18 DE JULHO DE 2019

27

resultando do n.º 2 do mesmo artigo a necessidade de tal sistema permitir «a identificação, avaliação,

acompanhamento e controlo de todos os riscos materiais a que a instituição se encontra exposta (…)».

Também o artigo 11.º regula que o sistema de gestão de riscos deve ser «sólido, eficaz, consistente e abarcar

todos os produtos, atividades, processos e sistemas da instituição» e tomar em consideração os «riscos de

crédito, de mercado, de taxa de juro, de taxa de câmbio, de liquidez, de compliance, operacional, dos sistemas

de informação, de estratégia e de reputação, bem como todos os outros riscos que, em face da situação concreta

da instituição, se possam revelar materiais» (cfr. n.os 1 e 3 do artigo 11.º), estabelece no seu n.º 6 que «(o)

sistema de gestão de riscos deve basear-se em processos de identificação, avaliação, acompanhamento e

controlo de riscos, em conformidade com o disposto nos artigos 12.º a 15.º, os quais devem estar suportados

em políticas e procedimentos apropriados e claramente definidos com vista a assegurar que os objetivos da

instituição são atingidos e que são tomadas as ações necessárias para responder adequadamente aos riscos

previamente identificados».

O artigo 13.º do Aviso regula o processo de avaliação de riscos, estabelecendo que tal processo deve ser

instituído tendo em vista possibilitar a «avaliação da probabilidade de ocorrência de perdas e da respetiva

magnitude em relação a cada categoria de risco», referindo-se as diversas alíneas a um catálogo exemplificativo

de caraterísticas-padrão de procedimentos (tipologia de avaliações, periodicidade, fidedignidade das fontes de

informação).

Para além disso, dispõe o artigo 14.º, que as entidades supervisionadas devem «desenvolver, implementar

e manter um processo sistematizado de acompanhamento da exposição a cada categoria de risco, o qual deve,

nomeadamente, incluir a elaboração de relatórios periódicos e tempestivos, com informação clara, fiável e

substantiva, relativos à exposição da instituição a cada uma das categorias de risco subjacentes à atividade

desenvolvida».

Nos termos do artigo 15.º, n.º 2, do Aviso n.º 5/2008, as «políticas e procedimentos referidas na alínea b) do

n.º 1 devem assegurar, de forma tempestiva, a prevenção de situações não desejadas ou não autorizadas e a

deteção destas situações quando, não obstante os procedimentos de prevenção, as mesmas ocorram de facto,

de modo a permitir a adoção imediata de medidas corretivas».

Concretamente, tais políticas e procedimentos devem compreender, nomeadamente:

«a) Exigência de recolha e manutenção de elementos que documentem de forma objetiva as decisões

tomadas e as operações realizadas, num formato que seja facilmente acessível e percetível por terceiros e que

permita a sua reconstituição por ordem cronológica;

b) Existência de formulários padronizados e tipificação clara e objetiva de todos os elementos necessários

para o processamento das operações;

c) Definição e aplicação de requisitos para aprovar ou renovar as operações, devidamente ajustados ao

risco existente, com a identificação clara das condições que devem ser previamente verificadas e a atribuição

de competências inequívocas para a aprovação e renovação, as quais devem ser devidamente reforçadas e

acompanhadas no caso de operações com entidades ou indivíduos relacionados com a instituição;

d) Existência de um grau adequado de segregação de funções que envolvam responsabilidades

conflituantes, nomeadamente, nas operações de crédito e de mercado, entre a autorização, a execução, o

registo, a guarda de valores e outra documentação e o respetivo controlo;

e) Imposição de restrições de segurança no acesso a ativos, a recursos e à informação, através de barreiras

físicas ou informáticas, que garantam a proteção contra utilizações não autorizadas, intencionais ou negligentes;

f) Existência de obrigações de reporte, análise e decisão, sempre que ocorram desvios, erros, fraudes,

incumprimentos e outras situações de exceção relativamente às políticas, aos procedimentos e aos limites

estabelecidos;

g) Implementação e manutenção de indicadores de alerta;

h) Imposição de limites objetivos e prudentes para cada um dos riscos incorridos na atividade desenvolvida,

até onde for adequado e possível;

i) Realização de verificações e reconciliações periódicas, devidamente consubstanciadas, à exatidão,

autenticidade e validade das operações registadas;

j) Implementação de métodos adequados de valorização de ativos, passivos e elementos extrapatrimoniais

e da sua aplicação com uma periodicidade adequada;