Art.º 25 · Aviso do Banco de Portugal n.º 2/2025 — Processo de controlo de riscos

1 -Para garantir que os objetivos definidos são atingidos e que são tomadas as ações necessárias para responder adequadamente aos riscos previamente identificados, o órgão de administração, mediante parecer prévio das funções de gestão de riscos e de conformidade:
1. a)Aprova e revê uma política que estabeleça, de forma adequada, os objetivos globais da instituição e os objetivos específicos para cada unidade de estrutura, no que respeita ao perfil de risco e ao nível de tolerância ao risco, a qual deve ser revista com uma periodicidade mínima anual;
2. b)Estabelece políticas e procedimentos adequados para a identificação, avaliação, acompanhamento e controlo dos riscos a que a instituição está ou pode vir a estar exposta, assegurando a sua adequada implementação e cumprimento, que visem alcançar os objetivos definidos e que sistematizem, de forma clara e objetiva, quais e como devem ser executadas as tarefas a desempenhar por cada função;
3. c)Assegura que na definição e revisão das políticas e procedimentos previstos no presente Aviso são tidas em consideração todas as recomendações anteriormente emitidas pela função de auditoria interna sobre a matéria.
2 -As políticas e procedimentos referidos na alínea b) do n.º 1 asseguram, de forma tempestiva, a prevenção de situações imprevistas, indesejadas ou não autorizadas, bem como a deteção destas situações de modo a permitir a adoção imediata de medidas destinadas à sua correção quando, não obstante os procedimentos de prevenção, as mesmas ocorram.
3 -Para efeitos do disposto no número anterior, o órgão de administração assegura que são adotadas, numa base contínua e como parte integrante das atividades diárias da instituição, nomeadamente, as seguintes ações:
1. a)Recolha e manutenção de elementos, que documentem de forma objetiva as decisões tomadas e as operações realizadas, que permitam a sua reconstituição por ordem cronológica, num formato que seja facilmente acessível e percetível por terceiros;
2. b)Definição e aplicação de formulários padronizados conjugados com uma tipificação clara e objetiva de todos os elementos necessários para o processamento das operações;
3. c)Definição e aplicação de requisitos previamente definidos para aprovação, renovação ou alteração dos termos e condições das operações, devidamente ajustados ao risco existente, com a identificação clara das condições que devem ser previamente verificadas e a atribuição de competências inequívocas para a sua aprovação e renovação;
4. d)Análise prévia, autónoma e independente, pelas funções de gestão de riscos e de conformidade, de todas as operações relevantes para a instituição, em função do potencial impacto no perfil de risco da instituição, com ponderação adequada pelo órgão decisor dessas análises e identificação das razões subjacentes a eventuais decisões tomadas em sentido total ou parcialmente divergente com as mesmas;
5. e)Segregação de funções que envolvam responsabilidades conflituantes, nomeadamente, nas operações de crédito e de mercado, no que se refere à proposta apresentada pelas unidades geradoras de negócio ou tomadoras de risco, à análise, à autorização, à execução, ao registo, à guarda de valores e outra documentação e ao respetivo controlo;
6. f)Restrições de segurança no acesso a ativos, a recursos e à informação, através de barreiras físicas ou informáticas, que garantam a proteção contra utilizações não autorizadas, tanto intencionais como negligentes;
7. g)Obrigações de reporte, análise e decisão, sempre que ocorram desvios, erros, fraudes, incumprimentos e outras situações de exceção relativamente às políticas e aos procedimentos, em especial no que se refere aos limites definidos;
8. h)Implementação e manutenção de indicadores de alerta, incluindo indicadores de alerta precoce para identificação de situações de exceção que possam ter impacto material, designadamente que possam gerar um eventual desequilíbrio financeiro;
9. i)Definição de limites objetivos e prudentes para cada um dos riscos incorridos na atividade desenvolvida, até onde for adequado e possível;
10. j)Realização de verificações e reconciliações periódicas, devidamente consubstanciadas, à exatidão, completude, autenticidade e validade das operações registadas;
11. k)Implementação de métodos adequados de valorização de ativos, passivos e elementos extrapatrimoniais a aplicar com uma periodicidade adequada;
12. l)Definição, implementação e revisão periódica, assegurando o envolvimento das funções de controlo interno nas respetivas áreas de atuação, de planos de contingência e de continuidade de negócio, incluindo de funções subcontratadas, que incluam cenários de perturbação grave da respetiva atividade.

Artigo 25.º — Processo de controlo de riscos

Histórico de Alterações