É republicado em anexo o Aviso n.º 3/2020 com as alterações introduzidas pelo presente Aviso.
5 de março de 2025. - O Governador, Mário Centeno.
ANEXO
(a que se refere o artigo 6.º)
Republicação do Aviso do Banco de Portugal n.º 3/2020
O exercício da atividade financeira envolve, incontornavelmente, a assunção de riscos de diversa natureza. Estes riscos, se não forem devidamente geridos podem comprometer a viabilidade e a sustentabilidade de uma instituição, com consequências negativas para a preservação da estabilidade financeira. Assim, o exercício desta atividade encontra-se sujeito a um conjunto de requisitos regulatórios de cariz prudencial, designadamente destinados a promover a adoção de comportamentos consonantes com a preservação da estabilidade financeira e com a proteção dos interesses dos depositantes e outros clientes.
Neste contexto, assume especial relevância a regulação da conduta e da cultura, do governo e da organização interna das entidades financeiras. Esta matéria é tratada pelo direito da União Europeia que se debruça sobre a regulação das instituições de crédito, que vem sendo transposto no ordenamento jurídico português através do Regime Geral das Instituições de Crédito e Sociedades Financeiras. Adicionalmente, e já em 2008, o Banco de Portugal emitiu o Aviso do Banco de Portugal n.º 5/2008, que regulamenta os sistemas de controlo interno das entidades supervisionadas, e o Aviso do Banco de Portugal n.º 10/2011, que regulamenta as políticas e práticas remuneratórias destas mesmas entidades.
Passados mais de dez anos sobre a entrada em vigor do Aviso do Banco de Portugal n.º 5/2008, afigura-se necessária a revisão das soluções dele constantes, à luz dos desenvolvimentos ao nível da legislação europeia e portuguesa sobre estas matérias, das orientações da Autoridade Bancária Europeia (EBA na sigla inglesa), das melhores práticas internacionais, da reflexão e experiência prática de supervisão acumuladas pelo Banco de Portugal, bem como por questões de certeza e segurança jurídica. Aproveita-se esta revisão para incorporar no presente Aviso as disposições do Aviso do Banco de Portugal n.º 10/2011, com o objetivo de tratar de forma integrada as diversas matérias de cultura organizacional e de governo e controlo interno, no sentido de promover uma visão integrada e holística das mesmas.
O disposto no presente Aviso deve ser interpretado e aplicado tendo em conta o enquadramento conferido pela legislação, regulamentação e orientações europeias e portuguesas sobre a matéria. Os conceitos utilizados no Aviso devem ser lidos, salvo quando referido o contrário, tendo em conta as definições que constam do Regime Geral das Instituições de Crédito e Sociedades Financeiras.
Sem prejuízo dos requisitos definidos no presente Aviso, cada entidade é responsável pela decisão e implementação do modelo de organização interna que considere mais apropriado, atendendo ao princípio da proporcionalidade e às suas características e circunstâncias idiossincráticas. O presente Aviso, em conjunto com a lei, e atendendo às orientações da EBA relevantes, serve de enquadramento para essa escolha e implementação, estruturando-a, e realçando objetivos prudenciais essenciais que não podem ser descurados pelas entidades supervisionadas.
Assim, o presente Aviso trata (i) da conduta e cultura organizacional, (ii) do governo interno, estrutura organizacional e planeamento estratégico, (iii) do sistema de controlo interno e gestão de riscos, (iv) das partes relacionadas e conflitos de interesses, (v) da participação de irregularidades, (vi) da subcontratação das tarefas operacionais das funções de controlo interno e do sistema informático de suporte à participação de irregularidades, (vii) das políticas de seleção e designação de auditores externos, (viii) das políticas e práticas remuneratórias, (ix) dos grupos financeiros, (x) da autoavaliação pelas entidades reguladas das matérias nele previstas, e (xi) da documentação, sistematização de informação e divulgação de informação ao público.
Cada uma destas matérias é particularmente relevante para uma gestão sã e prudente da atividade pelas entidades supervisionadas, e o regime aplicável a cada uma delas encontra-se previsto em capítulo próprio.
A densificação no presente Aviso do tema da conduta e cultura organizacional justifica-se pela influência decisiva que tem sobre a forma como as entidades supervisionadas gerem a sua atividade. A este respeito é de destacar o relatório “Banking Conduct and Culture - A Permanent Mindset Change”, elaborado pelo G30 e publicado em novembro de 2018, que refere que a conduta e a cultura organizacional resultam dos mecanismos internos que produzem os valores e os comportamentos que prevalecem na instituição e que conformam a conduta dos seus colaboradores, contribuindo para a criação de confiança nas instituições em geral e para que beneficiem de uma reputação positiva entre os diferentes grupos de interesses internos e externos.
De acordo com as orientações da EBA sobre governo interno (EBA/GL/2017/11), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2018/00000016, o conceito de governo interno inclui todos os critérios e princípios relacionados com a forma como (i) são estabelecidos os objetivos, estratégias e sistema de gestão de riscos de uma instituição, (ii) os seus negócios se encontram organizados, (iii) as responsabilidades e linhas de autoridade são definidas e alocadas, (iv) as linhas de reporte se encontram configuradas, e (v) o sistema de controlo interno é organizado e implementado, incluindo os procedimentos contabilísticos e as políticas de remuneração. Abrange também os sistemas de produção de informação, a subcontratação e a gestão da continuidade do negócio.
Neste âmbito, realça-se que a escolha e a avaliação da adequação dos membros dos órgãos de administração e de fiscalização (individual e coletivamente), e dos titulares de funções essenciais, devem ser iniciadas de forma atempada e assentar numa identificação sustentada das necessidades concretas da entidade supervisionada, atendendo às suas características e circunstâncias específicas. Essas mesmas necessidades devem estar subjacentes à decisão quanto ao número de membros dos órgãos de administração e de fiscalização e à criação de comités de apoio a estes órgãos, assim se fomentando a gestão sã e prudente e uma fiscalização interna eficaz em cada instituição.
No que respeita aos responsáveis pelas funções de gestão de riscos, conformidade e auditoria interna, em linha com o disposto nas orientações da EBA sobre a avaliação da adequação dos membros dos órgãos de administração e dos titulares de funções essenciais (EBA/GL/2017/12), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2018/00000018, no presente Aviso estabelece-se que a adequação para o exercício das respetivas funções é objeto de avaliação e autorização pela autoridade de supervisão competente, em momento anterior à sua entrada em funções, no caso de instituições de crédito identificadas pelo Banco de Portugal como outras instituições de importância sistémica (O-SII), nos termos do disposto no artigo 138.º-Q do Regime Geral das Instituições de Crédito e Sociedades Financeiras.
De modo a reforçar as condições para que os auditores externos executem o seu trabalho com independência, isenção e objetividade, consagra-se a obrigatoriedade de as entidades supervisionadas adotarem políticas de seleção e designação de revisores oficiais de contas ou sociedades de revisores oficiais de contas, com um conteúdo mínimo que é consagrado no Aviso. Salienta-se, a este respeito, a necessidade de as instituições observarem também o disposto nas recomendações que venham a ser emitidas pelo Committee of European Auditing Oversight Bodies (CEAOB) sobre a matéria. Este tema é objeto de tratamento no presente Aviso na medida em que as políticas adotadas neste domínio pelas entidades supervisionadas se enquadram no seu governo interno, naturalmente sem prejuízo das competências de supervisão da atividade de auditoria atribuída à Comissão do Mercado de Valores Mobiliários.
No que concerne ao controlo interno, e conforme previsto no anterior Aviso do Banco de Portugal n.º 5/2008, importa ter presente que o ambiente de controlo das instituições reflete a sua atitude e as suas ações perante o controlo interno, resultantes (i) das convicções, preferências e juízos de valor manifestados pelo órgão de administração e pelos restantes colaboradores da instituição em relação ao sistema de controlo interno, e (ii) da ênfase colocada no controlo interno, nas medidas tomadas, nas políticas e procedimentos aprovados e na definição e implementação da estrutura organizacional. O ambiente de controlo é influenciado, designadamente (i) pelo padrão de valores éticos seguido pela instituição, (ii) pela existência de meios materiais, técnicos e humanos suficientes e adequados, (iii) pelo grau de transparência da estrutura organizacional e da sua adequação face à complexidade, dimensão e natureza da atividade da instituição, (iv) pela clareza da cadeia hierárquica e das responsabilidades e competências atribuídas a cada função, (v) pela qualidade do processo de planeamento estratégico, e (vi) pelo grau de envolvimento do órgão de administração na atividade desenvolvida.
De forma a assegurar uma gestão sã e prudente, o processo de análise e de tomada de decisão nas entidades supervisionadas deve ser sensível ao risco, e assente em informação credível, completa e o mais atualizada possível.
O presente Aviso, tal como as orientações da EBA sobre governo interno (EBA/GL/2017/11), tem por base o modelo das três linhas de defesa do Institute of Internal Auditors, recentemente referidas pelo European Systemic Risk Board no relatório denominado “Macroprudential approaches to non-performing loans”, publicado em janeiro de 2019 e pelo G30 no relatório denominado “Banking Conduct and Culture - A Permanent Mindset Change”, publicado em novembro de 2018. Em traços gerais, o modelo das três linhas de defesa assenta na repartição de distintas responsabilidades em matéria de governo e gestão dos riscos pelas diferentes funções que integram cada uma das linhas as quais podem ser caracterizadas, sumariamente, da seguinte forma:
Primeira linha: as unidades geradoras de negócio e áreas conexas, que geram risco para a instituição e que são as primeiras responsáveis pela identificação, avaliação, acompanhamento e controlo dos riscos em que incorrem, nos termos do disposto no artigo 26.º do presente Aviso;
Segunda linha: as funções de suporte e de controlo que incluem, nomeadamente, as funções de gestão de riscos e de conformidade, as quais interagem com as funções da primeira linha com vista à adequada identificação, avaliação, acompanhamento e controlo dos riscos inerentes à atividade desenvolvida pelas funções da primeira linha, nos termos do disposto nos artigos 27.º e 28.º do presente Aviso;
Terceira linha: a função de auditoria interna, que realiza análises independentes e orientadas para o risco, nos termos do disposto no artigo 32.º do presente Aviso.
Tendo presente estas três linhas de defesa, as entidades supervisionadas devem atender às suas especificidades ao desenvolver os seus sistemas de controlo interno, podendo, por exemplo, desdobrar as linhas de defesa em diversas funções dentro da entidade supervisionada.
Em todo o caso, devem ser sempre salvaguardadas duas premissas fundamentais: a primeira é que todas as unidades tomadoras de risco são as responsáveis pela sua gestão primária, para o que é essencial garantir que estabelecem os mecanismos necessários e adequados para o efeito e que interagem eficazmente com a segunda linha de defesa com vista a esse fim. A segunda é que, independentemente do modelo de gestão de riscos adotado, deverá ser sempre assegurado que a função de gestão de riscos tem uma visão agregada e holística sobre todos os riscos inerentes à atividade da instituição.
Importa referir que, para efeitos do presente Aviso, apenas correspondem a funções de controlo interno as funções de gestão de riscos, de conformidade e de auditoria interna e a função de controlo do cumprimento do quadro normativo prevista no artigo 7.º do Aviso do Banco de Portugal n.º 2/2018, sempre que se encontre segregada da função de conformidade.
Quanto a estas, o Aviso consagra os requisitos necessários para garantir a sua independência organizacional. Em particular, realça-se a regra, com exceções, de que estas funções devem ser estabelecidas em unidades de estrutura distintas das unidades que desenvolvem atividades que têm por dever monitorizar e controlar e em unidades de estrutura autónomas e independentes entre si. No entanto, embora as entidades supervisionadas devam promover a independência das funções de controlo interno face a objetivos de negócio, não devem impedir interações virtuosas entre as várias linhas de defesa. O objetivo último deve ser sempre o funcionamento eficiente e harmonioso do sistema de controlo interno, assente num ambiente de controlo adequado, que envolva todos os colaboradores, cada um dos quais ciente do papel que desempenha no sistema em causa.
Ainda no que respeita às funções de controlo interno, importa salientar que o presente Aviso consagra a obrigatoriedade de disporem de acesso direto aos órgãos de administração e de fiscalização e aos comités de apoio àqueles órgãos quando constituídos. Com esta norma, pretende-se, por um lado, que as referidas funções possam transmitir diretamente e de imediato quaisquer informações aos referidos órgãos sem a intervenção prévia de terceiros e, por outro lado, que estes as possam solicitar diretamente às funções de controlo interno.
Considerando os desenvolvimentos entretanto ocorridos, as categorias de riscos previstas no Aviso do Banco de Portugal n.º 5/2008 foram eliminadas, remetendo-se agora para o disposto na legislação, regulamentação e orientações aplicáveis. Prevalece, porém, o mesmo princípio de as entidades supervisionadas adotarem categorias de risco que, no seu conjunto, abranjam todos os fatores associados aos eventos de risco a que estão ou podem vir a estar expostas.
No que respeita ao processo de produção, tratamento e reporte de informação pelas instituições, aproveitou-se a oportunidade para atualizar o artigo 19.º do Aviso do Banco de Portugal n.º 5/2008, à luz das recomendações publicadas neste domínio pelo Comité de Supervisão Bancária de Basileia.
Pela sua relevância e em linha com as orientações da EBA em vigor sobre a matéria (EBA/GL/2019/02), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2019/00000065, no presente Aviso trata-se também da possibilidade de subcontratação ocasional de tarefas operacionais das funções de controlo interno, consagrando-se um regime específico a observar pelas entidades supervisionadas quando a ela recorram.
Em paralelo, e em linha com o que já se encontrava previsto no Aviso do Banco de Portugal n.º 5/2008, o presente Aviso consagra a possibilidade de as instituições, quando façam parte de um grupo financeiro, poderem estabelecer serviços comuns para o desenvolvimento das responsabilidades atribuídas às funções de gestão de riscos, de conformidade e de auditoria interna. O regime específico a observar nos casos em que tal suceda é consagrado no capítulo dedicado aos grupos financeiros, passando a estar expressamente previsto que a entidade prestadora do serviço comum não pode estar estabelecida em jurisdição com um regime legal que impeça ou limite quer o cumprimento, pela instituição, das normas legais e regulamentares que regem a sua atividade, incluindo ao nível da prestação e circulação de informação, quer o exercício da supervisão pela autoridade de supervisão competente.
Uma das fontes relevantes de risco para as entidades supervisionadas, e para o sistema financeiro, são os conflitos de interesses, com especial ênfase para as transações com partes relacionadas e para a aceitação de liberalidades. A relevância destas matérias levou ao seu tratamento no presente Aviso, consagrando-se a obrigatoriedade de as entidades supervisionadas adotarem políticas sobre estas matérias e os regimes específicos a observar relativamente às mesmas.
No que respeita a políticas e práticas remuneratórias, e também em linha com as orientações da EBA relativas a políticas de remuneração sãs (EBA/GL/2015/22), divulgadas através da Carta Circular do Banco de Portugal n.º CC/2016/00000036, estabelecem-se no presente Aviso normas complementares às constantes do Regime Geral das Instituições de Crédito e Sociedades Financeiras, e que são relevantes para a sua implementação prática pelas entidades supervisionadas. Algumas dessas normas constavam do Aviso do Banco de Portugal n.º 10/2011, que é agora revogado.
A organização das entidades supervisionadas em grupos levanta um conjunto específico de preocupações prudenciais que justifica o seu tratamento de forma mais densificada no presente Aviso. Para além da possibilidade do estabelecimento de serviços comuns para o desenvolvimento das funções de gestão de riscos, conformidade e auditoria interna, passa também a referir-se expressamente que as empresas-mãe devem dispor da informação necessária para realizar uma avaliação completa do perfil de risco do grupo e devem conhecer a sua estrutura, que deve ser transparente, de forma a permitir que não apenas a empresa-mãe, mas também terceiros, com particular relevo para o supervisor, entendam cabalmente a forma como se encontra organizada. São também expressamente estabelecidos o princípio da transparência na organização dos grupos financeiros e o princípio da coerência dos sistemas de controlo interno dos grupos financeiros.
Por força do presente Aviso, as entidades supervisionadas passam a estar obrigadas a realizar uma autoavaliação da adequação e eficácia da sua cultura organizacional e dos seus sistemas de governo e controlo interno. Esta autoavaliação é vertida num relatório anual que é elaborado com referência a 30 de novembro de cada ano. Este relatório passa a incluir, no mínimo, avaliações elaboradas pelos órgãos de administração e de fiscalização das entidades supervisionadas e relatórios elaborados pelas funções de controlo interno contendo uma avaliação sobre a independência dessas funções e informações sobre todas as deficiências identificadas relativamente às mesmas. O conteúdo mínimo destas avaliações é consagrado no Aviso, clarificando-se a necessidade de serem abrangentes, conclusivas e fundamentadas, sendo também identificadas as fontes de informação internas e externas que devem ser utilizadas para suportar as avaliações efetuadas. O objetivo é promover uma reflexão regular, por parte das instituições, quanto ao grau de cumprimento das matérias tratadas no Aviso, de modo a que seja ponderada a adoção das medidas necessárias para ultrapassar eventuais deficiências identificadas.
Relativamente ao conteúdo destas avaliações, destaca-se que são revistas e clarificadas as exigências que recaem sobre o órgão de fiscalização quanto a esta matéria, passando estas avaliações a abranger a cultura organizacional e os sistemas de governo e de controlo interno, em linha com as suas responsabilidades decorrentes da legislação nacional e europeia. A avaliação do órgão de fiscalização passa assim a abranger, entre outros aspetos, todo o sistema de controlo interno.
Neste contexto é também revisto e clarificado o papel do revisor oficial de contas ou sociedade de revisores oficiais de contas nesta matéria. Contrariamente ao que sucedia no Aviso do Banco de Portugal n.º 5/2008, o presente Aviso deixa de exigir um parecer autónomo do revisor oficial de contas ou sociedade de revisores oficiais de contas sobre a parte do sistema de controlo interno referente ao processo de preparação e divulgação de informação financeira. No entanto, os trabalhos por estes realizados devem continuar a servir de base às avaliações dos órgãos de administração e de fiscalização, seja por via dos trabalhos já previstos na legislação própria sobre auditoria ou por via dos trabalhos adicionais que sejam contratados especificamente pela instituição para auxiliar na avaliação da cultura organizacional e do sistema de governo e de controlo interno.
É adotado racional idêntico quando estejam em causa grupos financeiros, embora os relatórios de autoavaliação relativos aos grupos sejam menos abrangentes, focando-se no controlo interno.
Por último, a experiência adquirida também revelou a necessidade de serem consagradas regras em matéria de gestão documental. Neste sentido, no presente Aviso, consagra-se a obrigatoriedade de as entidades supervisionadas manterem, nomeadamente, um adequado arquivo documental, assegurando que a documentação que o compõe permite, entre outros aspetos, conhecer inequivocamente a fundamentação das decisões tomadas e os respetivos intervenientes.
Consagra-se igualmente a obrigatoriedade de as entidades supervisionadas sistematizarem, de forma integrada e atualizada, a informação respeitante às matérias previstas no Anexo ao presente Aviso. Esta informação inclui a parte descritiva do anterior relatório de controlo e interno e, quando solicitado, é disponibilizada, de imediato, à autoridade de supervisão competente.
O projeto do presente Aviso foi sujeito a consulta pública, tendo sido ouvidas a Comissão do Mercado de Valores Mobiliários, a Autoridade de Supervisão de Seguros e Fundos de Pensões e a Comissão Nacional de Proteção de Dados.
Nestes termos, o Banco de Portugal, no uso das competências que lhe são conferidas pelo artigo 17.º da sua Lei Orgânica, aprovada pela Lei n.º 5/98, de 31 de janeiro e pelo disposto no n.º 12 do artigo 30.º-B, no n.º 2 do artigo 99.º, no n.º 3 do artigo 115.º, no n.º 3 do artigo 115.º-G, no n.º 2 do artigo 115.º-I, na alínea f) do n.º 1 do artigo 116.º, no n.º 8 do artigo 116.º-AA e na alínea c) do artigo 133.º, todos do Regime Geral das Instituições de Crédito e Sociedades Financeiras, aprovado pelo Decreto-Lei n.º 298/92, de 31 de dezembro, determina o seguinte: