II SÉRIE-B — NÚMERO 61

28

k) Definição, implementação e manutenção de planos de continuidade de negócio e ou de recuperação em

caso de catástrofe».

Nos termos dos artigos 16.º e 17.º do Aviso, é exigida às instituições de crédito a criação e manutenção de

uma função de gestão de riscos e de uma função de «compliance», sendo que, em particular, a função de gestão

de riscos deve ser responsável por (a)ssegurar a aplicação efetiva do sistema de gestão de riscos, através do

acompanhamento contínuo da sua adequação e a eficácia, bem como da adequação e da eficácia das medidas

tomadas para corrigir eventuais deficiências desse sistema, bem como por «(p)restar aconselhamento ao órgão

de administração e elaborar e apresentar a este e ao órgão de fiscalização um relatório, de periodicidade pelo

menos anual, relativo à gestão de riscos, indicando se foram tomadas as medidas adequadas para corrigir

eventuais deficiências».

Assim, sobre o órgão de administração da instituição de crédito recai, em especial, a responsabilidade de

zelar pela eficácia do sistema de gestão de riscos, competindo-lhe, nesse âmbito, conhecer «(...) os tipos de

riscos a que a instituição se encontra exposta e os processos utilizados para identificar, avaliar, acompanhar e

controlar esses riscos, (...) sendo responsável pelo estabelecimento e manutenção de um sistema de gestão de

riscos apropriado e eficaz», bem como, «(a)provar políticas e procedimentos, concretos, eficazes e adequados,

para a identificação, avaliação, acompanhamento e controlo dos riscos a que a instituição está exposta,

assegurando a sua implementação e cumprimento» [cfr. n.º 1 e alínea b) do n.º 2 do artigo 18.º do Aviso n.º

5/2008].

O sistema de controlo interno deve ainda «garantir a existência de informação substantiva, atual,

compreensível, consistente, tempestiva e fiável», por forma a permitir «uma visão global e abrangente sobre a

situação financeira, o desenvolvimento da atividade, o cumprimento da estratégia e dos objetivos definidos, o

perfil de risco da instituição e o comportamento e evolução do mercado ou mercados relevantes». (cfr. n.º 1 do

artigo 19.º do Aviso n.º 5/2008).

O artigo 21.º do Aviso impõe a existência de um processo de monitorização do sistema de controlo interno,

o qual compreende «todas as ações e avaliações de controlo desenvolvidas pelas instituições com vista a

garantir a eficácia e adequação do seu sistema de controlo interno, nomeadamente, através da identificação de

deficiências no sistema, quer na sua conceção, quer na sua implementação e ou utilização».

Finalmente, determina o artigo 23.º do mesmo Aviso a responsabilização direta do órgão de administração

«pela implementação e manutenção de um processo de monitorização do sistema de controlo interno adequado

e eficaz», competindo-lhe, designadamente, aprovar as políticas e procedimentos subjacentes a tal processo de

monitorização, bem como assegurar a implementação efetiva das suas orientações e recomendações por forma

a «introduzir correções e ou melhorias no sistema de controlo interno» [cfr. alíneas a) e e) do n.º 2 do artigo 23.º

do Aviso n.º 5/2008].

3.1.2.2 Normativos internos da CGD

Não obstante todo o normativo e regulação a nível europeu e nacional, aplicável às instituições financeiras,

e conforme destaca a «Nota de Enquadramento à Intervenção do Governador» nesta Comissão, «não existem,

nem podem existir, mecanismos de supervisão que previnam ou mitiguem totalmente o risco da atividade

bancária, a proteção da solidez de uma instituição bancária cabe, em primeiro lugar, e, sobretudo, ao respetivo

órgão de administração e demais responsáveis com funções-chave na gestão da instituição, e, em segundo

lugar, ao órgão de fiscalização e aos auditores externos.

Assim, mostra-se necessário, para melhor compreensão da matéria em análise, fazer referência aos

principais normativos internos adotados pela CGD, com enfoque na concessão de crédito, seguindo-se de perto

a metodologia adotada no relatório EY.

Conforme descreve aquele relatório, em 2001, na sequência da publicação do BCBS, a CGD procurou

desenvolver estruturas de gestão de risco up to date, com enfoque na criação da Direção Geral de Riscos (DGR),

«com a função de gestão de riscos, como exemplo das melhores práticas em Portugal à época».

No período 2001-2004, «a CGD desenvolveu normativos consonantes com a regulamentação, atribuindo

relevância à avaliação do risco de crédito, tendo implementado aplicativos informáticos de suporte».

Entre 2004 e 2007, «perante a crescente competitividade no mercado português entre os maiores players e

o surgimento de bancos estrangeiros com políticas de crédito agressivas (sobretudo no retalho) e num ambiente