Artigo 2.º

Artigo 1.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)[...]
   3. c)Companhias financeiras, companhias financeiras mistas e sociedades gestoras de participações sociais sujeitas à supervisão do Banco de Portugal nos termos do disposto no artigo 117.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando sejam consideradas empresas-mãe nos termos da alínea q) do artigo 2.º-A do mesmo diploma.
2. 2 -[...]
3. 3 -[...]
4. 4 -O presente Aviso regulamenta ainda os artigos 15.º e 16.º do Decreto-Lei n.º 145/2006, de 31 de julho.

Artigo 5.º

[...]

1. 1 -Os órgãos de administração e de fiscalização da instituição identificam e avaliam as respetivas necessidades ao nível da sua composição e organização e, salvo se outro órgão for competente para o efeito nos termos da legislação em vigor, aprovam, respetivamente, regulamentos internos próprios.
2. 2 -[...]
3. 3 -No caso previsto no n.º 3 do artigo 14.º, os pelouros respeitantes às diferentes unidades de estrutura que formam a função de gestão de riscos são atribuídos ao mesmo administrador executivo.
4. 4 -Os órgãos de administração e de fiscalização aprovam planos de formação plurianuais a frequentar pelos seus membros, os quais são revistos anualmente, de modo a assegurar a sua atualização permanente quanto a todos os riscos a que a instituição está ou pode vir a estar exposta, com especial foco nos riscos considerados emergentes.
5. 5 -Em resultado da identificação e avaliação promovidas ao abrigo do n.º 1, os órgãos de administração e de fiscalização, ou o Comité de Nomeações previsto no artigo 115.º-B do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando constituído, elaboram e mantêm atualizada, num documento único, uma descrição detalhada das responsabilidades e funções a desempenhar por cada um dos seus membros e das competências e experiência profissional necessárias para o efeito.
6. 6 -Para dar cumprimento ao disposto nos números 1, 2 e 5 do presente artigo, o órgão de administração, em articulação com o órgão de fiscalização, assegura que a instituição dispõe de políticas e processos internos, devidamente documentados e aprovados, que permitam:
   1. a)A identificação e avaliação das necessidades referidas no n.º 1, e a elaboração da descrição referida no n.º 5;
   2. b)A identificação, seleção e avaliação de potenciais candidatos a membros dos seus órgãos de administração e de fiscalização que permita suprir as necessidades referidas no n.º 1, atendendo à descrição referida no n.º 5.
7. 7 -(Anterior n.º 5.)
8. 8 -Tendo presente o disposto nos números 1 e 5, a instituição dispõe de uma política de sucessão, que tem em consideração o disposto na política de seleção e avaliação dos membros dos órgãos de administração e de fiscalização e dos titulares de funções essenciais e que inclui, nomeadamente, a identificação e descrição de perfis de função detalhados, incluindo o papel organizacional do cargo, as principais responsabilidades e interações, bem como a formação académica, experiência profissional e competências de gestão ou aptidões específicas necessárias
9. 9 -(Anterior n.º 7.)
10. 10 -Para efeitos do disposto nos números 8 e 9, a instituição recolhe e mantém apenas os dados pessoais necessários à prossecução dos objetivos que as referidas disposições visam atingir, nomeadamente, nome, contactos, habilitações académicas e percurso profissional.

Artigo 6.º

[...]

1. 1 -As instituições abrangidas pelo presente Aviso, com exceção das previstas na alínea b) do n.º 1 do artigo 1.º, estão obrigadas a adotar um órgão de fiscalização.
2. 2 -O órgão de administração interage de forma regular e efetiva com o órgão de fiscalização e assegura que este dispõe da informação, dos recursos materiais, técnicos e humanos, incluindo para recorrer a serviços externos, que o órgão de fiscalização considere necessários para o cabal exercício das competências que lhe são conferidas pela legislação e pela regulamentação aplicáveis.
3. 3 -O órgão de fiscalização dispõe de um regulamento interno que define os procedimentos necessários ao adequado exercício das suas funções, incluindo os procedimentos que lhe permitam obter as informações necessárias para o efeito, bem como a existência de uma linha de reporte formal no âmbito da qual é definida a frequência mínima das suas interações com as funções de controlo interno.
4. 4 -Qualquer um dos membros do órgão de fiscalização pode solicitar, a todo o tempo, qualquer documento ou informação, escrita ou oral, que considere relevante para o exercício das suas funções diretamente às diversas unidades de estrutura ou a qualquer colaborador da instituição, em particular às funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, sem necessidade de qualquer pedido ou comunicação prévia ao órgão de administração, e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização.
5. 5 -As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, podem, por sua iniciativa, transmitir qualquer informação ou remeter ao órgão de fiscalização diretamente, qualquer documento que considerem relevante, sem necessidade de pedido ou comunicação prévia ao órgão de administração e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização.
6. 6 -Qualquer condicionamento, ainda que temporário, ao acesso a informação, documentação ou a colaboradores da instituição, conforme previsto no n.º 4, ou ao acesso das funções de controlo interno ao órgão de fiscalização, conforme previsto no n.º 5, é comunicado, de imediato, à autoridade de supervisão competente e debatido em reunião do órgão de fiscalização, ficando registado em ata.
7. 7 -O disposto nos números 3 a 6 do presente artigo aplica-se, com as devidas adaptações, também aos administradores não executivos do órgão de administração da instituição, quando existam.

Artigo 8.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)O registo dos participantes e dos membros presentes em cada ponto da agenda;
   3. c)[Anterior alínea b).]
   4. d)[Anterior alínea c).]
   5. e)[Anterior alínea d).]
   6. f)[Anterior alínea e).]
2. 2 -[...]
3. 3 -[...]

Artigo 9.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)Suporta o desenvolvimento da atividade da instituição e a implementação de um sistema de controlo interno adequado e eficaz, de forma a assegurar que a gestão e o controlo das operações e dos riscos a que a instituição está ou pode vir a estar exposta, são efetuados de uma forma prudente;
   3. c)[...]
   4. d)[...]
   5. e)[...]
2. 2 -[...]
   1. a)[...]
   2. b)[...]
3. 3 -[...]
4. 4 -[...]
5. 5 -O órgão de fiscalização emite parecer prévio vinculativo sobre todas as matérias previstas no presente artigo respeitantes à própria organização deste órgão.

Artigo 12.º

[...]

1. 1 -O órgão de administração da instituição estabelece e mantém um sistema de controlo interno, traduzido num conjunto de estratégias, políticas, processos, sistemas e procedimentos com o objetivo de garantir a resiliência operacional e a sustentabilidade da instituição no médio e longo prazo e o exercício prudente da sua atividade, através:
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
   5. e)[...]
2. 2 -[...]

Artigo 13.º

[...]

1. 1 -[...]
2. 2 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
3. 3 -Para efeitos do disposto no presente Aviso, correspondem a deficiências as seguintes situações com impacto, atual ou potencial, nomeadamente na situação financeira da instituição, no nível de fundos próprios, nos requisitos de fundos próprios, no governo interno, na liquidez, na alavancagem, no modelo de negócio, na gestão e controlo de riscos da instituição:
   1. a)Os incumprimentos legais, regulamentares, de normativos internos em vigor na instituição ou de orientações aplicáveis à atividade da instituição emitidas pelas autoridades competentes;
   2. b)As oportunidades de introdução de melhorias decorrentes, nomeadamente, de melhores práticas reconhecidas a nível nacional ou internacional.
4. 4 -[...]

Artigo 14.º

[...]

1. 1 -[...]
2. 2 -O órgão de administração assegura que a função de gestão de riscos tem uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta.
3. 3 -No caso de a função de gestão de riscos ser desdobrada em mais do que uma unidade de estrutura, a instituição define qual dessas unidades de estrutura tem uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta, sendo o seu responsável considerado responsável pela função de gestão de riscos nos termos e para os efeitos do disposto no artigo 17.º do presente Aviso.
4. 4 -Os responsáveis pelas unidades de estrutura que formam a função de gestão de riscos são considerados pela instituição como titulares de funções essenciais nos termos e para os efeitos do disposto no artigo 33.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras.
5. 5 -Para efeitos do disposto no n.º 3 do presente artigo, constitui responsabilidade do órgão de administração assegurar:
   1. a)A existência de interações e fluxos de informação adequados e frequentes entre as diferentes unidades de estrutura que formam a função de gestão de riscos;
   2. b)Que a unidade de estrutura que tem a visão global de todos os riscos a que a instituição está ou pode vir a estar exposta tem poderes para desenvolver as atividades de verificação que considerar necessárias relativamente às demais unidades de estrutura que formam a função de gestão de riscos para obter garantia sobre a qualidade e suficiência da informação global de que dispõe sobre todos os riscos a que a instituição está ou pode vir a estar exposta.
6. 6 -No caso previsto no n.º 3 do presente artigo, com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica a sua pretensão à autoridade de supervisão competente, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão deve conter a seguinte fundamentação:
   1. a)Uma descrição da solução a adotar;
   2. b)Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.
7. 7 -Caso se verifique que o desdobramento da função de gestão de riscos não assegura uma adequada gestão dos riscos a que a instituição está ou pode vir a estar exposta, nomeadamente por não assegurar de forma adequada os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que a gestão dos riscos em causa seja assegurada por uma única unidade de estrutura.
8. 8 -Os requisitos previstos no presente Aviso relativos à função de conformidade aplicam-se à função de controlo do cumprimento do quadro normativo referida no artigo 3.º do Aviso do Banco de Portugal n.º 1/2022, sempre que esta se encontre segregada daquela função de controlo interno.
9. 9 -Para garantir a independência das funções de controlo interno, para além do disposto no artigo 15.º, o órgão de administração assegura que:
   1. a)[Alínea a) do anterior n.º 4.]
   2. b)Dispõem de uma linha de reporte direto aos órgãos de administração e de fiscalização e aos comités previstos no Regime Geral das Instituições de Crédito e Sociedades Financeiras que, pela natureza das suas responsabilidades, devam receber informação e interagir com as funções de controlo interno.
   3. c)Dispõem de planos de atividades e de formação aprovados pelo órgão de administração, depois de obtido parecer prévio do órgão de fiscalização, cujos graus de execução devem ser regularmente monitorizados, no âmbito das respetivas competências, pelos órgãos de administração e de fiscalização;
   4. d)[Alínea c) do anterior n.º 4.]
   5. e)[Alínea d) do anterior n.º 4.]
   6. f)[Alínea e) do anterior n.º 4.]
   7. g)[Alínea f) do anterior n.º 4.]
10. 10 -As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, dispõem de acesso direto aos órgãos de administração e de fiscalização e aos comités de apoio àqueles órgãos, quando constituídos, por sua iniciativa ou por iniciativa de qualquer membro destes órgãos.
11. 11 -(Anterior n.º 6.)
12. 12 -(Anterior n.º 7.)

Artigo 15.º

[...]

1. 1 -As funções de controlo interno são estabelecidas em unidades de estrutura organicamente segregadas das atividades que monitorizam e controlam, sem prejuízo do disposto no n.º 6 do artigo seguinte.
2. 2 -As funções de gestão de riscos, de conformidade e de auditoria interna são estabelecidas em unidades de estrutura autónomas e independentes entre si, sem prejuízo do disposto nos números 1 e 5 do artigo seguinte.

Artigo 16.º

[...]

1. 1 -O órgão de administração das instituições habilitadas a receber depósitos cujo valor total dos ativos, num período ininterrupto de dois anos e em base individual, seja inferior a € 3 000 000 000, e que não prestem serviços comuns ao abrigo do disposto no n.º 3 do artigo 50.º do presente Aviso, pode decidir, de forma fundamentada e documentada em ata e após parecer do órgão de fiscalização, combinar numa única unidade de estrutura as responsabilidades da função de gestão de riscos e as responsabilidades da função de conformidade previstas no presente Aviso.
2. 2 -No caso previsto no número anterior, o órgão de administração assegura que:
   1. a)A função combinada de gestão de riscos e de conformidade cumpre com todos os requisitos legais e regulamentares aplicáveis, em particular no que respeita a recursos materiais, técnicos e humanos necessários para o desempenho das suas funções;
   2. b)São adotados os mecanismos necessários para prevenir ou mitigar o risco de situações de conflitos de interesses decorrentes da acumulação das responsabilidades das funções de gestão de risco e de conformidade numa única unidade de estrutura.
3. 3 -No caso previsto nos números anteriores, com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica a sua pretensão à autoridade de supervisão competente, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão competente deve conter a seguinte fundamentação:
   1. a)Uma descrição da solução a adotar, que inclua uma ponderação da suficiência dos recursos materiais, técnicos e humanos para o desempenho eficaz das responsabilidades que impendem sobre a função de gestão de riscos e de conformidade por uma única unidade de estrutura;
   2. b)Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.
4. 4 -As instituições deixam de poder beneficiar da possibilidade conferida pelo n.º 1 do presente artigo no caso de o valor total dos seus ativos passar a ser superior a € 3 000 000 000, em base individual, num período ininterrupto de 2 anos.
5. 5 -(Anterior n.º 2.)
6. 6 -(Anterior n.º 1.)
7. 7 -Quando a instituição não se encontre habilitada a receber depósitos, a função de auditoria interna:
   1. a)Pode ser dispensada, no caso das instituições previstas na subalínea viii) da alínea b) do n.º 1 do artigo 6.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, se o número de colaboradores, excluindo os membros dos órgãos de administração e fiscalização, for inferior a trinta e os proveitos operacionais no último exercício económico forem inferiores a € 20 000 000, caso em que a instituição adota procedimentos de monitorização adicionais que permitam mitigar a inexistência da função;
   2. b)Pode ser totalmente subcontratada, desde que seja observado o disposto no artigo 36.º do presente Aviso e designado um colaborador da instituição nos termos previstos na alínea d) do n.º 4 do artigo 50.º do presente Aviso.
8. 8 -A subcontratação prevista na alínea b) do número anterior está sujeita a parecer prévio do órgão de fiscalização e não obsta ao cumprimento do disposto no artigo 32.º, sendo permanentemente assegurado que a entidade prestadora do serviço dispõe de recursos materiais, técnicos e humanos adequados e suficientes para desempenhar, de forma eficaz, independente, confiável e profissional, as responsabilidades afetas à função subcontratada.
9. 9 -(Anterior n.º 5.)

Artigo 17.º

[...]

1. 1 -[...]
2. 2 -[...]
3. 3 -Quando a instituição não se encontre habilitada a receber depósitos e caso a dimensão, natureza, âmbito e complexidade da atividade desenvolvida pela instituição, e a sua apetência para o risco, não justifiquem que o responsável pela função de gestão de riscos ou o responsável pela função de conformidade não exerçam outras funções na instituição, o órgão de administração pode decidir, de forma fundamentada e documentada em ata, que o cargo é desempenhado por um quadro superior da instituição que desempenhe outras funções, desde que seja salvaguardada a inexistência de conflitos de interesses e implementadas as medidas necessárias para os mitigar, bem como a disponibilidade para o exercício das funções.
4. 4 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]

Artigo 19.º

[...]

1. 1 -[...]
2. 2 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
3. 3 -Para além do disposto no presente Aviso, a definição e implementação de um sistema de controlo interno adequado à gestão do risco de branqueamento de capitais e de financiamento do terrorismo está também sujeita às normas legais e regulamentares aplicáveis nesta matéria.
4. 4 -[...]

Artigo 20.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
2. 2 -[...]
   1. a)[...]
   2. b)[...]
   3. c)Aprovar, previamente à sua introdução, políticas de gestão de risco aplicáveis aos novos produtos e atividades da instituição, assim como às alterações significativas aos produtos e atividades existentes, para identificação, avaliação, acompanhamento e controlo de riscos inerentes a essa introdução ou alteração, nomeadamente ao nível do impacto no perfil de risco operacional;
   4. d)[...]
   5. e)[...]
   6. f)[...]
   7. g)[...]

Artigo 25.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
2. 2 -[...]
3. 3 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
   5. e)[...]
   6. f)[...]
   7. g)[...]
   8. h)[...]
   9. i)[...]
   10. j)[...]
   11. k)[...]
   12. l)Definição, implementação e revisão periódica, assegurando o envolvimento das funções de controlo interno nas respetivas áreas de atuação, de planos de contingência e de continuidade de negócio, incluindo de funções subcontratadas, que incluam cenários de perturbação grave da respetiva atividade.

Artigo 26.º

Gestão de riscos pelas unidades tomadoras de risco

1. 1 -Consideram-se unidades tomadoras de risco as unidades de estrutura e áreas conexas que geram risco para a instituição, incluindo as unidades geradoras de negócio, as quais são as primeiras responsáveis pela identificação, avaliação, acompanhamento e controlo dos riscos em que incorrem.
2. 2 -O órgão de administração, coadjuvado pelas funções de controlo interno da instituição, assegura que as unidades tomadoras de risco para a instituição:
   1. a)Tomam decisões ponderadas pelo risco subjacente e dentro dos limites de tolerância ao risco definidos nas políticas de risco da instituição;
   2. b)Implementam os processos e os mecanismos de controlo necessários para assegurar que todos os riscos que assumem são, devida e tempestivamente, identificados, avaliados, acompanhados e controlados, de modo a garantir que permanecem dentro dos limites de tolerância ao risco definidos nas políticas de risco da instituição;
   3. c)[alínea c) da anterior redação do artigo 26.º]

Artigo 27.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
   5. e)[...]
   6. f)[...]
   7. g)[...]
   8. h)[...]
   9. i)[...]
   10. j)[...]
   11. k)[...]
   12. l)[...]
   13. m)[...]
   14. n)Emitir recomendações baseadas nos resultados das avaliações realizadas e assegurar um acompanhamento contínuo das deficiências identificadas ou monitorizadas por esta função, nos termos do n.º 12 do artigo 31.º do presente Aviso, com uma periodicidade apropriada ao risco associado, assegurando que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;
   15. o)[...]
   16. p)[...]
   17. q)[...]
   18. r)[...]
       1. i)[...]
       2. ii)Uma síntese das deficiências detetadas por qualquer unidade de estrutura, no âmbito dos processos e controlos implementados, que sejam classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020;
       3. iii)[...]
       4. iv)[...]
   19. s)Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório, a subscrever pelo responsável pela função de gestão de riscos, que inclua:
       1. i)[...]
       2. ii)Uma avaliação da adequação da organização da função, tendo em conta os riscos a que a instituição está ou pode vir a estar exposta, incluindo, quando a função de gestão de riscos se encontrar desdobrada em mais do que uma unidade de estrutura, nos termos do artigo 14.º do presente Aviso, uma apreciação crítica sobre a forma como é dado cumprimento ao disposto nos números 2 e 5 do mesmo artigo;
       3. iii)Uma avaliação da suficiência dos recursos materiais, técnicos e humanos afetos à função, incluindo da qualificação dos seus colaboradores e do grau de execução do seu plano de formação face às suas responsabilidades e necessidades concretas, com identificação das áreas em que se verificam maiores necessidades de aquisição de conhecimento ou robustecimento de competências;
       4. iv)Uma avaliação do grau de execução do seu plano de atividades, considerando as alterações introduzidas ao mesmo e suas motivações, incluindo a justificação para o mesmo ter sido, ou não, cumprido;
       5. v)[Anterior subalínea ii).]
2. 2 -No caso de a função de gestão de riscos não estar estabelecida em unidade de estrutura organicamente segregada das atividades que monitoriza e controla nos termos do disposto no n.º 6 do artigo 16.º do presente Aviso, a avaliação da independência prevista na subalínea i) da alínea s) do número anterior é substituída por uma avaliação da adequação dos mecanismos implementados para prevenir ou mitigar o risco de situações de conflitos de interesses.
3. 3 -Caso as funções de gestão de risco e de conformidade estejam combinadas na mesma unidade de estrutura, nos termos dos números 1 e 5 do artigo 16.º do presente Aviso, a avaliação da independência prevista na subalínea i) da alínea s) do n.º 1 presente artigo inclui, no primeiro relatório realizado após a combinação ou sempre que se verifiquem alterações, uma descrição dos mecanismos implementados para prevenir ou mitigar o risco de situações de conflitos de interesses decorrentes da acumulação das duas funções na mesma unidade de estrutura, bem como uma ponderação sobre a sua suficiência para assegurar a independência da função.
4. 4 -Os relatórios referidos nas alíneas r) e s) do n.º 1 são disponibilizados, diretamente pelo responsável da função de gestão de riscos, aos órgãos de administração e de fiscalização e ao Comité de Riscos, quando constituído, bem como aos responsáveis pelas funções de conformidade, de auditoria interna e, quando aplicável, a todas as unidades de estrutura que formam a função de gestão de riscos.
5. 5 -(Anterior n.º 3.)
6. 6 -(Anterior n.º 4.)
7. 7 -(Anterior n.º 5.)
8. 8 -(Anterior n.º 6.)

Artigo 28.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
   5. e)[...]
   6. f)[...]
   7. g)[...]
   8. h)[...]
   9. i)Emitir recomendações baseadas nos resultados das avaliações realizadas e assegurar um acompanhamento contínuo das deficiências identificadas ou monitorizadas, nos termos do n.º 12 do artigo 31.º do presente Aviso, pela função de conformidade, com uma periodicidade apropriada ao risco associado, assegurando que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;
   10. j)Manter um registo permanentemente atualizado e completo e proceder à gestão de reclamações apresentadas por clientes, ou à sua monitorização, nos casos em que a gestão de reclamações seja assegurada por unidade de estrutura distinta, elaborando e apresentando aos órgãos de administração e de fiscalização, com uma periodicidade adequada, relatórios detalhados quanto ao tipo e conteúdo das reclamações apresentadas, as medidas adotadas para as gerir ou corrigir, bem como, quando aplicável, as deficiências identificadas no sistema de controlo interno que estão na origem da reclamação;
   11. k)[...]
   12. l)[...]
   13. m)Acompanhar e monitorizar a aplicação das políticas e dos procedimentos relativos à comercialização de produtos, incluindo a adequação da informação prestada aos clientes, atendendo à sua rede e canais de comercialização, mediante o desenvolvimento de análises periódicas a esses procedimentos e a elaboração de propostas dirigidas ao órgão de administração e demais membros da direção de topo com vista à sua alteração, caso se verifiquem riscos atuais ou potenciais de incumprimentos legais ou regulamentares;
   14. n)[...]
   15. o)[...]
       1. i)[...]
       2. ii)Uma síntese das deficiências detetadas por qualquer unidade de estrutura, no âmbito dos processos e controlos implementados, que sejam classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020;
       3. iii)[...]
       4. iv)Identificação das recomendações emitidas e das medidas propostas destinadas à correção das deficiências referidas nos números anteriores, com indicação sobre se foram ou não adotadas;
   16. p)Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório, a subscrever pelo responsável pela função de conformidade, que inclua o disposto na alínea s) do n.º 1 do artigo 27.º do presente Aviso, relativamente à função de conformidade, considerando o disposto nos números 2 e 3 do mesmo artigo;
   17. q)Efetuar análises sobre alegados incumprimentos respeitantes a matérias incluídas no âmbito de atuação da função de conformidade e solicitar a assistência de outras unidades de estrutura da instituição para o efeito ou de recorrer a serviços externos para desempenhar essa tarefa, se necessário.
2. 2 -[...]
3. 3 -[...]
4. 4 -[...]
5. 5 -[...]
6. 6 -[...]
7. 7 -[...]

Artigo 31.º

[...]

1. 1 -[...]
2. 2 -[...]
3. 3 -[...]
4. 4 -[...]
5. 5 -Encontram-se dispensadas de realizar as avaliações autónomas referidas no n.º 3 as instituições em que o estabelecimento da função de auditoria interna não seja exigível nos termos do disposto na alínea a) do n.º 7 do artigo 16.º
6. 6 -[...]
7. 7 -[...]
8. 8 -[...]
9. 9 -[...]
10. 10 -[...]
11. 11 -As deficiências detetadas no âmbito das ações de controlo referidas nos números anteriores são alocadas às categorias de risco adotadas pela instituição em conformidade com o artigo 21.º, tendo em consideração a categoria de risco em que se prevê que se materialize com maior relevância o seu impacto.
12. 12 -As deficiências referidas no número anterior, incluindo as identificadas pelo revisor oficial de contas ou sociedade de revisores oficiais de contas da instituição e pela autoridade de supervisão competente, são comunicadas, de imediato, à função de gestão de riscos, à função de conformidade ou à função de auditoria interna, consoante apropriado, ou a uma outra unidade de estrutura que tenha responsabilidades em matéria de controlo interno, que passa a ser responsável pela monitorização da implementação das medidas destinadas a corrigi-las.
13. 13 -O órgão de administração é responsável por assegurar que todas as deficiências identificadas são devidamente registadas, que são reportadas aos níveis de gestão apropriados e que é definido um prazo para a sua correção, atendendo ao impacto da deficiência, de modo a possibilitar a adoção tempestiva de medidas adequadas destinadas a corrigi-las.
14. 14 -(Anterior n.º 13.)
    1. a)[Alínea a) do anterior n.º 13.]
    2. b)A categoria de risco em que a deficiência se enquadra, tendo em consideração as categorias de risco definidas pela instituição nos termos do artigo 21.º, bem como, se distintas, as categorias de risco constantes de anexo à Instrução do Banco de Portugal n.º 18/2020;
    3. c)[Alínea b) do anterior n.º 13.]
    4. d)[Alínea c) do anterior n.º 13.]
    5. e)[Alínea d) do anterior n.º 13.]
    6. f)[Alínea e) do anterior n.º 13.]
    7. g)[Alínea f) do anterior n.º 13.]
15. 15 -A base de dados deve estar permanentemente atualizada, sendo o registo de deficiências e dos elementos previstos no número anterior do presente artigo efetuado sem demora injustificada.
16. 16 -No âmbito das suas competências de supervisão, a autoridade de supervisão competente pode, a todo o tempo, consultar a base de dados referida nos números anteriores e solicitar informações sobre o seu conteúdo.
17. 17 -(Anterior n.º 16.)
18. 18 -A eficácia e adequação das medidas implementadas para suprir quaisquer deficiências detetadas, são validadas pela função de controlo interno responsável pela monitorização da sua implementação ou por outra unidade de estrutura com responsabilidades em matéria de controlo interno, em articulação com a(s) unidade(s) de estrutura a que as deficiências respeitam.
19. 19 -(Anterior n.º 18.)

Artigo 32.º

[...]

1. 1 -[...]
   1. a)Avaliar a adequação e a eficácia da cultura organizacional e dos sistemas de governo e controlo interno da instituição, bem como das respetivas componentes individualmente consideradas, incluindo, nomeadamente, órgãos de administração e de fiscalização, respetivos comités de apoio, funções de gestão de risco e de conformidade e funções e atividades subcontratadas, elaborando e mantendo atualizado, para o efeito, o plano de atividades previsto na alínea c) do n.º 9 do artigo 14.º do presente Aviso, bem como um plano plurianual de ações de auditoria, assegurando que ambos são executados de acordo com a calendarização proposta pelo responsável pela função e aprovada pelo órgão de administração;
   2. b)[...]
   3. c)[...]
      1. i)Da adequação e eficácia, como um todo, da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno, incluindo as diversas componentes de ambos os sistemas, incluindo as funções e atividades que sejam objeto de subcontratação;
      2. ii)[...]
      3. iii)Das deficiências detetadas nas ações de controlo, classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020, e de outras deficiências isoladamente pouco relevantes, mas que possam, no seu conjunto, evidenciar uma deterioração da cultura organizacional da instituição e dos seus sistemas de governo e controlo interno;
      4. iv)[...]
   4. d)Elaborar, com periodicidade anual e com referência a 30 de setembro de cada ano, um relatório a subscrever pelo responsável pela função de auditoria interna, que inclua:
      1. i)[...]
      2. ii)Uma avaliação da adequação da organização da função para avaliar os riscos a que a instituição está ou pode vir a estar exposta;
      3. iii)Uma avaliação da suficiência dos recursos materiais, técnicos e humanos afetos à função, incluindo da qualificação dos seus colaboradores e do grau de execução do seu plano de formação face às suas responsabilidades e necessidades concretas, com identificação das áreas em que se verificam maiores necessidades de aquisição de conhecimento ou robustecimento de competências;
      4. iv)Uma avaliação do grau de execução dos seus planos de atividades e de ações de auditoria, considerando as alterações introduzidas aos mesmos e suas motivações, incluindo a justificação para os mesmos terem sido, ou não, cumpridos;
      5. v)[Anterior subalínea ii).]
      6. vi)[Anterior subalínea iii).]
2. 2 -[...]
3. 3 -[...]
4. 4 -[...]
5. 5 -[...]
6. 6 -[...]
7. 7 -[...]
   1. a)[...]
   2. b)Apreciam, anualmente, o plano de ações de auditoria para o ano seguinte, bem como a adequação do plano plurianual para garantir o cumprimento do disposto no n.º 2, os quais são objeto de aprovação pelo órgão de administração, após parecer prévio do órgão de fiscalização;
   3. c)[...]
      1. i)[...]
      2. ii)[...]
      3. iii)[...]
   4. d)Asseguram que as deficiências identificadas pela auditoria interna, assim como as consequentes recomendações emitidas, são registadas e reportadas diretamente ao órgão de administração e, quando classificadas como deficiências de nível F3 “elevado” ou de nível F4 “muito elevado”, atendendo à metodologia de classificação constante de anexo à Instrução do Banco de Portugal n.º 18/2020, também ao órgão de fiscalização, de modo a garantir que a avaliação não é enviesada e que as questões identificadas são prontamente tomadas em consideração;
   5. e)Asseguram que as deficiências identificadas ou monitorizadas, nos termos do n.º 12 do artigo 31.º do presente Aviso, pela função de auditoria interna, são objeto de um acompanhamento contínuo por parte desta função, com uma periodicidade adequada ao risco associado, e que as medidas destinadas à sua correção são adotadas de forma tempestiva e efetiva pela unidade de estrutura a que respeitam;
   6. f)Asseguram que a função de auditoria interna tem conhecimento de todas as deficiências em aberto na instituição.
8. 8 -[...]

Artigo 33.º

[...]

1. 1 -[...]
2. 2 -[...]
3. 3 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
   5. e)[...]
   6. f)[...]
4. 4 -[...]
5. 5 -[...]
6. 6 -As instituições podem definir procedimentos de aprovação agregada, pelo órgão de administração, de transações com partes relacionadas, desde que, para efeitos dessa aprovação, seja observado o disposto no n.º 4 do presente artigo, a aprovação especifique as condições concretas em que tais transações se poderão realizar e desde que tanto a aprovação, como as referidas condições, sejam revistas pelo menos trimestralmente.
7. 7 -O órgão de administração aprova uma política interna para os efeitos previstos no presente artigo, após parecer prévio do órgão de fiscalização, que detalha, nomeadamente:
   1. a)As responsabilidades das funções de gestão de risco e conformidade, tanto no processo de identificação como no processo de análise de uma transação com uma parte relacionada com a instituição;
   2. b)Procedimentos que permitam a identificação, a todo o momento, das exposições individuais a partes relacionadas, o montante total das mesmas e o cumprimento dos limites previstos nos números 1 e 2 do artigo 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;
   3. c)Procedimentos que assegurem o cumprimento integral das obrigações estabelecidas nos artigos 85.º, 85.º-A e 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras;
   4. d)As responsabilidades dos diretores de topo das unidades de estrutura relevantes na monitorização de operações com partes relacionadas, incluindo um reporte trimestral sobre essa monitorização às funções de gestão de riscos e de conformidade;
   5. e)Procedimentos que prevejam que as funções de gestão de riscos e de conformidade reportam aos órgãos de administração e de fiscalização:
      1. i)Pelo menos trimestralmente, informação que lhes permita monitorizar as operações com partes relacionadas;
      2. ii)De imediato, qualquer situação de incumprimento dos normativos internos em vigor na instituição, e do disposto na legislação e regulamentação aplicável, relativamente a transações com partes relacionadas, recomendando eventuais medidas para a corrigir;
   6. f)Os procedimentos referidos no n.º 6 do presente artigo;
   7. g)No caso de instituições de crédito, os procedimentos para assegurar:
      1. i)A realização da comunicação, à autoridade de supervisão competente, prevista no n.º 2 do artigo 85.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, igualmente aplicável nos casos previstos no n.º 4 do artigo 109.º do mesmo diploma, nos termos previstos na Instrução do Banco de Portugal n.º 18/2020;
      2. ii)Que é observado o disposto no n.º 4 do presente artigo relativamente a qualquer projeto de alteração às operações abrangidas pelo número anterior e, em caso de concretização, que é efetuada a comunicação à autoridade de supervisão competente prevista na Instrução do Banco de Portugal n.º 18/2020.
8. 8 -(Anterior n.º 7.)

Artigo 35.º

[...]

1. 1 -O órgão de administração assegura que a instituição dispõe de uma política de participação de irregularidades que observe o disposto no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras.
2. 2 -[...]
   1. a)[...]
   2. b)[...]
   3. c)[...]
   4. d)[...]
   5. e)[...]
   6. f)[...]
   7. g)[...]
   8. h)[...]
   9. i)Estabelecer um prazo razoável para conclusão do procedimento de análise da denúncia, que não exceda três meses desde a data da sua receção, podendo o referido prazo ser prorrogado em circunstâncias devidamente fundamentadas;
   10. j)[Anterior alínea i).]
   11. k)[Anterior alínea j).]
3. 3 -[...]
4. 4 -O conteúdo mínimo do relatório anual previsto no n.º 7 do artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras é definido na Instrução do Banco de Portugal n.º 18/2020.
5. 5 -[...]
6. 6 -[...]
7. 7 -[...]

Artigo 36.º

[...]

1. 1 -As instituições podem subcontratar tarefas operacionais específicas das funções de controlo interno, designadamente através de soluções colaborativas, caso tal contribua para a eficiência do sistema de controlo interno e desde que obtido o prévio consentimento dos órgãos de administração e de fiscalização.
2. 2 -Com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica à autoridade de supervisão competente a pretensão de adotar soluções colaborativas para o desenvolvimento de tarefas operacionais das funções de controlo interno, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão competente deve conter a seguinte fundamentação:
   1. a)Uma descrição da solução colaborativa a adotar;
   2. b)Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.
3. 3 -A comunicação prevista no número anterior não dispensa a necessidade de as instituições efetuarem as comunicações previstas no Aviso do Banco de Portugal n.º 8/2023.
4. 4 -(Anterior n.º 3.)
   1. a)[Alínea a) do anterior n.º 3.]
   2. b)[Alínea b) do anterior n.º 3.]
   3. c)[Alínea c) do anterior n.º 3.]
   4. d)[Alínea d) do anterior n.º 3.]
5. 5 -(Anterior n.º 4.)
6. 6 -As instituições asseguram que todos os potenciais conflitos de interesses são identificados antecipadamente e que são implementadas as medidas adequadas com vista à sua gestão e mitigação, em especial quando a subcontratação ocorra dentro do grupo.
7. 7 -(Anterior n.º 6.)
8. 8 -(Anterior n.º 7.)
9. 9 -(Anterior n.º 8.)
10. 10 -O órgão de administração assegura que o registo das tarefas subcontratadas é efetuado nos termos previstos no Aviso do Banco de Portugal n.º 8/2023.
11. 11 -Caso se revele que a subcontratação de tarefas não é eficiente, nomeadamente por não cumprir os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que as instituições internalizem as tarefas subcontratadas nas suas funções de controlo interno ou que substituam a entidade subcontratada.

Artigo 37.º

[...]

1. 1 -Caso a natureza, nível e complexidade das atividades prosseguidas pela instituição não justifique a implementação, na instituição, de um sistema informático de suporte à participação de irregularidades prevista no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras, a instituição pode proceder à sua subcontratação nos termos do disposto no presente artigo.
2. 2 -[...]
   1. a)[...]
   2. b)A subcontratação do sistema informático de suporte à participação de irregularidades não obsta ao cumprimento do disposto no artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras, nomeadamente, o acompanhamento e análise, pelo órgão de fiscalização, de qualquer participação efetuada e ao cumprimento do disposto no artigo 35.º;
   3. c)Permite a elaboração, pela própria instituição, do relatório anual referido no n.º 7 do artigo 115.º-X do Regime Geral das Instituições de Crédito e Sociedades Financeiras e o seu atempado envio à autoridade de supervisão competente, nos termos da Instrução do Banco de Portugal n.º 18/2020.
3. 3 -[...]
4. 4 -[...]
5. 5 -[...]

Artigo 39.º

[...]

[...]

1. a)[...]
2. b)[...]
3. c)[...]
4. d)[...]
5. e)[...]
6. f)[...]
7. g)[...]
8. h)[...]
9. i)Nas instituições habilitadas a receber depósitos, com exceção das Caixas de Crédito Agrícola Mútuo que integrem o Sistema Integrado de Crédito Agrícola Mútuo, os procedimentos para assegurar a realização do reporte à autoridade de supervisão competente da designação do revisor oficial de contas ou sociedade de revisores oficiais de contas, nos termos previstos na Instrução do Banco de Portugal n.º 18/2020.

Artigo 41.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)Assegura que a identificação dos colaboradores que têm impacto material no perfil de risco da instituição é objeto de revisão com uma periodicidade mínima anual, de modo a incluir todos os colaboradores que exerceram funções com impacto material no perfil de risco da instituição durante um período mínimo de três meses em cada exercício financeiro;
   3. c)[...]
2. 2 -[...]

Artigo 44.º

[...]

1. 1 -[...]
   1. a)[...]
   2. b)É apresentado à assembleia geral da instituição, e ao órgão de administração, que assegura a implementação das medidas referidas na alínea anterior pelos órgãos ou outras unidades de estrutura responsáveis, bem como ao órgão de fiscalização, que fiscaliza a sua efetiva implementação.
2. 2 -[...]

Artigo 48.º

[...]

1. 1 -Para efeitos do disposto no presente Aviso, o conceito de “grupo” é o disposto na alínea z) do n.º 1 do artigo 2.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras.
2. 2 -[...]

Artigo 53.º

[...]

1. 1 -[...]
2. 2 -[...]
3. 3 -As funções de gestão de riscos e de conformidade e o Comité de Remunerações ou, caso não se encontre constituído, os membros não executivos do órgão de administração da empresa-mãe e das filiais no exterior e dos estabelecimentos offshore efetuam, em articulação entre si, com uma periodicidade mínima anual, uma avaliação do impacto no grupo das práticas remuneratórias em vigor, em especial sobre a gestão de riscos, com especial ênfase nos riscos de capital e de liquidez da instituição.
4. 4 -O relatório com os resultados da avaliação a que se refere o número anterior identifica, designadamente, as medidas destinadas à correção de eventuais deficiências detetadas, sendo apresentado à assembleia geral, ao órgão de administração e ao órgão de fiscalização da empresa-mãe, cabendo a este último fiscalizar a sua efetiva implementação.

Artigo 54.º

[...]

1. 1 -[...]
2. 2 -Para efeitos do disposto no número anterior, os órgãos de administração e de fiscalização, no âmbito das respetivas competências, asseguram que a instituição avalia a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno e elabora um relatório anual contendo os resultados dessa avaliação, com referência a 30 de setembro de cada ano, o qual inclui o conteúdo mínimo previsto no artigo 55.º do presente Aviso.
3. 3 -Nos grupos financeiros, cabe aos órgãos de administração e de fiscalização da empresa-mãe, no âmbito das respetivas competências, assegurar, para além do disposto no número anterior, que é elaborado, com referência a 30 de setembro de cada ano, um relatório anual de autoavaliação sobre a adequação e eficácia da cultura organizacional e dos sistemas de governo e controlo interno do grupo financeiro, nos termos do artigo 58.º do presente Aviso.
4. 4 -No relatório referido no número anterior, a empresa-mãe tem em consideração cada uma das entidades sujeitas a supervisão em base consolidada ou subconsolidada, compreendendo a empresa-mãe e todas as filiais, incluindo filiais em países terceiros e estabelecimentos offshore, que, independentemente da sua designação e classificação formal, exerçam em termos efetivos alguma das atividades enunciadas nas alíneas a) a i), p) e q) do n.º 1 do artigo 4.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras.
5. 5 -Os relatórios referidos nos números anteriores são reportados à autoridade de supervisão competente nos termos da Instrução do Banco de Portugal n.º 18/2020, sendo que no caso dos grupos financeiros é reportado apenas o relatório de autoavaliação do grupo, sem prejuízo do disposto no n.º 8 do artigo 58.º do presente Aviso.
6. 6 -O reporte de informação sobre a gestão do risco de branqueamento de capitais e de financiamento do terrorismo é exclusivamente objeto de relatório autónomo, nos termos definidos pelo Aviso do Banco de Portugal n.º 1/2022, de 6 de junho e pela Instrução do Banco de Portugal n.º 8/2024.

Artigo 55.º

[...]

1. 1 -(Anterior redação do artigo 55.º)
   1. a)[Alínea a) da anterior redação do artigo 55.º]
   2. b)[Alínea b) da anterior redação do artigo 55.º]
   3. c)[Alínea c) da anterior redação do artigo 55.º]
2. 2 -Quando a instituição combine numa única unidade de estrutura as funções de gestão de riscos e de conformidade, nos termos dos números 1 e 5 do artigo 16.º do presente Aviso, os relatórios referidos na alínea c) do número anterior respeitantes a estas funções são combinados num único documento.

Artigo 56.º

[...]

1. 1 -A avaliação referida na alínea a) do n.º 1 do artigo anterior sobre a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno, incluindo todas as matérias tratadas no presente Aviso, contém:
   1. a)[...]
   2. b)Opinião clara, detalhada e fundamentada, expressa pela positiva, sobre a adequação e eficácia da cultura organizacional em vigor e os sistemas de governo e de controlo interno da instituição, no âmbito das responsabilidades atribuídas por lei ao órgão de fiscalização, que pondere, à data de referência, designadamente, os impactos atuais ou potenciais das deficiências que se mantenham em aberto;
   3. c)[...]
   4. d)Apreciação sobre o estado de concretização das medidas definidas no período de referência para corrigir as deficiências detetadas, com referência a eventuais prorrogações do prazo inicialmente definido para esse efeito, incluindo as deficiências do sistema de controlo financeiro interno e do sistema de contabilidade reportadas pelo revisor oficial de contas, nos termos da alínea j) do n.º 2 do artigo 11.º do Regulamento (UE) n.º 537/2014 ou no âmbito de outras atividades por este realizadas, ou identificadas por outras entidades externas à instituição, incluindo autoridades de supervisão;
   5. e)[...]
   6. f)Declaração sobre a fiabilidade dos processos de preparação de reportes prudenciais e financeiros, incluindo os efetuados ao abrigo do Regulamento de Execução (UE) n.º 2021/451, da Comissão, de 17 de dezembro de 2020, no período de referência;
   7. g)[...]
   8. h)[...]
   9. i)Os resultados das avaliações externas independentes previstas nos números 2 e 3 do artigo 3.º, no n.º 7 do artigo 29.º, no n.º 4 do artigo 30.º e no n.º 8 do artigo 32.º do presente Aviso, efetuadas durante o período de referência, e uma ponderação dos impactos atuais ou potenciais das deficiências identificadas na adequação e eficácia da cultura organizacional e dos sistemas de governo e de controlo interno da instituição.
2. 2 -[...]
3. 3 -[...]
4. 4 -[...]
5. 5 -[...]
6. 6 -[...]
7. 7 -Sem prejuízo do disposto no número seguinte, para efeitos da emissão das opiniões e declarações previstas no n.º 1 do presente artigo, pelo menos uma vez em cada mandato, o órgão de fiscalização recorre obrigatoriamente aos serviços do seu revisor oficial de contas ou sociedade de revisores oficiais de contas da instituição, cabendo-lhe definir, de forma fundamentada, a extensão e âmbito dos trabalhos a contratar.
8. 8 -Quando as funções de controlo interno não cumpram materialmente as condições para o exercício independente das suas funções, designadamente por se encontrarem em aberto deficiências materialmente relevantes sobre as matérias compreendidas no n.º 9 do artigo 14.º do presente Aviso, ou por a avaliação do supervisor quanto a essas funções revelar a existência de preocupações relevantes de ordem prudencial quanto à sua efetividade e eficácia, a autoridade de supervisão competente pode, no âmbito das suas competências de supervisão, exigir que o órgão de fiscalização recorra aos serviços previstos no número anterior numa base anual, cabendo a tal órgão definir, de forma fundamentada, a extensão e âmbito dos trabalhos a contratar.
9. 9 -(Anterior n.º 7.)
   1. a)[Alínea a) do anterior n.º 7.]
   2. b)[Alínea b) do anterior n.º 7.]

Artigo 57.º

[...]

A avaliação referida na alínea b) do n.º 1 do artigo 55.º do presente Aviso sobre a adequação e eficácia da cultura organizacional em vigor na instituição e os seus sistemas de governo e controlo interno, incluindo todas as matérias tratadas no presente Aviso, inclui:

1. a)[...]
2. b)[...]
3. c)Resumo das ações empreendidas e das medidas implementadas para corrigir as deficiências que se mantenham em aberto, com referência a eventuais prorrogações do prazo inicialmente definido para a sua correção e respetiva justificação, bem como das deficiências identificadas e corrigidas no período de referência;
4. d)Os resultados das avaliações externas independentes previstas no n.º 2 do artigo 3.º, no n.º 7 do artigo 29.º, no n.º 4 do artigo 30.º e no n.º 8 do artigo 32.º efetuadas durante o período de referência, e uma ponderação dos impactos atuais ou potenciais das deficiências identificadas na adequação e eficácia da cultura organizacional e dos sistemas de governo e de controlo interno da instituição;
5. e)[...]
6. f)Uma confirmação expressa de que a informação prevista na alínea e) do n.º 1 do artigo 3.º do presente Aviso é regularmente comunicada e compreendida pelos colaboradores das unidades de estrutura relevantes da instituição, em especial os das funções de controlo interno.

Artigo 58.º

[...]

1. 1 -O relatório anual de autoavaliação do grupo referido no n.º 3 do artigo 54.º do presente Aviso é elaborado pela empresa-mãe, sendo constituído pelos elementos referidos no artigo 55.º do presente Aviso, os quais são elaborados na perspetiva do grupo financeiro de modo a assegurar que é feita uma avaliação da adequação, eficácia, coerência e integração da cultura organizacional e dos sistemas de controlo interno do grupo financeiro, bem como do cumprimento do disposto no Capítulo X do presente Aviso.
2. 2 -Quando as funções de controlo interno de uma ou mais entidades do grupo sejam asseguradas por outra entidade do grupo em regime de serviços comuns, nos termos do disposto no n.º 3 do artigo 50.º do presente Aviso, os relatórios previstos na alínea c) do n.º 1 do artigo 55.º são subscritos pelos responsáveis das funções de controlo interno da entidade que presta o serviço, sendo emitido um relatório por cada função de controlo interno abrangendo todas as entidades que beneficiam do referido regime de serviços comuns.
3. 3 -Nos relatórios referidos no número anterior são avaliadas todas as dimensões previstas na alínea s) do n.º 1 do artigo 27.º e na alínea d) do n.º 1 do artigo 32.º do presente Aviso relativamente a cada uma das entidades que beneficia do regime de serviços comuns.
4. 4 -Para além do disposto no n.º 1 do presente artigo, e sem prejuízo da inclusão de outros elementos que os órgãos de administração e de fiscalização considerem relevantes, o relatório anual de autoavaliação inclui ainda:
   1. a)Avaliação do órgão de fiscalização da empresa-mãe quanto à coerência entre os sistemas de controlo interno das filiais, incluindo as filiais no estrangeiro e os estabelecimentos offshore, e o sistema de controlo interno da empresa-mãe;
   2. b)[Alínea d) do anterior n.º 1.]
   3. c)Na elaboração das opiniões previstas na alínea b) do n.º 1 do artigo 56.º e na alínea b) do artigo 57.º, os órgãos de administração e de fiscalização da empresa-mãe pronunciam-se também, de forma expressa, fundamentada e pela positiva, sobre o impacto que as deficiências F3 (“elevado”) e F4 (“muito elevado”) e as deficiências de antiguidade superior a 3 anos têm na adequação e eficácia do sistema de controlo interno de cada uma das filiais e no grupo.
5. 5 -Para efeito do disposto no presente artigo as entidades referidas no n.º 4 do artigo 54.º elaboram, anualmente, relatórios de autoavaliação individuais nos termos previstos no n.º 2 do mesmo artigo, disponibilizando-os à empresa-mãe.
6. 6 -O órgão de administração da empresa-mãe do grupo emite as orientações necessárias para que as entidades referidas no n.º 4 do artigo 54.º elaborem, anualmente, os seus relatórios individuais de forma consistente entre si e nos termos previstos no presente Aviso.
7. 7 -O órgão de administração da empresa-mãe das entidades referidas no n.º 4 do artigo 54.º do presente Aviso, pode, depois de obtido o parecer do órgão de fiscalização da empresa-mãe, excluir da obrigação de elaboração do relatório previsto no n.º 5 do presente artigo, as filiais no estrangeiro sem atividade relevante e que não influenciem o perfil de risco do grupo, bem como as filiais no estrangeiro cuja atividade se limite à de escritório de representação em termos idênticos aos estabelecidos no artigo 63.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, sendo todas as exclusões adequadamente justificadas e referidas no relatório de autoavaliação do grupo.
8. 8 -O órgão de administração da empresa-mãe de um grupo remete, de imediato, à autoridade de supervisão competente o seu relatório de autoavaliação individual previsto no n.º 2 do artigo 54.º do presente Aviso e os relatórios de autoavaliação individuais referidos no n.º 5 do presente artigo, sempre que tal lhe seja solicitado.

CAPÍTULO XIII

CONGLOMERADOS FINANCEIROS

Artigo 64.º-A

Âmbito de aplicação

1. 1 -O presente capítulo é aplicável, para além do disposto no Capítulo X sobre grupos financeiros, às entidades sujeitas a supervisão complementar nos termos previstos no artigo 9.º do Decreto-Lei n.º 145/2006, de 31 de julho.
2. 2 -Para efeitos do presente capítulo, são aplicáveis as definições constantes do artigo 2.º do Decreto-Lei n.º 145/2006, de 31 de julho.

   Artigo 64.º-B

   Processos de gestão de risco ao nível do conglomerado

3. 1 -As entidades sujeitas a supervisão complementar devem possuir, ao nível do conglomerado financeiro, processos adequados de gestão dos riscos a que estão expostas, de acordo com o definido no artigo 15.º do Decreto-Lei n.º 145/2006, de 31 de julho, de modo a garantir, nomeadamente, a gestão eficiente da atividade do conglomerado, através da minimização dos riscos a que está ou pode vir a estar exposto.
4. 2 -Os processos de gestão dos riscos devem ser parte integrante do sistema de gestão, avaliação e reporte de risco ao nível do conglomerado financeiro.
5. 3 -Os processos de gestão dos riscos ao nível do conglomerado financeiro devem garantir, no mínimo, a existência de um conjunto de procedimentos que permitam:
   1. a)Identificar, avaliar, gerir, controlar e monitorizar os diferentes tipos de risco a que o conglomerado financeiro está ou pode vir a estar exposto;
   2. b)Realizar análises qualitativas e quantitativas de risco adequadas, identificando as medidas de risco consideradas;
   3. c)Definir os níveis mínimos de tolerância para cada risco, os quais devem ser revistos periodicamente e, no mínimo, anualmente;
   4. d)Definir e monitorizar indicadores de alerta no sentido de permitir uma deteção tempestiva dos riscos potencialmente adversos;
   5. e)Cumprir todas as normas legais e regulamentares aplicáveis ao conglomerado financeiro;
   6. f)Definir o conteúdo e assegurar a manutenção de toda a informação necessária para efeitos de reporte às autoridades de supervisão e de gestão dos riscos incorridos pelo conglomerado financeiro, incluindo o respetivo suporte documental;
   7. g)Produzir informação fiável e tempestiva para os órgãos de administração das entidades relevantes do conglomerado financeiro sobre a atividade ao nível do conglomerado e a exposição a cada tipo de risco, possibilitando a verificação da concretização dos objetivos e orientações estabelecidos, bem como para os órgãos de fiscalização das entidades relevantes do conglomerado financeiro para fiscalizar, nomeadamente, a eficácia do sistema de gestão de riscos.
6. 4 -Os processos de gestão dos riscos devem ainda assegurar que os procedimentos desenvolvidos para acompanhamento e controlo dos riscos contemplam a adoção de medidas específicas perante situações em que o conglomerado financeiro é confrontado com uma concentração de riscos indesejável face ao seu perfil de risco.
7. 5 -As políticas de gestão do risco de concentração devem contemplar eventuais medidas de controlo e mitigação do risco a implementar em face da inobservância dos limites aplicáveis à concentração de riscos.
8. 6 -A responsabilidade pelo sistema de gestão dos riscos é dos órgãos de administração competentes ao nível do conglomerado financeiro, não podendo esta responsabilidade ser delegada, nomeadamente, numa comissão executiva.
9. 7 -As entidades sujeitas a supervisão complementar devem assegurar, ao nível do conglomerado financeiro, que a informação relativa aos processos de gestão de risco esteja disponível em qualquer momento para análise por parte da autoridade competente.

   Artigo 64.º-C

   Mecanismos de controlo interno

10. 1 -As entidades sujeitas a supervisão complementar devem incluir, no mínimo, ao nível do conglomerado financeiro, os mecanismos de controlo interno especificados no artigo 16.º do Decreto-Lei n.º 145/2006, de 31 de julho, assim como garantir a produção de informação relevante para efeitos do acompanhamento do cumprimento dos requisitos prudenciais aplicáveis.
11. 2 -As entidades mencionadas no ponto anterior devem dispor de sistemas de controlo interno adequados que permitam um efetivo controlo dos riscos associados à atividade, ao nível do conglomerado financeiro, cuja conceção e implementação devem atender ao tipo, à dimensão, à natureza e aos riscos das operações realizadas.
12. 3 -O controlo dos riscos ao nível do conglomerado deve incluir a definição de limites ou de outros limiares de exposição, coerentes com a estratégia e perfil de risco globais, assim como pela realização de testes de esforço e/ou outras análises consideradas relevantes.