Aviso do Banco de Portugal n.º 5/2008, de 1 de julho

Aviso do Banco de Portugal n.º 5/2008

Em sede do compromisso para uma "Better Regulation", assumido pelo Conselho Nacional de Supervisores Financeiros, foi proposta, nomeadamente, a eliminação da duplicação das exigências quanto aos relatórios de controlo interno impostos pelo Banco de Portugal e pela Comissão do Mercado de Valores Mobiliários (CMVM), através da convergência da sua estrutura, conteúdo e prazo de reporte.

Tendo presente este objectivo e face à reconhecida importância que a existência de um sistema de controlo interno adequado e eficaz assume, designadamente, para garantir um efectivo cumprimento das obrigações legais e dos deveres a que as instituições se encontram sujeitas e uma apropriada gestão dos riscos inerentes às actividades desenvolvidas, assegurando a sua estabilidade e sobrevivência e, assim, a estabilidade do próprio sistema financeiro, o Banco de Portugal decidiu actualizar os requisitos aplicáveis em matéria de controlo interno às instituições sujeitas à sua supervisão, em conformidade com o previsto no preâmbulo do Aviso n.º 3/2006, de 9 de Maio.

Neste contexto, promoveu-se uma sistematização dos princípios básicos que devem nortear a implementação de um sistema de controlo interno, seguindo os conceitos, reconhecidos e aceites a nível internacional, definidos no "Internal Control - Integrated Framework" publicado pelo Committee of Sponsoring Organizations of the Treadway Commission (COSO), as recomendações emitidas pelo Comité de Supervisão Bancária de Basileia através do "Framework for Internal Control Systems in Banking Organizations" e as orientações em matéria de "Internal Governance" divulgadas pelo Comité das Autoridades Europeias de Supervisão Bancária (CEBS).

Comparativamente com o Aviso n.º 3/2006, é agora adoptada uma abordagem mais prescritiva, que concretiza as obrigações definidas no artigo 14.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, através da enumeração dos requisitos mínimos que o sistema de controlo interno de cada instituição deve respeitar e das responsabilidades do órgão de administração neste domínio.

Este abordagem, ao convergir com os requisitos e princípios de organização e controlo interno estatuídos no Código dos Valores Mobiliários (artigo 305.º e seguintes), possibilitou a integral harmonização dos relatórios de controlo interno exigidos pelo Banco de Portugal e pela CMVM, permitindo às instituições a elaboração de um relatório único, sem prejuízo de existirem conteúdos do mesmo que possam respeitar às competências específicas de uma das autoridades de supervisão.

Para além desta harmonização, concretizou-se ainda, em resultado da experiência adquirida durante a vigência do anterior quadro normativo e em face das necessidades de informação associadas à avaliação do perfil de risco das instituições, uma simplificação dos relatórios de controlo interno, passando o seu conteúdo a estar focalizado nas deficiências, entendidas como o conjunto das insuficiências existentes, potenciais ou reais, ou das oportunidades de introdução de melhorias que permitam fortalecer o sistema de controlo interno, em substituição da descrição dos procedimentos de controlo interno solicitada pelo Aviso n.º 3/2006.

Embora as instituições já se encontrem actualmente sujeitas à generalidade dos requisitos estabelecidos, uma vez que estes correspondem a recomendações do Comité de Supervisão Bancária de Basileia que integravam o Aviso n.º 3/2006 e sobre as quais recaía uma obrigação de "comply or explain", ou derivam das obrigações decorrentes do novo Acordo de Capital, justifica-se a existência de um período mínimo de adaptação que permita assegurar o efectivo cumprimento dos requisitos estabelecidos, dado que será necessário não só reformatar os relatórios de controlo interno, mas também avaliar a necessidade de introduzir ajustamentos nos sistemas de controlo interno. Neste sentido, foi alargado o prazo para o envio do primeiro relatório de controlo interno até 31 de Dezembro de 2008.

O presente Aviso foi objecto de consulta pública, organizada pelo Conselho Nacional de Supervisores Financeiros, tendo sido ouvidas a Associação Portuguesa de Bancos, a Associação Portuguesa das Empresas de Investimento e a Associação Portuguesa de Fundos de Investimento, Pensões e Patrimónios.

Considerando o disposto nas alíneas f) a h) do n.º 1 do artigo 14.º, nos artigos 73.º a 75.º, no n.º 1 do artigo 93.º, no n.º 1 do artigo 120.º, e nos artigos 130.º a 134.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

O Banco de Portugal, no uso da competência que lhe é conferida pelo artigo 17.º da sua Lei Orgânica e pela alínea c) do artigo 133.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, estabelece o seguinte:

CAPÍTULO I

Disposições gerais

Artigo 1.º

Âmbito e destinatários

1 - As instituições de crédito, as sociedades financeiras e as sucursais de instituições de crédito e de sociedades financeiras com sede em países terceiros, adiante designadas por instituições, devem dispor de um sistema de controlo interno que obedeça aos princípios e requisitos mínimos definidos neste Aviso.

2 - Sem prejuízo do disposto no número anterior, o sistema de controlo interno das caixas de crédito agrícola mútuo (CCAM) integrantes do Sistema Integrado do Crédito Agrícola Mútuo (SICAM) deve ser concebido e organizado em articulação com a Caixa Central de Crédito Agrícola Mútuo.

3 - Ficam igualmente abrangidas pelo disposto no presente Aviso as sociedades gestoras de participações sociais sujeitas à supervisão do Banco de Portugal nos termos do disposto no artigo 117.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando sejam consideradas empresas-mãe nos termos da alínea a) do n.º 3 do artigo 24.º

Artigo 2.º

Definição e objectivos do controlo interno

Para efeitos do disposto no presente Aviso, o sistema de controlo interno define-se como o conjunto das estratégias, sistemas, processos, políticas e procedimentos definidos pelo órgão de administração, bem como das acções empreendidas por este órgão e pelos restantes colaboradores da instituição, com vista a garantir:

a) Um desempenho eficiente e rentável da actividade, no médio e longo prazos (objectivos de desempenho), que assegure a utilização eficaz dos activos e recursos, a continuidade do negócio e a própria sobrevivência da instituição, através, nomeadamente, de uma adequada gestão e controlo dos riscos da actividade, da prudente e adequada avaliação dos activos e responsabilidades, bem como da implementação de mecanismos de protecção contra utilizações não autorizadas, intencionais ou negligentes;

b) A existência de informação financeira e de gestão, completa, pertinente, fiável e tempestiva (objectivos de informação), que suporte as tomadas de decisão e processos de controlo, tanto a nível interno como externo;

c) O respeito pelas disposições legais e regulamentares aplicáveis (objectivos de "compliance"), incluindo as relativas à prevenção do branqueamento de capitais e do financiamento do terrorismo, bem como das normas e usos profissionais e deontológicos, das regras internas e estatutárias, das regras de conduta e de relacionamento com clientes, das orientações dos órgãos sociais e das recomendações do Comité de Supervisão Bancária de Basileia e do Comité das Autoridades Europeias de Supervisão Bancária (CEBS), de modo a proteger a reputação da instituição e a evitar que esta seja alvo de sanções.

Artigo 3.º

Princípios gerais

1 - Para atingir, de forma eficaz, os objectivos definidos no artigo anterior, o sistema de controlo interno deve ter por base:

a) Um adequado ambiente de controlo, que reflicta a importância do controlo interno e estabeleça a disciplina e estrutura dos restantes elementos do sistema de controlo interno;

b) Um sólido sistema de gestão de riscos, destinado a identificar, avaliar, acompanhar e controlar todos os riscos que possam influenciar a estratégia e os objectivos definidos pela instituição, que assegure que o seu cumprimento e que são tomadas as acções necessárias para responder adequadamente a desvios não desejados;

c) Um eficiente sistema de informação e comunicação, instituído para garantir a captação, tratamento e troca de dados relevantes, abrangentes e consistentes, num prazo e de uma forma que permitam o desempenho eficaz e tempestivo da gestão e controlo da actividade e dos riscos da instituição;

d) Um efectivo processo de monitorização, executado com vista a assegurar a adequação e a eficácia do próprio sistema de controlo interno ao longo do tempo, que garanta, nomeadamente, a identificação tempestiva de eventuais deficiências, entendidas estas, para efeitos do disposto neste Aviso, como o conjunto das insuficiências existentes, potenciais ou reais, ou das oportunidades de introdução de melhorias que permitam fortalecer o sistema de controlo interno.

2 - O sistema de controlo interno deve ser aplicado de forma consistente em todos os estabelecimentos da instituição, incluindo as sucursais no exterior, neste caso sem prejuízo dos requisitos adicionais exigidos pelos territórios de acolhimento.

3 - O sistema de controlo interno deve ser adequado à dimensão, natureza e complexidade da actividade, à natureza e magnitude dos riscos assumidos ou a assumir, bem como ao grau de centralização e delegação de autoridade estabelecido na instituição.

4 - A instituição deve planear, implementar e manter, de forma adequada, o seu sistema de controlo interno e formalizar em documento(s) específico(s) as respectivas estratégias, sistemas, processos, políticas e procedimentos, devendo este(s) documento(s) identificar a data das alterações introduzidas e ser mantido um arquivo das versões anteriores.

Artigo 4.º

Responsabilidades gerais do órgão de administração

1 - O órgão de administração é responsável pela implementação e manutenção de um sistema de controlo interno adequado e eficaz, que, respeitando os princípios definidos no artigo 3.º, garanta o cumprimento dos objectivos estabelecidos no artigo 2.º

2 - Para efeitos do número anterior, o órgão de administração deve:

a) Detalhar os objectivos e princípios subjacentes ao sistema de controlo interno, incorporando-os na estratégia e políticas da instituição, e assegurar o seu cumprimento pelos colaboradores da instituição;

b) Garantir a existência de recursos materiais e humanos suficientes e adequados para a execução das funções e tarefas inerentes ao sistema de controlo interno e promover as necessárias acções de formação em matéria de controlo interno.

3 - O exercício das competências descritas no número anterior deve ser adequadamente documentado.

CAPÍTULO II

Ambiente de controlo

Artigo 5.º

Definição e objectivos do ambiente de controlo

1 - O ambiente de controlo reflecte a atitude e os actos da instituição perante o controlo interno, resultando das convicções, preferências e juízos de valor manifestados pelo órgão de administração e pelos restantes colaboradores da instituição em relação ao sistema de controlo interno, bem como da ênfase colocada no controlo interno nas medidas tomadas, nas políticas e procedimentos aprovados e na definição e implementação da estrutura organizacional.

2 - O ambiente de controlo é influenciado, designadamente, pelo padrão de valores éticos seguido pela instituição, pela existência de meios humanos e materiais suficientes e adequados, pelo grau de transparência da estrutura organizacional e da sua adequação face à complexidade e dimensão da actividade da instituição, pela clareza da cadeia hierárquica e das responsabilidades e competências atribuídas a cada função, pela qualidade do processo de planeamento estratégico e pelo grau de envolvimento do órgão de administração na actividade desenvolvida.

Artigo 6.º

Estrutura organizacional

1 - As instituições devem ter uma estrutura organizacional bem definida, transparente e perceptível, que sirva de suporte ao desenvolvimento da actividade e à implementação de um sistema de controlo interno adequado e eficaz, no sentido de assegurar que a gestão e o controlo das operações são efectuados de uma forma prudente.

2 - A estrutura organizacional deve assentar numa definição coerente, clara e objectiva das competências e responsabilidades de cada unidade de estrutura e ou função, das linhas de reporte e de autoridade, bem como do grau e âmbito de cooperação entre as diversas unidades de estrutura ou funções e contemplar uma adequada segregação de funções potencialmente conflituantes.

3 - A estrutura organizacional deve ser adequada à dimensão, natureza e complexidade da actividade desenvolvida pela instituição e ser do conhecimento de todos os colaboradores.

4 - Os recursos humanos devem ser em número suficiente face à estrutura organizacional implementada e possuir os níveis de competência, conhecimento e experiência necessários para a execução das responsabilidades que lhes sejam atribuídas;

5 - No caso de instituições com reduzida amplitude de actividade e de riscos associados e em que, devido à limitação de recursos disponíveis, seja inexequível a total segregação de funções potencialmente conflituantes, devem ser implementados procedimentos alternativos de controlo de modo a evitar ou a reduzir ao mínimo o risco da ocorrência de conflitos de interesses.

6 - A estrutura organizacional, incluindo as competências e responsabilidades de cada unidade de estrutura e ou função, as linhas de reporte e de autoridade e o grau e âmbito de cooperação entre as diversas unidades de estrutura ou funções, deve ser documentada, analisada e revista periodicamente, com vista a garantir a sua permanente adequação.

Artigo 7.º

Cultura organizacional

1 - A cultura organizacional da instituição deve garantir que todos os colaboradores reconhecem a importância do controlo interno, de modo a assegurar uma gestão sã e prudente da actividade da instituição, bem como o respeito pelas regras de conduta enunciadas nos artigos 73.º a 75.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras.

2 - A cultura organizacional deve alicerçar-se em elevados padrões de ética, integridade e profissionalismo, os quais devem estar formalizados em códigos de conduta aplicáveis a todos os colaboradores da instituição.

3 - Todos os colaboradores da instituição devem contribuir para o controlo interno, devendo, para o efeito, compreender o seu papel no sistema implementado.

Artigo 8.º

Planeamento estratégico

1 - A instituição deve possuir uma estratégia, sustentável a longo prazo, para a sua actividade, para o seu perfil de risco e para o controlo interno, a qual deve, nomeadamente:

a) Definir objectivos precisos, claros e razoáveis para a actividade global e para cada área de negócio e abranger os principais produtos, actividades, sistemas e processos;

b) Determinar a política de risco da instituição e assegurar um acompanhamento dos níveis de rentabilidade tendo em conta os riscos envolvidos;

c) Estabelecer orientações que sirvam de base ao desenvolvimento do sistema de controlo interno da instituição.

2 - A estratégia deve encontrar-se devidamente documentada e ser comunicada, no tempo, pela forma e com o detalhe considerados adequados, a todos os colaboradores da instituição.

3 - A estratégia deve estar devidamente suportada em recursos humanos, materiais e de capital adequados à sua prossecução.

4 - A definição da estratégia deve assentar num processo formal de planeamento estratégico, executado com uma periodicidade adequada e baseado em pressupostos devidamente sustentados e em informação fiável e compreensível.

Artigo 9.º

Responsabilidades do órgão de administração relativamente ao ambiente de controlo

1 - O órgão de administração é responsável por definir, ou propor ao órgão competente, a estratégia da instituição e garantir que a estrutura e a cultura organizacionais permitem desenvolver adequadamente a estratégia definida.

2 - Para efeitos do número anterior, compete, nomeadamente, ao órgão de administração:

a) Aprovar, ou fazer aprovar pelo órgão competente, a estratégia da instituição, incluindo as suas revisões, e zelar pela sua adequada implementação;

b) Definir, aprovar e rever a estrutura organizacional da instituição, bem como assegurar a sua adequada implementação e manutenção;

c) Promover uma cultura de controlo interno que abranja todos os colaboradores da instituição, sustentada em elevados padrões de ética e de integridade e na definição e aprovação de códigos de conduta apropriados;

d) Assegurar que todos os colaboradores da instituição compreendem o seu papel no sistema implementado de forma a poderem contribuir de forma efectiva para o controlo interno;

e) Garantir que os titulares de cargos de gestão de topo são em número suficiente e que possuem, individual e colectivamente, os níveis de competência, conhecimento, integridade, prudência e experiência requeridos para o desempenho das suas funções e assegurar uma aplicação coerente e adequada dos requisitos anteriores aos restantes colaboradores da instituição;

f) Definir, aprovar e rever as políticas de recursos humanos, nomeadamente as relativas ao recrutamento e selecção, avaliação, promoção, compensação e formação, bem como o quadro de medidas disciplinares aplicáveis em caso de incumprimento das obrigações legais ou dos deveres aplicáveis à instituição;

g) Assegurar que quaisquer áreas de potenciais conflitos de interesses são identificadas antecipadamente, minimizadas e sujeitas a uma monitorização cuidadosa e independente;

h) Tomar as providências necessárias caso sejam identificadas quaisquer deficiências na estrutura organizacional, quaisquer incumprimentos da cultura organizacional ou desvios face à estratégia aprovada.

3 - O exercício das competências descritas no número anterior deve ser adequadamente documentado.

CAPÍTULO III

Sistema de gestão de riscos

Artigo 10.º

Definição e objectivos do sistema de gestão de riscos

1 - O sistema de gestão de riscos deve corresponder a um conjunto integrado de processos de carácter permanente que assegurem uma compreensão apropriada da natureza e da magnitude dos riscos subjacentes à actividade desenvolvida, possibilitando, assim, uma implementação adequada da estratégia e o cumprimento dos objectivos da instituição.

2 - Para efeitos do disposto no número anterior, o sistema de gestão de riscos deve permitir a identificação, avaliação, acompanhamento e controlo de todos os riscos materiais a que a instituição se encontra exposta, tanto por via interna como externa, por forma a assegurar que aqueles se mantêm ao nível previamente definido pelo órgão de administração e que não afectarão significativamente a situação financeira da instituição.

3 - O sistema de gestão de riscos deve ter uma influência activa nas tomadas de decisão do órgão de administração e dos órgãos de gestão intermédia.

Artigo 11.º

Princípios aplicáveis aos sistemas de gestão de riscos

1 - O sistema de gestão de riscos deve ser sólido, eficaz, consistente e abarcar todos os produtos, actividades, processos e sistemas da instituição, sem prejuízo do disposto no número seguinte.

2 - O sistema de gestão de riscos deve ser proporcional à dimensão, natureza e complexidade da actividade da instituição, tomando, nomeadamente, em consideração a natureza e magnitude dos riscos que a mesma assume e ou pretende assumir.

3 - O sistema de gestão de riscos deve tomar em consideração os riscos de crédito, de mercado, de taxa de juro, de taxa de câmbio, de liquidez, de "compliance", operacional, dos sistemas de informação, de estratégia e de reputação, bem como todos os outros riscos que, em face da situação concreta da instituição, se possam revelar materiais.

4 - Para efeitos do número anterior entende-se por:

a) Risco de crédito: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, devido à incapacidade de uma contraparte cumprir os seus compromissos financeiros perante a instituição, incluindo possíveis restrições à transferência de pagamentos do exterior;

b) Risco de mercado: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, devido a movimentos desfavoráveis no preço de mercado dos instrumentos da carteira de negociação, provocados, nomeadamente, por flutuações em taxas de juro, taxas de câmbio, cotações de acções ou preços de mercadorias;

c) Risco de taxa de juro: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, devido a movimentos adversos nas taxas de juro de elementos da carteira bancária, por via de desfasamentos de maturidades ou de prazos de refixação das taxas de juro, da ausência de correlação perfeita entre as taxas recebidas e pagas nos diferentes instrumentos, ou da existência de opções embutidas em instrumentos financeiros do balanço ou elementos extrapatrimoniais;

d) Risco de taxa de câmbio: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, devido a movimentos adversos nas taxas de câmbio de elementos da carteira bancária, provocados por alterações nas taxas de câmbio utilizadas na conversão para a moeda funcional ou pela alteração da posição competitiva da instituição devido a variações significativas das taxas de câmbio;

e) Risco de liquidez: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, decorrentes da incapacidade da instituição dispor de fundos líquidos para cumprir as suas obrigações financeiras, à medida que as mesmas se vencem;

f) Risco de "compliance": a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, decorrentes de violações ou da não conformidade relativamente a leis, regulamentos, determinações específicas, contratos, regras de conduta e de relacionamento com clientes, práticas instituídas ou princípios éticos, que se materializem em sanções de carácter legal, na limitação das oportunidades de negócio, na redução do potencial de expansão ou na impossibilidade de exigir o cumprimento de obrigações contratuais;

g) Risco operacional: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, decorrentes de falhas na análise, processamento ou liquidação das operações, de fraudes internas e externas, da utilização de recursos em regime de subcontratação, de processos de decisão internos ineficazes, de recursos humanos insuficientes ou inadequados ou da inoperacionalidade das infra-estruturas;

h) Risco dos sistemas de informação: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, em resultado da inadaptabilidade dos sistemas de informação a novas necessidades, da sua incapacidade para impedir acessos não autorizados, para garantir a integridade dos dados ou para assegurar a continuidade do negócio em casos de falha, bem como devido ao prosseguimento de uma estratégia desajustada nesta área;

i) Risco de estratégia: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, decorrentes de decisões estratégicas inadequadas, da deficiente implementação das decisões ou da incapacidade de resposta a alterações do meio envolvente ou a alterações no ambiente de negócios da instituição;

j) Risco de reputação: a probabilidade de ocorrência de impactos negativos nos resultados ou no capital, decorrentes de uma percepção negativa da imagem pública da instituição, fundamentada ou não, por parte de clientes, fornecedores, analistas financeiros, colaboradores, investidores, órgãos de imprensa ou pela opinião pública em geral.

5 - As instituições podem adoptar definições próprias de risco, desde que, no seu conjunto, abarquem todos os factores de risco associados às categorias enunciadas no n.º 3 ou, caso tais factores não se manifestem na actividade desenvolvida, a sua exclusão se encontre devidamente justificada.

6 - O sistema de gestão de riscos deve basear-se em processos de identificação, avaliação, acompanhamento e controlo de riscos, em conformidade com o disposto nos artigos 12.º a 15.º, os quais devem estar suportados em políticas e procedimentos apropriados e claramente definidos com vista a assegurar que os objectivos da instituição são atingidos e que são tomadas as acções necessárias para responder adequadamente aos riscos previamente identificados.

7 - O sistema de gestão de riscos deve ser devidamente planeado, revisto e documentado.

Artigo 12.º

Processo de identificação de riscos

As instituições devem desenvolver, implementar e manter um processo de identificação dos factores, internos e externos, que, em relação a cada categoria de risco, possam afectar a sua capacidade para implementar a estratégia ou atingir os objectivos definidos, o qual deve, nomeadamente:

a) Assentar em métodos e técnicas claramente definidos e abranger todos os produtos, actividades, processos e sistemas da instituição, de modo a permitir a identificação efectiva de todos os factores de risco de impacto material;

b) Ser executado com uma periodicidade, no mínimo anual, que permita a identificação tempestiva de novos factores de risco e a revisão dos existentes;

c) Permitir hierarquizar os riscos e identificar, nomeadamente, as actividades, sistemas, processos e tipologias de operações associados a esses riscos, com o grau de detalhe adequado à natureza de cada risco.

Artigo 13.º

Processo de avaliação de riscos

1 - As instituições devem desenvolver, implementar e manter um processo de avaliação da probabilidade de ocorrência de perdas e da respectiva magnitude em relação a cada categoria de risco, o qual deve, nomeadamente:

a) Estar suportado por análises, qualitativas e ou quantitativas, baseadas em metodologias com um grau de fiabilidade e de sofisticação adequado à natureza e magnitude do risco e à complexidade e dimensão da actividade desenvolvida pela instituição;

b) Ser executado com uma periodicidade, no mínimo anual, que permita uma actualização adequada dos resultados do processo de avaliação, tendo em vista a detecção tempestiva de desvios e a tomada de decisões pelo órgão de administração em tempo oportuno;

c) Basear-se em hipóteses, parâmetros e fontes de informação adequados e fiáveis.

2 - Relativamente aos riscos que, pela sua natureza, não sejam facilmente mensuráveis, as instituições devem desenvolver análises que permitam formar um juízo fundamentado sobre a respectiva materialidade e o seu potencial impacto negativo nos resultados ou no capital.

3 - As análises quantitativas previstas na alínea a) do n.º 1 devem ter em consideração alterações potenciais futuras nas condições económicas e incluir a realização de testes de esforço ("stress-tests") que permitam a determinação, quer individualmente, quer de uma forma agregada, da probabilidade de a instituição cumprir os seus compromissos face ao desenvolvimento adverso, num dado horizonte temporal, dos diferentes factores de risco.

4 - Os testes de esforço referidos no número anterior podem englobar diferentes níveis de sofisticação, desde a realização de análises de sensibilidade simplificadas à realização de testes de cenários adversos que envolvam a evolução conjunta de diferentes factores de risco.

Artigo 14.º

Processo de acompanhamento de riscos

As instituições devem desenvolver, implementar e manter um processo sistematizado de acompanhamento da exposição a cada categoria de risco, o qual deve, nomeadamente, incluir a elaboração de relatórios periódicos e tempestivos, com informação clara, fiável e substantiva, relativos à exposição da instituição a cada uma das categorias de risco subjacentes à actividade desenvolvida.

Artigo 15.º

Processo de controlo de riscos

1 - Para garantir que os objectivos definidos são atingidos e que são tomadas as acções necessárias para responder adequadamente aos riscos previamente identificados, as instituições devem, nomeadamente:

a) Definir uma política sistematizada que estabeleça os seus objectivos globais e os objectivos específicos para cada área funcional, no que respeita ao perfil de risco e ao grau de tolerância face ao risco, a qual deve ser revista periodicamente, no mínimo anualmente;

b) Estabelecer políticas e procedimentos para alcançar os objectivos definidos, que sistematizem, de forma clara e objectiva, quais as tarefas que deverão ser desempenhadas por cada função e como deverão ser executadas.

2 - As políticas e procedimentos referidas na alínea b) do n.º 1 devem assegurar, de forma tempestiva, a prevenção de situações não desejadas ou não autorizadas e a detecção destas situações quando, não obstante os procedimentos de prevenção, as mesmas ocorram de facto, de modo a permitir a adopção imediata de medidas correctivas. A adequação e a eficácia de tais políticas e procedimentos depende, nomeadamente, da:

a) Exigência de recolha e manutenção de elementos que documentem de forma objectiva as decisões tomadas e as operações realizadas, num formato que seja facilmente acessível e perceptível por terceiros e que permita a sua reconstituição por ordem cronológica;

b) Existência de formulários padronizados e tipificação clara e objectiva de todos os elementos necessários para o processamento das operações;

c) Definição e aplicação de requisitos para aprovar ou renovar as operações, devidamente ajustados ao risco existente, com a identificação clara das condições que devem ser previamente verificadas e a atribuição de competências inequívocas para a aprovação e renovação, as quais devem ser devidamente reforçadas e acompanhadas no caso de operações com entidades ou indivíduos relacionados com a instituição;

d) Existência de um grau adequado de segregação de funções que envolvam responsabilidades conflituantes, nomeadamente, nas operações de crédito e de mercado, entre a autorização, a execução, o registo, a guarda de valores e outra documentação e o respectivo controlo;

e) Imposição de restrições de segurança no acesso a activos, a recursos e à informação, através de barreiras físicas ou informáticas, que garantam a protecção contra utilizações não autorizadas, intencionais ou negligentes;

f) Existência de obrigações de reporte, análise e decisão, sempre que ocorram desvios, erros, fraudes, incumprimentos e outras situações de excepção relativamente às políticas, aos procedimentos e aos limites estabelecidos;

g) Implementação e manutenção de indicadores de alerta;

h) Imposição de limites objectivos e prudentes para cada um dos riscos incorridos na actividade desenvolvida, até onde for adequado e possível;

i) Realização de verificações e reconciliações periódicas, devidamente consubstanciadas, à exactidão, autenticidade e validade das operações registadas;

j) Implementação de métodos adequados de valorização de activos, passivos e elementos extrapatrimoniais e da sua aplicação com uma periodicidade adequada;

k) Definição, implementação e manutenção de planos de continuidade de negócio e ou de recuperação em caso de catástrofe.

Artigo 16.º

Função de gestão de riscos

1 - As instituições devem estabelecer e manter uma função de gestão de riscos, responsável por:

a) Assegurar a aplicação efectiva do sistema de gestão de riscos, através do acompanhamento contínuo da sua adequação e a eficácia, bem como da adequação e da eficácia das medidas tomadas para corrigir eventuais deficiências desse sistema;

b) Prestar aconselhamento ao órgão de administração e elaborar e apresentar a este e ao órgão de fiscalização um relatório, de periodicidade pelo menos anual, relativo à gestão de riscos, indicando se foram tomadas as medidas adequadas para corrigir eventuais deficiências.

2 - A instituição deve nomear um responsável por esta função e por qualquer prestação de informação relativa a esta e conferir-lhe os poderes necessários ao desempenho das suas funções de modo independente, designadamente quanto ao acesso a informação relevante.

3 - A função de gestão de riscos deve ser dotada de recursos materiais e humanos adequados para o desempenho eficaz das suas responsabilidades.

4 - A função de gestão de riscos deve desempenhar as suas competências objectivamente e de forma independente relativamente às áreas funcionais sujeitas a avaliação sempre que adequado e proporcional face à natureza, dimensão e a complexidade das actividades desenvolvidas pela instituição, sendo que, nos restantes casos, devem ser implementados mecanismos que garantam o cumprimento do disposto na alínea a) do n.º 1.

5 - O requisito de independência previsto no número anterior não é exigível sempre que o número de colaboradores da instituição, excluindo os administradores, seja inferior a trinta e os proveitos operacionais no último exercício económico sejam inferiores a (euro)20.000.000.

6 - A função de gestão de riscos deve ser exercida com total autonomia e liberdade, devendo, para o efeito, ter acesso pleno a todas as actividades da instituição e a toda a informação necessária ao desempenho das suas competências.

7 - Os métodos de determinação da remuneração do pessoal responsável pela realização das tarefas associadas à função de gestão de riscos não devem comprometer a necessária objectividade no exercício das suas funções.

Artigo 17.º

Função de "compliance"

1 - As instituições devem estabelecer e manter uma função de "compliance" independente, permanente e efectiva, para controlar o cumprimento das obrigações legais e dos deveres a que se encontram sujeitas, que seja, nomeadamente, responsável:

a) Pelo acompanhamento e a avaliação regular da adequação e da eficácia das medidas e procedimentos adoptados para detectar qualquer risco de incumprimento das obrigações legais e deveres a que a instituição se encontra sujeita, bem como das medidas tomadas para corrigir eventuais deficiências no respectivo cumprimento;

b) Pela prestação de aconselhamento aos órgãos de administração e de gestão, para efeitos do cumprimento das obrigações legais e dos deveres a que a instituição se encontra sujeita;

c) Pelo acompanhamento e avaliação dos procedimentos de controlo interno em matéria de prevenção do branqueamento de capitais e do financiamento do terrorismo, bem como pela centralização da informação e respectiva comunicação às autoridades competentes;

d) Pela prestação imediata ao órgão de administração de informação sobre quaisquer indícios de violação de obrigações legais, de regras de conduta e de relacionamento com clientes ou de outros deveres que possam fazer incorrer a instituição ou os seus colaboradores num ilícito de natureza contra-ordenacional;

e) Pela manutenção de um registo dos incumprimentos e das medidas propostas e adoptadas nos termos da alínea anterior;

f) Pela elaboração e apresentação ao órgão de administração e ao órgão de fiscalização de um relatório, de periodicidade pelo menos anual, identificando os incumprimentos verificados e as medidas adoptadas para corrigir eventuais deficiências.

2 - Para garantir a adequação e a independência da função de "compliance", a instituição deve:

a) Constituir a função de "compliance" mediante um processo formal e dotá-la de suficiente autonomia e responsabilidade;

b) Nomear um responsável por esta função e por qualquer prestação de informação relativa a esta e conferir-lhe os poderes necessários ao desempenho das suas funções de modo independente, designadamente quanto ao acesso a informação relevante;

c) Dotá-la de recursos materiais e humanos adequados para o desempenho eficaz das suas responsabilidades;

d) Assegurar que as pessoas que desempenhem as funções de "compliance" não têm ligação directa às áreas funcionais objecto de avaliação, no sentido de evitar conflitos de interesses;

e) No caso das suas responsabilidades serem executadas pelo pessoal integrado em diversas unidades de estrutura, a afectação das mesmas a essas unidades de estrutura deve ser clara;

f) Assegurar que o método de determinação da remuneração das pessoas que desempenhem as funções de "compliance" não é susceptível de comprometer a sua objectividade.

3 - Os deveres previstos nas alíneas d) e f) do número anterior não são exigíveis se a instituição demonstrar que o seu cumprimento não é necessário para garantir a adequação e a independência desta função, tendo em conta a natureza, a dimensão e a complexidade das suas actividades.

4 - Consideram-se abrangidas pelo disposto no número anterior, as instituições cujo número de colaboradores, excluindo os administradores, seja inferior a seis e os proveitos operacionais no último exercício económico sejam inferiores a (euro)1.000.000.

Artigo 18.º

Responsabilidades do órgão de administração relativamente ao sistema de gestão de riscos

1 - O órgão de administração deve ter um conhecimento adequado dos tipos de riscos a que a instituição se encontra exposta e dos processos utilizados para identificar, avaliar, acompanhar e controlar esses riscos, bem como das obrigações legais e dos deveres a que a instituição se encontra sujeita, sendo responsável pelo estabelecimento e manutenção de um sistema de gestão de riscos apropriado e eficaz.

2 - Para efeitos do número anterior, compete ao órgão de administração:

a) Definir e rever a política com os objectivos globais e os objectivos específicos para cada área funcional, no que respeita ao perfil de risco e ao grau de tolerância face ao risco;

b) Aprovar políticas e procedimentos, concretos, eficazes e adequados, para a identificação, avaliação, acompanhamento e controlo dos riscos a que a instituição está exposta, assegurando a sua implementação e cumprimento;

c) Aprovar, previamente à sua introdução, os novos produtos e actividades da instituição, bem como as respectivas políticas de gestão de risco;

d) Verificar, de forma regular, o cumprimento dos níveis de tolerância ao risco e das políticas e procedimentos de gestão de riscos, avaliando a sua eficácia e contínua adequação à actividade da instituição, no sentido de possibilitar a detecção e correcção de quaisquer deficiências;

e) Requerer que sejam elaborados e apreciar reportes periódicos, precisos e tempestivos sobre os principais riscos a que a instituição se encontra exposta e que identifiquem os procedimentos de controlo implementados para gerir esses riscos;

f) Assegurar a efectiva implementação das suas orientações e recomendações no sentido de introduzir correcções e ou melhorias no sistema de gestão de riscos;

g) Assegurar que as actividades de gestão de riscos têm uma independência, estatuto e visibilidade suficientes e que são sujeitas a revisões periódicas;

h) Designar o responsável pela função de gestão de riscos e o responsável pela função de "compliance" e assegurar que estas funções têm autoridade suficiente para desempenhar as respectivas competências de forma objectiva e independente, bem como que possuem os recursos materiais e humanos adequados ao desempenho das respectivas tarefas;

i) Pronunciar-se sobre os relatórios elaborados pelas funções de gestão de riscos e "compliance", nomeadamente sobre as recomendações para a adopção de medidas correctivas.

3 - O exercício das competências descritas no número anterior deve ser adequadamente documentado.

CAPÍTULO IV

Sistema de informação e comunicação

Artigo 19.º

Definição e objectivos dos processos de informação e comunicação

1 - O sistema de controlo interno dever garantir a existência de informação substantiva, actual, compreensível, consistente, tempestiva e fiável, que permita uma visão global e abrangente sobre a situação financeira, o desenvolvimento da actividade, o cumprimento da estratégia e dos objectivos definidos, o perfil de risco da instituição e o comportamento e evolução do mercado ou mercados relevantes.

2 - A instituição deve desenvolver, implementar e manter processos formais de captação e tratamento da informação referida no número anterior, apropriados à dimensão, natureza e complexidade da actividade desenvolvida que suportem a tomada de decisões pelos órgãos de administração e de gestão e permitam o cumprimento das obrigações perante terceiros, nomeadamente as de reporte às autoridades de supervisão.

3 - O processo de informação deve estar suportado num sistema contabilístico e estatístico que registe, classifique, associe e arquive, tempestivamente e de forma sistematizada, fiável, completa e consistente, todas as operações realizadas pela instituição.

4 - A instituição deve instituir processos de comunicação formais e transparentes, e linhas de reporte que garantam uma comunicação eficaz através da organização e assegurem a transmissão tempestiva e adequada da informação para os intervenientes e destinatários apropriados, tanto internos como externos.

5 - A estrutura organizacional da instituição deve promover o fluxo vertical e horizontal da informação e clarificar quais os deveres e responsabilidades de cada colaborador nos processos de informação e comunicação.

Artigo 20.º

Responsabilidades do órgão de administração relativamente aos processos de comunicação e informação

1 - O órgão de administração é responsável por assegurar a implementação e manutenção de processos de informação e de comunicação adequados à actividade e aos riscos da instituição.

2 - O exercício das competências descritas no número anterior deve ser adequadamente documentado.

CAPÍTULO V

Monitorização do sistema de controlo interno

Artigo 21.º

Processo de monitorização

1 - O processo de monitorização compreende todas as acções e avaliações de controlo desenvolvidas pelas instituições com vista a garantir a eficácia e adequação do seu sistema de controlo interno, nomeadamente, através da identificação de deficiências no sistema, quer na sua concepção, quer na sua implementação e ou utilização.

2 - As acções referidas no número anterior devem ser executadas numa base contínua e como parte integrante das tarefas diárias da instituição, sendo complementadas por avaliações autónomas, periódicas e ou extraordinárias, eficazes e completas.

3 - Os colaboradores da instituição devem participar nas acções de controlo, nomeadamente através da execução de procedimentos de revisão das tarefas executadas, previamente à sua formalização ou transmissão a terceiros, e da comunicação de todas as deficiências de que tomem conhecimento.

4 - Por seu lado, os órgãos de gestão intermédia devem desenvolver acções de controlo sobre as áreas da sua responsabilidade, verificando se os colaboradores desempenham adequadamente as responsabilidades que lhe estão atribuídas, analisando eventuais desvios face aos objectivos estabelecidos, mantendo um ambiente de controlo e canais de comunicação apropriados e suficientes e assegurando que os riscos se encontram devidamente identificados.

5 - As acções de controlo devem ser também realizadas pelo órgão de administração, ainda que focalizadas nas áreas de negócio principais e na evolução dos objectivos globais da instituição, bem como nas alterações internas e externas que possam comprometer a execução da estratégia e objectivos definidos.

6 - As deficiências com impacto material, quando consideradas individualmente ou agregadas ou por via da sua previsível ocorrência continuada, que sejam detectadas no âmbito das acções de controlo, devem ser devidamente registadas, documentadas e reportadas aos níveis de gestão apropriados, de modo a possibilitar a adopção tempestiva de medidas correctivas.

7 - As avaliações autónomas complementares referidas no n.º 2 devem ser executadas por uma função de auditoria interna ou subcontratadas, no todo ou em parte, a entidade(s) que possua(m) as qualificações e a capacidade para realizar, de forma eficaz, confiável e profissional, as tarefas associadas à função subcontratada.

8 - Encontram-se dispensadas do cumprimento do número anterior as instituições em que a existência, ou a subcontratação, da função de auditoria interna não seja exequível ou apropriada face à natureza, dimensão e a complexidade da actividade desenvolvida, devendo, neste caso, ser aplicados procedimentos de monitorização adicionais.

9 - Consideram-se abrangidas pelo disposto no número anterior as instituições cujo número de colaboradores da instituição, excluindo os administradores, seja inferior a trinta e os proveitos operacionais no último exercício económico sejam inferiores a (euro)20.000.000.

10 - A frequência das avaliações referidas no n.º 7 e dos procedimentos de monitorização adicionais previstos no n.º 8 devem depender da natureza e magnitude dos riscos inerentes à actividade desenvolvida e da eficácia dos controlos específicos associados.

11 - Caso entidades terceiras detectem e comuniquem à instituição deficiências no sistema de controlo interno, devem ser tomadas, pelos níveis de gestão apropriados e, quando adequado, pelo órgão de administração, as medidas correctivas adequadas e consideradas necessárias, as quais devem ficar devidamente registadas e documentadas e, uma vez implementadas, ser testada a sua eficácia e adequação para ultrapassar a deficiência existente.

12 - O processo de monitorização do sistema de controlo interno deve ser adequadamente documentado, nomeadamente através da identificação das alterações introduzidas ao longo do tempo.

Artigo 22.º

Função de auditoria interna

1 - A função de auditoria interna deve ter um carácter permanente, actuar com independência e ser responsável por:

a) Elaborar e manter actualizado um plano de auditoria para examinar e avaliar a adequação e a eficácia das diversas componentes do sistema de controlo interno da instituição, bem como do sistema de controlo interno como um todo;

b) Emitir recomendações baseadas nos resultados das avaliações realizadas e verificar a sua observância; e

c) Elaborar e apresentar ao órgão de administração e ao órgão de fiscalização um relatório, de periodicidade pelo menos anual, sobre questões de auditoria, com uma síntese das principais deficiências detectadas nas acções de controlo, os quais, ainda que sejam imateriais quando considerados isoladamente, possam evidenciar tendências de deterioração do sistema de controlo interno, bem como indicando e identificando as recomendações que foram seguidas.

2 - Para efeitos de um adequado desempenho da função de auditoria interna, as suas tarefas devem respeitar os seguintes princípios:

a) O plano de auditoria deve assegurar um exame abrangente, orientado para o risco, das actividades, sistemas e processos da instituição, que permita avaliar a adequação e a eficácia do sistema de controlo interno;

b) Para cada avaliação deve ser delineado um programa que defina os objectivos da auditoria, identifique as actividades e os procedimentos de controlo interno objecto de revisão e estabeleça os recursos necessários para a sua execução;

c) Devem ser claramente definidos os critérios para avaliar a adequação de políticas, procedimentos e controlos específicos implementados pela instituição;

d) O pessoal que executa a auditoria interna deve ter acesso pleno a todas as actividades da instituição, incluindo sucursais, bem como a toda a informação necessária à realização de uma adequada avaliação;

e) A realização de uma acção de auditoria deve compreender a elaboração ou actualização do dossier permanente da actividade de risco alvo de avaliação;

f) As deficiências identificadas pela auditoria interna, assim como as consequentes recomendações, devem ser oportunamente registadas, documentadas e reportadas directamente ao órgão de administração, quando sejam materiais, ou ao órgão de gestão apropriado, nos restantes casos, de modo a garantir que a avaliação não é enviesada e que as questões identificadas são prontamente tomadas em consideração;

g) Deve ser previsto um acompanhamento contínuo por parte da função de auditoria interna das situações identificadas, no sentido de garantir que as medidas necessárias são tomadas e que as mesmas são geridas adequadamente.

3 - A função de auditoria interna deve desenvolver a sua actividade em conformidade com os princípios de auditoria interna reconhecidos e aceites a nível internacional.

4 - A instituição deve nomear um responsável por esta função e por qualquer prestação de informação relativa a esta e conferir-lhe os poderes necessários ao desempenho das suas funções de modo independente, designadamente quanto ao acesso a informação relevante;

5 - A função de auditoria interna deve ser dotada de recursos humanos suficientes, competentes, qualificados e experientes, com uma clara compreensão do seu papel e responsabilidades.

6 - No caso das tarefas associadas à função de auditoria interna serem subcontratadas a terceiros, o responsável a que se refere o n.º 4 deve, em articulação com a entidade subcontratada, zelar pelo cumprimento do disposto nos n.º 1 a 3.

7 - A função de auditoria interna deve ter autoridade suficiente para desempenhar as suas competências objectivamente e de forma independente, devendo, neste sentido, estar suportada por um regulamento de auditoria formalmente aprovado pelo órgão de administração, deter uma posição adequada na estrutura organizacional, ser independente das restantes áreas funcionais da instituição e reportar directamente ao órgão de administração.

8 - O disposto nos números anteriores é aplicável sempre que adequado e proporcional, tendo em conta a natureza, a dimensão e a complexidade da actividade desenvolvida pela instituição.

Artigo 23.º

Responsabilidades do órgão de administração relativamente ao processo de monitorização

1 - O órgão de administração é responsável pela implementação e manutenção de um processo de monitorização do sistema de controlo interno adequado e eficaz, competindo-lhe, designadamente, nesse âmbito:

a) Aprovar políticas e procedimentos, concretos, eficazes e adequados, para o processo de monitorização do sistema de controlo interno, assegurando a sua implementação e cumprimento;

b) Requerer e assegurar que são elaborados, e apreciar reportes periódicos, precisos e tempestivos, sobre a adequação e a eficácia do sistema de controlo interno, no sentido de possibilitar a detecção e correcção de quaisquer deficiências;

c) Designar o responsável pela função de auditoria interna e assegurar que esta função tem autoridade suficiente para desempenhar as suas competências objectivamente e de forma independente, bem como que possui os recursos materiais e humanos adequados ao desempenho das respectivas tarefas;

d) Pronunciar-se sobre os relatórios elaborados pela função de auditoria interna, nomeadamente sobre as recomendações para a adopção de medidas correctivas;

e) Assegurar a efectiva implementação das suas orientações e recomendações no sentido de introduzir correcções e ou melhorias no sistema de controlo interno.

2 - No caso da instituição subcontratar a função de auditoria interna, ao abrigo do disposto no n.º 7 do artigo 21.º, o órgão de administração continua a assumir a responsabilidade máxima de assegurar que o sistema de controlo interno e a auditoria interna são adequados e funcionam de forma eficaz.

3 - O exercício das competências descritas no número anterior deve ser adequadamente documentado.

CAPÍTULO VI

Sistema de controlo interno dos grupos financeiros

Artigo 24.º

Requisitos mínimos do sistema de controlo interno dos grupos financeiros

1 - Com vista a assegurar uma efectiva gestão dos riscos associados à actividade do grupo, a empresa-mãe deve assegurar que todas as suas filiais, incluindo as filiais no estrangeiro e os estabelecimentos "off-shore", implementam sistemas de controlo interno coerentes entre si e em conformidade com os requisitos definidos no presente Aviso.

2 - Adicionalmente, a empresa-mãe deve dispor de um sistema de controlo interno que, designadamente:

a) Estabeleça procedimentos adequados ao objectivo do cumprimento, em cada momento, dos limites e relações referidos no n.º 1.º do Aviso do Banco de Portugal n.º 8/94, de 15 de Novembro, assim como para o reporte da informação necessária à supervisão prudencial em base consolidada;

b) Assegure eficazmente o controlo e a gestão das filiais, assegurando a implementação de processos destinados à recolha da informação essencial para o efeito e, nomeadamente, de forma a proceder ao efectivo controlo dos riscos associados à sua actividade;

c) Institua o controlo necessário à obtenção de toda a informação relevante para o processo de consolidação - informação contabilística e demais elementos informativos;

d) Defina de forma clara o conteúdo e formato da informação a reportar pelas entidades incluídas no perímetro de consolidação e assegure que estas entidades se encontram dotadas dos meios necessários à referida prestação de informação;

e) Estabeleça procedimentos de informação de modo a identificar, medir e controlar eficazmente as operações intra-grupo, sua natureza e características, assim como as concentrações de riscos;

f) Contemple os procedimentos adequados para garantir que a informação de gestão é coerente entre as várias entidades, de tal modo que a empresa-mãe possa medir, seguir e controlar os riscos em que o grupo incorre;

g) Controle o cumprimento, a todo o momento, dos rácios e limites prudenciais em base consolidada, respectivo reporte ao Banco de Portugal e procedimentos estabelecidos para a consolidação.

3 - Para efeitos do dispostos nos números anteriores, entende-se por:

a) Empresa-mãe: a pessoa colectiva que, dentro do perímetro de consolidação relevante para efeitos da supervisão prudencial, exerce, em última instância, o domínio sobre outra(s) pessoa(s) colectiva(s) - sua(s) filial(ais) - , sendo responsável pela situação financeira consolidada ou subconsolidada, bem como pela informação necessária ao exercício da supervisão prudencial, nos termos do Aviso n.º 8/94;

b) Filial: entidade sobre a qual a empresa-mãe exerce o domínio, considerando-se que a filial de uma filial é igualmente filial da empresa-mãe de que ambas dependem, e que esteja incluída no perímetro de supervisão em base consolidada ou subconsolidada, nos termos do disposto no Aviso n.º 8/94;

c) Estabelecimento "off-shore": a entidade (filial ou sucursal) estabelecida em território, incluindo o nacional, caracterizado por atrair um volume significativo de actividade com não residentes, em virtude, designadamente da existência de regimes menos exigentes de obtenção de autorização para o exercício da actividade bancária e de supervisão, de regime especial de sigilo bancário, de vantagens fiscais, de legislação diferenciada para residentes/não residentes ou de facilidades de criação de veículos de finalidade especial (special purpose vehicles - SPVs);

d) No caso do SICAM, entende-se por empresa-mãe a Caixa Central de Crédito Agrícola Mútuo.

4 - A função da auditoria interna da empresa-mãe deverá ser adequada à dimensão e à natureza das actividades do grupo, supervisionando a eficácia e a adequação dos controlos internos e zelando pela fiabilidade e pela pontualidade da informação reportada pelas filiais, bem como pelo cumprimento das normas internas e dos procedimentos definidos.

5 - No cumprimento das responsabilidades previstas no número anterior, a função de auditoria interna da empresa-mãe pode apoiar-se nos trabalhos desenvolvidos pelas funções de auditoria interna das suas filiais.

6 - As instituições pertencentes a um mesmo grupo financeiro podem estabelecer serviços comuns para o desenvolvimento das responsabilidades atribuídas às funções de gestão de riscos, de "compliance" e de auditoria interna e designar um responsável para cada um destes serviços comuns, desde que esses serviços sejam dotados dos recursos humanos e materiais apropriados para o desempenho eficaz das suas responsabilidades e sejam salvaguardados os requisitos de independência e o acesso à informação relativamente a cada uma das instituições.

7 - Para efeitos do número anterior, os critérios referidos nos n.º 4 do artigo 16.º, n.º 3 do artigo 17.º e n.º 8 do artigo 21.º são aferidos ao nível do grupo.

CAPÍTULO VII

Relatórios e pareceres

Artigo 25.º

Relatório individual

1 - A instituição deve remeter anualmente ao Banco de Portugal um relatório, que inclua as seguintes informações:

a) Descrição sintética da estratégia de negócio prosseguida, representatividade de cada uma das actividades exercidas e perspectivas de evolução futura;

b) Organograma indicando todas as unidades de estrutura da instituição e, para cada uma delas, breve descrição das respectivas competências, informação sobre número de pessoas que a compõem e identificação do respectivo responsável;

c) Identificação das áreas funcionais da instituição (áreas de negócio e funções de grupo), especificando as unidades de estrutura associadas;

d) Actividades e funções efectuadas em regime de subcontratação e a entidade subcontratada.

2 - O relatório mencionado no número anterior deve, em relação à função de "compliance", à função de gestão de riscos e à função de auditoria interna, incluir:

a) A identificação dos respectivos responsáveis;

b) Uma descrição, organizada por áreas funcionais, das eventuais deficiências detectadas por cada função, desde a data de elaboração do relatório do ano anterior, e que ainda não se encontrem integralmente corrigidas, indicando:

i) A função responsável pela sua detecção;

ii) A data em que foram detectadas e a data em que foram comunicadas ao órgão de administração;

iii) A categoria e o grau de risco associados e uma descrição das suas potenciais implicações;

iv) As medidas em curso ou a adoptar para corrigir as deficiências detectadas e prevenir a sua ocorrência futura, incluindo os prazos estabelecidos para o efeito;

c) Uma descrição de eventuais deficiências identificadas em relatórios anteriores e que ainda se mantenham, indicando o prazo previsto para a sua correcção, bem como, caso aplicável, uma justificação para o não cumprimento do calendário inicialmente previsto;

d) Em relação à função de "compliance", caso a instituição não disponha de uma função de "compliance" independente, demonstração de que a instituição reúne as condições previstas no n.º 3 do artigo 17.º;

e) Em relação à função de gestão de riscos, caso a instituição não disponha de uma função de gestão de riscos independente, demonstração de que reúne as condições previstas no n.º 4 do artigo 16.º e descrição dos mecanismos implementados com vista a garantir o cumprimento da alínea a) do n.º 1 desse artigo.

f) Em relação ao serviço de auditoria interna:

i) Uma descrição do plano de auditoria interna previsto na alínea a) do n.º 1 do artigo 22.º;

ii) Indicação da data da última acção de auditoria realizada a cada área funcional da instituição, devendo ser explicitamente identificadas aquelas que não tenham sido objecto de acções de auditoria no período a que se reporta o relatório;

iii) Caso a instituição não disponha de um serviço de auditoria interna, demonstração de que a instituição reúne as condições previstas no n.º 8 do artigo 21.º

3 - O relatório a que se refere o n.º 1 deve ainda incluir uma opinião global do órgão de administração sobre a adequação e a eficácia do sistema de controlo interno, a qual deverá descrever as deficiências que não tenham sido indicadas ao abrigo do n.º 2 e ainda não tenham sido integralmente corrigidas, organizadas por áreas funcionais, com indicação da categoria e do grau de risco associados, das suas potenciais implicações, bem como das acções em curso ou adoptar para as corrigir e prevenir a sua ocorrência futura e os prazos estabelecidos para o efeito.

4 - O relatório mencionado no n.º 1 deve ser acompanhado de documento anexo, o qual faz parte integrante do mesmo, com informação, segregada por natureza e área funcional, sobre o número e o montante agregado das operações analisadas em cumprimento do artigo 15.º da Lei n.º 25/2008, de 5 de Junho, e das comunicadas ao abrigo dos artigos n.º 16.º e 27.º do mesmo diploma.

5 - O relatório a que se refere o n.º 1 deve ainda ser acompanhado de:

a) Um parecer do órgão de fiscalização da instituição, em que seja emitida opinião detalhada sobre a adequação e a eficácia do sistema de controlo interno, face aos requisitos definidos pelo presente Aviso, com excepção das áreas abrangidas pela alínea seguinte;

b) Um parecer do revisor oficial de contas sobre a adequação e a eficácia da parte do sistema de controlo interno subjacente ao processo de preparação e de divulgação de informação financeira (relato financeiro), incluindo a verificação: (i) da regularidade dos livros, registos contabilísticos e documentos que lhe servem de suporte; (ii) da extensão da caixa e das existências de qualquer espécie dos bens ou valores pertencentes à sociedade ou por ela recebidos em garantia, depósito ou outro título; (iii) da exactidão dos documentos de prestação de contas, e (iv) se as políticas contabilísticas e os critérios valorimétricos adoptados pela sociedade conduzem a uma correcta avaliação do património e dos resultados,

c) No que se refere às caixas de crédito agrícola mútuo integrantes do SICAM, em caso de inexistência de revisor oficial de contas, o parecer referido na alínea anterior deve ser elaborado pelo órgão de fiscalização.

6 - Os pareceres referidos no número anterior devem:

a) Mencionar explicitamente a sua data de referência, as deficiências relevantes detectadas no âmbito da acção fiscalizadora, organizadas por áreas funcionais, com indicação da categoria e do grau de risco associados, das suas potenciais implicações, bem como das acções acordadas com o órgão de administração tendo em vista a sua correcção e o plano para a sua concretização, sendo que a ausência de deficiências deve ser expressamente declarada;

b) Em cada exercício, indicar o estado de concretização das medidas correctivas determinadas no exercício anterior, em resultado do "follow-up" realizado.

7 - No caso de instituições cuja fiscalização é assegurada por um fiscal único, permanece a obrigação de serem emitidos dois pareceres: um sobre a adequação e a eficácia do sistema de controlo interno e um outro circunscrito à adequação do controlo interno ao processo de preparação e de divulgação da informação financeira.

8 - A substituição, definitiva ou prolongada, ou a alteração dos dados de contacto do responsável pela função de "compliance" indicado ao abrigo da alínea a) do n.º 2 devem ser, de imediato, comunicadas ao Banco de Portugal.

9 - O relatório a que se refere o n.º 1 e os pareceres mencionados no n.º 5 devem ser remetidos ao Banco de Portugal pelo órgão de administração da instituição, até ao final do mês de Junho.

10 - A descrição a que se refere o n.º 2 deve reflectir o teor dos relatórios das funções de "compliance", de gestão de riscos e de auditoria interna submetidos ao órgão de administração até 30 dias antes da data de envio do relatório ao Banco de Portugal, enquanto a informação prevista no n.º 1 e a opinião do órgão de administração referida no n.º 3 devem reproduzir a situação até 15 dias antes do seu envio ao Banco de Portugal.

Artigo 26.º

Relatório de controlo interno do grupo financeiro

1 - A "empresa-mãe" deve elaborar anualmente um relatório sintético sobre o sistema de controlo interno do grupo, que, no mínimo, inclua os seguintes aspectos:

a) Estrutura organizativa do grupo;

b) Actividades e funções que sejam exercidas centralmente, indicando a entidade que as exerce, as entidades que beneficiem de tais actividades e funções, e fazendo referência expressa às actividades desenvolvidas através de sociedades gestoras de participações sociais e de sociedades de serviços auxiliares, bem como as efectuadas em regime de subcontratação;

c) Descrição das eventuais deficiências detectadas pela função de auditoria interna da empresa-mãe, e ainda não corrigidas, relativamente aos requisitos do sistema de controlo interno definidos no n.º 2 do artigo 24.º, com indicação da categoria e do grau de risco associados, das suas potenciais implicações, bem como das medidas em curso ou a adoptar para as corrigir e prevenir a sua ocorrência futura, incluindo os prazos estabelecidos para o efeito;

d) Relatórios individuais de cada uma das entidades sujeitas a supervisão em base consolidada ou subconsolidada (empresa-mãe e filiais, incluindo todas as filiais no estrangeiro, e estabelecimentos "off-shore") e respectivos pareceres, elaborados nos termos do artigo 25.º;

2 - Para efeitos da alínea c) do n.º 1, deverá ser tido em conta o seguinte:

a) As entidades obrigadas a apresentar relatórios individuais são as abrangidas pelo artigo 1.º, as filiais no estrangeiro e os estabelecimentos "off-shore", incluídos no perímetro de supervisão em base consolidada, que, independentemente da sua designação e classificação formal, exerçam em termos efectivos alguma das actividades enunciadas nas alíneas a) a i), q) e r) do n.º 1 do artigo 4.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, sem prejuízo do disposto na alínea seguinte;

b) Não estão obrigadas a elaborar relatórios individuais as filiais no estrangeiro sem actividade relevante e que não influenciem o perfil de risco do grupo, ficando a empresa-mãe com a responsabilidade de justificar adequadamente tal exclusão no relatório referido no n.º 1 e o Banco de Portugal com a possibilidade de requer a sua inclusão no relatório do ano seguinte;

c) Não estão, igualmente, obrigadas a elaborar relatórios individuais as filiais no estrangeiro cuja actividade se limite à de "escritório de representação", em termos idênticos aos estabelecidos no artigo 63.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;

d) Os pareceres previstos no n.º 5 do artigo 25.º podem ser produzidos pelo órgão de fiscalização e pelo revisor oficial de contas da empresa-mãe, no caso das filiais no estrangeiro e, igualmente, pelo órgão de fiscalização e revisor oficial de contas da empresa-mãe das filiais domésticas, neste caso apenas se se verificar e for devidamente comprovado que também exerce acção fiscalizadora sobre essas filiais em matéria de controlo interno;

e) As deficiências associadas às tarefas centralizadas das várias entidades do grupo devem ser incluídas no relatório de controlo interno da empresa-mãe;

f) Relativamente às CCAM integrantes do SICAM, a Caixa Central de Crédito Agrícola Mútuo deve elaborar, em articulação com o Banco de Portugal, um modelo de relatório a apresentar pelas mesmas que respeite os princípios e orientações definidos no Aviso.

3 - O relatório a que se refere o n.º 1 deve ainda incluir uma opinião global do órgão de administração sobre a adequação e a eficácia do sistema de controlo interno do grupo financeiro, a qual deverá descrever as deficiências face ao estabelecido no artigo 24.º e que não tenham sido enumeradas ao abrigo da alínea c) do n.º 1, organizadas por áreas funcionais, com indicação da categoria e do grau de risco associados, das suas potenciais implicações, bem como das medidas em curso ou a adoptar para superar tais deficiências e os prazos estabelecidos para o efeito.

4 - O relatório a que se refere o n.º 1 deve ser acompanhado de:

a) Um parecer do órgão de fiscalização da empresa-mãe, com opinião detalhada sobre a adequação e a eficácia do sistema de controlo interno do grupo para assegurar o cumprimento dos requisitos definidos no artigo 24.º;

b) Um parecer do órgão de fiscalização da empresa-mãe sobre a coerência dos sistemas de controlo interno das filiais, incluindo as filiais no estrangeiro e os estabelecimentos "off-shore", podendo tal opinião ser fundamentada nos respectivos pareceres elaborados para o efeito pelos órgãos de fiscalização de cada uma das filiais, caso em que, no entanto, a responsabilidade pelos mesmos, para efeitos do presente Aviso, é do órgão de fiscalização da empresa-mãe;

c) Um parecer do revisor oficial de contas sobre a adequação do controlo interno, circunscrito à análise do controlo interno subjacente ao processo de preparação e de divulgação de informação financeira consolidada (relato financeiro), nos termos previstos na alínea b) do n.º 5 do artigo 25.º

5 - Os pareceres referidos no número anterior devem:

a) Mencionar explicitamente a sua data de referência, as deficiências relevantes detectadas no âmbito da acção fiscalizadora, indicando ainda a categoria e o grau de risco associado, as suas potenciais implicações, bem como as medidas acordadas com o órgão de administração tendo em vista a sua correcção e o plano para a sua concretização, sendo que a ausência de deficiências deve ser expressamente declarada;

b) Em cada exercício, indicar o estado de concretização das medidas correctivas determinadas no exercício anterior, em resultado do "follow-up" realizado.

6 - O relatório a que se refere o n.º 1 e os pareceres mencionados no n.º 4 devem ser remetidos ao Banco de Portugal pelo órgão de administração da empresa-mãe, até ao final do mês de Junho.

7 - A descrição a que se refere a alínea c) do n.º 1 deve reflectir o teor dos relatórios da função de auditoria interna da empresa-mãe submetidos ao órgão de administração até 30 dias antes da data de envio do relatório ao Banco de Portugal, enquanto a descrição prevista nas alíneas a) e b) do n.º 1 e a opinião do órgão de administração referida no n.º 3 devem reproduzir a situação até 15 dias antes do seu envio ao Banco de Portugal.

8 - O envio pela "empresa-mãe" dos relatórios individuais referidos na alínea d) do n.º 1 substitui a obrigação prevista no n.º 9 do artigo 25.º

CAPÍTULO VIII

Disposições transitórias e finais

Artigo 27.º

Requisitos e orientações

O Banco de Portugal pode estabelecer requisitos normativos adicionais ou orientações de índole técnica para efeitos da implementação dos sistemas de controlo interno das instituições, nomeadamente no que se refere às áreas ou aos riscos mais relevantes.

Artigo 28.º

Disposições transitórias

1 - De modo a garantir que as instituições dispõem de um prazo adequado para dar cumprimento aos requisitos definidos no presente Aviso, os relatórios previstos nos artigos 25.º e 26.º, poderão, em 2008 e a título extraordinário, ser enviados ao Banco de Portugal até ao dia 31 de Dezembro.

Artigo 29.º

Disposição revogatória

1 - É revogado o Aviso do Banco de Portugal n.º 3/2006, de 9 de Maio de 2006.

2 - Todas as referências realizadas para o Aviso referido no número anterior consideram-se feitas para o presente Aviso.

Artigo 31.º

Entrada em vigor

O presente Aviso entra em vigor no dia seguinte ao da sua publicação.

25 de Junho de 2008. - O Governador, Vítor Constâncio.