regulamento interno que define os procedimentos necessários ao adequado exercício das suas funções, incluindo os procedimentos que lhe permitam obter as informações necessárias para o efeito, bem como a existência de uma linha de reporte formal no âmbito da qual é definida a frequência mínima das suas interações com as funções de controlo interno.

4 - Qualquer um dos membros do órgão de fiscalização pode solicitar, a todo o tempo, qualquer documento ou informação, escrita ou oral, que considere relevante para o exercício das suas funções diretamente às diversas unidades de estrutura ou a qualquer colaborador da instituição, em particular às funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, sem necessidade de qualquer pedido ou comunicação prévia ao órgão de administração, e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização.

5 - As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, podem, por sua iniciativa, transmitir qualquer informação ou remeter ao órgão de fiscalização diretamente, qualquer documento que considerem relevante, sem necessidade de pedido ou comunicação prévia ao órgão de administração e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização.

6 - Qualquer condicionamento, ainda que temporário, ao acesso a informação, documentação ou a colaboradores da instituição, conforme previsto no n.º 4, ou ao acesso das funções de controlo interno ao órgão de fiscalização, conforme previsto no n.º 5, é comunicado, de imediato, à autoridade de supervisão competente e debatido em reunião do órgão de fiscalização, ficando registado em ata.

7 - O disposto nos números 3 a 6 do presente artigo aplica-se, com as devidas adaptações, também aos administradores não executivos do órgão de administração da instituição, quando existam.»

4 - O artigo 8.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 8.º

[...]

1 - [...]

a) [...]

b) O registo dos participantes e dos membros presentes em cada ponto da agenda;

c) [Anterior alínea b).]

d) [Anterior alínea c).]

e) [Anterior alínea d).]

f) [Anterior alínea e).]

2 - [...]

3 - [...]»

5 - O artigo 9.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 9.º

[...]

1 - [...]

a) [...]

b) Suporta o desenvolvimento da atividade da instituição e a implementação de um sistema de controlo interno adequado e eficaz, de forma a assegurar que a gestão e o controlo das operações e dos riscos a que a instituição está ou pode vir a estar exposta, são efetuados de uma forma prudente;

c) [...]

d) [...]

e) [...]

2 - [...]

a) [...]

b) [...]

3 - [...]

4 - [...]

5 - O órgão de fiscalização emite parecer prévio vinculativo sobre todas as matérias previstas no presente artigo respeitantes à própria organização deste órgão.»

6 - O artigo 12.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 12.º

[...]

1 - O órgão de administração da instituição estabelece e mantém um sistema de controlo interno, traduzido num conjunto de estratégias, políticas, processos, sistemas e procedimentos com o objetivo de garantir a resiliência operacional e a sustentabilidade da instituição no médio e longo prazo e o exercício prudente da sua atividade, através:

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

2 - [...]»

7 - O artigo 13.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 13.º

[...]

1 - [...]

2 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

3 - Para efeitos do disposto no presente Aviso, correspondem a deficiências as seguintes situações com impacto, atual ou potencial, nomeadamente na situação financeira da instituição, no nível de fundos próprios, nos requisitos de fundos próprios, no governo interno, na liquidez, na alavancagem, no modelo de negócio, na gestão e controlo de riscos da instituição:

a) Os incumprimentos legais, regulamentares, de normativos internos em vigor na instituição ou de orientações aplicáveis à atividade da instituição emitidas pelas autoridades competentes;

b) As oportunidades de introdução de melhorias decorrentes, nomeadamente, de melhores práticas reconhecidas a nível nacional ou internacional.

4 - [...]»

8 - O artigo 14.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 14.º

[...]

1 - [...]

2 - O órgão de administração assegura que a função de gestão de riscos tem uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta.

3 - No caso de a função de gestão de riscos ser desdobrada em mais do que uma unidade de estrutura, a instituição define qual dessas unidades de estrutura tem uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta, sendo o seu responsável considerado responsável pela função de gestão de riscos nos termos e para os efeitos do disposto no artigo 17.º do presente Aviso.

4 - Os responsáveis pelas unidades de estrutura que formam a função de gestão de riscos são considerados pela instituição como titulares de funções essenciais nos termos e para os efeitos do disposto no artigo 33.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

5 - Para efeitos do disposto no n.º 3 do presente artigo, constitui responsabilidade do órgão de administração assegurar:

a) A existência de interações e fluxos de informação adequados e frequentes entre as diferentes unidades de estrutura que formam a função de gestão de riscos;

b) Que a unidade de estrutura que tem a visão global de todos os riscos a que a instituição está ou pode vir a estar exposta tem poderes para desenvolver as atividades de verificação que considerar necessárias relativamente às demais unidades de estrutura que formam a função de gestão de riscos para obter garantia sobre a qualidade e suficiência da informação global de que dispõe sobre todos os riscos a que a instituição está ou pode vir a estar exposta.

6 - No caso previsto no n.º 3 do presente artigo, com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica a sua pretensão à autoridade de supervisão competente, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão deve conter a seguinte fundamentação:

a) Uma descrição da solução a adotar;

b) Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.

7 - Caso se verifique que o desdobramento da função de gestão de riscos não assegura uma adequada gestão dos riscos a que a instituição está ou pode vir a estar exposta, nomeadamente por não assegurar de forma adequada os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que a gestão dos riscos em causa seja assegurada por uma única unidade de estrutura.

8 - Os requisitos previstos no presente Aviso relativos à função de conformidade aplicam-se à função de controlo do cumprimento do quadro normativo referida no artigo 3.º do Aviso do Banco de Portugal n.º 1/2022, sempre que esta se encontre segregada daquela função de controlo interno.

9 - Para garantir a independência das funções de controlo interno, para além do disposto no artigo 15.º, o órgão de administração assegura que:

a) [Alínea a) do anterior n.º 4.]

b) Dispõem de uma linha de reporte direto aos órgãos de administração e de fiscalização e aos comités previstos no Regime Geral das Instituições de Crédito e Sociedades Financeiras que, pela natureza das suas responsabilidades, devam receber informação e interagir com as funções de controlo interno.

c) Dispõem de planos de atividades e de formação aprovados pelo órgão de administração, depois de obtido parecer prévio do órgão de fiscalização, cujos graus de execução devem ser regularmente monitorizados, no âmbito das respetivas competências, pelos órgãos de administração e de fiscalização;

d) [Alínea c) do anterior n.º 4.]

e) [Alínea d) do anterior n.º 4.]

f) [Alínea e) do anterior n.º 4.]

g) [Alínea f) do anterior n.º 4.]

10 - As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, dispõem de acesso direto aos órgãos de administração e de fiscalização e aos comités de apoio àqueles órgãos, quando constituídos, por sua iniciativa ou por iniciativa de qualquer membro destes órgãos.

11 - (Anterior n.º 6.)

12 - (Anterior n.º 7.)»

9 - O artigo 15.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 15.º

[...]

1 - As funções de controlo interno são estabelecidas em unidades de estrutura organicamente segregadas das atividades que monitorizam e controlam, sem prejuízo do disposto no n.º 6 do artigo seguinte.

2 - As funções de gestão de riscos, de conformidade e de auditoria interna são estabelecidas em unidades de estrutura autónomas e independentes entre si, sem prejuízo do disposto nos números 1 e 5 do artigo seguinte.»

10 - O artigo 16.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 16.º

[...]

1 - O órgão de administração das instituições habilitadas a receber depósitos cujo valor total dos ativos, num período ininterrupto de dois anos e em base individual, seja inferior a € 3 000 000 000, e que não prestem serviços comuns ao abrigo do disposto no n.º 3 do artigo 50.º do presente Aviso, pode decidir, de forma fundamentada e documentada em ata e após parecer do órgão de fiscalização, combinar numa única unidade de estrutura as responsabilidades da função de gestão de riscos e as responsabilidades da função de conformidade previstas no presente Aviso.

2 - No caso previsto no número anterior, o órgão de administração assegura que:

a) A função combinada de gestão de riscos e de conformidade cumpre com todos os requisitos legais e regulamentares aplicáveis, em particular no que respeita a recursos materiais, técnicos e humanos necessários para o desempenho das suas funções;

b) São adotados os mecanismos necessários para prevenir ou mitigar o risco de situações de conflitos de interesses decorrentes da acumulação das responsabilidades das funções de gestão de risco e de conformidade numa única unidade de estrutura.

3 - No caso previsto nos números anteriores, com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica a sua pretensão à autoridade de supervisão competente, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão competente deve conter a seguinte fundamentação:

a) Uma descrição da solução a adotar, que inclua uma ponderação da suficiência dos recursos materiais, técnicos e humanos para o desempenho eficaz das responsabilidades que impendem sobre a função de gestão de riscos e de conformidade por uma única unidade de estrutura;

b) Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.

4 - As instituições deixam de poder beneficiar da possibilidade conferida pelo n.º 1 do presente artigo no caso de o valor total dos seus ativos passar a ser superior a € 3 000 000 000, em base individual, num período ininterrupto de 2 anos.

5 - (Anterior n.º 2.)

6 - (Anterior n.º 1.)

7 - Quando a instituição não se encontre habilitada a receber depósitos, a função de auditoria interna:

a) Pode ser dispensada, no caso das instituições previstas na subalínea viii) da alínea b) do n.º 1 do artigo 6.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, se o número de colaboradores, excluindo os membros dos órgãos de administração e fiscalização, for inferior a trinta e os proveitos operacionais no último exercício económico forem inferiores a € 20 000 000, caso em que a instituição adota procedimentos de monitorização adicionais que permitam mitigar a inexistência da função;

b) Pode ser totalmente subcontratada, desde que seja observado o disposto no artigo 36.º do presente Aviso e designado um colaborador da instituição nos termos previstos na alínea d) do n.º 4 do artigo 50.º do presente Aviso.

8 - A subcontratação prevista na alínea b) do número anterior está sujeita a parecer prévio do órgão de fiscalização e não obsta ao cumprimento do disposto no artigo 32.º, sendo permanentemente assegurado que a entidade prestadora do serviço dispõe de recursos materiais, técnicos e humanos adequados e suficientes para desempenhar, de forma eficaz, independente, confiável e profissional, as responsabilidades afetas à função subcontratada.

9 - (Anterior n.º 5.)»

11 - O artigo 17.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 17.º

[...]

1 - [...]

2 - [...]

3 - Quando a instituição não se encontre habilitada a receber depósitos e caso a dimensão, natureza, âmbito e complexidade da atividade desenvolvida pela instituição, e a sua apetência para o risco, não justifiquem que o responsável pela função de gestão de riscos ou o responsável pela função de conformidade não exerçam outras funções na instituição, o órgão de administração pode decidir, de forma fundamentada e documentada em ata, que o cargo é desempenhado por um quadro superior da instituição que desempenhe outras funções, desde que seja salvaguardada a inexistência de conflitos de interesses e implementadas as medidas necessárias para os mitigar, bem como a disponibilidade para o exercício das funções.

4 - [...]

a) [...]

b) [...]

c) [...]

d) [...]»

12 - O artigo 19.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 19.º

[...]

1 - [...]

2 - [...]

a) [...]

b) [...]

c) [...]

3 - Para além do disposto no presente Aviso, a definição e implementação de um sistema de controlo interno adequado à gestão do risco de branqueamento de capitais e de financiamento do terrorismo está também sujeita às normas legais e regulamentares aplicáveis nesta matéria.

4 - [...]»

13 - O artigo 20.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 20.º

[...]

1 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

2 - [...]

a) [...]

b) [...]

c) Aprovar, previamente à sua introdução, políticas de gestão de risco aplicáveis aos novos produtos e atividades da instituição, assim como às alterações significativas aos produtos e atividades existentes, para identificação, avaliação, acompanhamento e controlo de riscos inerentes a essa introdução ou alteração, nomeadamente ao nível do impacto no perfil de risco operacional;

d) [...]

e) [...]

f) [...]

g) [...]»

14 - O artigo 25.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 25.º

[...]

1 - [...]

a) [...]

b) [...]

c) [...]

2 - [...]

3 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

g) [...]

h) [...]

i) [...]

j) [...]

k) [...]

l) Definição, implementação e revisão periódica, assegurando o envolvimento das funções de controlo interno nas respetivas áreas de atuação, de planos de contingência e de continuidade de negócio, incluindo de funções subcontratadas, que incluam cenários de perturbação grave da respetiva atividade.»

15 - O artigo 26.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 26.º

Gestão de riscos pelas unidades tomadoras de risco

1 - Consideram-se unidades tomadoras de risco as unidades de estrutura e áreas conexas que geram risco para a instituição, incluindo as unidades geradoras de negócio, as quais são as primeiras responsáveis pela identificação, avaliação, acompanhamento e controlo dos riscos em que incorrem.

2 - O órgão de administração, coadjuvado pelas funções de controlo interno da instituição, assegura que as unidades tomadoras de risco para a instituição:

a) Tomam decisões ponderadas pelo risco subjacente e dentro dos limites de tolerância ao risco definidos nas políticas de risco da instituição;

b) Implementam os processos e os mecanismos de controlo necessários para assegurar que todos os riscos que assumem são, devida e tempestivamente, identificados, avaliados, acompanhados e controlados, de modo a garantir que permanecem dentro dos limites de tolerância ao risco definidos nas políticas de risco da instituição;

c) [alínea c) da anterior redação do artigo 26.º]»

16 - O artigo 27.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 27.º

[...]

1 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

g) [...]

h) [...]

i) [...]

j) [...]

k) [...]

l) [...]

m) [...]

n) Emitir recomendações baseadas nos resultados das avaliações realizadas e assegurar um acompanhamento contínuo das deficiências identificadas ou monitorizadas por esta função, nos termos do n.º 12 do artigo 31.º do presente Aviso, com uma periodicidade apropriada ao risco associado, assegurando que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;

o) [...]

p) [...]

q) [...]

r) [...]

i) [...]

ii) Uma síntese das deficiências detetadas por qualquer unidade de estrutura, no âmbito dos processos e controlos implementados, que sejam classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020;

iii) [...]

iv) [...]

s) Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório, a subscrever pelo responsável pela função de gestão de riscos, que inclua:

i) [...]

ii) Uma avaliação da adequação da organização da função, tendo em conta os riscos a que a instituição está ou pode vir a estar exposta, incluindo, quando a função de gestão de riscos se encontrar desdobrada em mais do que uma unidade de estrutura, nos termos do artigo 14.º do presente Aviso, uma apreciação crítica sobre a forma como é dado cumprimento ao disposto nos números 2 e 5 do mesmo artigo;

iii) Uma avaliação da suficiência dos recursos materiais, técnicos e humanos afetos à função, incluindo da qualificação dos seus colaboradores e do grau de execução do seu plano de formação face às suas responsabilidades e necessidades concretas, com identificação das áreas em que se verificam maiores necessidades de aquisição de conhecimento ou robustecimento de competências;

iv) Uma avaliação do grau de execução do seu plano de atividades, considerando as alterações introduzidas ao mesmo e suas motivações, incluindo a justificação para o mesmo ter sido, ou não, cumprido;

v) [Anterior subalínea ii).]

2 - No caso de a função de gestão de riscos não estar estabelecida em unidade de estrutura organicamente segregada das atividades que monitoriza e controla nos termos do disposto no n.º 6 do artigo 16.º do presente Aviso, a avaliação da independência prevista na subalínea i) da alínea s) do número anterior é substituída por uma avaliação da adequação dos mecanismos implementados para prevenir ou mitigar o risco de situações de conflitos de interesses.

3 - Caso as funções de gestão de risco e de conformidade estejam combinadas na mesma unidade de estrutura, nos termos dos números 1 e 5 do artigo 16.º do presente Aviso, a avaliação da independência prevista na subalínea i) da alínea s) do n.º 1 presente artigo inclui, no primeiro relatório realizado após a combinação ou sempre que se verifiquem alterações, uma descrição dos mecanismos implementados para prevenir ou mitigar o risco de situações de conflitos de interesses decorrentes da acumulação das duas funções na mesma unidade de estrutura, bem como uma ponderação sobre a sua suficiência para assegurar a independência da função.

4 - Os relatórios referidos nas alíneas r) e s) do n.º 1 são disponibilizados, diretamente pelo responsável da função de gestão de riscos, aos órgãos de administração e de fiscalização e ao Comité de Riscos, quando constituído, bem como aos responsáveis pelas funções de conformidade, de auditoria interna e, quando aplicável, a todas as unidades de estrutura que formam a função de gestão de riscos.

5 - (Anterior n.º 3.)

6 - (Anterior n.º 4.)

7 - (Anterior n.º 5.)

8 - (Anterior n.º 6.)»

17 - O artigo 28.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 28.º

[...]

1 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

g) [...]

h) [...]

i) Emitir recomendações baseadas nos resultados das avaliações realizadas e assegurar um acompanhamento contínuo das deficiências identificadas ou monitorizadas, nos termos do n.º 12 do artigo 31.º do presente Aviso, pela função de conformidade, com uma periodicidade apropriada ao risco associado, assegurando que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;

j) Manter um registo permanentemente atualizado e completo e proceder à gestão de reclamações apresentadas por clientes, ou à sua monitorização, nos casos em que a gestão de reclamações seja assegurada por unidade de estrutura distinta, elaborando e apresentando aos órgãos de administração e de fiscalização, com uma periodicidade adequada, relatórios detalhados quanto ao tipo e conteúdo das reclamações apresentadas, as medidas adotadas para as gerir ou corrigir, bem como, quando aplicável, as deficiências identificadas no sistema de controlo interno que estão na origem da reclamação;

k) [...]

l) [...]

m) Acompanhar e monitorizar a aplicação das políticas e dos procedimentos relativos à comercialização de produtos, incluindo a adequação da informação prestada aos clientes, atendendo à sua rede e canais de comercialização, mediante o desenvolvimento de análises periódicas a esses procedimentos e a elaboração de propostas dirigidas ao órgão de administração e demais membros da direção de topo com vista à sua alteração, caso se verifiquem riscos atuais ou potenciais de incumprimentos legais ou regulamentares;

n) [...]

o) [...]

i) [...]

ii) Uma síntese das deficiências detetadas por qualquer unidade de estrutura, no âmbito dos processos e controlos implementados, que sejam classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020;

iii) [...]

iv) Identificação das recomendações emitidas e das medidas propostas destinadas à correção das deficiências referidas nos números anteriores, com indicação sobre se foram ou não adotadas;

p) Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório, a subscrever pelo responsável pela função de conformidade, que inclua o disposto na alínea s) do n.º 1 do artigo 27.º do presente Aviso, relativamente à função de conformidade, considerando o disposto nos números 2 e 3 do mesmo artigo;

q) Efetuar análises sobre alegados incumprimentos respeitantes a matérias incluídas no âmbito de atuação da função de conformidade e solicitar a assistência de outras unidades de estrutura da instituição para o efeito ou de recorrer a serviços externos para desempenhar essa tarefa, se necessário.

2 - [...]

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - [...]»

18 - O artigo 31.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 31.º

[...]

1 - [...]

2 - [...]

3 - [...]

4 - [...]

5 - Encontram-se dispensadas de realizar as avaliações autónomas referidas no n.º 3 as instituições em que o estabelecimento da função de auditoria interna não seja exigível nos termos do disposto na alínea a) do n.º 7 do artigo 16.º

6 - [...]

7 - [...]

8 - [...]

9 - [...]

10 - [...]

11 - As deficiências detetadas no âmbito das ações de controlo referidas nos números anteriores são alocadas às categorias de risco adotadas pela instituição em conformidade com o artigo 21.º, tendo em consideração a categoria de risco em que se prevê que se materialize com maior relevância o seu impacto.

12 - As deficiências referidas no número anterior, incluindo as identificadas pelo revisor oficial de contas ou sociedade de revisores oficiais de contas da instituição e pela autoridade de supervisão competente, são comunicadas, de imediato, à função de gestão de riscos, à função de conformidade ou à função de auditoria interna, consoante apropriado, ou a uma outra unidade de estrutura que tenha responsabilidades em matéria de controlo interno, que passa a ser responsável pela monitorização da implementação das medidas destinadas a corrigi-las.

13 - O órgão de administração é responsável por assegurar que todas as deficiências identificadas são devidamente registadas, que são reportadas aos níveis de gestão apropriados e que é definido um prazo para a sua correção, atendendo ao impacto da deficiência, de modo a possibilitar a adoção tempestiva de medidas adequadas destinadas a corrigi-las.

14 - (Anterior n.º 13.)

a) [Alínea a) do anterior n.º 13.]

b) A categoria de risco em que a deficiência se enquadra, tendo em consideração as categorias de risco definidas pela instituição nos termos do artigo 21.º, bem como, se distintas, as categorias de risco constantes de anexo à Instrução do Banco de Portugal n.º 18/2020;

c) [Alínea b) do anterior n.º 13.]

d) [Alínea c) do anterior n.º 13.]

e) [Alínea d) do anterior n.º 13.]

f) [Alínea e) do anterior n.º 13.]

g) [Alínea f) do anterior n.º 13.]

15 - A base de dados deve estar permanentemente atualizada, sendo o registo de deficiências e dos elementos previstos no número anterior do presente artigo efetuado sem demora injustificada.

16 - No âmbito das suas competências de supervisão, a autoridade de supervisão competente pode, a todo o tempo, consultar a base de dados referida nos números anteriores e solicitar informações sobre o seu conteúdo.

17 - (Anterior n.º 16.)

18 - A eficácia e adequação das medidas implementadas para suprir quaisquer deficiências detetadas, são validadas pela função de controlo interno responsável pela monitorização da sua implementação ou por outra unidade de estrutura com responsabilidades em matéria de controlo interno, em articulação com a(s) unidade(s) de estrutura a que as deficiências respeitam.

19 - (Anterior n.º 18.)»

19 - O artigo 32.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 32.º

[...]

1 - [...]

a) Avaliar a adequação e a eficácia da cultura organizacional e dos sistemas de governo e controlo interno da instituição, bem como das respetivas componentes individualmente consideradas, incluindo, nomeadamente, órgãos de administração e de fiscalização, respetivos comités de apoio, funções de gestão de risco e de conformidade e funções e atividades subcontratadas, elaborando e mantendo atualizado, para o efeito, o plano de atividades previsto na alínea c) do n.º 9 do artigo 14.º do presente Aviso, bem como um plano plurianual de ações de auditoria, assegurando que ambos são executados de acordo com a calendarização proposta pelo responsável pela função e aprovada pelo órgão de administração;

b) [...]

c) [...]

i) Da adequação e eficácia, como um todo, da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno, incluindo as diversas componentes de ambos os sistemas, incluindo as funções e atividades que sejam objeto de subcontratação;

ii) [...]

iii) Das deficiências detetadas nas ações de controlo, classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020, e de outras deficiências isoladamente pouco relevantes, mas que possam, no seu conjunto, evidenciar uma deterioração da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno;

iv) [...]

d) Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório a subscrever pelo responsável pela função de auditoria interna, que inclua:

i) [...]

ii) Uma avaliação da adequação da organização da função para avaliar os riscos a que a instituição está ou pode vir a estar exposta;

iii) Uma avaliação da suficiência dos recursos materiais, técnicos e humanos afetos à função, incluindo da qualificação dos seus colaboradores e do grau de execução do seu plano de formação face às suas responsabilidades e necessidades concretas, com identificação das áreas em que se verificam maiores necessidades de aquisição de conhecimento ou robustecimento de competências;

iv) Uma avaliação do grau de execução dos seus planos de atividades e de ações de auditoria, considerando as alterações introduzidas aos mesmos e suas motivações, incluindo a justificação para os mesmos terem sido, ou não, cumpridos;

v) [Anterior subalínea ii).]

vi) [Anterior subalínea iii).]

2 - [...]

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - [...]

a) [...]

b) Apreciam, anualmente, o plano de ações de auditoria para o ano seguinte, bem como a adequação do plano plurianual para garantir o cumprimento do disposto no n.º 2, os quais são objeto de aprovação pelo órgão de administração, após parecer prévio do órgão de fiscalização;

c) [...]

i) [...]

ii) [...]

iii) [...]

d) Asseguram que as deficiências identificadas pela auditoria interna, assim como as consequentes recomendações emitidas, são registadas e reportadas diretamente ao órgão de administração e, quando classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020, também ao órgão de fiscalização, de modo a garantir que a avaliação não é enviesada e que as questões identificadas são prontamente tomadas em consideração;

e) Asseguram que as deficiências identificadas ou monitorizadas, nos termos do n.º 12 do artigo 31.º do presente Aviso, pela função de auditoria interna, são objeto de um acompanhamento contínuo por parte desta função, com uma periodicidade adequada ao risco associado, e que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;

f) Asseguram que a função de auditoria interna tem conhecimento de todas as deficiências em aberto na instituição.

8 - [...]»

20 - O artigo 33.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 33.º

[...]

1 - [...]

2 - [...]

3 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

4 - [...]

5 - [...]

6 - As instituições podem definir procedimentos de aprovação agregada, pelo órgão de administração, de transações com partes relacionadas, desde que, para efeitos dessa aprovação, seja observado o disposto no n.º 4 do presente artigo, a aprovação especifique as condições concretas em que tais transações se poderão realizar e desde que tanto a aprovação, como as referidas condições, sejam revistas pelo menos trimestralmente.

7 - O órgão de administração aprova uma política interna para os efeitos previstos no presente artigo, após parecer prévio do órgão de fiscalização, que detalha, nomeadamente:

a) As responsabilidades das funções de gestão de risco e conformidade, tanto no processo de identificação como no processo de análise de uma transação com uma parte relacionada com a instituição;

b) Procedimentos que permitam a identificação, a todo o momento, das exposições individuais a partes relacionadas, o montante total das mesmas e o cumprimento dos limites previstos nos números 1 e 2 do artigo 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

c) Procedimentos que assegurem o cumprimento integral das obrigações estabelecidas nos artigos 85.º, 85.º-A e 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

d) As responsabilidades dos diretores de topo das unidades de estrutura relevantes na monitorização de operações com partes relacionadas, incluindo um reporte trimestral sobre essa monitorização às funções de gestão de riscos e de conformidade;

e) Procedimentos que prevejam que as funções de gestão de riscos e de conformidade reportam aos órgãos de administração e de fiscalização:

i) Pelo menos trimestralmente, informação que lhes permita monitorizar as operações com partes relacionadas;

ii) De imediato, qualquer situação de incumprimento dos normativos internos em vigor na instituição, e do disposto na legislação e regulamentação aplicável, relativamente a transações com partes relacionadas, recomendando eventuais medidas para a corrigir;

f) Os procedimentos referidos no n.º 6 do presente artigo;

g) No caso de instituições de crédito, os procedimentos para assegurar:

i) A realização da comunicação, à autoridade de supervisão competente, prevista no n.º 2 do artigo 85.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, igualmente aplicável nos casos previstos no n.º 4 do artigo 109.º do mesmo diploma, nos termos previstos na Instrução do Banco de Portugal n.º 18/2020;

ii) Que é observado o disposto no n.º 4 do presente artigo relativamente a qualquer projeto de alteração às operações abrangidas pelo número anterior e, em caso de concretização, que é efetuada a comunicação à autoridade de supervisão competente prevista na Instrução do Banco de Portugal n.º 18/2020.

8 - (Anterior n.º 7.)»

21 - O artigo 35.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 35.º

[...]

1 - O órgão de administração assegura que a instituição dispõe de uma política de participação de irregularidades que observe o disposto no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

2 - [...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

g) [...]

h) [...]

i) Estabelecer um prazo razoável para conclusão do procedimento de análise da denúncia, que não exceda três meses desde a data da sua receção, podendo o referido prazo ser prorrogado em circunstâncias devidamente fundamentadas;

j) [Anterior alínea i).]

k) [Anterior alínea j).]

3 - [...]

4 - O conteúdo mínimo do relatório anual previsto no n.º 7 do artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras é definido na Instrução do Banco de Portugal n.º 18/2020.

5 - [...]

6 - [...]

7 - [...]»

22 - O artigo 36.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 36.º

[...]

1 - As instituições podem subcontratar tarefas operacionais específicas das funções de controlo interno, designadamente através de soluções colaborativas, caso tal contribua para a eficiência do sistema de controlo interno e desde que obtido o prévio consentimento dos órgãos de administração e de fiscalização.

2 - Com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica à autoridade de supervisão competente a pretensão de adotar soluções colaborativas para o desenvolvimento de tarefas operacionais das funções de controlo interno, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão competente deve conter a seguinte fundamentação:

a) Uma descrição da solução colaborativa a adotar;

b) Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.

3 - A comunicação prevista no número anterior não dispensa a necessidade de as instituições efetuarem as comunicações previstas no Aviso do Banco de Portugal n.º 8/2023.

4 - (Anterior n.º 3.)

a) [Alínea a) do anterior n.º 3.]

b) [Alínea b) do anterior n.º 3.]

c) [Alínea c) do anterior n.º 3.]

d) [Alínea d) do anterior n.º 3.]

5 - (Anterior n.º 4.)

6 - As instituições asseguram que todos os potenciais conflitos de interesses são identificados antecipadamente e que são implementadas as medidas adequadas com vista à sua gestão e mitigação, em especial quando a subcontratação ocorra dentro do grupo.

7 - (Anterior n.º 6.)

8 - (Anterior n.º 7.)

9 - (Anterior n.º 8.)

10 - O órgão de administração assegura que o registo das tarefas subcontratadas é efetuado nos termos previstos no Aviso do Banco de Portugal n.º 8/2023.

11 - Caso se revele que a subcontratação de tarefas não é eficiente, nomeadamente por não cumprir os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que as instituições internalizem as tarefas subcontratadas nas suas funções de controlo interno ou que substituam a entidade subcontratada.»

23 - O artigo 37.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 37.º

[...]

1 - Caso a natureza, nível e complexidade das atividades prosseguidas pela instituição não justifique a implementação, na instituição, de um sistema informático de suporte à participação de irregularidades prevista no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras, a instituição pode proceder à sua subcontratação nos termos do disposto no presente artigo.

2 - [...]

a) [...]

b) A subcontratação do sistema informático de suporte à participação de irregularidades não obsta ao cumprimento do disposto no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras, nomeadamente, o acompanhamento e análise, pelo órgão de fiscalização, de qualquer participação efetuada e ao cumprimento do disposto no artigo 35.º;

c) Permite a elaboração, pela própria instituição, do relatório anual referido no n.º 7 do artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras e o seu atempado envio à autoridade de supervisão competente, nos termos da Instrução do Banco de Portugal n.º 18/2020.

3 - [...]

4 - [...]

5 - [...]»

24 - O artigo 39.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 39.º

[...]

[...]

a) [...]

b) [...]

c) [...]

d) [...]

e) [...]

f) [...]

g) [...]

h) [...]

i) Nas instituições habilitadas a receber depósitos, com exceção das Caixas de Crédito Agrícola Mútuo que integrem o Sistema Integrado de Crédito Agrícola Mútuo, os procedimentos para assegurar a realização do reporte à autoridade de supervisão competente da designação do revisor oficial de contas ou sociedade de revisores oficiais de contas, nos termos previstos na Instrução do Banco de Portugal n.º 18/2020.»

25 - O artigo 41.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 41.º

[...]

1 - [...]

a) [...]

b) Assegura que a identificação dos colaboradores que têm impacto material no perfil de risco da instituição é objeto de revisão com uma periodicidade mínima anual, de modo a incluir todos os colaboradores que exerceram funções com impacto material no perfil de risco da instituição durante um período mínimo de três meses em cada exercício financeiro;

c) [...]

2 - [...]»

26 - O artigo 44.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 44.º

[...]

1 - [...]

a) [...]

b) É apresentado à assembleia geral da instituição, e ao órgão de administração, que assegura a implementação das medidas referidas na alínea anterior pelos órgãos ou outras unidades de estrutura responsáveis, bem como ao órgão de fiscalização, que fiscaliza a sua efetiva implementação.

2 - [...]»

27 - O artigo 48.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 48.º

[...]

1 - Para efeitos do disposto no presente Aviso, o conceito de “grupo” é o disposto na alínea z) do n.º 1 do artigo 2.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

2 - [...]»

28 - O artigo 53.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 53.º

[...]

1 - [...]

2 - [...]

3 - As funções de gestão de riscos e de conformidade e o Comité de Remunerações ou, caso não se encontre constituído, os membros não executivos do órgão de administração da empresa-mãe e das filiais no exterior e dos estabelecimentos offshore efetuam, em articulação entre si, com uma periodicidade mínima anual, uma avaliação do impacto no grupo das práticas remuneratórias em vigor, em especial sobre a gestão de riscos, com especial ênfase nos riscos de capital e de liquidez da instituição.

4 - O relatório com os resultados da avaliação a que se refere o número anterior identifica, designadamente, as medidas destinadas à correção de eventuais deficiências detetadas, sendo apresentado à assembleia geral, ao órgão de administração e ao órgão de fiscalização da empresa-mãe, cabendo a este último fiscalizar a sua efetiva implementação.»

29 - O artigo 54.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 54.º

[...]

1 - [...]

2 - Para efeitos do disposto no número anterior, os órgãos de administração e de fiscalização, no âmbito das respetivas competências, asseguram que a instituição avalia a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno e elabora um relatório anual contendo os resultados dessa avaliação, com referência a 30 de setembro de cada ano, o qual inclui o conteúdo mínimo previsto no artigo 55.º do presente Aviso.

3 - Nos grupos financeiros, cabe aos órgãos de administração e de fiscalização da empresa-mãe, no âmbito das respetivas competências, assegurar, para além do disposto no número anterior, que é elaborado, com referência a 30 de setembro de cada ano, um relatório anual de autoavaliação sobre a adequação e eficácia da cultura organizacional e dos sistemas de governo e controlo interno do grupo financeiro, nos termos do artigo 58.º do presente Aviso.

4 - No relatório referido no número anterior, a empresa-mãe tem em consideração cada uma das entidades sujeitas a supervisão em base consolidada ou subconsolidada, compreendendo a empresa-mãe e todas as filiais, incluindo filiais em países terceiros e estabelecimentos offshore, que, independentemente da sua designação e classificação formal, exerçam em termos efetivos alguma das atividades enunciadas nas alíneas a) a i), p) e q) do n.º 1 do artigo 4.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

5 - Os relatórios referidos nos números anteriores são reportados à autoridade de supervisão competente nos termos da Instrução do Banco de Portugal n.º 18/2020, sendo que no caso dos grupos financeiros é reportado apenas o relatório de autoavaliação do grupo, sem prejuízo do disposto no n.º 8 do artigo 58.º do presente Aviso.

6 - O reporte de informação sobre a gestão do risco de branqueamento de capitais e de financiamento do terrorismo é exclusivamente objeto de relatório autónomo, nos termos definidos pelo Aviso do Banco de Portugal n.º 1/2022, de 6 de junho e pela Instrução do Banco de Portugal n.º 8/2024.»

30 - O artigo 55.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 55.º

[...]

1 - (Anterior redação do artigo 55.º)

a) [Alínea a) da anterior redação do artigo 55.º]

b) [Alínea b) da anterior redação do artigo 55.º]

c) [Alínea c) da anterior redação do artigo 55.º]

2 - Quando a instituição combine numa única unidade de estrutura as funções de gestão de riscos e de conformidade, nos termos dos números 1 e 5 do artigo 16.º do presente Aviso, os relatórios referidos na alínea c) do número anterior respeitantes a estas funções são combinados num único documento.»

31 - O artigo 56.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 56.º

[...]

1 - A avaliação referida na alínea a) do n.º 1 do artigo anterior sobre a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno, incluindo todas as matérias tratadas no presente Aviso, contém:

a) [...]

b) Opinião clara, detalhada e fundamentada, expressa pela positiva, sobre a adequação e eficácia da cultura organizacional em vigor e os sistemas de governo e de controlo interno da instituição, no âmbito das responsabilidades atribuídas por lei ao órgão de fiscalização, que pondere, à data de referência, designadamente, os impactos atuais ou potenciais das deficiências que se mantenham em aberto;

c) [...]

d) Apreciação sobre o estado de concretização das medidas definidas no período de referência para corrigir as deficiências detetadas, com referência a eventuais prorrogações do prazo inicialmente definido para esse efeito, incluindo as deficiências do sistema de controlo financeiro interno e do sistema de contabilidade reportadas pelo revisor oficial de contas, nos termos da alínea j) do n.º 2 do artigo 11.º do Regulamento (UE) n.º 537/2014 ou no âmbito de outras atividades por este realizadas, ou identificadas por outras entidades externas à instituição, incluindo autoridades de supervisão;

e) [...]

f) Declaração sobre a fiabilidade dos processos de preparação de reportes prudenciais e financeiros, incluindo os efetuados ao abrigo do Regulamento de Execução (UE) n.º 2021/451, da Comissão, de 17 de dezembro de 2020, no período de referência;

g) [...]

h) [...]

i) Os resultados das avaliações externas independentes previstas nos números 2 e 3 do artigo 3.º, no n.º 7 do artigo 29.º, no n.º 4 do artigo 30.º e no n.º 8 do artigo 32.º do presente Aviso, efetuadas durante o período de referência, e uma ponderação dos impactos atuais ou potenciais das deficiências identificadas na adequação e eficácia da cultura organizacional e dos sistemas de governo e de controlo interno da instituição.

2 - [...]

3 - [...]

4 - [...]

5 - [...]

6 - [...]

7 - Sem prejuízo do disposto no número seguinte, para efeitos da emissão das opiniões e declarações previstas no n.º 1 do presente artigo, pelo menos uma vez em cada mandato, o órgão de fiscalização recorre obrigatoriamente aos serviços do seu revisor oficial de contas ou sociedade de revisores oficiais de contas da instituição, cabendo-lhe definir, de forma fundamentada, a extensão e âmbito dos trabalhos a contratar.

8 - Quando as funções de controlo interno não cumpram materialmente as condições para o exercício independente das suas funções, designadamente por se encontrarem em aberto deficiências materialmente relevantes sobre as matérias compreendidas no n.º 9 do artigo 14.º do presente Aviso, ou por a avaliação do supervisor quanto a essas funções revelar a existência de preocupações relevantes de ordem prudencial quanto à sua efetividade e eficácia, a autoridade de supervisão competente pode, no âmbito das suas competências de supervisão, exigir que o órgão de fiscalização recorra aos serviços previstos no número anterior numa base anual, cabendo a tal órgão definir, de forma fundamentada, a extensão e âmbito dos trabalhos a contratar.

9 - (Anterior n.º 7.)

a) [Alínea a) do anterior n.º 7.]

b) [Alínea b) do anterior n.º 7.]»

32 - O artigo 57.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 57.º

[...]

A avaliação referida na alínea b) do n.º 1 do artigo 55.º do presente Aviso sobre a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno, incluindo todas as matérias tratadas no presente Aviso, inclui:

a) [...]

b) [...]

c) Resumo das ações empreendidas e das medidas implementadas para corrigir as deficiências que se mantenham em aberto, com referência a eventuais prorrogações do prazo inicialmente definido para a sua correção e respetiva justificação, bem como das deficiências identificadas e corrigidas no período de referência;

d) Os resultados das avaliações externas independentes previstas no n.º 2 do artigo 3.º, no n.º 7 do artigo 29.º, no n.º 4 do artigo 30.º e no n.º 8 do artigo 32.º efetuadas durante o período de referência, e uma ponderação dos impactos atuais ou potenciais das deficiências identificadas na adequação e eficácia da cultura organizacional e dos sistemas de governo e de controlo interno da instituição;

e) [...]

f) Uma confirmação expressa de que a informação prevista na alínea e) do n.º 1 do artigo 3.º do presente Aviso é regularmente comunicada e compreendida pelos colaboradores das unidades de estrutura relevantes da instituição, em especial os das funções de controlo interno.»

33 - O artigo 58.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

«Artigo 58.º

[...]

1 - O relatório anual de autoavaliação do grupo referido no n.º 3 do artigo 54.º do presente Aviso é elaborado pela empresa-mãe, sendo constituído pelos elementos referidos no artigo 55.º do presente Aviso, os quais são elaborados na perspetiva do grupo financeiro de modo a assegurar que é feita uma avaliação da adequação, eficácia, coerência e integração da cultura organizacional e dos sistemas de controlo interno do grupo financeiro, bem como do cumprimento do disposto no Capítulo X do presente Aviso.

2 - Quando as funções de controlo interno de uma ou mais entidades do grupo sejam asseguradas por outra entidade do grupo em regime de serviços comuns, nos termos do disposto no n.º 3 do artigo 50.º do presente Aviso, os relatórios previstos na alínea c) do n.º 1 do artigo 55.º são subscritos pelos responsáveis das funções de controlo interno da entidade que presta o serviço, sendo emitido um relatório por cada função de controlo interno abrangendo todas as entidades que beneficiam do referido regime de serviços comuns.

3 - Nos relatórios referidos no número anterior são avaliadas todas as dimensões previstas na alínea s) do n.º 1 do artigo 27.º e na alínea d) do n.º 1 do artigo 32.º do presente Aviso relativamente a cada uma das entidades que beneficia do regime de serviços comuns.

4 - Para além do disposto no n.º 1 do presente artigo, e sem prejuízo da inclusão de outros elementos que os órgãos de administração e de fiscalização considerem relevantes, o relatório anual de autoavaliação inclui ainda:

a) Avaliação do órgão de fiscalização da empresa-mãe quanto à coerência entre os sistemas de controlo interno das filiais, incluindo as filiais no estrangeiro e os estabelecimentos offshore, e o sistema de controlo interno da empresa-mãe;

b) [Alínea d) do anterior n.º 1.]

c) Na elaboração das opiniões previstas na alínea b) do n.º 1 do artigo 56.º e na alínea b) do artigo 57.º, os órgãos de administração e de fiscalização da empresa-mãe pronunciam-se também, de forma expressa, fundamentada e pela positiva, sobre o impacto que as deficiências F3 (“elevado”) e F4 (“muito elevado”) e as deficiências de antiguidade superior a 3 anos têm na adequação e eficácia do sistema de controlo interno de cada uma das filiais e no grupo.

5 - Para efeito do disposto no presente artigo as entidades referidas no n.º 4 do artigo 54.º elaboram, anualmente, relatórios de autoavaliação individuais nos termos previstos no n.º 2 do mesmo artigo, disponibilizando-os à empresa-mãe.

6 - O órgão de administração da empresa-mãe do grupo emite as orientações necessárias para que as entidades referidas no n.º 4 do artigo 54.º elaborem, anualmente, os seus relatórios individuais de forma consistente entre si e nos termos previstos no presente Aviso.

7 - O órgão de administração da empresa-mãe das entidades referidas no n.º 4 do artigo 54.º do presente Aviso, pode, depois de obtido o parecer do órgão de fiscalização da empresa-mãe, excluir da obrigação de elaboração do relatório previsto no n.º 5 do presente artigo, as filiais no estrangeiro sem atividade relevante e que não influenciem o perfil de risco do grupo, bem como as filiais no estrangeiro cuja atividade se limite à de escritório de representação em termos idênticos aos estabelecidos no artigo 63.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, sendo todas as exclusões adequadamente justificadas e referidas no relatório de autoavaliação do grupo.

8 - O órgão de administração da empresa-mãe de um grupo remete, de imediato, à autoridade de supervisão competente o seu relatório de autoavaliação individual previsto no n.º 2 do artigo 54.º do presente Aviso e os relatórios de autoavaliação individuais referidos no n.º 5 do presente artigo, sempre que tal lhe seja solicitado.»

34 - É aditado um novo Capítulo XIII ao Aviso do Banco de Portugal n.º 3/2020 que passa a ter a seguinte redação:

«CAPÍTULO XIII

CONGLOMERADOS FINANCEIROS

Artigo 64.º-A

Âmbito de aplicação

1 - O presente capítulo é aplicável, para além do disposto no Capítulo X sobre grupos financeiros, às entidades sujeitas a supervisão complementar nos termos previstos no artigo 9.º do Decreto-Lei n.º 145/2006, de 31 de julho.

2 - Para efeitos do presente capítulo, são aplicáveis as definições constantes do artigo 2.º do Decreto-Lei n.º 145/2006, de 31 de julho.

Artigo 64.º-B

Processos de gestão de risco ao nível do conglomerado

1 - As entidades sujeitas a supervisão complementar devem possuir, ao nível do conglomerado financeiro, processos adequados de gestão dos riscos a que estão expostas, de acordo com o definido no artigo 15.º do Decreto-Lei n.º 145/2006, de 31 de julho, de modo a garantir, nomeadamente, a gestão eficiente da atividade do conglomerado, através da minimização dos riscos a que está ou pode vir a estar exposto.

2 - Os processos de gestão dos riscos devem ser parte integrante do sistema de gestão, avaliação e reporte de risco ao nível do conglomerado financeiro.

3 - Os processos de gestão dos riscos ao nível do conglomerado financeiro devem garantir, no mínimo, a existência de um conjunto de procedimentos que permitam:

a) Identificar, avaliar, gerir, controlar e monitorizar os diferentes tipos de risco a que o conglomerado financeiro está ou pode vir a estar exposto;

b) Realizar análises qualitativas e quantitativas de risco adequadas, identificando as medidas de risco consideradas;

c) Definir os níveis mínimos de tolerância para cada risco, os quais devem ser revistos periodicamente e, no mínimo, anualmente;

d) Definir e monitorizar indicadores de alerta no sentido de permitir uma deteção tempestiva dos riscos potencialmente adversos;

e) Cumprir todas as normas legais e regulamentares aplicáveis ao conglomerado financeiro;

f) Definir o conteúdo e assegurar a manutenção de toda a informação necessária para efeitos de reporte às autoridades de supervisão e de gestão dos riscos incorridos pelo conglomerado financeiro, incluindo o respetivo suporte documental;

g) Produzir informação fiável e tempestiva para os órgãos de administração das entidades relevantes do conglomerado financeiro sobre a atividade ao nível do conglomerado e a exposição a cada tipo de risco, possibilitando a verificação da concretização dos objetivos e orientações estabelecidos, bem como para os órgãos de fiscalização das entidades relevantes do conglomerado financeiro para fiscalizar, nomeadamente, a eficácia do sistema de gestão de riscos.

4 - Os processos de gestão dos riscos devem ainda assegurar que os procedimentos desenvolvidos para acompanhamento e controlo dos riscos contemplam a adoção de medidas específicas perante situações em que o conglomerado financeiro é confrontado com uma concentração de riscos indesejável face ao seu perfil de risco.

5 - As políticas de gestão do risco de concentração devem contemplar eventuais medidas de controlo e mitigação do risco a implementar em face da inobservância dos limites aplicáveis à concentração de riscos.

6 - A responsabilidade pelo sistema de gestão dos riscos é dos órgãos de administração competentes ao nível do conglomerado financeiro, não podendo esta responsabilidade ser delegada, nomeadamente, numa comissão executiva.

7 - As entidades sujeitas a supervisão complementar devem assegurar, ao nível do conglomerado financeiro, que a informação relativa aos processos de gestão de risco esteja disponível em qualquer momento para análise por parte da autoridade competente.

Artigo 64.º-C

Mecanismos de controlo interno

1 - As entidades sujeitas a supervisão complementar devem incluir, no mínimo, ao nível do conglomerado financeiro, os mecanismos de controlo interno especificados no artigo 16.º do Decreto-Lei n.º 145/2006, de 31 de julho, assim como garantir a produção de informação relevante para efeitos do acompanhamento do cumprimento dos requisitos prudenciais aplicáveis.

2 - As entidades mencionadas no ponto anterior devem dispor de sistemas de controlo interno adequados que permitam um efetivo controlo dos riscos associados à atividade, ao nível do conglomerado financeiro, cuja conceção e implementação devem atender ao tipo, à dimensão, à natureza e aos riscos das operações realizadas.

3 - O controlo dos riscos ao nível do conglomerado deve incluir a definição de limites ou de outros limiares de exposição, coerentes com a estratégia e perfil de risco globais, assim como pela realização de testes de esforço e/ou outras análises consideradas relevantes.»

35 - O Capítulo XIV passa a tratar as matérias do anterior Capítulo XIII e é composto pelo artigo 65.º do Aviso do Banco de Portugal n.º 3/2020.

36 - O Capítulo XV passa a tratar as matérias do anterior Capítulo XIV e é composto pelos artigos 66.º, 67.º e 68.º do Aviso do Banco de Portugal n.º 3/2020.

Artigo 3.º

Disposição transitória

1 - As instituições adaptam-se às novas obrigações decorrentes do presente Aviso no prazo de 6 meses a contar da data da sua entrada em vigor.

2 - As instituições abrangidas pelo disposto no n.º 1 do artigo 6.º do presente Aviso dispõem de um prazo de 12 meses após a sua entrada em vigor para adotarem um órgão de fiscalização.

Artigo 4.º

Disposição revogatória

São revogadas a Instrução do Banco de Portugal n.º 17/2011, publicada em 16 de novembro de 2011 no Boletim Oficial do Banco de Portugal n.º 8/2011, e a Instrução do Banco de Portugal n.º 28/2007, publicada em 17 de dezembro no Boletim Oficial do Banco de Portugal n.º 12/2007.

Artigo 5.º

Entrada em vigor

O presente Aviso entra em vigor no dia seguinte ao da sua publicação.

Artigo 6.º

Republicação

É republicado em anexo o Aviso n.º 3/2020 com as alterações introduzidas pelo presente Aviso.

5 de março de 2025. - O Governador, Mário Centeno.

ANEXO

(a que se refere o artigo 6.º)

Republicação do Aviso do Banco de Portugal n.º 3/2020

O exercício da atividade financeira envolve, incontornavelmente, a assunção de riscos de diversa natureza. Estes riscos, se não forem devidamente geridos podem comprometer a viabilidade e a sustentabilidade de uma instituição, com consequências negativas para a preservação da estabilidade financeira. Assim, o exercício desta atividade encontra-se sujeito a um conjunto de requisitos regulatórios de cariz prudencial, designadamente destinados a promover a adoção de comportamentos consonantes com a preservação da estabilidade financeira e com a proteção dos interesses dos depositantes e outros clientes.

Neste contexto, assume especial relevância a regulação da conduta e da cultura, do governo e da organização interna das entidades financeiras. Esta matéria é tratada pelo direito da União Europeia que se debruça sobre a regulação das instituições de crédito, que vem sendo transposto no ordenamento jurídico português através do Regime Geral das Instituições de Crédito e Sociedades Financeiras. Adicionalmente, e já em 2008, o Banco de Portugal emitiu o Aviso do Banco de Portugal n.º 5/2008, que regulamenta os sistemas de controlo interno das entidades supervisionadas, e o Aviso do Banco de Portugal n.º 10/2011, que regulamenta as políticas e práticas remuneratórias destas mesmas entidades.

Passados mais de dez anos sobre a entrada em vigor do Aviso do Banco de Portugal n.º 5/2008, afigura-se necessária a revisão das soluções dele constantes, à luz dos desenvolvimentos ao nível da legislação europeia e portuguesa sobre estas matérias, das orientações da Autoridade Bancária Europeia (EBA na sigla inglesa), das melhores práticas internacionais, da reflexão e experiência prática de supervisão acumuladas pelo Banco de Portugal, bem como por questões de certeza e segurança jurídica. Aproveita-se esta revisão para incorporar no presente Aviso as disposições do Aviso do Banco de Portugal n.º 10/2011, com o objetivo de tratar de forma integrada as diversas matérias de cultura organizacional e de governo e controlo interno, no sentido de promover uma visão integrada e holística das mesmas.

O disposto no presente Aviso deve ser interpretado e aplicado tendo em conta o enquadramento conferido pela legislação, regulamentação e orientações europeias e portuguesas sobre a matéria. Os conceitos utilizados no Aviso devem ser lidos, salvo quando referido o contrário, tendo em conta as definições que constam do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

Sem prejuízo dos requisitos definidos no presente Aviso, cada entidade é responsável pela decisão e implementação do modelo de organização interna que considere mais apropriado, atendendo ao princípio da proporcionalidade e às suas características e circunstâncias idiossincráticas. O presente Aviso, em conjunto com a lei, e atendendo às orientações da EBA relevantes, serve de enquadramento para essa escolha e implementação, estruturando-a, e realçando objetivos prudenciais essenciais que não podem ser descurados pelas entidades supervisionadas.

Assim, o presente Aviso trata (i) da conduta e cultura organizacional, (ii) do governo interno, estrutura organizacional e planeamento estratégico, (iii) do sistema de controlo interno e gestão de riscos, (iv) das partes relacionadas e conflitos de interesses, (v) da participação de irregularidades, (vi) da subcontratação das tarefas operacionais das funções de controlo interno e do sistema informático de suporte à participação de irregularidades, (vii) das políticas de seleção e designação de auditores externos, (viii) das políticas e práticas remuneratórias, (ix) dos grupos financeiros, (x) da autoavaliação pelas entidades reguladas das matérias nele previstas, e (xi) da documentação, sistematização de informação e divulgação de informação ao público.

Cada uma destas matérias é particularmente relevante para uma gestão sã e prudente da atividade pelas entidades supervisionadas, e o regime aplicável a cada uma delas encontra-se previsto em capítulo próprio.

A densificação no presente Aviso do tema da conduta e cultura organizacional justifica-se pela influência decisiva que tem sobre a forma como as entidades supervisionadas gerem a sua atividade. A este respeito é de destacar o relatório “Banking Conduct and Culture - A Permanent Mindset Change”, elaborado pelo G30 e publicado em novembro de 2018, que refere que a conduta e a cultura organizacional resultam dos mecanismos internos que produzem os valores e os comportamentos que prevalecem na instituição e que conformam a conduta dos seus colaboradores, contribuindo para a criação de confiança nas instituições em geral e para que beneficiem de uma reputação positiva entre os diferentes grupos de interesses internos e externos.

De acordo com as orientações da EBA sobre governo interno (EBA/GL/2017/11), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2018/00000016, o conceito de governo interno inclui todos os critérios e princípios relacionados com a forma como (i) são estabelecidos os objetivos, estratégias e sistema de gestão de riscos de uma instituição, (ii) os seus negócios se encontram organizados, (iii) as responsabilidades e linhas de autoridade são definidas e alocadas, (iv) as linhas de reporte se encontram configuradas, e (v) o sistema de controlo interno é organizado e implementado, incluindo os procedimentos contabilísticos e as políticas de remuneração. Abrange também os sistemas de produção de informação, a subcontratação e a gestão da continuidade do negócio.

Neste âmbito, realça-se que a escolha e a avaliação da adequação dos membros dos órgãos de administração e de fiscalização (individual e coletivamente), e dos titulares de funções essenciais, devem ser iniciadas de forma atempada e assentar numa identificação sustentada das necessidades concretas da entidade supervisionada, atendendo às suas características e circunstâncias específicas. Essas mesmas necessidades devem estar subjacentes à decisão quanto ao número de membros dos órgãos de administração e de fiscalização e à criação de comités de apoio a estes órgãos, assim se fomentando a gestão sã e prudente e uma fiscalização interna eficaz em cada instituição.

No que respeita aos responsáveis pelas funções de gestão de riscos, conformidade e auditoria interna, em linha com o disposto nas orientações da EBA sobre a avaliação da adequação dos membros dos órgãos de administração e dos titulares de funções essenciais (EBA/GL/2017/12), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2018/00000018, no presente Aviso estabelece-se que a adequação para o exercício das respetivas funções é objeto de avaliação e autorização pela autoridade de supervisão competente, em momento anterior à sua entrada em funções, no caso de instituições de crédito identificadas pelo Banco de Portugal como outras instituições de importância sistémica (O-SII), nos termos do disposto no artigo 138.º-Q do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

De modo a reforçar as condições para que os auditores externos executem o seu trabalho com independência, isenção e objetividade, consagra-se a obrigatoriedade de as entidades supervisionadas adotarem políticas de seleção e designação de revisores oficiais de contas ou sociedades de revisores oficiais de contas, com um conteúdo mínimo que é consagrado no Aviso. Salienta-se, a este respeito, a necessidade de as instituições observarem também o disposto nas recomendações que venham a ser emitidas pelo Committee of European Auditing Oversight Bodies (CEAOB) sobre a matéria. Este tema é objeto de tratamento no presente Aviso na medida em que as políticas adotadas neste domínio pelas entidades supervisionadas se enquadram no seu governo interno, naturalmente sem prejuízo das competências de supervisão da atividade de auditoria atribuída à Comissão do Mercado de Valores Mobiliários.

No que concerne ao controlo interno, e conforme previsto no anterior Aviso do Banco de Portugal n.º 5/2008, importa ter presente que o ambiente de controlo das instituições reflete a sua atitude e as suas ações perante o controlo interno, resultantes (i) das convicções, preferências e juízos de valor manifestados pelo órgão de administração e pelos restantes colaboradores da instituição em relação ao sistema de controlo interno, e (ii) da ênfase colocada no controlo interno, nas medidas tomadas, nas políticas e procedimentos aprovados e na definição e implementação da estrutura organizacional. O ambiente de controlo é influenciado, designadamente (i) pelo padrão de valores éticos seguido pela instituição, (ii) pela existência de meios materiais, técnicos e humanos suficientes e adequados, (iii) pelo grau de transparência da estrutura organizacional e da sua adequação face à complexidade, dimensão e natureza da atividade da instituição, (iv) pela clareza da cadeia hierárquica e das responsabilidades e competências atribuídas a cada função, (v) pela qualidade do processo de planeamento estratégico, e (vi) pelo grau de envolvimento do órgão de administração na atividade desenvolvida.

De forma a assegurar uma gestão sã e prudente, o processo de análise e de tomada de decisão nas entidades supervisionadas deve ser sensível ao risco, e assente em informação credível, completa e o mais atualizada possível.

O presente Aviso, tal como as orientações da EBA sobre governo interno (EBA/GL/2017/11), tem por base o modelo das três linhas de defesa do Institute of Internal Auditors, recentemente referidas pelo European Systemic Risk Board no relatório denominado “Macroprudential approaches to non-performing loans”, publicado em janeiro de 2019 e pelo G30 no relatório denominado “Banking Conduct and Culture - A Permanent Mindset Change”, publicado em novembro de 2018. Em traços gerais, o modelo das três linhas de defesa assenta na repartição de distintas responsabilidades em matéria de governo e gestão dos riscos pelas diferentes funções que integram cada uma das linhas as quais podem ser caracterizadas, sumariamente, da seguinte forma:

Primeira linha: as unidades geradoras de negócio e áreas conexas, que geram risco para a instituição e que são as primeiras responsáveis pela identificação, avaliação, acompanhamento e controlo dos riscos em que incorrem, nos termos do disposto no artigo 26.º do presente Aviso;

Segunda linha: as funções de suporte e de controlo que incluem, nomeadamente, as funções de gestão de riscos e de conformidade, as quais interagem com as funções da primeira linha com vista à adequada identificação, avaliação, acompanhamento e controlo dos riscos inerentes à atividade desenvolvida pelas funções da primeira linha, nos termos do disposto nos artigos 27.º e 28.º do presente Aviso;

Terceira linha: a função de auditoria interna, que realiza análises independentes e orientadas para o risco, nos termos do disposto no artigo 32.º do presente Aviso.

Tendo presente estas três linhas de defesa, as entidades supervisionadas devem atender às suas especificidades ao desenvolver os seus sistemas de controlo interno, podendo, por exemplo, desdobrar as linhas de defesa em diversas funções dentro da entidade supervisionada.

Em todo o caso, devem ser sempre salvaguardadas duas premissas fundamentais: a primeira é que todas as unidades tomadoras de risco são as responsáveis pela sua gestão primária, para o que é essencial garantir que estabelecem os mecanismos necessários e adequados para o efeito e que interagem eficazmente com a segunda linha de defesa com vista a esse fim. A segunda é que, independentemente do modelo de gestão de riscos adotado, deverá ser sempre assegurado que a função de gestão de riscos tem uma visão agregada e holística sobre todos os riscos inerentes à atividade da instituição.

Importa referir que, para efeitos do presente Aviso, apenas correspondem a funções de controlo interno as funções de gestão de riscos, de conformidade e de auditoria interna e a função de controlo do cumprimento do quadro normativo prevista no artigo 7.º do Aviso do Banco de Portugal n.º 2/2018, sempre que se encontre segregada da função de conformidade.

Quanto a estas, o Aviso consagra os requisitos necessários para garantir a sua independência organizacional. Em particular, realça-se a regra, com exceções, de que estas funções devem ser estabelecidas em unidades de estrutura distintas das unidades que desenvolvem atividades que têm por dever monitorizar e controlar e em unidades de estrutura autónomas e independentes entre si. No entanto, embora as entidades supervisionadas devam promover a independência das funções de controlo interno face a objetivos de negócio, não devem impedir interações virtuosas entre as várias linhas de defesa. O objetivo último deve ser sempre o funcionamento eficiente e harmonioso do sistema de controlo interno, assente num ambiente de controlo adequado, que envolva todos os colaboradores, cada um dos quais ciente do papel que desempenha no sistema em causa.

Ainda no que respeita às funções de controlo interno, importa salientar que o presente Aviso consagra a obrigatoriedade de disporem de acesso direto aos órgãos de administração e de fiscalização e aos comités de apoio àqueles órgãos quando constituídos. Com esta norma, pretende-se, por um lado, que as referidas funções possam transmitir diretamente e de imediato quaisquer informações aos referidos órgãos sem a intervenção prévia de terceiros e, por outro lado, que estes as possam solicitar diretamente às funções de controlo interno.

Considerando os desenvolvimentos entretanto ocorridos, as categorias de riscos previstas no Aviso do Banco de Portugal n.º 5/2008 foram eliminadas, remetendo-se agora para o disposto na legislação, regulamentação e orientações aplicáveis. Prevalece, porém, o mesmo princípio de as entidades supervisionadas adotarem categorias de risco que, no seu conjunto, abranjam todos os fatores associados aos eventos de risco a que estão ou podem vir a estar expostas.

No que respeita ao processo de produção, tratamento e reporte de informação pelas instituições, aproveitou-se a oportunidade para atualizar o artigo 19.º do Aviso do Banco de Portugal n.º 5/2008, à luz das recomendações publicadas neste domínio pelo Comité de Supervisão Bancária de Basileia.

Pela sua relevância e em linha com as orientações da EBA em vigor sobre a matéria (EBA/GL/2019/02), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2019/00000065, no presente Aviso trata-se também da possibilidade de subcontratação ocasional de tarefas operacionais das funções de controlo interno, consagrando-se um regime específico a observar pelas entidades supervisionadas quando a ela recorram.

Em paralelo, e em linha com o que já se encontrava previsto no Aviso do Banco de Portugal n.º 5/2008, o presente Aviso consagra a possibilidade de as instituições, quando façam parte de um grupo financeiro, poderem estabelecer serviços comuns para o desenvolvimento das responsabilidades atribuídas às funções de gestão de riscos, de conformidade e de auditoria interna. O regime específico a observar nos casos em que tal suceda é consagrado no capítulo dedicado aos grupos financeiros, passando a estar expressamente previsto que a entidade prestadora do serviço comum não pode estar estabelecida em jurisdição com um regime legal que impeça ou limite quer o cumprimento, pela instituição, das normas legais e regulamentares que regem a sua atividade, incluindo ao nível da prestação e circulação de informação, quer o exercício da supervisão pela autoridade de supervisão competente.

Uma das fontes relevantes de risco para as entidades supervisionadas, e para o sistema financeiro, são os conflitos de interesses, com especial ênfase para as transações com partes relacionadas e para a aceitação de liberalidades. A relevância destas matérias levou ao seu tratamento no presente Aviso, consagrando-se a obrigatoriedade de as entidades supervisionadas adotarem políticas sobre estas matérias e os regimes específicos a observar relativamente às mesmas.

No que respeita a políticas e práticas remuneratórias, e também em linha com as orientações da EBA relativas a políticas de remuneração sãs (EBA/GL/2015/22), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2016/00000036, estabelecem-se no presente Aviso normas complementares às constantes do Regime Geral das Instituições de Crédito e Sociedades Financeiras, e que são relevantes para a sua implementação prática pelas entidades supervisionadas. Algumas dessas normas constavam do Aviso do Banco de Portugal n.º 10/2011, que é agora revogado.

A organização das entidades supervisionadas em grupos levanta um conjunto específico de preocupações prudenciais que justifica o seu tratamento de forma mais densificada no presente Aviso. Para além da possibilidade do estabelecimento de serviços comuns para o desenvolvimento das funções de gestão de riscos, conformidade e auditoria interna, passa também a referir-se expressamente que as empresas-mãe devem dispor da informação necessária para realizar uma avaliação completa do perfil de risco do grupo e devem conhecer a sua estrutura, que deve ser transparente, de forma a permitir que não apenas a empresa-mãe, mas também terceiros, com particular relevo para o supervisor, entendam cabalmente a forma como se encontra organizada. São também expressamente estabelecidos o princípio da transparência na organização dos grupos financeiros e o princípio da coerência dos sistemas de controlo interno dos grupos financeiros.

Por força do presente Aviso, as entidades supervisionadas passam a estar obrigadas a realizar uma autoavaliação da adequação e eficácia da sua cultura organizacional e dos seus sistemas de governo e controlo interno. Esta autoavaliação é vertida num relatório anual que é elaborado com referência a 30 de novembro de cada ano. Este relatório passa a incluir, no mínimo, avaliações elaboradas pelos órgãos de administração e de fiscalização das entidades supervisionadas e relatórios elaborados pelas funções de controlo interno contendo uma avaliação sobre a independência dessas funções e informações sobre todas as deficiências identificadas relativamente às mesmas. O conteúdo mínimo destas avaliações é consagrado no Aviso, clarificando-se a necessidade de serem abrangentes, conclusivas e fundamentadas, sendo também identificadas as fontes de informação internas e externas que devem ser utilizadas para suportar as avaliações efetuadas. O objetivo é promover uma reflexão regular, por parte das instituições, quanto ao grau de cumprimento das matérias tratadas no Aviso, de modo a que seja ponderada a adoção das medidas necessárias para ultrapassar eventuais deficiências identificadas.

Relativamente ao conteúdo destas avaliações, destaca-se que são revistas e clarificadas as exigências que recaem sobre o órgão de fiscalização quanto a esta matéria, passando estas avaliações a abranger a cultura organizacional e os sistemas de governo e de controlo interno, em linha com as suas responsabilidades decorrentes da legislação nacional e europeia. A avaliação do órgão de fiscalização passa assim a abranger, entre outros aspetos, todo o sistema de controlo interno.

Neste contexto é também revisto e clarificado o papel do revisor oficial de contas ou sociedade de revisores oficiais de contas nesta matéria. Contrariamente ao que sucedia no Aviso do Banco de Portugal n.º 5/2008, o presente Aviso deixa de exigir um parecer autónomo do revisor oficial de contas ou sociedade de revisores oficiais de contas sobre a parte do sistema de controlo interno referente ao processo de preparação e divulgação de informação financeira. No entanto, os trabalhos por estes realizados devem continuar a servir de base às avaliações dos órgãos de administração e de fiscalização, seja por via dos trabalhos já previstos na legislação própria sobre auditoria ou por via dos trabalhos adicionais que sejam contratados especificamente pela instituição para auxiliar na avaliação da cultura organizacional e do sistema de governo e de controlo interno.

É adotado racional idêntico quando estejam em causa grupos financeiros, embora os relatórios de autoavaliação relativos aos grupos sejam menos abrangentes, focando-se no controlo interno.

Por último, a experiência adquirida também revelou a necessidade de serem consagradas regras em matéria de gestão documental. Neste sentido, no presente Aviso, consagra-se a obrigatoriedade de as entidades supervisionadas manterem, nomeadamente, um adequado arquivo documental, assegurando que a documentação que o compõe permite, entre outros aspetos, conhecer inequivocamente a fundamentação das decisões tomadas e os respetivos intervenientes.

Consagra-se igualmente a obrigatoriedade de as entidades supervisionadas sistematizarem, de forma integrada e atualizada, a informação respeitante às matérias previstas no Anexo ao presente Aviso. Esta informação inclui a parte descritiva do anterior relatório de controlo e interno e, quando solicitado, é disponibilizada, de imediato, à autoridade de supervisão competente.

O projeto do presente Aviso foi sujeito a consulta pública, tendo sido ouvidas a Comissão do Mercado de Valores Mobiliários, a Autoridade de Supervisão de Seguros e Fundos de Pensões e a Comissão Nacional de Proteção de Dados.

Nestes termos, o Banco de Portugal, no uso das competências que lhe são conferidas pelo artigo 17.º da sua Lei Orgânica, aprovada pela Lei n.º 5/98, de 31 de janeiro e pelo disposto no n.º 12 do artigo 30.º-B, no n.º 2 do artigo 99.º, no n.º 3 do artigo 115.º, no n.º 3 do artigo 115.º-G, no n.º 2 do artigo 115.º-I, na alínea f) do n.º 1 do artigo 116.º, no n.º 8 do artigo 116.º-AA e na alínea c) do artigo 133.º, todos do Regime Geral das Instituições de Crédito e Sociedades Financeiras, aprovado pelo Decreto-Lei n.º 298/92, de 31 de dezembro, determina o seguinte:

CAPÍTULO I

DISPOSIÇÕES GERAIS

Artigo 1.º

Objeto

1 - O presente Aviso regulamenta os sistemas de governo e controlo interno e define os padrões mínimos em que deve assentar a cultura organizacional das seguintes entidades (adiante designadas como “instituições”), sem prejuízo de outras disposições legais e regulamentares aplicáveis:

a) Instituições de crédito e sociedades financeiras com sede em Portugal;

b) Sucursais de instituições de crédito, de instituições financeiras e de empresas de investimento com sede em países que não sejam Estados-Membros da União Europeia;

c) Companhias financeiras, companhias financeiras mistas e sociedades gestoras de participações sociais sujeitas à supervisão do Banco de Portugal nos termos do disposto no artigo 117.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando sejam consideradas empresas-mãe nos termos da alínea q) do artigo 2.º-A do mesmo diploma.

2 - As instituições são responsáveis por cumprir todos os deveres constantes do presente Aviso, independentemente de, no seio da organização, os mesmos recaírem especialmente sobre determinado órgão ou agente.

3 - A Caixa Central de Crédito Agrícola Mútuo emite as orientações necessárias para assegurar a aplicação consistente e harmonizada do presente Aviso pelo Sistema Integrado do Crédito Agrícola Mútuo.

4 - O presente Aviso regulamenta ainda os artigos 15.º e 16.º do Decreto-Lei n.º 145/2006, de 31 de julho.

CAPÍTULO II

CONDUTA E CULTURA ORGANIZACIONAL

Artigo 2.º

Cultura organizacional

1 - Os órgãos de administração e de fiscalização são responsáveis, no âmbito das respetivas competências, por promover a existência, na instituição, de uma cultura organizacional assente em elevados padrões de exigência ética, que, cumulativamente:

a) Promova uma cultura de risco integrada que abranja todas as áreas de atividade da instituição e que assegure a identificação, avaliação, acompanhamento e controlo dos riscos a que a instituição está ou pode vir a estar exposta;

b) Promova uma conduta profissional responsável e prudente, a observar por todos os colaboradores e membros dos órgãos de administração e de fiscalização no desempenho das respetivas funções, pautada por elevados padrões de exigência ética consagrados num código de conduta próprio da instituição;

c) Contribua para reforçar os níveis de confiança e reputação da instituição, quer a nível interno, quer nas relações estabelecidas com clientes, investidores, autoridades de supervisão e outros terceiros.

2 - Os membros dos órgãos de administração e de fiscalização, os demais membros da direção de topo e os titulares de funções essenciais contribuem, no exercício das respetivas competências, para a gestão sã e prudente da instituição e para uma cultura organizacional com as características referidas no número anterior.

3 - O órgão de administração assegura que os prestadores de serviços com os quais a instituição se relaciona no contexto de qualquer atividade ou função que subcontrate, promovem uma cultura organizacional assente em padrões de ética equiparáveis aos da própria instituição.

4 - Quando a natureza das funções subcontratadas o justifique, as instituições exigem, contratualmente, que os prestadores de serviços asseguram que os colaboradores alocados ao exercício de funções na instituição subscrevem declarações de tomada de conhecimento e vinculação ao código de conduta da instituição.

Artigo 3.º

Deveres do órgão de administração

1 - O órgão de administração da instituição:

a) Promove a definição, aprova, após parecer prévio do órgão de fiscalização, e zela pela aplicação de um código de conduta, com as características referidas no artigo seguinte;

b) Discute regularmente, nas suas reuniões, e nas reuniões com os demais membros da direção de topo, as matérias relacionadas com a conduta e cultura organizacional e assegura o registo das respetivas conclusões;

c) Adota medidas que valorizam comportamentos alinhados com uma cultura organizacional com as características descritas no n.º 1 do artigo 2.º, incluindo, nomeadamente, medidas disciplinares adequadas e proporcionais sempre que forem detetadas situações de incumprimento às regras de conduta;

d) Promove um ambiente de controlo que valoriza o controlo interno como um elemento essencial para a resiliência e o bom desempenho no longo prazo da instituição;

e) Informa as diferentes unidades de estrutura, através de comunicações regulares, sobre o nível de tolerância ao risco da instituição, adota medidas concretas com vista a promover uma forte consciência, junto de todos os colaboradores da instituição, de aversão a níveis de risco que ultrapassem os limites definidos e assegura que todos os colaboradores conhecem as suas responsabilidades em matéria de tomada e controlo de riscos;

f) Promove um ambiente organizacional que encoraja os colaboradores a partilhar a sua opinião de forma livre e aberta e a comunicar superiormente a existência de problemas sem receio de represálias, e a não adotar ou tolerar práticas de gestão agressivas;

g) Promove a realização de ações de formação, realizadas com caráter obrigatório no momento do início de funções e renovadas a cada dois anos ou sempre que houver alterações relevantes de conteúdo, com vista à sensibilização de todos os colaboradores, incluindo os membros dos órgãos de administração e de fiscalização, relativamente aos valores da instituição e às regras de conduta em vigor, assegurando, nomeadamente, que os colaboradores da instituição se encontram cientes das consequências legais e disciplinares que podem resultar de condutas impróprias;

h) Para além do disposto na alínea anterior, promove, ao longo do ano, a comunicação e divulgação das regras de conduta em vigor na instituição, de modo a torná-las presentes no dia-a-dia da gestão e no processo de tomada de decisão;

i) Assegura que no processo de recrutamento e seleção de novos colaboradores, incluindo membros dos órgãos sociais, é avaliada a adesão dos candidatos aos padrões éticos da instituição;

j) Age com diligência, lealdade e neutralidade nas relações mantidas com terceiros, e assegura que são adotados procedimentos internos isentos, transparentes e auditáveis, nomeadamente quando esteja em causa a contratação de serviços e a aquisição e alienação de ativos pela instituição.

2 - O órgão de administração promove avaliações periódicas e independentes, a realizar por entidade externa à instituição, relativamente à conduta e valores da instituição, as quais incidem também sobre a conduta e valores do próprio órgão de administração e dos seus comités.

3 - Por sua iniciativa, o órgão de fiscalização da instituição também promove avaliações periódicas e independentes, a realizar por entidade externa à instituição, sobre a conduta e valores do próprio órgão, as quais podem ser desenvolvidas em articulação com as avaliações referidas no número anterior.

Artigo 4.º

Código de conduta

1 - O código de conduta da instituição é claro, compreensível e coerente com outros normativos internos em vigor na instituição.

2 - O código de conduta da instituição prevê, no mínimo, o seguinte:

a) O desempenho da atividade em cumprimento da legislação, regulamentação e orientações aplicáveis e das normas adotadas internamente pela instituição;

b) A obrigatoriedade de adoção de comportamentos consonantes com os níveis de tolerância ao risco definidos pela instituição;

c) A definição dos comportamentos aceitáveis e não aceitáveis e respetivas medidas e procedimentos de prevenção e controlo, designadamente em matéria de dever de segredo, proibição de uso ilegítimo de informação privilegiada, deveres de lealdade, prevenção de conflitos de interesses e negócios com partes relacionadas, atividades exercidas em acumulação com as funções exercidas na instituição, liberalidades, ofertas, e benefícios e contactos com a comunicação social e outras entidades externas;

d) Princípios orientadores e normas internas dos vários aspetos das relações com clientes, incluindo os mecanismos e procedimentos internos adotados no âmbito da apreciação de reclamações, em conformidade com o previsto no Regime Geral das Instituições de Crédito e Sociedades Financeiras;

e) As consequências legais e disciplinares do seu incumprimento.

3 - O órgão de administração aprova, após parecer prévio do órgão de fiscalização, o código de conduta e as políticas e normativos internos que o desenvolvem e concretizam, definindo, entre outros aspetos, as responsabilidades das funções de controlo interno, os procedimentos de verificação regular do seu cumprimento, as medidas de prevenção, identificação, gestão e mitigação de conflitos de interesses e os deveres de reporte associados.

4 - O órgão de administração assegura que o código de conduta referido no número anterior é objeto de revisões periódicas, a realizar pelo menos a cada dois anos e sempre que ocorram alterações na legislação e regulamentação que o justifiquem.

5 - O órgão de administração é responsável por garantir que a instituição assegura a tomada de conhecimento expresso por cada colaborador do código de conduta que esteja em vigor.

6 - O órgão de administração é responsável por assegurar que o código de conduta é divulgado internamente na instituição e externamente através do sítio na Internet da instituição.

CAPÍTULO III

GOVERNO INTERNO, ESTRUTURA ORGANIZACIONAL E PLANEAMENTO ESTRATÉGICO

SECÇÃO I

ÓRGÃOS DE ADMINISTRAÇÃO E DE FISCALIZAÇÃO

Artigo 5.º

Organização e composição

1 - Os órgãos de administração e de fiscalização da instituição identificam e avaliam as respetivas necessidades ao nível da sua composição e organização e, salvo se outro órgão for competente para o efeito nos termos da legislação em vigor, aprovam, respetivamente, regulamentos internos próprios.

2 - Para além do disposto no número anterior, e quando assim for deliberado pelo órgão de administração, este identifica e avalia, em face das necessidades concretas da instituição, quais os pelouros a distribuir por cada membro com funções executivas.

3 - No caso previsto no n.º 3 do artigo 14.º, os pelouros respeitantes às diferentes unidades de estrutura que formam a função de gestão de riscos são atribuídos ao mesmo administrador executivo.

4 - Os órgãos de administração e de fiscalização aprovam planos de formação plurianuais a frequentar pelos seus membros, os quais são revistos anualmente, de modo a assegurar a sua atualização permanente quanto a todos os riscos a que a instituição está ou pode vir a estar exposta, com especial foco nos riscos considerados emergentes.

5 - Em resultado da identificação e avaliação promovidas ao abrigo do n.º 1 os órgãos de administração e de fiscalização, ou o Comité de Nomeações previsto no artigo 115.º-B do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando constituído, elaboram e mantêm atualizada, num documento único, uma descrição detalhada das responsabilidades e funções a desempenhar por cada um dos seus membros e das competências e experiência profissional necessárias para o efeito.

6 - Para dar cumprimento ao disposto nos números 1, 2 e 5 do presente artigo, o órgão de administração, em articulação com o órgão de fiscalização, assegura que a instituição dispõe de políticas e processos internos, devidamente documentados e aprovados, que permitam:

a) A identificação e avaliação das necessidades referidas no n.º 1, e a elaboração da descrição referida no n.º 5;

b) A identificação, seleção e avaliação de potenciais candidatos a membros dos seus órgãos de administração e de fiscalização que permita suprir as necessidades referidas no n.º 1, atendendo à descrição referida no n.º 5.

7 - Os processos internos referidos no número anterior incluem uma confirmação adequada da informação prestada pelos candidatos a membros dos órgãos de administração e de fiscalização, no âmbito do processo de seleção e avaliação.

8 - Tendo presente o disposto nos números 1 e 5, a instituição dispõe de uma política de sucessão, que tem em consideração o disposto na política de seleção e avaliação dos membros dos órgãos de administração e de fiscalização e dos titulares de funções essenciais e que inclui, nomeadamente, a identificação e descrição de perfis de função detalhados, incluindo o papel organizacional do cargo, as principais responsabilidades e interações, bem como a formação académica, experiência profissional e competências de gestão ou aptidões específicas necessárias.

9 - A política de sucessão referida no número anterior deve, adicionalmente, especificar o processo interno, externo ou ambos, de suporte à seleção e avaliação de potenciais sucessores, órgãos envolvidos, o respetivo calendário, bem como suportar a elaboração de uma lista permanentemente atualizada de possíveis candidatos a membros dos órgãos de administração e de fiscalização que possa ser submetida à consideração da assembleia geral.

10 - Para efeitos do disposto nos números 8 e 9, a instituição recolhe e mantém apenas os dados pessoais necessários à prossecução dos objetivos que as referidas disposições visam atingir, nomeadamente, nome, contactos, habilitações académicas e percurso profissional.

Artigo 6.º

Fiscalização interna efetiva

1 - As instituições abrangidas pelo presente Aviso, com exceção das previstas na alínea b) do n.º 1 do artigo 1.º, estão obrigadas a adotar um órgão de fiscalização.

2 - O órgão de administração interage de forma regular e efetiva com o órgão de fiscalização e assegura que este dispõe da informação, dos recursos materiais, técnicos e humanos, incluindo para recorrer a serviços externos, que o órgão de fiscalização considere necessários para o cabal exercício das competências que lhe são conferidas pela legislação e pela regulamentação aplicáveis.

3 - O órgão de fiscalização dispõe de um regulamento interno que define os procedimentos necessários ao adequado exercício das suas funções, incluindo os procedimentos que lhe permitam obter as informações necessárias para o efeito, bem como a existência de uma linha de reporte formal no âmbito da qual é definida a frequência mínima das suas interações com as funções de controlo interno.

4 - Qualquer um dos membros do órgão de fiscalização pode solicitar, a todo o tempo, qualquer documento ou informação, escrita ou oral, que considere relevante para o exercício das suas funções diretamente às diversas unidades de estrutura ou a qualquer colaborador da instituição, em particular às funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, sem necessidade de qualquer pedido ou comunicação prévia ao órgão de administração, e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização.

5 - As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, podem, por sua iniciativa, transmitir qualquer informação ou remeter ao órgão de fiscalização diretamente, qualquer documento que considerem relevante, sem necessidade de pedido ou comunicação prévia ao órgão de administração e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização.

6 - Qualquer condicionamento, ainda que temporário, ao acesso a informação, documentação ou a colaboradores da instituição, conforme previsto no n.º 4, ou ao acesso das funções de controlo interno ao órgão de fiscalização, conforme previsto no n.º 5, é comunicado, de imediato, à autoridade de supervisão competente e debatido em reunião do órgão de fiscalização, ficando registado em ata.

7 - O disposto nos números 3 a 6 do presente artigo aplica-se, com as devidas adaptações, também aos administradores não executivos do órgão de administração da instituição, quando existam.

Artigo 7.º

Comités

1 - Os órgãos de administração e de fiscalização estabelecem os comités de apoio necessários à mais eficiente prossecução das respetivas competências.

2 - Os órgãos de administração e de fiscalização aprovam regulamentos próprios para cada comité, que definem os seus termos de funcionamento e que incluem, nomeadamente, a identificação do presidente e do secretário, se designado, os seus membros, as suas competências, a periodicidade das reuniões, bem como os procedimentos instituídos para efeitos de preparação e agendamento das reuniões, designadamente a documentação mínima de suporte, mecanismos e prazos de submissão.

3 - Para efeitos do disposto no número anterior, a instituição recolhe e mantém apenas os dados pessoais necessários à prossecução dos objetivos que a referida disposição visa atingir, nomeadamente, nome, contactos e cargo desempenhado na instituição.

4 - A constituição do Comité de Remunerações previsto no artigo 115.º-H do Regime Geral das Instituições de Crédito e Sociedades Financeiras é obrigatória, nomeadamente, nas seguintes instituições:

a) Instituições de crédito identificadas como outras instituições de importância sistémica (O-SII) nos termos do disposto no artigo 138.º-Q do referido diploma;

b) Instituições que, não tendo sido identificadas como outras instituições de importância sistémica (O-SII), tenham colaboradores, incluindo os membros dos órgãos de administração e de fiscalização, que auferem rendimentos de montante particularmente elevado, traduzidos em rendimentos anuais iguais ou superiores a € 1 000 000, por exercício económico.

5 - A constituição do Comité de Riscos previsto no artigo 115.º-L do Regime Geral das Instituições de Crédito e Sociedades Financeiras é obrigatória nas instituições identificadas como outras instituições de importância sistémica (O-SII) nos termos do disposto no artigo 138.º-Q do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

6 - Salvo em circunstâncias devidamente fundamentadas e aceites pela autoridade de supervisão competente, o presidente do Comité de Riscos não pode desempenhar o cargo de presidente de qualquer outro comité da instituição.

7 - Quando a entidade identificada como O-SII, nos termos do disposto no artigo 138.º-Q do Regime Geral das Instituições de Crédito e Sociedades Financeiras, não corresponda a uma instituição de crédito, o disposto no presente artigo aplica-se às instituições de crédito relativamente às quais a O-SII seja empresa-mãe.

Artigo 8.º

Registo das reuniões dos órgãos colegiais

1 - No âmbito das respetivas competências, todos os órgãos colegais da instituição, incluindo os comités, são responsáveis por assegurar que são elaboradas, tempestivamente, atas de todas as reuniões realizadas, que permitam uma adequada compreensão das matérias nelas tratadas, incluindo, pelo menos:

a) O nome, cargo e assinatura de todos os participantes na reunião, bem como indicação expressa dos membros não presentes;

b) O registo dos participantes e dos membros presentes em cada ponto da agenda;

c) Identificação da documentação de suporte a cada um dos pontos da agenda;

d) A fundamentação de cada deliberação tomada, incluindo o sentido de voto e a identificação dos membros votantes, e uma referência expressa a eventuais opiniões divergentes;

e) Uma descrição de eventuais recomendações formuladas;

f) Identificação dos assuntos que carecem de acompanhamento em reuniões futuras.

2 - Os órgãos colegiais e comités da instituição são responsáveis por assegurar o adequado arquivo da documentação de suporte a cada um dos pontos da agenda das reuniões.

3 - Para efeitos do disposto no presente artigo, o órgão de administração assegura que a instituição dispõe de um sistema informático de gestão documental respeitante às reuniões dos seus órgãos colegiais e dos seus comités.

SECÇÃO II

ESTRUTURA ORGANIZACIONAL E PLANEAMENTO ESTRATÉGICO

Artigo 9.º

Estrutura organizacional

1 - O órgão de administração define, aprova e implementa a estrutura organizacional da instituição, que inclui os órgãos sociais da instituição e respetivos comités, assegurando que a mesma:

a) Está definida de forma integrada, objetiva, transparente e percetível, num manual de estrutura orgânica ou documento interno equivalente;

b) Suporta o desenvolvimento da atividade da instituição e a implementação de um sistema de controlo interno adequado e eficaz, de forma a assegurar que a gestão e o controlo das operações e dos riscos a que a instituição está ou pode vir a estar exposta, são efetuados de uma forma prudente;

c) Assenta numa definição coerente, clara e objetiva das linhas de reporte e de autoridade, das competências e responsabilidades de cada órgão, unidade de estrutura e função, bem como do grau e âmbito de cooperação entre si;

d) Contempla uma adequada segregação de funções potencialmente conflituantes, sem prejudicar interações entre essas funções com potencial mais-valia para o regular funcionamento da instituição, assegurando que quaisquer situações de potenciais conflitos de interesses são identificadas antecipadamente, minimizadas e sujeitas a uma monitorização cuidadosa e independente;

e) Assenta num número suficiente de membros da direção de topo e da gestão intermédia, bem como de outros colaboradores, para o desenvolvimento das responsabilidades e funções definidas.

2 - A estrutura organizacional, incluindo as competências e responsabilidades de cada órgão, unidade de estrutura ou função, as linhas de reporte e de autoridade, os fluxos de informação e o grau e âmbito de cooperação e interação entre os diversos órgãos, unidades de estrutura ou funções:

a) São comunicadas, pelo órgão de administração, no tempo, pela forma e com o detalhe adequados, a todos os colaboradores da instituição, incluindo aos membros do órgão de fiscalização;

b) São analisadas e revistas regularmente, no mínimo de dois em dois anos e sempre que necessário, pelo órgão de administração, com vista a garantir a sua atualidade e adequação permanente às circunstâncias concretas da instituição.

3 - No caso de instituições com reduzida amplitude de atividade e de riscos associados e em que, devido à limitação de recursos disponíveis, seja inexequível a total segregação de funções potencialmente conflituantes, as instituições identificam, documentam, mantêm um registo e implementam procedimentos alternativos de controlo de modo a evitar ou a minimizar o risco da ocorrência de situações de conflitos de interesses.

4 - O órgão de administração assegura que o sistema de controlo interno da instituição inclui procedimentos que garantam que cada unidade de estrutura da instituição, incluindo os órgãos de administração e de fiscalização, cumpre atempadamente com os deveres de atuação resultantes do presente Aviso.

5 - O órgão de fiscalização emite parecer prévio vinculativo sobre todas as matérias previstas no presente artigo respeitantes à própria organização deste órgão.

Artigo 10.º

Planeamento estratégico

1 - O órgão de administração define uma estratégia, sustentável a longo prazo, para a atividade da instituição, para o seu perfil de risco e para o sistema de controlo interno, através de um processo formal de planeamento, executado com uma periodicidade adequada.

2 - A estratégia referida no número anterior é elaborada com base em pressupostos adequadamente fundamentados, que são objeto de análises de sensibilidade e em informação fiável e compreensível, tendo em vista, nomeadamente, o seguinte:

a) Possibilitar a sua adaptação tempestiva caso se verifiquem alterações significativas nos pressupostos que lhe estão subjacentes, tendo por base uma avaliação prévia do impacto de materialização de desvios;

b) Definir objetivos precisos, claros e sustentáveis para a atividade global e para cada área de negócio, abrangendo os principais produtos, atividades, sistemas e processos da instituição;

c) Determinar a política de risco, que permita suportar os níveis de rentabilidade projetados, tendo em conta os riscos envolvidos;

d) Estabelecer orientações que sirvam de base ao desenvolvimento do sistema de controlo interno da instituição.

3 - A estratégia da instituição é comunicada com a periodicidade, pela forma e com o detalhe adequados, a todos os colaboradores da instituição, incluindo aos membros do órgão de fiscalização.

Artigo 11.º

Recursos materiais, técnicos e humanos

1 - O órgão de administração assegura a existência de recursos materiais, nomeadamente capital e liquidez, técnicos e humanos adequados para a prossecução sã e prudente da estratégia de longo prazo da instituição, devendo assegurar que as diversas unidades de estrutura da instituição dispõem dos recursos materiais, técnicos e humanos para desempenhar de forma eficiente e contínua as respetivas funções.

2 - O órgão de administração é responsável por assegurar que a instituição define, aprova, implementa e revê políticas específicas em matéria de recursos humanos, nomeadamente relativas a recrutamento e seleção, avaliação de desempenho, promoção e gestão de carreiras, remuneração, formação e desenvolvimento de competências, que promovam, em permanência:

a) Uma conduta profissional responsável e prudente, nos termos previsto na alínea b) do n.º 1 do artigo 2.º;

b) Um nível de conhecimentos, experiência e competências adequado às responsabilidades e funções atribuídas a cada colaborador;

c) Um conhecimento adequado por parte de cada colaborador da sua função e responsabilidades dentro da instituição e da relação entre essa função e as demais funções, nomeadamente no contexto do sistema de controlo interno.

CAPÍTULO IV

SISTEMA DE CONTROLO INTERNO E GESTÃO DE RISCOS

SECÇÃO I

DISPOSIÇÕES GERAIS

Artigo 12.º

Estabelecimento do sistema de controlo interno

1 - O órgão de administração da instituição estabelece e mantém um sistema de controlo interno, traduzido num conjunto de estratégias, políticas, processos, sistemas e procedimentos com o objetivo de garantir a resiliência operacional e a sustentabilidade da instituição no médio e longo prazo e o exercício prudente da sua atividade, através:

a) Do cumprimento dos objetivos estabelecidos no planeamento estratégico, com base na realização eficiente das operações, na utilização eficiente dos recursos da instituição e na salvaguarda dos seus ativos;

b) Da adequada identificação, avaliação, acompanhamento e controlo dos riscos a que a instituição está ou pode vir a estar exposta;

c) Da existência de informação financeira e não financeira completa, pertinente, fiável e tempestiva;

d) Da adoção de procedimentos contabilísticos sólidos;

e) Do cumprimento da legislação, da regulamentação e das orientações aplicáveis à atividade da instituição, emitidas pelas autoridades competentes, do cumprimento dos normativos internos da própria instituição, bem como das normas e usos profissionais e deontológicos e das regras de conduta e de relacionamento com clientes.

2 - O sistema de controlo interno abrange toda a instituição, incluindo as responsabilidades e as funções dos órgãos de administração e de fiscalização, todos os seus segmentos de atividade, unidades de estrutura, nomeadamente as funções de controlo interno, atividades subcontratadas e os canais de distribuição de produtos.

Artigo 13.º

Organização do sistema de controlo interno

1 - O órgão de administração assegura que o sistema de controlo interno estabelecido nos termos do artigo anterior é definido tendo em consideração o princípio da proporcionalidade e o grau de centralização de autoridade e de delegação estabelecido na instituição.

2 - O órgão de administração assegura que o sistema de controlo interno da instituição:

a) Inclui funções de controlo interno permanentes e efetivas, com um estatuto, autoridade e independência na estrutura organizacional conformes com o previsto no presente Aviso, destinadas a verificar, nas respetivas áreas de competência, se as estratégias, políticas, processos, sistemas e procedimentos estabelecidos são adequados, devidamente atualizados, corretamente aplicados e efetivamente cumpridos;

b) Assenta num sistema de gestão de riscos que permita identificar, avaliar, acompanhar e controlar todos os riscos que possam influenciar a estratégia e os objetivos definidos para a instituição, que assegure o seu cumprimento efetivo e que permita a tomada das ações necessárias para responder adequada e tempestivamente a desvios não pretendidos ou esperados;

c) Assenta num sistema de gestão de informação e comunicação que assegure a recolha, tratamento, arquivo e troca de dados relevantes, abrangentes e consistentes, num prazo e de forma a permitir o desempenho eficaz e tempestivo da gestão e o controlo da atividade e dos riscos aos quais a instituição está ou pode vir a estar exposta;

d) Assenta num processo de monitorização contínua que assegure a adequação e eficácia do sistema de controlo interno ao longo do tempo e que garanta, nomeadamente, a identificação e a correção tempestiva de eventuais deficiências.

3 - Para efeitos do disposto no presente Aviso, correspondem a deficiências as seguintes situações com impacto, atual ou potencial, nomeadamente na situação financeira da instituição, no nível de fundos próprios, nos requisitos de fundos próprios, no governo interno, na liquidez, na alavancagem, no modelo de negócio, na gestão e controlo de riscos da instituição:

a) Os incumprimentos legais, regulamentares, de normativos internos em vigor na instituição ou de orientações aplicáveis à atividade da instituição emitidas pelas autoridades competentes;

b) As oportunidades de introdução de melhorias decorrentes, nomeadamente, de melhores práticas reconhecidas a nível nacional ou internacional.

4 - O órgão de administração da empresa-mãe assegura que o sistema de controlo interno é aplicado de forma consistente em todas as filiais e sucursais da instituição, estabelecidas em Portugal ou no estrangeiro, sem prejuízo das adaptações necessárias impostas pela legislação e regulamentação em vigor no país de acolhimento.

SECÇÃO II

FUNÇÕES DE CONTROLO INTERNO

Artigo 14.º

Unidades de estrutura que desempenham funções de controlo interno

1 - O órgão de administração define as unidades de estrutura que desempenham as funções de gestão de riscos, de conformidade e de auditoria interna, de acordo com o modelo que entenda ser o mais adequado, atendendo às características específicas da instituição, e que pode incluir, nomeadamente, o desdobramento de cada uma dessas funções em mais do que uma unidade de estrutura.

2 - O órgão de administração assegura que a função de gestão de riscos tem uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta.

3 - No caso de a função de gestão de riscos ser desdobrada em mais do que uma unidade de estrutura, a instituição define qual dessas unidades de estrutura assegura uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta, sendo o seu responsável considerado responsável pela função de gestão de riscos nos termos e para os efeitos do disposto no artigo 17.º do presente Aviso.

4 - Os responsáveis pelas unidades de estrutura que formam a função de gestão de riscos são considerados pela instituição como titulares de funções essenciais nos termos e para os efeitos do disposto no artigo 33.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

5 - Para efeitos do disposto no n.º 3 do presente artigo, constitui responsabilidade do órgão de administração assegurar:

a) A existência de interações e fluxos de informação adequados e frequentes entre as diferentes unidades de estrutura que formam a função de gestão de riscos;

b) Que a unidade de estrutura que tem a visão global de todos os riscos a que a instituição está ou pode vir a estar exposta tem poderes para desenvolver as atividades de verificação que considerar necessárias relativamente às demais unidades de estrutura que formam a função de gestão de riscos para obter garantia sobre a qualidade e suficiência da informação global de que dispõe sobre todos os riscos a que a instituição está ou pode vir a estar exposta.

6 - No caso previsto no n.º 3 do presente artigo, com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica a sua pretensão à autoridade de supervisão competente, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão competente deve conter a seguinte fundamentação:

a) Uma descrição da solução a adotar;

b) Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.

7 - Caso se verifique que o desdobramento da função de gestão de riscos não assegura uma adequada gestão dos riscos a que a instituição está ou pode vir a estar exposta, nomeadamente por não assegurar de forma adequada os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que a gestão dos riscos em causa seja assegurada por uma única unidade de estrutura.

8 - Os requisitos previstos no presente Aviso relativos à função de conformidade aplicam-se à função de controlo do cumprimento do quadro normativo referida no artigo 3.º do Aviso do Banco de Portugal n.º 1/2022, sempre que esta se encontre segregada daquela função de controlo interno.

9 - Para garantir a independência das funções de controlo interno, para além do disposto no artigo 15.º, o órgão de administração assegura que:

a) Dispõem de estatuto e autoridade suficiente para desempenhar as suas competências de forma objetiva e independente e de regulamentos próprios aprovados pelo órgão de administração, depois de obtido o parecer prévio do órgão de fiscalização;

b) Dispõem de uma linha de reporte direto aos órgãos de administração e de fiscalização e aos comités previstos no Regime Geral das Instituições de Crédito e Sociedades Financeiras que, pela natureza das suas responsabilidades, devam receber informação e interagir com as funções de controlo interno;

c) Dispõem de planos de atividades e de formação aprovados pelo órgão de administração, depois de obtido parecer prévio do órgão de fiscalização, cujos graus de execução devem ser regularmente monitorizados, no âmbito das respetivas competências, pelos órgãos de administração e de fiscalização;

d) Desempenham de forma independente as suas responsabilidades, não podendo os resultados das avaliações que desenvolvem ser condicionados ou limitados, por exemplo, através da existência de disposições ou orientações internas quanto ao número máximo de deficiências identificadas ou do estabelecimento de qualquer relação, implícita ou explícita, entre as deficiências identificadas e a avaliação de desempenho dos colaboradores afetos às funções de controlo;

e) Dispõem de um responsável pela função em relação ao qual se observa o disposto no artigo 17.º e um número suficiente de colaboradores permanentemente qualificados, bem como de recursos materiais e técnicos adequados para o desempenho eficaz das suas responsabilidades;

f) Dispõem de sistemas de informação adequados, com acesso às informações internas e externas necessárias para cumprir as suas responsabilidades, incluindo informações respeitantes às filiais e sucursais da instituição;

g) Dispõem de acesso total, livre e incondicionado a todas as funções, atividades, incluindo funções, processos e atividades subcontratadas, instalações próprias ou dos prestadores de serviços, bens e colaboradores, informações, registos contabilísticos, sistemas, ficheiros informáticos e dados da instituição.

10 - As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, dispõem de acesso direto aos órgãos de administração e de fiscalização e aos comités de apoio àqueles órgãos, quando constituídos, por sua iniciativa ou por iniciativa de qualquer membro destes órgãos.

11 - A existência de qualquer condicionamento ao exercício independente das funções de controlo interno deve ser comunicada, de imediato, aos órgãos de administração e de fiscalização, para análise e registo em ata, bem como à autoridade de supervisão competente, pelo responsável pela função de controlo interno em causa.

12 - O órgão de fiscalização participa no processo de avaliação de desempenho das funções de controlo interno e dos respetivos responsáveis previstos no artigo 17.º

Artigo 15.º

Segregação das funções de controlo interno

1 - As funções de controlo interno são estabelecidas em unidades de estrutura organicamente segregadas das atividades que monitorizam e controlam, sem prejuízo do disposto no n.º 6 do artigo seguinte.

2 - As funções de gestão de riscos, de conformidade e de auditoria interna são estabelecidas em unidades de estrutura autónomas e independentes entre si, sem prejuízo do disposto nos números 1 e 5 do artigo seguinte.

Artigo 16.º

Exceções à segregação das funções de controlo interno

1 - O órgão de administração das instituições habilitadas a receber depósitos cujo valor total dos ativos, num período ininterrupto de dois anos e em base individual, seja inferior a € 3 000 000 000, e que não prestem serviços comuns ao abrigo do disposto no n.º 3 do artigo 50.º do presente Aviso, pode decidir, de forma fundamentada e documentada em ata e após parecer do órgão de fiscalização, combinar numa única unidade de estrutura as responsabilidades da função de gestão de riscos e as responsabilidades da função de conformidade previstas no presente Aviso.

2 - No caso previsto no número anterior, o órgão de administração assegura que:

a) A função combinada de gestão de riscos e de conformidade cumpre com todos os requisitos legais e regulamentares aplicáveis, em particular no que respeita a recursos materiais, técnicos e humanos necessários para o desempenho das suas funções;

b) São adotados os mecanismos necessários para prevenir ou mitigar o risco de situações de conflitos de interesses decorrentes da acumulação das responsabilidades das funções de gestão de risco e de conformidade numa única unidade de estrutura.

3 - No caso previsto nos números anteriores, com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica a sua pretensão à autoridade de supervisão competente, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão competente deve conter a seguinte fundamentação:

a) Uma descrição da solução a adotar, que inclua uma ponderação da suficiência dos recursos materiais, técnicos e humanos para o desempenho eficaz das responsabilidades que impendem sobre a função de gestão de riscos e de conformidade por uma única unidade de estrutura;

b) Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.

4 - As instituições deixam de poder beneficiar da possibilidade conferida pelo n.º 1 do presente artigo no caso de o valor total dos seus ativos passar a ser superior a € 3 000 000 000, em base individual, num período ininterrupto de 2 anos.

5 - Quando a instituição não se encontre habilitada a receber depósitos, e na medida em que adote os mecanismos necessários para prevenir ou mitigar o risco de situações de conflitos de interesses, o órgão de administração pode decidir, de forma fundamentada e documentada em ata, combinar numa única unidade de estrutura as responsabilidades da função de gestão de riscos e as responsabilidades da função de conformidade previstas no presente Aviso.

6 - Quando a instituição não se encontre habilitada a receber depósitos, e na medida em que adote os mecanismos necessários para prevenir ou mitigar o risco de situações de conflitos de interesses:

a) O requisito previsto no n.º 1 do artigo anterior não é aplicável à função de gestão de riscos, sempre que o número de colaboradores, excluindo os administradores, seja inferior a trinta e os proveitos operacionais no último exercício económico sejam inferiores a € 20 000 000;

b) O requisito previsto no n.º 1 do artigo anterior não é aplicável à função de conformidade, sempre que o número de colaboradores, excluindo os administradores, seja inferior a seis e os proveitos operacionais no último exercício económico sejam inferiores a € 1 000 000.

7 - Quando a instituição não se encontre habilitada a receber depósitos, a função de auditoria interna:

a) Pode ser dispensada, no caso das instituições previstas na subalínea viii) da alínea b) do n.º 1 do artigo 6.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, se o número de colaboradores, excluindo os membros dos órgãos de administração e fiscalização, for inferior a trinta e os proveitos operacionais no último exercício económico forem inferiores a € 20 000 000, caso em que a instituição adota procedimentos de monitorização adicionais que permitam mitigar a inexistência da função;

b) Pode ser totalmente subcontratada, desde que seja observado o disposto no artigo 36.º do presente Aviso e designado um colaborador da instituição nos termos previstos na alínea d) do n.º 4 do artigo 50.º do presente Aviso.

8 - A subcontratação prevista na alínea b) do número anterior está sujeita a parecer prévio do órgão de fiscalização e não obsta ao cumprimento do disposto no artigo 32.º, sendo permanentemente assegurado que a entidade prestadora do serviço dispõe de recursos materiais, técnicos e humanos adequados e suficientes para desempenhar, de forma eficaz, independente, confiável e profissional, as responsabilidades afetas à função subcontratada.

9 - O disposto no presente artigo não prejudica a possibilidade de a autoridade de supervisão competente poder exigir, ao abrigo do disposto no Regime Geral das Instituições de Crédito e Sociedades Financeiras, que as instituições estabeleçam a função de gestão de riscos e a função de conformidade em unidades de estrutura organicamente segregadas ou que estabeleçam uma função de auditoria interna permanente no seio da instituição, cujo âmbito de tarefas passíveis de subcontratação se limitem ao permitido pelo artigo 36.º

Artigo 17.º

Responsáveis pelas funções de controlo interno

1 - Sem prejuízo do disposto no artigo anterior, os responsáveis pelas funções de controlo interno pertencem à direção de topo da instituição, não desempenham outras funções na instituição e exercem as suas funções de forma independente.

2 - Não obstante a responsabilidade geral dos membros do órgão de administração, os responsáveis pelas funções de controlo interno não podem ser, no exercício das suas funções, subordinados ao membro executivo do órgão de administração que seja responsável pela gestão das atividades que cada função de controlo interno monitoriza e controla.

3 - Quando a instituição não se encontre habilitada a receber depósitos e caso a dimensão, natureza, âmbito e complexidade da atividade desenvolvida pela instituição, e a sua apetência para o risco, não justifiquem que o responsável pela função de gestão de riscos ou o responsável pela função de conformidade não exerçam outras funções na instituição, o órgão de administração pode decidir, de forma fundamentada e documentada em ata, que o cargo é desempenhado por um quadro superior da instituição que desempenhe outras funções, desde que seja salvaguardada a inexistência de conflitos de interesses e implementadas as medidas necessárias para os mitigar, bem como a disponibilidade para o exercício das funções.

4 - A decisão de substituição dos responsáveis pelas funções de controlo interno é tomada pelo órgão de administração da instituição e:

a) As razões da substituição são devidamente fundamentadas;

b) Carece de parecer prévio vinculativo do órgão de fiscalização;

c) É elaborado relatório de avaliação da adequação do substituto, nos termos do disposto no artigo 30.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

d) É comunicada, de imediato, à autoridade de supervisão competente, com a fundamentação da decisão tomada.

Artigo 18.º

Autorização para o exercício de funções dos responsáveis pelas funções de controlo interno

1 - Em complemento ao disposto no n.º 3 e n.º 4 do artigo 33.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras, a adequação dos responsáveis pela função de gestão de riscos, de conformidade e de auditoria interna é objeto de autorização para o exercício de funções pela autoridade de supervisão competente, em momento anterior ao início de funções, em instituições de crédito categorizadas como outras instituições de importância sistémica (O-SII nos termos do disposto no artigo 138.º-Q daquele diploma.

2 - Para efeitos do disposto no presente artigo é aplicável, com as necessárias adaptações, o disposto nos artigos 30.º-B, 30.º-C, 30.º-D e 31.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

3 - No caso de grupos sujeitos a supervisão com base na sua situação financeira consolidada, em que a empresa-mãe corresponda a uma O-SII, o disposto no número anterior aplica-se apenas à empresa-mãe.

4 - Quando a entidade identificada como O-SII não corresponda a uma instituição de crédito, o disposto no presente artigo aplica-se às instituições de crédito relativamente às quais a O-SII seja a empresa-mãe.

5 - Para efeitos do disposto no presente artigo, a instituição recolhe e mantém apenas os dados pessoais necessários à avaliação da adequação, pela própria instituição e pela autoridade de supervisão competente, dos responsáveis pela função de gestão de riscos, de conformidade e de auditoria interna, nos termos da Instrução do Banco de Portugal n.º 23/2018.

SECÇÃO III

SISTEMA DE GESTÃO DE RISCOS

Artigo 19.º

Implementação do sistema de gestão de riscos

1 - O órgão de administração implementa um sistema de gestão de riscos, traduzido num conjunto de estratégias, políticas, processos, sistemas e procedimentos, que têm como objetivo a identificação, avaliação, acompanhamento e controlo de todos os riscos a que a instituição está ou pode vir a estar exposta, tanto por via interna como externa, por forma a assegurar que aqueles se mantêm ao nível previamente definido pelo órgão de administração e que não afetam significativamente a situação financeira da instituição.

2 - O órgão de administração assegura que o sistema de gestão de riscos:

a) É incorporado de forma efetiva e coerente no processo de definição da estratégia da instituição;

b) Influencia ativamente o processo de tomada de decisão do órgão de administração, da comissão executiva, quando constituída, da direção de topo e da gestão intermédia;

c) Contribui de forma efetiva para o adequado exercício das competências do órgão de fiscalização.

3 - Para além do disposto no presente Aviso, a definição e implementação de um sistema de controlo interno adequado à gestão do risco de branqueamento de capitais e de financiamento do terrorismo está também sujeita às normas legais e regulamentares aplicáveis nesta matéria.

4 - O órgão de administração é globalmente responsável por uma adequada gestão de todos os riscos a que a instituição está ou pode vir a estar exposta.

Artigo 20.º

Organização do sistema de gestão de riscos

1 - O sistema de gestão de riscos é organizado de forma a dispor das seguintes características:

a) Ser sólido, eficaz e consistente;

b) Abranger todos os produtos, atividades, processos e sistemas, incluindo os subcontratados, bem como todas as filiais, sucursais e outras formas de estabelecimento ou de prestação de serviços;

c) Basear-se em processos de identificação, avaliação, acompanhamento e controlo dos riscos, em conformidade com o disposto nos artigos 22.º a 25.º, suportados em políticas, procedimentos e limites de tolerância ao risco apropriados, claramente definidos e aprovados, os quais são periodicamente revistos;

d) Integrar o disposto nos planos de recuperação, incorporando políticas e procedimentos destinados a assegurar o restabelecimento tempestivo de situações de desequilíbrio financeiro da instituição, bem como com o disposto nos demais processos e políticas da instituição relacionados com a gestão de riscos.

2 - Relativamente à organização do sistema de gestão de riscos, compete ao órgão de administração:

a) Definir, aprovar e rever com regularidade a política global de risco da instituição elaborada de acordo com o disposto na alínea a) do n.º 1 do artigo 25.º, assegurando a sua divulgação por todas as unidades de estrutura da instituição e a sua adequada implementação e cumprimento;

b) Aprovar outras políticas e procedimentos de gestão de riscos de acordo com o disposto na alínea b) do n.º 1 do artigo 25.º, assegurando a sua adequada implementação e cumprimento;

c) Aprovar, previamente à sua introdução, políticas de gestão de risco aplicáveis aos novos produtos e atividades da instituição, assim como às alterações significativas aos produtos e atividades existentes, para identificação, avaliação, acompanhamento e controlo de riscos inerentes a essa introdução ou alteração, nomeadamente ao nível do impacto no perfil de risco operacional;

d) Verificar, de forma regular, em conformidade com os procedimentos definidos para o efeito, o cumprimento dos níveis de tolerância ao risco e das políticas e procedimentos de gestão de riscos em vigor na instituição, avaliando a sua eficácia e adequação às atividades desenvolvidas, no sentido de possibilitar a deteção e correção atempadas de quaisquer deficiências;

e) Aprovar, assegurando a sua adequada implementação e cumprimento, as políticas e os procedimentos necessários para garantir que são elaborados relatórios periódicos, precisos e tempestivos sobre os riscos materiais a que a instituição está ou pode vir a estar exposta, que identifiquem os mecanismos de controlo implementados para gerir esses riscos, bem como que esses relatórios lhe são submetidos atempadamente para apreciação;

f) Aprovar, assegurando a sua adequada implementação e cumprimento, os procedimentos necessários para garantir a efetiva execução das suas orientações e recomendações com vista à introdução de correções e/ou melhorias no sistema de gestão de riscos;

g) Pronunciar-se atempadamente sobre os relatórios elaborados pelas funções de controlo interno, nomeadamente sobre as recomendações que visem a adoção de medidas destinadas à resolução de deficiências.

Artigo 21.º

Definição das categorias de riscos

1 - O órgão de administração assegura que a instituição, tendo em consideração o disposto na legislação, regulamentação e orientações aplicáveis, adota categorias de risco que, no seu conjunto, abranjam todos os fatores associados aos eventos de risco a que a instituição está ou pode vir a estar exposta.

2 - A decisão de exclusão de determinadas categorias de risco identificadas na legislação, regulamentação e orientações aplicáveis, pelo facto de os fatores de risco subjacentes não se manifestarem na atividade desenvolvida, tem de ser devidamente justificada pela função de gestão de riscos e aprovada pelo órgão de administração, sendo objeto de apreciação pelo órgão de fiscalização.

Artigo 22.º

Processo de identificação de riscos

O órgão de administração é responsável por assegurar o desenvolvimento, implementação e manutenção de um processo de identificação dos fatores, internos e externos, que, em relação a cada categoria de risco a que a instituição está ou possa vir a estar exposta, possam afetar a sua capacidade para implementar ou atingir os objetivos estratégicos definidos, o qual, nomeadamente:

a) Assenta em métodos e técnicas claramente definidos e abrange todas as atividades, produtos, processos e sistemas da instituição, de modo a permitir a identificação efetiva de todos os eventos de risco de impacto material;

b) É executado com uma periodicidade mínima anual, de forma a permitir a identificação tempestiva de novos eventos de risco e a revisão dos existentes;

c) Permite hierarquizar os riscos, identificar e mapear, nomeadamente, os produtos, as atividades, os processos e sistemas, e as tipologias de operações associados a esses riscos, com o grau de detalhe adequado à natureza de cada risco.

Artigo 23.º

Processo de avaliação de riscos

1 - O órgão de administração é responsável por assegurar o desenvolvimento, implementação e manutenção de um processo de avaliação da probabilidade de ocorrência de perdas e da respetiva magnitude em relação a cada categoria de risco, o qual, nomeadamente:

a) Assenta em análises qualitativas e quantitativas, baseadas em metodologias com um grau de fiabilidade e de sofisticação adequado à natureza e magnitude do risco e à natureza, âmbito e complexidade das atividades desenvolvidas pela instituição, bem como à sua apetência para o risco;

b) É executado com uma periodicidade mínima anual, de modo a permitir uma atualização adequada dos resultados do processo de avaliação, tendo em vista a deteção tempestiva de desvios e a tomada de decisões pelo órgão de administração, pela comissão executiva, quando constituída, pela direção de topo e pela gestão intermédia da instituição em tempo oportuno;

c) Assenta em hipóteses, parâmetros e fontes de informação adequados e fiáveis;

d) Permite a elaboração de relatórios que suportem a formação de um juízo fundamentado sobre a relevância e o potencial impacto negativo nos resultados, posição de capital ou de liquidez, incluindo relativamente aos riscos que, pela sua natureza, não são facilmente mensuráveis.

2 - As análises quantitativas previstas na alínea a) do n.º 1 têm em consideração potenciais alterações futuras nas condições económicas e incluem a realização de testes de esforço.

Artigo 24.º

Processo de acompanhamento de riscos

1 - O órgão de administração é responsável por assegurar:

a) O desenvolvimento, implementação e manutenção de um processo sistematizado de acompanhamento da exposição a cada categoria de risco a que a instituição está ou pode vir a estar exposta;

b) Que cada categoria de risco é adequadamente acompanhada por uma função de controlo interno enquadrável na segunda linha de defesa, sem prejuízo da necessidade de ser sempre assegurado que a função de gestão de riscos tem uma visão holística sobre todas as categorias de risco a que a instituição está ou pode vir a estar exposta.

2 - O processo de acompanhamento referido no número anterior inclui, pelo menos, a elaboração de relatórios periódicos e tempestivos, com informação clara, fiável e substantiva sobre os riscos a que instituição está ou possa vir a estar exposta.

Artigo 25.º

Processo de controlo de riscos

1 - Para garantir que os objetivos definidos são atingidos e que são tomadas as ações necessárias para responder adequadamente aos riscos previamente identificados, o órgão de administração, mediante parecer prévio das funções de gestão de riscos e de conformidade:

a) Aprova e revê uma política que estabeleça, de forma adequada, os objetivos globais da instituição e os objetivos específicos para cada unidade de estrutura, no que respeita ao perfil de risco e ao nível de tolerância ao risco, a qual deve ser revista com uma periodicidade mínima anual;

b) Estabelece políticas e procedimentos adequados para a identificação, avaliação, acompanhamento e controlo dos riscos a que a instituição está ou pode vir a estar exposta, assegurando a sua adequada implementação e cumprimento, que visem alcançar os objetivos definidos e que sistematizem, de forma clara e objetiva, quais e como devem ser executadas as tarefas a desempenhar por cada função;

c) Assegura que na definição e revisão das políticas e procedimentos previstos no presente Aviso são tidas em consideração todas as recomendações anteriormente emitidas pela função de auditoria interna sobre a matéria.

2 - As políticas e procedimentos referidos na alínea b) do n.º 1 asseguram, de forma tempestiva, a prevenção de situações imprevistas, indesejadas ou não autorizadas, bem como a deteção destas situações de modo a permitir a adoção imediata de medidas destinadas à sua correção quando, não obstante os procedimentos de prevenção, as mesmas ocorram.

3 - Para efeitos do disposto no número anterior, o órgão de administração assegura que são adotadas, numa base contínua e como parte integrante das atividades diárias da instituição, nomeadamente, as seguintes ações:

a) Recolha e manutenção de elementos, que documentem de forma objetiva as decisões tomadas e as operações realizadas, que permitam a sua reconstituição por ordem cronológica, num formato que seja facilmente acessível e percetível por terceiros;

b) Definição e aplicação de formulários padronizados conjugados com uma tipificação clara e objetiva de todos os elementos necessários para o processamento das operações;

c) Definição e aplicação de requisitos previamente definidos para aprovação, renovação ou alteração dos termos e condições das operações, devidamente ajustados ao risco existente, com a identificação clara das condições que devem ser previamente verificadas e a atribuição de competências inequívocas para a sua aprovação e renovação;

d) Análise prévia, autónoma e independente, pelas funções de gestão de riscos e de conformidade, de todas as operações relevantes para a instituição, em função do potencial impacto no perfil de risco da instituição, com ponderação adequada pelo órgão decisor dessas análises e identificação das razões subjacentes a eventuais decisões tomadas em sentido total ou parcialmente divergente com as mesmas;

e) Segregação de funções que envolvam responsabilidades conflituantes, nomeadamente, nas operações de crédito e de mercado, no que se refere à proposta apresentada pelas unidades geradoras de negócio ou tomadoras de risco, à análise, à autorização, à execução, ao registo, à guarda de valores e outra documentação e ao respetivo controlo;

f) Restrições de segurança no acesso a ativos, a recursos e à informação, através de barreiras físicas ou informáticas, que garantam a proteção contra utilizações não autorizadas, tanto intencionais como negligentes;

g) Obrigações de reporte, análise e decisão, sempre que ocorram desvios, erros, fraudes, incumprimentos e outras situações de exceção relativamente às políticas e aos procedimentos, em especial no que se refere aos limites definidos;

h) Implementação e manutenção de indicadores de alerta, incluindo indicadores de alerta precoce para identificação de situações de exceção que possam ter impacto material, designadamente que possam gerar um eventual desequilíbrio financeiro;

i) Definição de limites objetivos e prudentes para cada um dos riscos incorridos na atividade desenvolvida, até onde for adequado e possível;

j) Realização de verificações e reconciliações periódicas, devidamente consubstanciadas, à exatidão, completude, autenticidade e validade das operações registadas;

k) Implementação de métodos adequados de valorização de ativos, passivos e elementos extrapatrimoniais a aplicar com uma periodicidade adequada;

l) Definição, implementação e revisão periódica, assegurando o envolvimento das funções de controlo interno nas respetivas áreas de atuação, de planos de contingência e de continuidade de negócio, incluindo de funções subcontratadas, que incluam cenários de perturbação grave da respetiva atividade.

Artigo 26.º

Gestão de riscos pelas unidades tomadoras de risco

1 - Consideram-se unidades tomadoras de risco as unidades de estrutura e áreas conexas que geram risco para a instituição, incluindo as unidades geradoras de negócio, as quais são as primeiras responsáveis pela identificação, avaliação, acompanhamento e controlo dos riscos em que incorrem.

2 - O órgão de administração, coadjuvado pelas funções de controlo interno da instituição, assegura que as unidades tomadoras de risco para a instituição:

a) Tomam decisões ponderadas pelo risco subjacente e dentro dos limites de tolerância ao risco definidos nas políticas de risco da instituição;

b) Implementam os processos e os mecanismos de controlo necessários para assegurar que todos os riscos que assumem são, devida e tempestivamente, identificados, avaliados, acompanhados e controlados, de modo a garantir que permanecem dentro dos limites de tolerância ao risco definidos nas políticas de risco da instituição;

c) Implementam os processos e os mecanismos necessários para assegurar que todos os riscos assumidos são tempestivamente reportados às funções de controlo interno relevantes.

Artigo 27.º

Função de gestão de riscos

1 - O órgão de administração da instituição estabelece e mantém uma função de gestão de riscos que dá cumprimento ao disposto no artigo 115.º-M do Regime Geral das Instituições de Crédito e Sociedades Financeiras e que é responsável, nomeadamente, por:

a) Garantir que todos os riscos a que a instituição está ou pode vir a estar exposta são identificados, avaliados, acompanhados e controlados adequadamente e que são devidamente reportados a esta função por todas as unidades de estrutura;

b) Assegurar o desenvolvimento e submeter à aprovação do órgão de administração, após parecer prévio do órgão de fiscalização, de políticas e procedimentos para apoiar o sistema de gestão de riscos e a sua efetiva aplicação na instituição;

c) Participar na definição da estratégia de risco da instituição, bem como nas decisões relativas à gestão de riscos, apresentando uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta;

d) Promover a implementação e manutenção de um sólido quadro de gestão de riscos em toda a instituição;

e) Assegurar a aplicação e monitorização do cumprimento dos limites de tolerância ao risco aprovados pelo órgão de administração da instituição;

f) Identificar os riscos inerentes à atividade desenvolvida pela instituição, de forma individual, agregada, atual e prospetiva, avaliar esses riscos e medir a exposição aos mesmos, através de metodologias apropriadas;

g) Acompanhar, de forma adequada, tempestiva e permanente, as atividades geradoras de risco e as inerentes exposições ao mesmo, avaliando o seu enquadramento na tolerância ao risco aprovada, assegurando o planeamento prospetivo das correspondentes necessidades de capital e de liquidez em circunstâncias normais e adversas;

h) Colaborar na implementação das medidas de gestão de risco a adotar pelas diferentes unidades de estrutura da instituição que sejam tomadoras de riscos, incluindo pelas unidades geradoras de negócio, e monitorizar a sua aplicação, de modo a assegurar que os processos e mecanismos implementados de controlo e gestão dos riscos são adequados e eficazes;

i) Desenvolver, implementar e monitorizar o processo interno de autoavaliação da adequação do capital interno e o processo de autoavaliação da adequação da liquidez, bem como coordenar a elaboração dos respetivos relatórios;

j) Participar no processo de aprovação de novos produtos e serviços, mediante a avaliação prévia dos riscos associados ao seu lançamento e à capacidade de gestão desses riscos pela instituição;

k) Analisar previamente as operações com partes relacionadas, identificando e avaliando adequadamente os inerentes riscos reais ou potenciais para a instituição;

l) Analisar previamente e aconselhar os órgãos de administração e de fiscalização antes da tomada de decisões que envolvam a assunção de riscos significativos, designadamente quando estejam em causa operações de valor considerado elevado para a instituição, aquisições, alienações, fusões ou o lançamento de novas atividades, produtos ou serviços, com vista a assegurar uma oportuna e apropriada avaliação do impacto das mesmas no risco global da instituição e, quando aplicável, do grupo;

m) Desenvolver e implementar mecanismos de alerta tempestivos para situações de desvios ou de incumprimentos dos limites de tolerância ao risco;

n) Emitir recomendações baseadas nos resultados das avaliações realizadas e assegurar um acompanhamento contínuo das deficiências identificadas ou monitorizadas por esta função, nos termos do n.º 12 do artigo 31.º do presente Aviso, com uma periodicidade apropriada ao risco associado, assegurando que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;

o) Fornecer informações, análises e avaliações periciais pertinentes e independentes sobre as posições de risco, além de emitir parecer sobre a compatibilidade das propostas e decisões relativas aos riscos face aos limites de tolerância ao risco definidos pela instituição;

p) Reportar de imediato aos órgãos de administração e de fiscalização incumprimentos relevantes das políticas e procedimentos definidos para apoiar o sistema de gestão de riscos no cumprimento dos limites de tolerância ao risco definidos, recomendando eventuais medidas destinadas à sua correção;

q) Reportar de imediato aos órgãos de administração e de fiscalização qualquer situação de incumprimento, real ou prospetivo, aos limites de tolerância ao risco definidos, incluindo as respetivas causas e a análise jurídica e económica do custo real de eliminar, reduzir ou compensar a posição em risco face ao possível custo da sua manutenção, informando as áreas em causa e recomendando eventuais soluções;

r) Elaborar, com uma periodicidade adequada, relatórios sobre gestão de risco, que incluam:

i) Uma avaliação do perfil global de risco da instituição, com detalhe relativo à exposição individual a cada uma das categorias de risco a que a instituição está ou pode vir a estar exposta;

ii) Uma síntese das deficiências detetadas por qualquer unidade de estrutura, no âmbito dos processos e controlos implementados, que sejam classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020;

iii) Uma síntese das demais deficiências detetadas, por qualquer unidade de estrutura, nas ações de controlo implementadas, incluindo deficiências isoladamente pouco relevantes, mas que possam, no seu conjunto, evidenciar uma deterioração da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno;

iv) Identificação das recomendações emitidas e das medidas propostas a respeito das deficiências referidas nos números anteriores, com indicação sobre se foram ou não adotadas.

s) Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório, a subscrever pelo responsável pela função de gestão de riscos, que inclua:

i) Uma avaliação da independência da função, com indicação da existência de quaisquer situações ou constrangimentos que a comprometam ou possam vir a comprometer;

ii) Uma avaliação da adequação da organização da função, tendo em conta os riscos a que a instituição está ou pode vir a estar exposta, incluindo, quando a função de gestão de riscos se encontrar desdobrada em mais do que uma unidade de estrutura, nos termos do artigo 14.º do presente Aviso, uma apreciação crítica sobre a forma como é dado cumprimento ao disposto nos números 2 e 5 do mesmo artigo;

iii) Uma avaliação da suficiência dos recursos materiais, técnicos e humanos afetos à função, incluindo da qualificação dos seus colaboradores e do grau de execução do seu plano de formação face às suas responsabilidades e necessidades concretas, com identificação das áreas em que se verificam maiores necessidades de aquisição de conhecimento ou robustecimento de competências;

iv) Uma avaliação do grau de execução do seu plano de atividades, considerando as alterações introduzidas ao mesmo e suas motivações, incluindo a justificação para o mesmo ter sido, ou não, cumprido;

v) Uma descrição de todas as deficiências identificadas por qualquer entidade, interna ou externa à instituição, relativamente à própria função de gestão de riscos, que se mantenham em aberto, do grau de implementação das medidas destinadas à sua correção e indicação do prazo previsto para a sua resolução definitiva.

2 - No caso de a função de gestão de riscos não estar estabelecida em unidade de estrutura organicamente segregada das atividades que monitoriza e controla nos termos do disposto no n.º 6 do artigo 16.º do presente Aviso, a avaliação da independência prevista na subalínea i. da alínea s) do número anterior é substituída por uma avaliação da adequação dos mecanismos implementados para prevenir ou mitigar o risco de situações de conflitos de interesses.

3 - Caso as funções de gestão de risco e de conformidade estejam combinadas na mesma unidade de estrutura, nos termos dos números 1 e 5 do artigo 16.º do presente Aviso, a avaliação da independência prevista na subalínea i. da alínea s) do n.º 1 presente artigo inclui, no primeiro relatório realizado após a combinação ou sempre que se verifiquem alterações, uma descrição dos mecanismos implementados para prevenir ou mitigar o risco de situações de conflitos de interesses decorrentes da acumulação das duas funções na mesma unidade de estrutura, bem como uma ponderação sobre a sua suficiência para assegurar a independência da função.

4 - Os relatórios referidos nas alíneas r) e s) do n.º 1 são disponibilizados, diretamente pelo responsável da função de gestão de riscos, aos órgãos de administração e de fiscalização e ao Comité de Riscos, quando constituído, bem como aos responsáveis pelas funções de conformidade, de auditoria interna e, quando aplicável, a todas as unidades de estrutura que formam a função de gestão de riscos.

5 - Sem prejuízo do referido na subalínea i) da alínea s) do n.º 1, quaisquer situações ou constrangimentos que comprometam ou possam vir a comprometer materialmente a independência da função de gestão de riscos são comunicadas, de imediato, aos órgãos de administração e de fiscalização da instituição, que devem analisar e documentar em ata as suas conclusões e as medidas determinadas para ultrapassar as situações identificadas.

6 - O órgão de administração, após parecer do órgão de fiscalização, pronuncia-se atempada e expressamente sobre cada um dos relatórios referidos nas alíneas r) e s) do n.º 1, nomeadamente sobre as recomendações para a adoção de medidas destinadas à correção de quaisquer deficiências detetadas e sobre as situações ou constrangimentos que afetem a independência da função de gestão de riscos.

7 - O órgão de administração assegura a efetiva implementação das medidas destinadas à correção de quaisquer deficiências detetadas ou que visem a introdução de melhorias na cultura organizacional e nos sistemas de governo e controlo interno da instituição, bem como das medidas destinadas a corrigir as situações ou constrangimentos que afetam ou possam a vir afetar significativamente a independência da função de gestão de riscos.

8 - A função de gestão de riscos dispõe de um regulamento próprio que, para além da descrição das responsabilidades atribuídas à função, concretiza e detalha todas as atividades e operações da instituição que carecem de análise pela função de gestão de riscos previamente à sua aprovação pelo órgão decisor competente.

Artigo 28.º

Função de conformidade

1 - O órgão de administração da instituição estabelece e mantém uma função de conformidade responsável, nomeadamente, por:

a) Acompanhar e avaliar regularmente a adequação e a eficácia das medidas e procedimentos adotados para detetar qualquer risco de incumprimento das obrigações legais, regulamentares e outros deveres a que a instituição se encontra sujeita, bem como das medidas tomadas para corrigir eventuais deficiências detetadas;

b) Aconselhar os órgãos de administração e de fiscalização, para efeitos do cumprimento das obrigações legais, regulamentares e outros deveres a que a instituição está ou estará sujeita;

c) Promover a elaboração, a aprovação, a aplicação, a verificação do cumprimento e a atualização periódica do código de conduta previsto no artigo 4.º;

d) Participar na definição das políticas e procedimentos adequados à implementação das regras contidas no código de conduta;

e) Analisar previamente, e aconselhar os órgãos de administração e de fiscalização antes da tomada de decisões que envolvam a assunção de riscos de conformidade relevantes;

f) Analisar previamente as operações com partes relacionadas, identificando e avaliando adequadamente os inerentes riscos de conformidade, reais ou potenciais, para a instituição;

g) Nos casos em que desempenhe funções em matéria de prevenção do branqueamento de capitais e do financiamento do terrorismo, participar na definição dos respetivos procedimentos de controlo interno, tanto pelo seu respetivo acompanhamento e avaliação, como pela centralização da informação de todas as áreas de negócio da instituição e pela realização das comunicações às autoridades competentes previstas na lei;

h) Prestar imediatamente aos órgãos de administração e de fiscalização toda a informação de que dispõe sobre quaisquer indícios de violação de obrigações legais e regulamentares a que a instituição se encontra sujeita, de regras de conduta e de relacionamento com clientes ou de outros deveres que possam fazer incorrer a instituição ou os seus colaboradores num ilícito de natureza contraordenacional ou causar impacto reputacional negativo;

i) Emitir recomendações baseadas nos resultados das avaliações realizadas e assegurar um acompanhamento contínuo das deficiências identificadas ou monitorizadas, nos termos do n.º 12 do artigo 31.º do presente Aviso, pela função de conformidade, com uma periodicidade apropriada ao risco associado, assegurando que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;

j) Manter um registo permanentemente atualizado e completo e proceder à gestão de reclamações apresentadas por clientes, ou à sua monitorização, nos casos em que a gestão de reclamações seja assegurada por unidade de estrutura distinta, elaborando e apresentando aos órgãos de administração e de fiscalização, com uma periodicidade adequada, relatórios detalhados quanto ao tipo e conteúdo das reclamações apresentadas, as medidas adotadas para as gerir ou corrigir, bem como, quando aplicável, as deficiências identificadas no sistema de controlo interno que estão na origem da reclamação;

k) Participar na definição das políticas, procedimentos e dos normativos internos da instituição, nomeadamente em matéria de conflitos de interesses e transações com partes relacionadas e acompanhar a sua implementação e aplicação efetiva;

l) Participar no processo de aprovação de novos produtos e serviços, quer em momento prévio à sua aprovação, quer em alterações significativas posteriormente à sua introdução de modo a assegurar que os mesmos cumprem com a legislação e regulamentação em vigor;

m) Acompanhar e monitorizar a aplicação das políticas e dos procedimentos relativos à comercialização de produtos, incluindo a adequação da informação prestada aos clientes, atendendo à sua rede e canais de comercialização, mediante o desenvolvimento de análises periódicas a esses procedimentos e a elaboração de propostas dirigidas ao órgão de administração e demais membros da direção de topo com vista à sua alteração, caso se verifiquem riscos atuais ou potenciais de incumprimentos legais ou regulamentares;

n) Efetuar testes de conformidade com as disposições legais e regulamentares, através de um programa próprio e estruturado de verificação do cumprimento, regularmente revisto e adaptado aos processos com maior risco de conformidade;

o) Elaborar um relatório anual, em matéria de conformidade, que inclua:

i) Uma avaliação do perfil global de risco de conformidade da instituição, com detalhe relativo à exposição a que a instituição está ou pode vir a estar exposta;

ii) Uma síntese das deficiências detetadas por qualquer unidade de estrutura, no âmbito dos processos e controlos implementados, que sejam classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020;

iii) Uma síntese das demais deficiências detetadas, por qualquer unidade de estrutura, nas ações de controlo implementadas, incluindo deficiências isoladamente pouco relevantes, mas que possam, no seu conjunto, evidenciar uma deterioração da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno;

iv) Identificação das recomendações emitidas e das medidas propostas destinadas à correção das deficiências referidas nos números anteriores, com indicação sobre se foram ou não adotadas.

p) Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório, a subscrever pelo responsável pela função de conformidade, que inclua o disposto na alínea s) do n.º 1 do artigo 27.º do presente Aviso, relativamente à função de conformidade, considerando o disposto nos números 2 e 3 do mesmo artigo;

q) Efetuar análises sobre alegados incumprimentos respeitantes a matérias incluídas no âmbito de atuação da função de conformidade e solicitar a assistência de outras unidades de estrutura da instituição para o efeito ou de recorrer a serviços externos para desempenhar essa tarefa, se necessário.

2 - Os relatórios referidos nas alíneas o) e p) do número anterior são disponibilizados, diretamente pelo responsável da função de conformidade, aos órgãos de administração e de fiscalização e ao Comité de Riscos, quando constituído, bem como aos responsáveis pelas funções de gestão de riscos e de auditoria interna.

3 - Quaisquer situações ou constrangimentos que comprometam ou possam vir a comprometer materialmente a independência da função de conformidade são comunicados, de imediato, aos órgãos de administração e de fiscalização da instituição que devem analisar e documentar em ata as suas conclusões e as medidas determinadas para ultrapassar as situações identificadas.

4 - O órgão de administração, após parecer do órgão de fiscalização, pronuncia-se atempada e expressamente sobre cada um dos relatórios referidos nas alíneas o) e p) do n.º 1, nomeadamente sobre as recomendações para a adoção de medidas destinadas à correção de quaisquer deficiências detetadas e sobre as situações ou constrangimentos que afetem a independência da função de conformidade.

5 - O órgão de administração assegura a efetiva implementação das medidas destinadas à correção de quaisquer deficiências detetadas ou que visem a introdução de melhorias na cultura organizacional e nos sistemas de governo e controlo interno da instituição, bem como das medidas destinadas a corrigir as situações ou constrangimentos que afetam ou possam a vir afetar significativamente a independência da função de conformidade.

6 - A função de conformidade e a função de gestão de riscos interagem entre si de forma a assegurar que dispõem da informação necessária, completa e tempestiva para o desempenho efetivo das respetivas funções.

7 - A função de conformidade dispõe de um regulamento próprio que, para além da descrição das responsabilidades atribuídas à função, concretiza e detalha todas as atividades e operações da instituição que carecem de análise pela função de conformidade previamente à sua aprovação pelo órgão decisor competente.

SECÇÃO IV

PROCESSOS DE PRODUÇÃO E TRATAMENTO DE INFORMAÇÃO E FLUXOS DE INFORMAÇÃO

Artigo 29.º

Processos de obtenção, produção e tratamento de informação

1 - O órgão de administração assegura que a instituição dispõe de processos adequados de obtenção, produção e tratamento de informação que permitem apoiar a tomada de decisões pelo órgão de administração e demais membros da direção de topo e o exercício das funções do órgão de fiscalização, que permitem o cumprimento das obrigações da instituição perante terceiros, incluindo as obrigações de reporte às autoridades de supervisão e que assegurem uma visão completa e íntegra sobre:

a) A situação financeira da instituição;

b) O desenvolvimento das suas atividades;

c) A execução da estratégia e o cumprimento dos objetivos definidos;

d) O perfil de risco global da instituição, em termos agregados e detalhados por risco;

e) O comportamento, evolução e perfil de risco do(s) mercado(s) onde a instituição está inserida.

2 - O órgão de administração é responsável pelo desenvolvimento, implementação e manutenção de processos formais de obtenção, produção e tratamento de informação substantiva, apropriados à dimensão, natureza, âmbito e complexidade das atividades desenvolvidas, bem como à apetência para o risco da instituição, que garantam a sua fiabilidade, integridade, consistência, completude, validade, tempestividade, acessibilidade e granularidade.

3 - Considerando as disposições legais e regulamentares aplicáveis às atividades da instituição, tais processos incluem a produção e tratamento de informação financeira e contabilística, mas também a informação relativa aos riscos e, quando aplicável, informação não financeira.

4 - O processo de informação assenta numa arquitetura de dados e infraestrutura de sistemas de informação adequada que registe, classifique, associe e arquive, tempestivamente e de forma sistematizada, fiável, completa e consistente, todas as operações realizadas pela instituição, permitindo a validação de informação mediante o cruzamento entre bases de dados relacionadas.

5 - O órgão de administração implementa mecanismos de controlo, que incluem a intervenção das funções de controlo interno no âmbito das respetivas competências, com vista a garantir que toda a informação produzida pela instituição é fiável, íntegra, consistente, completa, atual, tempestiva, acessível e granular.

6 - Os órgãos de administração e de fiscalização, no âmbito das respetivas competências, são responsáveis por assegurar a fiabilidade, integridade, consistência, completude, validade, tempestividade, acessibilidade e granularidade de toda a informação produzida pela instituição, tanto pela informação destinada a ser utilizada exclusivamente por esta, como pela informação que se destina a ser divulgada para o exterior, incluindo a informação constante dos reportes a efetuar às autoridades de supervisão respetivas.

7 - O órgão de administração assegura que a adequação dos processos de obtenção, produção e tratamento de informação implementados na instituição, bem como dos mecanismos de controlo referidos no n.º 5, são objeto de avaliações periódicas independentes, a realizar por entidade externa à instituição.

8 - Para efeitos do disposto no presente artigo, a instituição recolhe e mantém apenas os dados pessoais necessários à prossecução dos objetivos que se pretende atingir.

Artigo 30.º

Fluxos de informação

1 - O órgão de administração assegura que a instituição possui processos formais, transparentes, relevantes e ajustados às necessidades da instituição que:

a) Garantem uma comunicação eficaz através da organização;

b) Asseguram a transmissão tempestiva e adequada da informação para os intervenientes e destinatários apropriados, incluindo as autoridades de supervisão;

c) São abrangentes e compreensíveis;

d) Facilitam o processo de tomada de decisão através da existência de fluxos de informação que observem o disposto no n.º 2.

2 - O órgão de administração assegura que a estrutura organizacional da instituição:

a) Promove o fluxo de informação necessário entre as partes relevantes num processo;

b) Inclui uma descrição adequada dos deveres e responsabilidades dos colaboradores, incluindo os membros dos órgãos de administração e de fiscalização, em matéria de fluxos de informação;

c) Assegura a confidencialidade necessária nos fluxos de informação.

3 - O órgão de administração assegura que os fluxos de informação entre as funções de controlo interno e os órgãos de administração e de fiscalização são adequados e garantem, nomeadamente, que o processo de tomada de decisão beneficia do contributo das funções de controlo interno.

4 - O órgão de administração assegura que a conformidade dos fluxos de informação instituídos na instituição com o disposto no presente artigo é objeto de avaliações periódicas independentes, a realizar por entidade externa à instituição.

SECÇÃO V

MONITORIZAÇÃO DA CULTURA ORGANIZACIONAL E DOS SISTEMAS DE GOVERNO E CONTROLO INTERNO

Artigo 31.º

Processo de monitorização

1 - O órgão de administração aprova e é responsável pela implementação de um processo de monitorização que compreende todas as ações e avaliações de controlo desenvolvidas pela instituição com vista a garantir a adequação e eficácia da cultura organizacional da instituição e dos sistemas de governo e controlo interno, nomeadamente, através da identificação de deficiências na conceção dos controlos, incluindo as relacionadas com a inexistência de controlos, e na sua implementação.

2 - As responsabilidades atribuídas às funções de gestão de riscos e de conformidade nos termos do disposto nos artigos 27.º e 28.º correspondem a ações e avaliações de controlo desenvolvidas pela instituição.

3 - O órgão de administração é responsável por assegurar que as ações e avaliações de controlo referidas nos números anteriores são executadas numa base contínua e como parte integrante das atividades diárias da instituição, sendo complementadas por avaliações autónomas, específicas, periódicas ou extraordinárias, eficazes e completas a realizar pela função de auditoria interna.

4 - A frequência das avaliações referidas no número anterior depende da natureza e magnitude dos riscos inerentes à atividade desenvolvida e da eficácia dos controlos específicos associados.

5 - Encontram-se dispensadas de realizar as avaliações autónomas referidas no n.º 3 as instituições em que o estabelecimento da função de auditoria interna não seja exigível nos termos do disposto na alínea a) do n.º 7 do artigo 16.º

6 - Os colaboradores da instituição participam nas ações de controlo, nomeadamente através da execução de procedimentos de revisão das tarefas executadas, previamente à sua formalização ou transmissão a terceiros, e da comunicação a nível hierárquico superior de todas as deficiências que detetem ou tomem conhecimento.

7 - A gestão intermédia desenvolve ações de controlo sobre as áreas da sua responsabilidade, verificando se os colaboradores desempenham adequadamente as suas funções, analisando eventuais desvios face aos objetivos estabelecidos, mantendo um ambiente de controlo e canais de comunicação apropriados e suficientes e assegurando que os riscos se encontram devidamente identificados e geridos.

8 - As ações de controlo são também realizadas pelo órgão de administração e demais membros da direção de topo, ainda que focalizadas na cultura organizacional, na estrutura de governo interno, nas principais áreas de negócio e de suporte e na evolução dos objetivos globais da instituição, bem como nas alterações internas e externas que possam comprometer a execução da estratégia e os objetivos definidos.

9 - O órgão de fiscalização realiza ações de controlo dentro das suas competências legais e regulamentares, mantendo um plano plurianual de atividades aprovado e atualizado, que é disponibilizado, de imediato, à autoridade de supervisão competente, sempre que solicitado.

10 - O plano de atividades referido no número anterior inclui uma descrição dos meios materiais, técnicos e humanos necessários para coadjuvar os membros do órgão de fiscalização no exercício das suas funções, os quais são disponibilizados pelo órgão de administração.

11 - As deficiências detetadas no âmbito das ações de controlo referidas nos números anteriores são alocadas às categorias de risco adotadas pela instituição em conformidade com o artigo 21.º, tendo em consideração a categoria de risco em que se prevê que se materialize com maior relevância o seu impacto.

12 - As deficiências referidas no número anterior, incluindo as identificadas pelo revisor oficial de contas ou sociedade de revisores oficiais de contas da instituição e pela autoridade de supervisão competente, são comunicadas, de imediato, à função de gestão de riscos, à função de conformidade ou à função de auditoria interna, consoante apropriado, ou a uma outra unidade de estrutura que tenha responsabilidades em matéria de controlo interno, que passa a ser responsável pela monitorização da implementação das medidas destinadas a corrigi-las.

13 - O órgão de administração é responsável por assegurar que todas as deficiências identificadas são devidamente registadas, que são reportadas aos níveis de gestão apropriados e que é definido um prazo para a sua correção, atendendo ao impacto da deficiência, de modo a possibilitar a adoção tempestiva de medidas adequadas destinadas a corrigi-las.

14 - Para efeitos do disposto no número anterior, o órgão de administração assegura que a instituição dispõe de uma base de dados de todas as deficiências, que inclui as deficiências detetadas por entidades terceiras, incluindo por autoridades de supervisão, que abrange o grupo no caso de se tratar de uma empresa-mãe, e que compreende, pelo menos:

a) A descrição de cada deficiência, com identificação da unidade de estrutura a que respeita;

b) A categoria de risco em que a deficiência se enquadra, tendo em consideração as categorias de risco definidas pela instituição nos termos do artigo 21.º, bem como, se distintas, as categorias de risco constantes de anexo à Instrução do Banco de Portugal n.º 18/2020;

c) A classificação de cada deficiência, atendendo à metodologia de classificação de deficiências constante de anexo à Instrução do Banco de Portugal n.º 18/2020;

d) A data em que a deficiência foi identificada e a função, órgão da instituição ou entidade externa responsável pela identificação, sendo que, no caso em que tenha sido identificada pelo revisor oficial de contas ou sociedade de revisores oficiais de contas, é incluída referência ao relatório ou parecer em que essa deficiência foi identificada;

e) A descrição das medidas destinadas a corrigi-la, o seu estado de implementação e a data prevista para a sua resolução definitiva;

f) A identificação do colaborador da unidade de estrutura a que respeita a deficiência a quem foi atribuída a responsabilidade por assegurar a implementação das medidas destinadas a corrigi-la e identificação da função de controlo interno responsável pela monitorização da implementação dessas medidas;

g) A data de resolução de cada deficiência.

15 - A base de dados deve estar permanentemente atualizada, sendo o registo de deficiências e dos elementos previstos no número anterior do presente artigo efetuado sem demora injustificada.

16 - No âmbito das suas competências de supervisão, a autoridade de supervisão competente pode, a todo o tempo, consultar a base de dados referida nos números anteriores e solicitar informações sobre o seu conteúdo.

17 - Caso entidades terceiras, incluindo as autoridades de supervisão, detetem e comuniquem à instituição deficiências na cultura organizacional e nos sistemas de governo e controlo interno, os níveis de gestão apropriados e, quando adequado, o órgão de administração, adotam tempestivamente as medidas adequadas e consideradas necessárias para as corrigir.

18 - A eficácia e adequação das medidas implementadas para suprir quaisquer deficiências detetadas, são validadas pela função de controlo interno responsável pela monitorização da sua implementação ou por outra unidade de estrutura com responsabilidades em matéria de controlo interno, em articulação com a(s) unidade(s) de estrutura a que as deficiências respeitam.

19 - Para assegurar o cumprimento do disposto no presente artigo, o órgão de administração aprova políticas e procedimentos concretos, eficazes e adequados, para o processo de monitorização da cultura organizacional e dos sistemas de governo e controlo interno, assegurando a sua implementação e cumprimento.

Artigo 32.º

Função de auditoria interna

1 - O órgão de administração da instituição estabelece e mantém uma função de auditoria interna responsável, nomeadamente, por:

a) Avaliar a adequação e a eficácia da cultura organizacional e dos sistemas de governo e controlo interno da instituição, bem como das respetivas componentes individualmente consideradas, incluindo, nomeadamente, órgãos de administração e de fiscalização, respetivos comités de apoio, funções de gestão de risco e de conformidade e funções e atividades subcontratadas, elaborando e mantendo atualizado, para o efeito, o plano de atividades previsto na alínea c) do n.º 9 do artigo 14.º do presente Aviso, bem como um plano plurianual de ações de auditoria, assegurando que ambos são executados de acordo com a calendarização proposta pelo responsável pela função e aprovada pelo órgão de administração;

b) Emitir recomendações baseadas nos resultados das avaliações realizadas e promover um acompanhamento contínuo das deficiências identificadas, com periodicidade apropriada ao risco associado, no sentido de garantir que as medidas destinadas à sua correção são adequadas e tempestivamente implementadas;

c) Elaborar e apresentar aos órgãos de administração e de fiscalização um relatório, de periodicidade pelo menos anual, com uma avaliação global:

i) Da adequação e eficácia, como um todo, da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno, incluindo as diversas componentes de ambos os sistemas, incluindo as funções e atividades que sejam objeto de subcontratação;

ii) Da atuação dos órgãos de administração e de fiscalização e dos seus comités de apoio, quando constituídos, no âmbito referido na subalínea anterior;

iii) Das deficiências detetadas nas ações de controlo, classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020, e de outras deficiências isoladamente pouco relevantes, mas que possam, no seu conjunto, evidenciar uma deterioração da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno;

iv) Das recomendações emitidas e das medidas propostas destinadas à correção das deficiências referidas na alínea anterior, com indicação sobre se foram ou não adotadas;

d) Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório a subscrever pelo responsável pela função de auditoria interna, que inclua:

i) Uma avaliação da independência da função, com indicação da existência de quaisquer situações ou constrangimentos que a comprometam ou possam vir a comprometer;

ii) Uma avaliação da adequação da organização da função para avaliar os riscos a que a instituição está ou pode vir a estar exposta;

iii) Uma avaliação da suficiência dos recursos materiais, técnicos e humanos afetos à função, incluindo da qualificação dos seus colaboradores e do grau de execução do seu plano de formação face às suas responsabilidades e necessidades concretas, com identificação das áreas em que se verificam maiores necessidades de aquisição de conhecimento ou robustecimento de competências;

iv) Uma avaliação do grau de execução dos seus planos de atividades e de ações de auditoria, considerando as alterações introduzidas aos mesmos e suas motivações, incluindo a justificação para os mesmos terem sido, ou não, cumpridos;

v) Uma descrição de todas as deficiências identificadas por qualquer entidade, interna ou externa à instituição, relativamente à própria função de auditoria interna, que se mantenham em aberto, do grau de implementação das medidas destinadas à sua correção e indicação do prazo previsto para a sua resolução definitiva;

vi) Quando aplicável, os principais resultados de avaliações externas efetuadas à função de auditoria interna.

2 - O plano plurianual de ações de auditoria referido na alínea a) do n.º 1 inclui uma descrição dos meios materiais, técnicos e humanos necessários para garantir um exame abrangente, orientado para o risco, de todas as atividades, sistemas e processos da instituição, com vista a avaliar globalmente a adequação e a eficácia da cultura organizacional, das estruturas de governo interno e do sistema de controlo interno da instituição, num horizonte temporal adequado.

3 - Os relatórios referidos nas alíneas c) e d) do n.º 1 são disponibilizados de imediato, diretamente pelo responsável pela função de auditoria interna, aos órgãos de administração e de fiscalização e ao Comité de Riscos, quando constituído.

4 - Sem prejuízo do referido na subalínea i) da alínea d) do n.º 1, quaisquer situações ou constrangimentos que comprometam ou possam vir a comprometer materialmente a independência da função de auditoria interna são comunicadas, de imediato, aos órgãos de administração e de fiscalização da instituição que devem analisar e documentar em ata as suas conclusões e as medidas determinadas para ultrapassar as situações identificadas.

5 - O órgão de administração, após parecer do órgão de fiscalização, pronuncia-se atempada e expressamente sobre cada um dos relatórios referidos nas alíneas c) e d) do n.º 1.

6 - O órgão de administração assegura a efetiva implementação das medidas destinadas à correção de quaisquer deficiências detetadas ou que visem a introdução de melhorias na cultura organizacional e nos sistemas de governo e controlo interno da instituição, bem como das medidas destinadas a corrigir as situações ou constrangimentos que afetam a independência da função de auditoria interna.

7 - Para efeitos de um adequado desempenho da função de auditoria interna, os órgãos de administração e de fiscalização:

a) Asseguram que a função de auditoria interna desenvolve a sua atividade em conformidade com as normas e com os princípios de auditoria interna reconhecidos e aceites a nível internacional;

b) Apreciam, anualmente, o plano de ações de auditoria para o ano seguinte, bem como a adequação do plano plurianual para garantir o cumprimento do disposto no n.º 2, os quais são objeto de aprovação pelo órgão de administração, após parecer prévio do órgão de fiscalização;

c) Asseguram que, para cada avaliação realizada pela função de auditoria interna:

i) É delineado um programa que define os objetivos da auditoria, identifica as atividades e os procedimentos de controlo interno objeto de revisão e estabelece os recursos necessários para a sua execução;

ii) São claramente definidos os critérios para avaliar a adequação de políticas, procedimentos e controlos específicos implementados pela instituição;

iii) É elaborado um relatório que contém os resultados da avaliação;

d) Asseguram que as deficiências identificadas pela auditoria interna, assim como as consequentes recomendações emitidas, são registadas e reportadas diretamente ao órgão de administração e, quando classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020, também ao órgão de fiscalização, de modo a garantir que a avaliação não é enviesada e que as questões identificadas são prontamente tomadas em consideração;

e) Asseguram que as deficiências identificadas ou monitorizadas, nos termos do n.º 12 do artigo 31.º do presente Aviso, pela função de auditoria interna, são objeto de um acompanhamento contínuo por parte desta função, com uma periodicidade adequada ao risco associado, e que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;

f) Asseguram que a função de auditoria interna tem conhecimento de todas as deficiências em aberto na instituição.

8 - A adequação e a eficácia da função de auditoria interna são objeto de avaliações independentes, a realizar periodicamente, no mínimo de cinco em cinco anos, por entidade externa à instituição.

CAPÍTULO V

PARTES RELACIONADAS E CONFLITOS DE INTERESSES

Artigo 33.º

Partes relacionadas

1 - O órgão de administração é responsável por assegurar que a instituição identifica, numa lista completa e atualizada pelo menos trimestralmente, as suas partes relacionadas, disponibilizando-a à autoridade de supervisão competente sempre que solicitado.

2 - A lista referida no número anterior inclui nome ou denominação da parte relacionada, o número de identificação fiscal ou número de identificação de pessoa coletiva ou equivalente e a respetiva percentagem de todas as participações diretas e indiretas, quando aplicável, sendo aprovada pelo órgão de administração da instituição e objeto de tomada de conhecimento pelo órgão de fiscalização.

3 - Para efeitos do disposto no presente Aviso, correspondem a partes relacionadas com a instituição:

a) Participantes qualificados da instituição e outras pessoas ou entidades abrangidas pelo regime previsto no artigo 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

b) Membros dos órgãos de administração e de fiscalização;

c) Cônjuge, unido de facto, parente ou afim em 1.º grau dos membros dos órgãos de administração e de fiscalização;

d) Uma sociedade na qual um membro do órgão de administração ou do órgão de fiscalização, ou o seu cônjuge, unido de facto, parente ou afim em 1.º grau detém uma participação qualificada igual ou superior a 10 % do capital ou dos direitos de voto, ou na qual essas pessoas exerçam influência significativa ou exerçam cargos de direção de topo ou funções de administração ou fiscalização;

e) Entidades relativamente às quais existe uma relação de interdependência económica, nomeadamente devido à sua inserção numa relação entrecruzada de participações com diversas outras entidades ou que, por estarem de tal forma ligadas à instituição, na eventualidade de uma delas se deparar com problemas financeiros, a instituição terá também dificuldades financeiras;

f) As pessoas ou entidades, incluindo, nomeadamente, depositantes, credores, devedores, entidades participadas pela instituição, colaboradores da instituição ou colaboradores de outras entidades pertencentes ao mesmo grupo, cuja relação com a instituição lhes permita, potencialmente, influenciar a sua gestão, no sentido de conseguir um relacionamento comercial fora das condições normais de mercado.

4 - Sem prejuízo do disposto no Regime Geral das Instituições de Crédito e Sociedades Financeiras e demais legislação aplicável, o órgão de administração assegura que as transações em que a instituição participa e que envolvam partes relacionadas são efetuadas em condições de mercado, sendo aprovadas por um mínimo de dois terços dos seus membros, depois de obtidos os pareceres prévios das funções de gestão de riscos e de conformidade e do órgão de fiscalização.

5 - Nos casos excecionais em que a instituição, de forma fundamentada, considere que é impossível definir quais as condições de mercado aplicáveis a uma operação, é definido um processo interno que permita à instituição fixar um referencial de comparabilidade entre a operação em causa e outras operações semelhantes, de forma a evitar beneficiar a parte relacionada face a uma outra entidade que não tenha esse tipo de relação com a instituição.

6 - As instituições podem definir procedimentos de aprovação agregada, pelo órgão de administração, de transações com partes relacionadas, desde que, para efeitos dessa aprovação, seja observado o disposto no n.º 4 do presente artigo, a aprovação especifique as condições concretas em que tais transações se poderão realizar e desde que tanto a aprovação, como as referidas condições, sejam revistas pelo menos trimestralmente.

7 - O órgão de administração aprova uma política interna para os efeitos previstos no presente artigo, após parecer prévio do órgão de fiscalização, que detalha, nomeadamente:

a) As responsabilidades das funções de gestão de risco e conformidade, tanto no processo de identificação como no processo de análise de uma transação com uma parte relacionada com a instituição;

b) Procedimentos que permitam a identificação, a todo o momento, das exposições individuais a partes relacionadas, o montante total das mesmas e o cumprimento dos limites previstos nos números 1 e 2 do artigo 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

c) Procedimentos que assegurem o cumprimento integral das obrigações estabelecidas nos artigos 85.º, 85.º-A e 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

d) As responsabilidades dos diretores de topo das unidades de estrutura relevantes na monitorização de operações com partes relacionadas, incluindo um reporte trimestral sobre essa monitorização às funções de gestão de riscos e de conformidade;

e) Procedimentos que prevejam que as funções de gestão de riscos e de conformidade reportam aos órgãos de administração e de fiscalização:

i) Pelo menos trimestralmente, informação que lhes permita monitorizar as operações com partes relacionadas;

ii) De imediato, qualquer situação de incumprimento dos normativos internos em vigor na instituição, e do disposto na legislação e regulamentação aplicável, relativamente a transações com partes relacionadas, recomendando eventuais medidas para a corrigir;

f) Os procedimentos referidos no n.º 6 do presente artigo;

g) No caso de instituições de crédito, os procedimentos para assegurar:

i) A realização da comunicação à autoridade de supervisão competente, prevista no n.º 2 do artigo 85.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, igualmente aplicável nos casos previstos no n.º 4 do artigo 109.º do mesmo diploma, nos termos previstos na Instrução do Banco de Portugal n.º 18/2020;

ii) Que é observado o disposto no n.º 4 do presente artigo relativamente a qualquer projeto de alteração às operações abrangidas pelo número anterior e, em caso de concretização, que é efetuada a comunicação à autoridade de supervisão competente prevista na Instrução do Banco de Portugal n.º 18/2020.

8 - O órgão de administração assegura que a política referida no número anterior se encontra adequadamente implementada na instituição, que é objeto de revisões periódicas e que é divulgada internamente a todos os colaboradores, sendo também divulgada no sítio da Internet da instituição.

Artigo 34.º

Conflitos de interesses

1 - O órgão de administração aprova, após parecer prévio do órgão de fiscalização, uma política de prevenção, comunicação e sanação de conflitos de interesses, aplicável aos membros dos órgãos de administração e de fiscalização, demais membros da direção de topo, titulares de funções essenciais e restantes colaboradores da instituição.

2 - A política de prevenção, comunicação e sanação de conflitos de interesses aplica-se a conflitos de interesses atuais ou potenciais e abrange conflitos de interesses institucionais e conflitos de interesses respeitantes aos colaboradores, incluindo, neste caso, conflitos de interesses financeiros, profissionais, pessoais e políticos.

3 - O órgão de administração assegura que a política de prevenção, comunicação e sanação de conflitos de interesses da instituição inclui, pelo menos, os seguintes elementos:

a) A obrigação de os colaboradores abrangidos evitarem situações que possam dar origem a conflitos de interesses;

b) A obrigação de comunicação imediata à instituição de toda e qualquer situação de conflitos de interesses abrangida pela política e o procedimento que os colaboradores observam para o efeito, incluindo o conteúdo mínimo das informações a transmitir à instituição para efeitos de avaliação da existência de situações de conflitos de interesses, atuais ou potenciais e de ponderação da sua relevância;

c) O procedimento a observar previamente à aceitação de um cargo ou função a exercer em acumulação com o cargo exercido na instituição;

d) Um elenco exemplificativo de medidas para mitigar conflitos de interesse institucionais ou conflitos de interesses respeitantes aos colaboradores;

e) A obrigação de a instituição proceder ao registo dos conflitos de interesses dos colaboradores abrangidos pela política, bem como das medidas implementadas ou a implementar para os gerir, de forma a permitir a sua monitorização e avaliação contínua;

f) O procedimento a observar pela instituição no que respeita à avaliação de situações comunicadas de conflitos de interesses, em especial nos casos em que o conflito de interesses é aceite, incluindo a necessidade dessa avaliação ser adequadamente documentada e as funções intervenientes em cada fase do referido procedimento;

g) As seguintes regras, a serem observadas por todos os colaboradores da instituição, incluindo pelos membros dos órgãos de administração e de fiscalização, relativamente a liberalidades:

i) A proibição de aceitarem, em benefício próprio ou de terceiros, ofertas e outros benefícios ou recompensas de algum modo relacionadas com as funções exercidas, devendo as mesmas ser recusadas e devolvidas, com exceção do previsto no número seguinte;

ii) A possibilidade de aceitarem ofertas e outros benefícios ou recompensas de mera hospitalidade conformes com os usos sociais, desde que não constituam vantagem patrimonial ou não patrimonial relevante;

iii) A necessidade de comunicação imediata, à função de conformidade, de todas e quaisquer ofertas e outros benefícios ou recompensas, para análise, decisão quanto à forma de atuação e correspondente registo;

h) As consequências do seu incumprimento.

4 - Os conflitos de interesses abrangidos pela política de prevenção, comunicação e sanação de conflitos de interesses incluem eventuais conflitos de interesses resultantes de cargos exercidos no passado e de relações pessoais e profissionais passadas, devendo a política em causa consagrar o período temporal relevante a considerar para esse efeito.

5 - O órgão de administração assegura que a política referida no presente artigo se encontra adequadamente implementada na instituição, que é objeto de revisões periódicas e que é divulgada internamente a todos os colaboradores, sendo também divulgada no sítio da internet da instituição.

CAPÍTULO VI

PARTICIPAÇÃO DE IRREGULARIDADES

Artigo 35.º

Participação de irregularidades

1 - O órgão de administração assegura que a instituição dispõe de uma política de participação de irregularidades que observe o disposto no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

2 - A política de participação de irregularidades prevista no número anterior deve, pelo menos:

a) Definir um procedimento interno autónomo de participação de irregularidades que seja concebido e implementado de forma a garantir a confidencialidade da identidade dos denunciantes, dos visados na irregularidade participada, de terceiros mencionados na participação e a impedir acessos não autorizados;

b) Estabelecer que qualquer participação pode ser apresentada por escrito, verbalmente ou em reunião prevendo-se que esta ocorre com a maior brevidade possível, atendendo à gravidade da participação recebida;

c) Definir a unidade de estrutura ou órgão da instituição que, em articulação com o órgão de fiscalização, é responsável pela monitorização da implementação do procedimento autónomo de participação de irregularidades e por assegurar que o processo referido na alínea f) é adequadamente implementado e que são efetivamente adotadas as medidas consideradas adequadas;

d) Consagrar expressamente a possibilidade de serem admitidas participações anónimas;

e) Prever que, quando a participação é feita por escrito, é enviado ao denunciante um aviso de receção da participação, no prazo de sete dias a contar da data de receção da mesma, exceto quando a participação seja anónima;

f) Consagrar um processo destinado a assegurar que todas as participações efetuadas são registadas em base de dados própria e sujeitas a análise, que é elaborado um relatório fundamentado sobre as mesmas, com indicação das medidas a adotar ou com uma justificação para a não adoção de quaisquer medidas;

g) Prever que a informação constante da participação deve, caso tal seja requerido pelo denunciante, ser transmitida de forma anónima a todos os intervenientes da instituição no processo;

h) Quando a denúncia não for anónima, estabelecer um prazo razoável para responder ao denunciante que não exceda três meses após o envio do aviso de receção referido na alínea e);

i) Estabelecer um prazo razoável para conclusão do procedimento de análise da denúncia, que não exceda três meses desde a data da sua receção, podendo o referido prazo ser prorrogado em circunstâncias devidamente fundamentadas;

j) Estabelecer que as irregularidades participadas são transmitidas ao nível hierárquico superior dos visados na denúncia, caso esta transmissão não coloque em causa as finalidades do procedimento de participação de irregularidades e, se for caso disso, à respetiva autoridade de supervisão competente;

k) Estabelecer que os colaboradores da instituição que participem irregularidades não são alvo de retaliação, discriminação ou outro tipo de tratamento injusto.

3 - A autoridade de supervisão competente pode exigir a apresentação do relatório referido na alínea f) do número anterior, durante o respetivo prazo de conservação.

4 - O conteúdo mínimo do relatório anual previsto no n.º 7 do artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras é definido na Instrução do Banco de Portugal n.º 18/2020.

5 - O órgão de administração assegura que a política referida no presente artigo se encontra adequadamente implementada na instituição, que é objeto de revisões periódicas e que é divulgada internamente a todos os colaboradores, sendo também divulgada no sítio da Internet da instituição.

6 - Para além do disposto no n.º 2, a política de participação de irregularidades das instituições que integram o Sistema Integrado do Crédito Agrícola Mútuo estabelece que o relatório referido na alínea f) do n.º 2 é remetido à Caixa Central do Crédito Agrícola Mútuo no prazo de 5 dias após a sua conclusão.

7 - A Caixa Central do Crédito Agrícola Mútuo pode solicitar às instituições referidas no número anterior os esclarecimentos e a realização das diligências adicionais que considerar necessárias ao cabal esclarecimento da irregularidade participada e à avaliação da adequação das eventuais medidas adotadas ou a adotar.

CAPÍTULO VII

SUBCONTRATAÇÃO

Artigo 36.º

Subcontratação de tarefas operacionais das funções de controlo interno

1 - As instituições podem subcontratar tarefas operacionais específicas das funções de controlo interno, designadamente através de soluções colaborativas, caso tal contribua para a eficiência do sistema de controlo interno e desde que obtido o prévio consentimento dos órgãos de administração e de fiscalização.

2 - Com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica à autoridade de supervisão competente a pretensão de adotar soluções colaborativas para o desenvolvimento de tarefas operacionais das funções de controlo interno, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão competente deve conter a seguinte fundamentação:

a) Uma descrição da solução colaborativa a adotar;

b) Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.

3 - A comunicação prevista no número anterior não dispensa a necessidade de as instituições efetuarem as comunicações previstas no Aviso do Banco de Portugal n.º 8/2023.

4 - O órgão de administração das instituições que procedam à subcontratação referida no número anterior assegura que:

a) A subcontratação de tarefas operacionais específicas das funções de controlo interno está contemplada na política de subcontratação de atividades da instituição, que prevê que as tarefas subcontratadas são objeto de avaliação e monitorização contínuas, de modo a permitir, nomeadamente, a identificação, avaliação, acompanhamento e controlo de todos os riscos decorrentes da subcontratação dessas tarefas;

b) A entidade prestadora do serviço não se encontra estabelecida em jurisdição com um regime legal que preveja proibições ou restrições que impeçam ou limitem o cumprimento, pela instituição, das normas legais e regulamentares que regem a respetiva atividade, incluindo ao nível da prestação e circulação de informação;

c) A entidade prestadora do serviço dispõe da capacidade técnica e humana necessária para realizar as tarefas operacionais subcontratadas de forma eficaz, independente, confiável e profissional, dando cumprimento às disposições legais e regulamentares aplicáveis;

d) O responsável pela função de controlo interno em causa assegura, nomeadamente, que a entidade prestadora do serviço dispõe de toda a informação e elementos necessários para realizar as tarefas operacionais subcontratadas, monitoriza a sua execução e avalia o desempenho do prestador de serviços.

5 - As tarefas operacionais das funções de controlo interno podem ser subcontratadas para a empresa-mãe ou para outra entidade do grupo, nos termos dos números anteriores, desde que obtido o prévio consentimento dos órgãos de administração e de fiscalização de todas as entidades envolvidas.

6 - As instituições asseguram que todos os potenciais conflitos de interesses são identificados antecipadamente e que são implementadas as medidas adequadas com vista à sua gestão e mitigação, em especial quando a subcontratação ocorra dentro do grupo.

7 - A subcontratação de tarefas operacionais prevista no presente artigo é formalizada através de contrato escrito.

8 - O órgão de administração permanece responsável por todas as tarefas subcontratadas e pelo cumprimento das respetivas obrigações legais e regulamentares.

9 - A subcontratação de tarefas não pode criar, quer à instituição contratante quer à autoridade de supervisão competente, quaisquer constrangimentos no acesso a toda a informação relacionada com a mesma, incluindo o acesso irrestrito às instalações onde os serviços são prestados ou à realização de ações de auditoria ou de inspeção, durante ou após a realização das tarefas em causa.

10 - O órgão de administração assegura que o registo das tarefas subcontratadas é efetuado nos termos previstos no Aviso do Banco de Portugal n.º 8/2023.

11 - Caso se revele que a subcontratação de tarefas não é eficiente, nomeadamente por não cumprir os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que as instituições internalizem as tarefas subcontratadas nas suas funções de controlo interno ou que substituam a entidade subcontratada.

Artigo 37.º

Subcontratação do sistema informático de suporte à participação de irregularidades

1 - Caso a natureza, nível e complexidade das atividades prosseguidas pela instituição não justifique a implementação, na instituição, de um sistema informático de suporte à participação de irregularidades prevista no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras, a instituição pode proceder à sua subcontratação nos termos do disposto no presente artigo.

2 - A subcontratação do sistema informático de suporte à participação de irregularidades referida no número anterior observa, pelo menos, o seguinte:

a) A instituição designa um responsável pela subcontratação do referido sistema informático de suporte à participação de irregularidades o qual, juntamente com os órgãos de administração e de fiscalização, permanece responsável pelo cumprimento dos requisitos aplicáveis;

b) A subcontratação do sistema informático de suporte à participação de irregularidades não obsta ao cumprimento do disposto no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras, nomeadamente, o acompanhamento e análise, pelo órgão de fiscalização, de qualquer participação efetuada e ao cumprimento do disposto no artigo 35.º;

c) Permite a elaboração, pela própria instituição, do relatório anual referido no n.º 7 do artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras e o seu atempado envio à autoridade de supervisão competente, nos termos da Instrução do Banco de Portugal n.º 18/2020.

3 - O disposto no artigo 36.º é aplicável à subcontratação do sistema de participação de irregularidades.

4 - O órgão de administração assegura que a qualidade do sistema informático subcontratado é objeto de avaliação regular pela função de auditoria interna da instituição.

5 - A avaliação a realizar nos termos do número anterior inclui controlo de qualidade, revisão dos controlos gerais de tecnologias de informação e conformidade do sistema informático com a legislação e regulamentação aplicáveis e com os normativos internos em vigor na instituição.

CAPÍTULO VIII

SELEÇÃO E DESIGNAÇÃO DO REVISOR OFICIAL DE CONTAS OU SOCIEDADE DE REVISORES OFICIAIS DE CONTAS E CONTRATAÇÃO DE SERVIÇOS DISTINTOS DE AUDITORIA NÃO PROIBIDOS

Artigo 38.º

Política de seleção e designação

1 - A assembleia geral da instituição aprova, após parecer prévio do órgão de fiscalização, uma política de seleção e designação do revisor oficial de contas ou sociedade de revisores oficiais de contas e de contratação de serviços distintos de auditoria não proibidos, nos termos da legislação em vigor.

2 - O órgão de fiscalização assegura que a política referida no presente artigo se encontra adequadamente implementada na instituição e que é objeto de revisões periódicas.

3 - Os órgãos de administração e de fiscalização, no âmbito das respetivas competências legais, são responsáveis por assegurar que a política é divulgada internamente a todos os colaboradores, sendo também divulgada no sítio da Internet da instituição.

Artigo 39.º

Conteúdo da política de seleção e designação

Sem prejuízo do disposto na legislação aplicável, o órgão de fiscalização assegura que a política referida no artigo anterior inclui, pelo menos, os seguintes elementos:

a) O processo aplicável para efeitos de seleção e designação do revisor oficial de contas ou sociedade de revisores oficiais de contas que prestará os serviços de auditoria;

b) Os critérios de seleção, com a respetiva ponderação, que serão utilizados pela instituição para avaliar as propostas apresentadas, não devendo ser atribuída uma relevância significativa ao critério preço;

c) A obrigatoriedade de o processo de seleção e designação do revisor oficial de contas ou sociedade de revisores oficiais de contas ser iniciado pela instituição com a antecedência necessária de modo a assegurar o cumprimento do disposto na legislação e regulamentação aplicável e de modo a assegurar a inexistência de disrupções de atividade em caso de nomeação de um novo revisor oficial de contas ou sociedade de revisores oficiais de contas;

d) O processo aplicável para efeitos de renovação do mandato do revisor oficial de contas ou sociedade de revisores oficiais de contas, incluindo uma avaliação das matérias previstas nas alíneas d) e e) do n.º 3 do artigo 3.º da Lei n.º 148/2015, de 9 de setembro;

e) O processo que se encontra implementado na instituição para efeitos de acompanhamento e verificação, pelo órgão de fiscalização, dos serviços prestados pelo revisor oficial de contas ou sociedade de revisores oficiais de contas;

f) O processo que se encontra implementado na instituição para efeitos de fiscalização, pelo órgão de fiscalização, da independência do revisor oficial de contas ou sociedade de revisores oficiais de contas, designadamente no que respeita à prestação de serviços distintos de auditoria não proibidos;

g) O processo aplicável para efeitos de contratação de serviços distintos de auditoria não proibidos, incluindo a sua avaliação e fundamentação pelo órgão de fiscalização;

h) A obrigatoriedade de todos os envolvidos no processo de seleção e designação do revisor oficial de contas ou sociedade de revisores oficiais de contas e de contratação de serviços não proibidos frequentarem, com uma periodicidade regular, ações de formação sobre a matéria e sobre as responsabilidades que lhes são conferidas pela lei e pela política.

i) Nas instituições habilitadas a receber depósitos, com exceção das Caixas de Crédito Agrícola Mútuo que integrem o Sistema Integrado de Crédito Agrícola Mútuo, os procedimentos para assegurar a realização do reporte à autoridade de supervisão competente da designação do revisor oficial de contas ou sociedade de revisores oficiais de contas, nos termos previstos na Instrução do Banco de Portugal n.º 18/2020.

CAPÍTULO IX

POLÍTICAS E PRÁTICAS REMUNERATÓRIAS E AVALIAÇÃO DE DESEMPENHO

SECÇÃO I

ASPETOS GERAIS

Artigo 40.º

Regras gerais

1 - O órgão de administração assegura que a instituição define, implementa e avalia, de forma adequada, a sua política de remuneração e formaliza em documentos específicos os respetivos procedimentos e todos os outros elementos necessários à sua definição, implementação, avaliação e revisão periódica.

2 - A política de remuneração é transparente e acessível a todos os colaboradores, incluindo aos membros dos órgãos de administração e de fiscalização da instituição.

Artigo 41.º

Processo de identificação de colaboradores

1 - O órgão de administração das instituições a que se aplicam as normas técnicas de regulamentação para efeitos dos critérios qualitativos e quantitativos adequados para identificar as categorias de pessoal cujas atividades profissionais têm um impacto significativo no seu perfil de risco:

a) Define e aprova um processo de identificação dos colaboradores que têm impacto material no perfil de risco da instituição, que dê cumprimento ao disposto nessas normas técnicas de regulamentação;

b) Assegura que a identificação dos colaboradores que têm impacto material no perfil de risco da instituição é objeto de revisão com uma periodicidade mínima anual, de modo a incluir todos os colaboradores que exerceram funções com impacto material no perfil de risco da instituição durante um período mínimo de três meses em cada exercício financeiro;

c) Assegura que o universo de colaboradores que têm impacto material no perfil de risco da instituição é reportado à autoridade de supervisão competente nos termos previstos na Instrução do Banco de Portugal n.º 18/2020.

2 - Para efeitos do disposto no presente artigo, a instituição recolhe e mantém apenas os dados pessoais necessários à prossecução dos objetivos que se pretende atingir, nomeadamente, os dados referidos no artigo 10.º da Instrução do Banco de Portugal n.º 18/2020.

Artigo 42.º

Processo de avaliação de desempenho

O órgão de administração é responsável por assegurar que o processo de avaliação individual de desempenho, incluindo os critérios de natureza financeira e não financeira, quantitativos e qualitativos utilizados e a respetiva ponderação para determinação da componente variável da remuneração, é transparente e comunicado aos colaboradores em momento anterior ao início do período de contagem a que a avaliação diz respeito.

Artigo 43.º

Remuneração dos membros não executivos do órgão de administração e dos membros do órgão de fiscalização

A remuneração dos membros não executivos do órgão de administração e dos membros do órgão de fiscalização é composta apenas por uma componente fixa, não podendo incluir nenhuma componente de natureza variável ou cujo valor dependa do seu desempenho ou do desempenho da própria instituição.

Artigo 44.º

Avaliação da política de remuneração

1 - Os resultados da avaliação centralizada e independente, de periodicidade anual, prevista no n.º 6 do artigo 115.º-C do Regime Geral das Instituições de Crédito e Sociedades Financeiras, constam de um relatório próprio que:

a) Inclui as medidas necessárias para corrigir eventuais deficiências detetadas;

b) É apresentado à assembleia geral da instituição, e ao órgão de administração, que assegura a implementação das medidas referidas na alínea anterior pelos órgãos ou outras unidades de estrutura responsáveis, bem como ao órgão de fiscalização, que fiscaliza a sua efetiva implementação.

2 - O relatório previsto no presente artigo é disponibilizado, de imediato, à autoridade de supervisão competente sempre que solicitado.

SECÇÃO II

COMITÉ DE REMUNERAÇÕES

Artigo 45.º

Composição do Comité de Remunerações

1 - O Comité de Remunerações previsto no artigo 115.º-H do Regime Geral das Instituições de Crédito e Sociedades Financeiras é composto por uma maioria de membros independentes, na aceção do n.º 5 do artigo 414.º do Código das Sociedades Comerciais.

2 - Os membros do Comité de Remunerações possuem, a nível coletivo, qualificação e experiência profissional específica para o exercício das respetivas funções, nomeadamente, qualificação e experiência profissional adequadas em matéria de políticas e práticas remuneratórias, bem como na área de gestão de risco e demais funções de controlo interno, de modo a garantir que o comité reúne as qualificações adequadas para assegurar um efetivo alinhamento entre as estruturas de remuneração da instituição, o respetivo perfil de risco e base de fundos próprios.

SECÇÃO III

DIVULGAÇÃO PÚBLICA DE INFORMAÇÃO SOBRE A POLÍTICA DE REMUNERAÇÃO

Artigo 46.º

Divulgação pública da política de remuneração

1 - A política de remuneração dos membros dos órgãos de administração e de fiscalização da instituição, aprovada pela assembleia geral, nos termos do n.º 4 do artigo 115.º-C do Regime Geral das Instituições de Crédito e Sociedades Financeiras, é divulgada no sítio da Internet da instituição.

2 - A política de remuneração respeitante aos colaboradores referidos nas alíneas b) a e) do n.º 2 do artigo 115.º-C do Regime Geral das Instituições de Crédito e Sociedades Financeiras, aprovada pelo órgão de administração da instituição nos termos do n.º 5 do mesmo artigo, é divulgada no sítio da internet da instituição.

Artigo 47.º

Divulgação pública de informação quantitativa

As instituições divulgam nos documentos anuais de prestação de contas informação quantitativa referente à remuneração paga pela instituição, discriminando entre as diversas categorias de colaboradores previstas no n.º 2 do artigo 115.º-C do Regime Geral das Instituições de Crédito e Sociedades Financeiras, que deve incluir, pelo menos, a informação prevista nas alíneas g) a j) do artigo 450.º do Regulamento (UE) n.º 575/2013, do Parlamento Europeu e do Conselho, de 26 de junho.

CAPÍTULO X

GRUPOS FINANCEIROS

Artigo 48.º

Conceito de grupo

1 - Para efeitos do disposto no presente Aviso, o conceito de “grupo” é o disposto na alínea z) do n.º 1 do artigo 2.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

2 - No caso do Sistema Integrado do Crédito Agrícola Mútuo, para efeitos do presente Capítulo, entende-se por empresa-mãe a Caixa Central de Crédito Agrícola Mútuo e por filiais as Caixas de Crédito Agrícola Mútuo integradas.

Artigo 49.º

Princípio da transparência

1 - Os órgãos de administração e de fiscalização da empresa-mãe conhecem cabalmente a estrutura do grupo e são responsáveis por assegurar que este se encontra organizado nos termos previstos nos números seguintes.

2 - Os grupos financeiros são organizados de forma transparente, evitando estruturas complexas e opacas, sendo possível aos órgãos de administração e de fiscalização da empresa-mãe e das demais entidades do grupo e a um terceiro conhecer e compreender cabalmente a estrutura do grupo, incluindo a relevância, o objeto e os riscos relativos a cada uma das entidades que o integram, bem como eventuais relações de participação com entidades não financeiras ou com entidades que estejam estabelecidas fora de Portugal.

3 - Sempre que pretenda constituir uma filial, o órgão de administração da empresa-mãe procede a uma análise de risco relativa ao estabelecimento dessa filial, que envolve as respetivas funções de controlo interno, que lhe permita aferir todos os riscos que essa filial pode gerar para o grupo.

Artigo 50.º

Princípio da coerência do controlo interno do grupo

1 - Com vista a garantir uma efetiva gestão dos riscos associados à atividade do grupo, o órgão de administração da empresa-mãe assegura que todas as filiais do grupo, incluindo as filiais em países terceiros e os estabelecimentos offshore, implementam sistemas de controlo interno coerentes entre si e em conformidade com os requisitos definidos no presente Aviso.

2 - Entende-se por estabelecimento offshore a entidade, filial ou sucursal, estabelecida em território, incluindo o nacional, caracterizado por atrair um volume significativo de atividade com não residentes, em virtude, designadamente, da existência de regimes menos exigentes na obtenção de autorização para o exercício da atividade bancária e de supervisão, de regime especial de segredo bancário, de vantagens fiscais, de legislação diferenciada para residentes e não residentes, ou de facilitação de criação de veículos de finalidade especial.

3 - As instituições pertencentes a um mesmo grupo financeiro podem estabelecer serviços comuns para o desenvolvimento das responsabilidades atribuídas às funções de gestão de riscos, de conformidade e de auditoria interna, desde que a entidade prestadora do serviço comum não se encontre estabelecida em jurisdição com um regime legal que preveja proibições ou restrições que impeçam ou limitem o cumprimento, pela instituição, das normas legais e regulamentares que regem a respetiva atividade, incluindo ao nível da prestação e circulação de informação.

4 - No caso previsto no número anterior:

a) Os respetivos órgãos de administração asseguram que esses serviços são dotados dos recursos materiais, técnicos e humanos apropriados para o desempenho eficaz das suas responsabilidades e que são salvaguardados os requisitos de independência e acesso à informação relativamente a cada uma das instituições;

b) Os órgãos de administração e de fiscalização da instituição que recorre aos serviços comuns mantêm as suas responsabilidades relativas às funções de controlo interno em causa e permanecem responsáveis pelo cumprimento e exercício de todas as obrigações legais e regulamentares que sobre eles impendem, designadamente por força do presente Aviso;

c) Os órgãos de administração e de fiscalização da instituição que recorre aos serviços comuns asseguram que tais serviços dão cumprimento pleno ao disposto no presente Aviso, competindo-lhes apreciar os relatórios elaborados por esses serviços comuns relativamente às matérias que digam respeito à instituição e reunir regularmente com os responsáveis por esses serviços comuns;

d) O órgão de administração da instituição que recorre aos serviços comuns designa um colaborador, considerado titular de função essencial nos termos e para os efeitos do disposto no artigo 33.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras, a quem são, nomeadamente, atribuídas as seguintes responsabilidades:

i) Assegurar que a entidade prestadora do serviço dispõe de toda a informação e elementos necessários para o exercício das funções em regime de serviços comuns;

ii) Promover a incorporação ou adaptação, para os normativos internos da instituição que beneficia dos serviços comuns, da legislação e regulamentação aplicáveis à função de controlo em causa;

iii) Acompanhar a implementação das medidas destinadas à correção de deficiências detetadas;

iv) Comunicar ao responsável dos serviços comuns eventuais deficiências que detete;

v) Acompanhar e monitorizar as tarefas desempenhadas em regime de serviços comuns;

vi) Elaborar relatórios, com periodicidade mínima semestral, que são submetidos à apreciação dos órgãos de administração e de fiscalização, sobre a adequação dos serviços comuns às necessidades da instituição e ao cumprimento do disposto no presente Aviso.

5 - Desde que não envolvam responsabilidades conflituantes, o colaborador referido na alínea d) do número anterior pode desempenhar outras funções na instituição.

6 - Para efeitos do disposto no número anterior, o colaborador poderá acumular, nomeadamente, as responsabilidades referidas na alínea d) do n.º 4 relativamente à função de gestão de riscos e de conformidade, não podendo acumular tais responsabilidades com responsabilidades inerentes à função de auditoria interna.

7 - O desempenho das referidas responsabilidades em regime de serviços comuns não pode criar quaisquer constrangimentos de acesso, pela instituição e, para o exercício das suas funções de supervisão, pela autoridade de supervisão competente, a toda a informação relacionada com as mesmas.

8 - A formalização dos serviços comuns referidos nos números anteriores consta de contrato escrito, aprovado pelos órgãos de administração das instituições envolvidas.

9 - Quando aplicável à função de auditoria interna, os contratos referidos no número anterior são vertidos numa carta de auditoria de serviços partilhados, aprovada pelo órgão de administração das instituições envolvidas, após parecer prévio do órgão de fiscalização.

10 - Caso se revele que os serviços comuns previstos no presente artigo não são eficientes, nomeadamente por não cumprirem os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que as instituições estabeleçam funções de controlo interno próprias.

11 - No caso de instituições que integram o Sistema Integrado do Crédito Agrícola Mútuo, o colaborador referido na alínea d) do n.º 4, tem, apenas, as responsabilidades referidas nas subalíneas i) a iv) do mesmo número, sendo a sua designação ou reavaliação antecedida de parecer da Caixa Central do Crédito Agrícola Mútuo.

Artigo 51.º

Deveres do órgão de administração da empresa-mãe

O órgão de administração da empresa-mãe assegura que esta dispõe de um sistema de controlo interno que, designadamente:

a) Estabelece procedimentos adequados ao objetivo do cumprimento, em cada momento, do disposto no presente Aviso;

b) Permite a gestão das filiais e garante o controlo eficaz dos riscos associados à sua atividade, nomeadamente, a implementação de processos destinados à recolha da informação essencial para o efeito;

c) Institui os processos e os controlos necessários à obtenção de toda a informação relevante para o processo de consolidação, incluindo informação contabilística e demais elementos informativos;

d) Define, de forma clara, o conteúdo e formato da informação a reportar pelas entidades incluídas no perímetro de consolidação e assegura que estas entidades se encontram dotadas dos meios necessários à referida prestação de informação;

e) Estabelece procedimentos de informação de modo a identificar, avaliar, acompanhar e controlar eficazmente as operações intragrupo, a sua natureza e características, assim como as concentrações de riscos;

f) Contempla os procedimentos adequados para garantir que a informação de gestão é coerente entre as várias entidades, de tal modo que a empresa-mãe possa identificar, avaliar, acompanhar e controlar os riscos em que o grupo incorre;

g) Controla o cumprimento, a todo o momento, dos rácios e limites prudenciais em base consolidada, respetivo reporte à autoridade de supervisão competente e procedimentos estabelecidos para a consolidação.

Artigo 52.º

Funções de controlo interno da empresa-mãe

1 - O órgão de administração da empresa-mãe assegura que as suas funções de controlo interno são adequadas à dimensão e à natureza das atividades do grupo, supervisionando a eficácia e a adequação dos controlos internos e zelando pela fiabilidade e pela pontualidade da informação reportada pelas filiais, bem como pelo cumprimento das normas internas e dos procedimentos definidos, incluindo no que respeita aos níveis de tolerância ao risco definidos para o grupo.

2 - As funções de controlo interno da empresa-mãe podem apoiar-se, para efeitos do cumprimento das responsabilidades previstas na alínea anterior, nos trabalhos desenvolvidos pelas funções de controlo interno das filiais da empresa-mãe, desde que a qualidade desses trabalhos tenha sido avaliada previamente pelas funções de controlo interno da empresa-mãe e seja por estas considerada adequada.

3 - As funções de controlo interno da empresa-mãe e das filiais interagem entre si, de forma a assegurar que as funções de controlo interno da empresa-mãe dispõem da informação necessária para o cabal desempenho das suas responsabilidades.

4 - Para dar cumprimento ao disposto no número anterior, o órgão de administração da empresa-mãe assegura, nomeadamente, a existência de linhas de reporte diretas entre as funções de controlo interno das filiais e as funções de controlo interno da empresa-mãe.

5 - O órgão de administração da empresa-mãe assegura que os procedimentos referidos no n.º 3 e n.º 4 permitem às funções de gestão de riscos, de conformidade e de auditoria interna da empresa-mãe monitorizar o cumprimento adequado e tempestivo das responsabilidades das funções de gestão de riscos, de conformidade e de auditoria interna das filiais do grupo.

6 - A assunção de riscos significativos numa filial do grupo é objeto de comunicação prévia à função de gestão de riscos da empresa-mãe, e quando esteja em causa a assunção de riscos de conformidade, também à função de conformidade, na qual são identificados e adequadamente avaliados os riscos reais ou potenciais da mesma para a filial em questão e para o grupo.

7 - Os planos de atividades das funções de controlo interno de uma filial são objeto de comunicação prévia às funções de controlo interno respetivas da empresa-mãe, o mesmo sucedendo quanto ao plano plurianual de ações de auditoria da função de auditoria interna de uma filial.

8 - Quando a empresa-mãe corresponda a uma instituição de crédito, para além do disposto no n.º 4 do artigo 17.º, a substituição dos responsáveis pelas funções de controlo interno das filiais é objeto de comunicação prévia ao responsável da função de controlo interno respetiva da empresa-mãe, para o que lhe são disponibilizados os elementos referidos nas alíneas a) a c) do mesmo artigo.

Artigo 53.º

Políticas de remuneração nos grupos financeiros

1 - De acordo com o disposto no n.º 1 do artigo 115.º-C do Regime Geral das Instituições de Crédito e Sociedades Financeiras, a empresa-mãe de um grupo financeiro sujeito a supervisão em base consolidada, assegura que todas as suas filiais, incluindo as filiais no estrangeiro e os estabelecimentos offshore, implementam políticas de remuneração consistentes entre si.

2 - O cumprimento do disposto no presente Aviso deve ser assegurado para o total das remunerações pagas às categorias de colaboradores previstas no n.º 2 do artigo 115.º-C do Regime Geral das Instituições de Crédito e Sociedades Financeiras, pelo conjunto das instituições, financeiras ou não, integradas no perímetro de supervisão em base consolidada.

3 - As funções de gestão de riscos e de conformidade e o Comité de Remunerações ou, caso não se encontre constituído, os membros não executivos do órgão de administração da empresa-mãe e das filiais no exterior e dos estabelecimentos offshore efetuam, em articulação entre si, com uma periodicidade mínima anual, uma avaliação do impacto no grupo das práticas remuneratórias em vigor, em especial sobre a gestão de riscos, com especial ênfase nos riscos de capital e de liquidez da instituição.

4 - O relatório com os resultados da avaliação a que se refere o número anterior identifica, designadamente, as medidas destinadas à correção de eventuais deficiências detetadas, sendo apresentado à assembleia geral, ao órgão de administração e ao órgão de fiscalização da empresa-mãe, cabendo a este último fiscalizar a sua efetiva implementação.

CAPÍTULO XI

AUTOAVALIAÇÃO

Artigo 54.º

Dever de autoavaliação e relatórios anuais

1 - Os órgãos de administração e de fiscalização são responsáveis, no âmbito das respetivas competências, por assegurar que a cultura organizacional da instituição e os seus sistemas de governo e controlo interno, incluindo as práticas e políticas remuneratórias e as demais matérias tratadas no presente Aviso, são adequados e eficazes e promovem uma gestão sã e prudente.

2 - Para efeitos do disposto no número anterior, os órgãos de administração e de fiscalização, no âmbito das respetivas competências, asseguram que a instituição avalia a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno e elabora um relatório anual contendo os resultados dessa avaliação, com referência a 30 de setembro de cada ano, o qual inclui o conteúdo mínimo previsto no artigo 55.º do presente Aviso.

3 - Nos grupos financeiros, cabe aos órgãos de administração e de fiscalização da empresa-mãe, no âmbito das respetivas competências, assegurar, para além do disposto no número anterior, que é elaborado, com referência a 30 de setembro de cada ano, um relatório anual de autoavaliação sobre a adequação e eficácia da cultura organizacional e dos sistemas de governo e controlo interno do grupo financeiro, nos termos do artigo 58.º do presente Aviso.

4 - No relatório referido no número anterior, a empresa-mãe tem em consideração cada uma das entidades sujeitas a supervisão em base consolidada ou subconsolidada, compreendendo a empresa-mãe e todas as filiais, incluindo filiais em países terceiros e estabelecimentos offshore, que, independentemente da sua designação e classificação formal, exerçam em termos efetivos alguma das atividades enunciadas nas alíneas a) a i), p) e q) do n.º 1 do artigo 4.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

5 - Os relatórios referidos nos números anteriores são reportados à autoridade de supervisão competente nos termos da Instrução do Banco de Portugal n.º 18/2020, sendo que no caso dos grupos financeiros é reportado apenas o relatório de autoavaliação do grupo, sem prejuízo do disposto no n.º 8 do artigo 58.º do presente Aviso.

6 - O reporte de informação sobre a gestão do risco de branqueamento de capitais e de financiamento do terrorismo é exclusivamente objeto de relatório autónomo, nos termos definidos pelo Aviso do Banco de Portugal n.º 1/2022, de 6 de junho e pela Instrução do Banco de Portugal n.º 8/2024.

Artigo 55.º

Conteúdo mínimo do relatório anual de autoavaliação

1 - O relatório anual de autoavaliação referido no n.º 2 do artigo anterior é, no mínimo, constituído pelos seguintes elementos, sem prejuízo da inclusão de outros que os órgãos de administração e de fiscalização considerem relevantes:

a) Avaliação do órgão de fiscalização da instituição, nos termos do artigo 56.º;

b) Avaliação do órgão de administração, nos termos do artigo 57.º;

c) Relatórios dos responsáveis pelas funções de gestão de riscos, de conformidade e de auditoria interna referidos na alínea s) do n.º 1 do artigo 27.º, na alínea p) do n.º 1 do artigo 28.º e na alínea d) do n.º 1 do artigo 32.º

2 - Quando a instituição combine numa única unidade de estrutura as funções de gestão de riscos e de conformidade, nos termos dos números 1 e 5 do artigo 16.º do presente Aviso, os relatórios referidos na alínea c) do número anterior respeitantes a estas funções são combinados num único documento.

Artigo 56.º

Avaliação do órgão de fiscalização

1 - A avaliação referida na alínea a) do n.º 1 do artigo anterior sobre a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno, incluindo todas as matérias tratadas no presente Aviso, contém:

a) Período de referência;

b) Opinião clara, detalhada e fundamentada, expressa pela positiva, sobre a adequação e eficácia da cultura organizacional em vigor e os sistemas de governo e de controlo interno da instituição, no âmbito das responsabilidades atribuídas por lei ao órgão de fiscalização, que pondere, à data de referência, designadamente, os impactos atuais ou potenciais das deficiências que se mantenham em aberto;

c) Resumo da atividade desenvolvida pelo órgão de fiscalização no período de referência, relativamente à cultura organizacional e aos sistemas de governo e de controlo interno, incluindo a desenvolvida em articulação com as funções de controlo interno e, quando aplicável, referência expressa aos trabalhos adicionais que tenham sido solicitados ao revisor oficial de contas ou sociedade de revisores oficiais de contas da instituição e outros consultores externos;

d) Apreciação sobre o estado de concretização das medidas definidas no período de referência para corrigir as deficiências detetadas, com referência a eventuais prorrogações do prazo inicialmente definido para esse efeito, incluindo as deficiências do sistema de controlo financeiro interno e do sistema de contabilidade reportadas pelo revisor oficial de contas, nos termos da alínea j) do n.º 2 do artigo 11.º do Regulamento (UE) n.º 537/2014 ou no âmbito de outras atividades por este realizadas, ou identificadas por outras entidades externas à instituição, incluindo autoridades de supervisão;

e) Opinião sobre a qualidade do desempenho e adequada independência das funções de controlo interno, incluindo as tarefas operacionais que se encontrem subcontratadas, nos termos do artigo 36.º;

f) Declaração sobre a fiabilidade dos processos de preparação de reportes prudenciais e financeiros, incluindo os efetuados ao abrigo do Regulamento de Execução (UE) n. 2021/451, da Comissão, de 17 de dezembro de 2020, no período de referência;

g) Declaração sobre a fiabilidade dos processos de preparação de informação divulgada ao público pela instituição ao abrigo da legislação e regulamentação aplicáveis, incluindo a informação financeira e prudencial;

h) Declaração sobre o adequado cumprimento, pela instituição, no período de referência, de todos os deveres de divulgação ao público, que resultem de legislação e regulamentação aplicáveis e que respeitem às matérias previstas no presente Aviso;

i) Os resultados das avaliações externas independentes previstas nos números 2 e 3 do artigo 3.º, no n.º 7 do artigo 29.º, no n.º 4 do artigo 30.º e no n.º 8 do artigo 32.º do presente Aviso, efetuadas durante o período de referência, e uma ponderação dos impactos atuais ou potenciais das deficiências identificadas na adequação e eficácia da cultura organizacional e dos sistemas de governo e de controlo interno da instituição.

2 - A avaliação pelo órgão de fiscalização prevista no presente artigo tem por base o plano de atividades previsto no n.º 9 do artigo 31.º e pondera toda a informação que seja do seu conhecimento decorrente das atividades de monitorização pelas estruturas próprias da instituição ou por entidades externas.

3 - Para efeitos do disposto no presente artigo, e dentro do legalmente permitido pelo Estatuto dos Revisores Oficiais de Contas e demais legislação aplicável, o órgão de fiscalização pode recorrer aos serviços do seu revisor oficial de contas ou sociedade de revisores oficiais de contas, bem como a outros auditores ou consultores externos em situações devidamente justificadas.

4 - Os relatórios dos serviços contratados ao abrigo do disposto no número anterior, bem como a respetiva documentação de suporte, são disponibilizados à autoridade de supervisão competente sempre que solicitado.

5 - Quando, nos termos do n.º 3, sejam prestados serviços por revisor oficial de contas ou sociedade de revisores oficiais de contas, os trabalhos realizados seguem o disposto nas Normas Internacionais de Controlo de Qualidade, Auditoria, Revisão, Outros Trabalhos de Garantia de Fiabilidade e Serviços Relacionados.

6 - Compete ao órgão de fiscalização definir a extensão e âmbito dos trabalhos contratados nos termos do n.º 3, sendo que, independentemente do nível de segurança contratado, o órgão de fiscalização utiliza estes trabalhos para concluir pela positiva sobre as matérias analisadas.

7 - Sem prejuízo do disposto no número seguinte, para efeitos da emissão das opiniões e declarações previstas no n.º 1 do presente artigo, pelo menos uma vez em cada mandato, o órgão de fiscalização recorre obrigatoriamente aos serviços do seu revisor oficial de contas ou sociedade de revisores oficiais de contas da instituição, cabendo-lhe definir, de forma fundamentada, a extensão e âmbito dos trabalhos a contratar.

8 - Quando as funções de controlo interno não cumpram materialmente as condições para o exercício independente das suas funções, designadamente por se encontrarem em aberto deficiências materialmente relevantes sobre as matérias compreendidas no n.º 9 do artigo 14.º do presente Aviso, ou por a avaliação do supervisor quanto a essas funções revelar a existência de preocupações relevantes de ordem prudencial quanto à sua efetividade e eficácia, a autoridade de supervisão competente pode, no âmbito das suas competências de supervisão, exigir que o órgão de fiscalização recorra aos serviços previstos no número anterior numa base anual, cabendo a tal órgão definir, de forma fundamentada, a extensão e âmbito dos trabalhos a contratar.

9 - Quando a entidade adote uma estrutura de fiscalização com fiscal único, a avaliação do órgão de fiscalização:

a) Inclui o disposto nas alíneas a) a h) do n.º 1;

b) É preparada de acordo com as Normas Internacionais de Controlo de Qualidade, Auditoria, Revisão, Outros Trabalhos de Garantia de Fiabilidade e Serviços Relacionados, sendo admissível, atendendo ao princípio da proporcionalidade, que seja preparada de acordo com um nível de revisão limitada (limited assurance), salvo se, por iniciativa da instituição ou por solicitação da autoridade de supervisão competente, seja exigido um nível de segurança razoável (reasonable assurance).

Artigo 57.º

Avaliação do órgão de administração

A avaliação referida na alínea b) do n.º 1 do artigo 55.º do presente Aviso sobre a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno, incluindo todas as matérias tratadas no presente Aviso, inclui:

a) Período de referência;

b) Opinião global, devidamente fundamentada, sobre a adequação e eficácia da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno e sobre práticas e políticas remuneratórias e demais matérias tratadas no presente Aviso;

c) Resumo das ações empreendidas e das medidas implementadas para corrigir as deficiências que se mantenham em aberto, com referência a eventuais prorrogações do prazo inicialmente definido para a sua correção e respetiva justificação, bem como das deficiências identificadas e corrigidas no período de referência;

d) Os resultados das avaliações externas independentes previstas no n.º 2 do artigo 3.º, no n.º 7 do artigo 29.º, no n.º 4 do artigo 30.º e no n.º 8 do artigo 32.º efetuadas durante o período de referência, e uma ponderação dos impactos atuais ou potenciais das deficiências identificadas na adequação e eficácia da cultura organizacional e dos sistemas de governo e de controlo interno da instituição;

e) Quando aplicável, confirmação expressa de que é entendimento do órgão de administração que a subcontratação de tarefas operacionais das funções de controlo interno dá cumprimento ao disposto no artigo 36.º e fundamentação do referido entendimento;

f) Uma confirmação expressa de que a informação prevista na alínea e) do n.º 1 do artigo 3.º do presente Aviso é regularmente comunicada e compreendida pelos colaboradores das unidades de estrutura relevantes da instituição, em especial os das funções de controlo interno.

Artigo 58.º

Conteúdo mínimo dos relatórios anuais de autoavaliação de grupos

1 - O relatório anual de autoavaliação do grupo referido no n.º 3 do artigo 54.º do presente Aviso é elaborado pela empresa-mãe, sendo constituído pelos elementos referidos no artigo 55.º do presente Aviso, os quais são elaborados na perspetiva do grupo financeiro de modo a assegurar que é feita uma avaliação da adequação, eficácia, coerência e integração da cultura organizacional e dos sistemas de controlo interno do grupo financeiro, bem como do cumprimento do disposto no Capítulo X do presente Aviso.

2 - Quando as funções de controlo interno de uma ou mais entidades do grupo sejam asseguradas por outra entidade do grupo em regime de serviços comuns, nos termos do disposto no n.º 3 do artigo 50.º do presente Aviso, os relatórios previstos na alínea c) do n.º 1 do artigo 55.º são subscritos pelos responsáveis das funções de controlo interno da entidade que presta o serviço, sendo emitido um relatório por cada função de controlo interno abrangendo todas as entidades que beneficiam do referido regime de serviços comuns.

3 - Nos relatórios referidos no número anterior são avaliadas todas as dimensões previstas na alínea s) do n.º 1 do artigo 27.º e na alínea d) do n.º 1 do artigo 32.º do presente Aviso relativamente a cada uma das entidades que beneficia do regime de serviços comuns.

4 - Para além do disposto no n.º 1 do presente artigo, e sem prejuízo da inclusão de outros elementos que os órgãos de administração e de fiscalização considerem relevantes, o relatório anual de autoavaliação inclui ainda:

a) Avaliação do órgão de fiscalização da empresa-mãe quanto à coerência entre os sistemas de controlo interno das filiais, incluindo as filiais no estrangeiro e os estabelecimentos offshore, e o sistema de controlo interno da empresa-mãe;

b) Opinião do órgão de fiscalização da empresa-mãe, ou do Comité de Remunerações se constituído, sobre a coerência global da política de remuneração das suas filiais no estrangeiro e estabelecimentos offshore relativamente ao disposto no Regime Geral das Instituições de Crédito e Sociedades Financeiras e no presente Aviso, indicando as eventuais deficiências existentes, incluindo as detetadas pelas funções de controlo interno da empresa-mãe;

c) Na elaboração das opiniões previstas na alínea b) do n.º 1 do artigo 56.º e na alínea b) do artigo 57.º, os órgãos de administração e de fiscalização da empresa-mãe pronunciam-se também, de forma expressa, fundamentada e pela positiva, sobre o impacto que as deficiências F3 (“elevado”) e F4 (“muito elevado”) e as deficiências de antiguidade superior a 3 anos têm na adequação e eficácia do sistema de controlo interno de cada uma das filiais e no grupo.

5 - Para efeito do disposto no presente artigo as entidades referidas no n.º 4 do artigo 54.º elaboram, anualmente, relatórios de autoavaliação individuais nos termos previstos no n.º 2 do mesmo artigo, disponibilizando-os à empresa-mãe.

6 - O órgão de administração da empresa-mãe do grupo emite as orientações necessárias para que as entidades referidas no n.º 4 do artigo 54.º elaborem, anualmente, os seus relatórios individuais de forma consistente entre si e nos termos previstos no presente Aviso.

7 - O órgão de administração da empresa-mãe das entidades referidas no n.º 4 do artigo 54.º do presente Aviso, pode, depois de obtido o parecer do órgão de fiscalização da empresa-mãe, excluir da obrigação de elaboração do relatório previsto no n.º 5 do presente artigo, as filiais no estrangeiro sem atividade relevante e que não influenciem o perfil de risco do grupo, bem como as filiais no estrangeiro cuja atividade se limite à de escritório de representação em termos idênticos aos estabelecidos no artigo 63.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, sendo todas as exclusões adequadamente justificadas e referidas no relatório de autoavaliação do grupo.

8 - O órgão de administração da empresa-mãe de um grupo remete, de imediato, à autoridade de supervisão competente o seu relatório de autoavaliação individual previsto no n.º 2 do artigo 54.º do presente Aviso e os relatórios de autoavaliação individuais referidos no n.º 5 do presente artigo, sempre que tal lhe seja solicitado.

Artigo 59.º

Aprovação dos relatórios anuais

1 - Os relatórios anuais de autoavaliação a que se referem os artigos anteriores são discutidos e aprovados pelo órgão de administração.

2 - A aprovação referida no número anterior não inclui a avaliação do órgão de fiscalização, mas o órgão de administração toma-a em consideração.

Artigo 60.º

Divulgação dos resultados da autoavaliação

1 - O órgão de fiscalização elabora um resumo do relatório de autoavaliação previsto no artigo 55.º que é divulgado em anexo aos documentos anuais de prestação de contas da instituição.

2 - No caso de grupos financeiros, o disposto nos números anteriores aplica-se também ao relatório de autoavaliação do grupo.

Artigo 61.º

SICAM

A Caixa Central de Crédito Agrícola Mútuo elabora um modelo de relatório de autoavaliação da adequação e eficácia da cultura organizacional e dos sistemas de governo e de controlo interno a elaborar pelas caixas de crédito agrícola mútuo integradas no Sistema Integrado do Crédito Agrícola Mútuo e pela própria Caixa Central.

CAPÍTULO XII

DOCUMENTAÇÃO, SISTEMATIZAÇÃO E DIVULGAÇÃO DE INFORMAÇÃO AO PÚBLICO

Artigo 62.º

Documentação

O órgão de administração da instituição é responsável por:

a) Assegurar que a instituição dá cumprimento ao disposto no presente Aviso de forma devidamente documentada;

b) Assegurar que a documentação produzida é compreensível, clara e coerente entre si;

c) Manter a documentação em causa devidamente atualizada assegurando que as alterações introduzidas ao longo do tempo são devidamente identificadas, datadas e justificadas;

d) Assegurar que toda a documentação contém a identificação da unidade de estrutura responsável pela sua elaboração e revisão;

e) Manter um adequado arquivo documental, assegurando que a documentação que o compõe permite, nomeadamente, conhecer inequivocamente a fundamentação das decisões tomadas e os respetivos intervenientes.

Artigo 63.º

Sistematização de informação

1 - O órgão de administração assegura que a instituição sistematiza, de forma integrada e atualizada, a informação respeitante às matérias previstas no Anexo ao presente Aviso, em formato acessível a todos os colaboradores.

2 - O órgão de administração designa uma unidade de estrutura responsável por assegurar a sistematização da informação referida no número anterior e a sua permanente atualização.

3 - Quando solicitado, a informação sistematizada nos termos do presente artigo é disponibilizada, de imediato, à autoridade de supervisão competente.

Artigo 64.º

Dever de divulgação de informação ao público

1 - Qualquer informação que, ao abrigo do presente Aviso, deva ser divulgada ao público, é integralmente publicada no sítio da Internet da instituição no prazo máximo de 30 dias após aprovação pelo órgão social competente.

2 - A publicação de informação no sítio da Internet da instituição observa as seguintes condições cumulativas:

a) Sem prejuízo do prazo de 30 dias referido no n.º 1, a informação disponível para consulta é a que se encontra em vigor na instituição;

b) São adotadas as medidas necessárias para que os principais motores de busca disponíveis na Internet permitam aceder, de forma fácil e imediata, às páginas do sítio da Internet da instituição onde a informação é publicada, com base em pesquisa realizada que inclua apenas o nome dos documentos respetivos e a designação da instituição;

c) A informação disponibilizada no sítio da Internet da instituição deve ser de fácil e intuitivo acesso.

CAPÍTULO XIII

CONGLOMERADOS FINANCEIROS

Artigo 64.º-A

Âmbito de aplicação

1 - O presente capítulo é aplicável, para além do disposto no Capítulo X sobre grupos financeiros, às entidades sujeitas a supervisão complementar nos termos previstos no artigo 9.º do Decreto-Lei n.º 145/2006, de 31 de julho.

2 - Para efeitos do presente capítulo, são aplicáveis as definições constantes do artigo 2.º do Decreto-Lei n.º 145/2006, de 31 de julho.

Artigo 64.º-B

Processos de gestão de risco ao nível do conglomerado

1 - As entidades sujeitas a supervisão complementar devem possuir, ao nível do conglomerado financeiro, processos adequados de gestão dos riscos a que estão expostas, de acordo com o definido no artigo 15.º do Decreto-Lei n.º 145/2006, de 31 de julho, de modo a garantir, nomeadamente, a gestão eficiente da atividade do conglomerado, através da minimização dos riscos a que está ou pode vir a estar exposto.

2 - Os processos de gestão dos riscos devem ser parte integrante do sistema de gestão, avaliação e reporte de risco ao nível do conglomerado financeiro.

3 - Os processos de gestão dos riscos ao nível do conglomerado financeiro devem garantir, no mínimo, a existência de um conjunto de procedimentos que permitam:

a) Identificar, avaliar, gerir, controlar e monitorizar os diferentes tipos de risco a que o conglomerado financeiro está ou pode vir a estar exposto;

b) Realizar análises qualitativas e quantitativas de risco adequadas, identificando as medidas de risco consideradas;

c) Definir os níveis mínimos de tolerância para cada risco, os quais devem ser revistos periodicamente e, no mínimo, anualmente;

d) Definir e monitorizar indicadores de alerta no sentido de permitir uma deteção tempestiva dos riscos potencialmente adversos;

e) Cumprir todas as normas legais e regulamentares aplicáveis ao conglomerado financeiro;

f) Definir o conteúdo e assegurar a manutenção de toda a informação necessária para efeitos de reporte às autoridades de supervisão e de gestão dos riscos incorridos pelo conglomerado financeiro, incluindo o respetivo suporte documental;

g) Produzir informação fiável e tempestiva para os órgãos de administração das entidades relevantes do conglomerado financeiro sobre a atividade ao nível do conglomerado e a exposição a cada tipo de risco, possibilitando a verificação da concretização dos objetivos e orientações estabelecidos, bem como para os órgãos de fiscalização das entidades relevantes do conglomerado financeiro para fiscalizar, nomeadamente, a eficácia do sistema de gestão de riscos.

4 - Os processos de gestão dos riscos devem ainda assegurar que os procedimentos desenvolvidos para acompanhamento e controlo dos riscos contemplam a adoção de medidas específicas perante situações em que o conglomerado financeiro é confrontado com uma concentração de riscos indesejável face ao seu perfil de risco.

5 - As políticas de gestão do risco de concentração devem contemplar eventuais medidas de controlo e mitigação do risco a implementar em face da inobservância dos limites aplicáveis à concentração de riscos.

6 - A responsabilidade pelo sistema de gestão dos riscos é dos órgãos de administração competentes ao nível do conglomerado financeiro, não podendo esta responsabilidade ser delegada, nomeadamente, numa comissão executiva.

7 - As entidades sujeitas a supervisão complementar devem assegurar, ao nível do conglomerado financeiro, que a informação relativa aos processos de gestão de risco esteja disponível em qualquer momento para análise por parte da autoridade competente.

Artigo 64.º-C

Mecanismos de controlo interno

1 - As entidades sujeitas a supervisão complementar devem incluir, no mínimo, ao nível do conglomerado financeiro, os mecanismos de controlo interno especificados no artigo 16.º do Decreto-Lei n.º 145/2006, de 31 de julho, assim como garantir a produção de informação relevante para efeitos do acompanhamento do cumprimento dos requisitos prudenciais aplicáveis.

2 - As entidades mencionadas no ponto anterior devem dispor de sistemas de controlo interno adequados que permitam um efetivo controlo dos riscos associados à atividade, ao nível do conglomerado financeiro, cuja conceção e implementação devem atender ao tipo, à dimensão, à natureza e aos riscos das operações realizadas.

3 - O controlo dos riscos ao nível do conglomerado deve incluir a definição de limites ou de outros limiares de exposição, coerentes com a estratégia e perfil de risco globais, assim como pela realização de testes de esforço e/ou outras análises consideradas relevantes.

CAPÍTULO XIV

DADOS PESSOAIS

Artigo 65.º

Tratamento de dados pessoais

As instituições tratam os dados pessoais que decorram da aplicação do disposto no presente Aviso, nos termos previstos na legislação aplicável.

CAPÍTULO XV

DISPOSIÇÕES TRANSITÓRIAS E FINAIS

Artigo 66.º

Disposições transitórias

1 - As instituições adaptam-se ao disposto no presente Aviso no prazo de 6 meses após a sua entrada em vigor.

2 - As instituições que não disponham de funções de controlo interno estabelecidas nos termos do disposto no artigo 15.º, nem nos termos previstos no n.º 3 e no n.º 4 do artigo 50.º, dispõem de um período de 18 meses após a entrada em vigor do presente Aviso para estabelecerem funções de controlo interno que cumpram com os requisitos fixados neste diploma.

3 - O disposto no artigo 18.º aplica-se apenas aos responsáveis pelas funções de controlo interno que iniciem funções após a entrada em vigor do presente Aviso.

Artigo 67.º

Disposição revogatória

1 - São revogados os Avisos do Banco de Portugal n.º 5/2008 e n.º 10/2011 e a Instrução do Banco de Portugal n.º 20/2008, sem prejuízo do disposto no número seguinte.

2 - O prazo de entrega do relatório de controlo interno referido no n.º 1 do artigo 25.º do Aviso do Banco de Portugal n.º 5/2008 é, no ano de 2020, até 30 de setembro de 2020.

Artigo 68.º

Entrada em vigor

O presente Aviso entra em vigor no dia seguinte à sua publicação.

ANEXO AO AVISO

Informação a que se refere o artigo 63.º do Aviso

1 - Nos termos do disposto no artigo 63.º do presente Aviso, as instituições consideram as seguintes matérias para efeitos de sistematização de informação:

a) Estrutura acionista da instituição;

b) Estrutura organizativa do grupo, se aplicável;

c) Composição e funcionamento dos órgãos de administração e de fiscalização da instituição;

d) Estrutura de governo, estrutura organizacional e principais atividades da instituição, tendo em atenção o grupo, quando a instituição é a empresa-mãe;

e) Titulares de funções essenciais da instituição;

f) Sistema de controlo interno da instituição, tendo em atenção o grupo, quando a instituição é a empresa-mãe;

g) Código de conduta da instituição, tendo em atenção o grupo, quando a instituição é a empresa-mãe;

h) Práticas e políticas remuneratórias, tendo em atenção o grupo, quando a instituição é a empresa-mãe;

i) Atividades subcontratadas, nível de criticidade, identificação do respetivo prestador de serviços e local onde o serviço se encontra a ser prestado.

2 - Para efeitos da alínea c) do n.º 1, são considerados os seguintes elementos:

a) Política de seleção e avaliação dos membros dos órgãos de administração e de fiscalização da instituição e dos titulares de funções essenciais, elaborada nos termos do n.º 2 do artigo 30.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

b) Número de membros dos órgãos de administração e de fiscalização;

c) Duração dos mandatos dos membros dos órgãos de administração e de fiscalização;

d) Género, data de nascimento, nacionalidade, habilitações académicas e percurso profissional dos membros dos órgãos de administração e de fiscalização;

e) Identificação dos membros executivos e dos membros não executivos do órgão de administração;

f) Distribuição de pelouros pelos membros executivos do órgão de administração, se aplicável;

g) Membros do órgão de fiscalização considerados independentes, nos termos do n.º 5 do artigo 414.º do Código das Sociedades Comerciais;

h) Membros não executivos do órgão de administração considerados independentes;

i) Composição e regras de funcionamento dos comités e comissões especializados dos órgãos de administração e de fiscalização que se encontrem constituídos;

j) Composição e regras de funcionamento da comissão executiva, caso esteja constituída.

3 - Para efeitos da alínea d) do n.º 1, são considerados os seguintes elementos:

a) Organograma indicando todas as unidades de estrutura da instituição e, para cada uma delas, breve descrição das respetivas competências, informação sobre o número de pessoas que a compõem e identificação do respetivo responsável;

b) Política de seleção e designação do revisor oficial de contas ou sociedade de revisores oficiais de contas e contratação de serviços distintos de auditoria não proibidos;

c) Áreas de negócio e funções de grupo, especificando as unidades de estrutura associadas, com alocação de competências e responsabilidades;

d) Quando aplicável, atividades e funções que sejam exercidas em regime de serviços comuns, indicando a entidade que as exerce, as entidades que beneficiam de tais atividades e funções, com referência expressa às atividades desenvolvidas através de sociedades gestoras de participações sociais e de sociedades de serviços auxiliares, bem como às atividades subcontratadas;

e) Produtos e serviços fornecidos pela instituição;

f) Áreas geográficas em que a instituição tenha atividade;

g) Agências e balcões;

h) Filiais;

i) Sucursais estabelecidas em países da União Europeia e em países terceiros;

j) Atividade exercida em regime de livre prestação de serviços e escritórios de representação;

k) «Joint-ventures»;

l) Descrição de atividade em jurisdições offshore.

4 - Para efeitos da alínea e) do n.º 1, são considerados os seguintes elementos:

a) Identificação do responsável pela função de gestão de risco;

b) Identificação do responsável pela função de conformidade;

c) Identificação do responsável pela função de auditoria interna;

d) Identificação dos demais titulares de funções essenciais.

5 - Para efeitos da alínea f) do n.º 1, são considerados os seguintes elementos:

a) Descrição de cada função de controlo interno, incluindo a respetiva organização, recursos, estatuto e autoridade;

b) Descrição do sistema de gestão de risco, incluindo a estratégia de risco.

6 - Para efeitos da alínea g) do n.º 1, são considerados os seguintes elementos:

a) Objetivos estratégicos definidos e perspetivas de evolução futura;

b) Valores corporativos;

c) Códigos, políticas e regulamentos internos em matéria de ética;

d) Política de prevenção, comunicação e sanação de conflitos de interesses;

e) Política sobre transações com partes relacionadas;

f) Política de participação de irregularidades e demais regras internas sobre a matéria.

7 - Para efeitos da alínea h) do n.º 1, são consideradas as políticas de remuneração da instituição.

8 - Para efeitos da alínea i) do n.º 1, são consideradas todas as atividades e funções efetuadas em regime de subcontratação da atividade, incluindo no que respeita às tarefas operacionais das funções de controlo interno.

318813055