Banco de Portugal determina novas regras de governo e controlo interno nas instituições supervisionadas

A 20 de março de 2025 foi publicado o Aviso do Banco de Portugal n.º 2/2025 (“Aviso”), que altera o Aviso do Banco de Portugal n.º 3/2020, relativo aos sistemas de governo e controlo interno, assim como a cultura organizacional das instituições supervisionadas.

Este Aviso entrou em vigor no dia 21 de março de 2025, mas as instituições têm um prazo de 6 (seis) meses a partir da data de entrada em vigor para se adaptarem às novas obrigações. De notar, contudo, que as instituições de crédito e sociedades financeiras com sede em Portugal, e as companhias financeiras, companhias financeiras mistas, e sociedades gestoras de participações sociais sujeitas à supervisão do Banco de Portugal e quando qualificadas como empresas-mãe nos termos do Regime Geral das Instituições de Crédito e Sociedades Financeiras, têm 12 (doze) meses após a entrada em vigor para adotar um órgão de fiscalização. 

Destacam-se as seguintes alterações que têm por objetivo garantir uma supervisão mais eficiente e alinhar as práticas regulatórias às exigências do cenário financeiro europeu, promovendo assim uma cultura organizacional mais robusta e proporcional.

Planos de formação obrigatórios: artigo 5.º

Estabelece-se a obrigação de elaborar planos de formação para os membros dos órgãos de administração e de fiscalização, com o propósito de garantir a sua atualização contínua quanto aos riscos a que a instituição está ou pode vir a estar exposta, com especial atenção aos riscos emergentes. Será da competência dos órgãos de administração e de fiscalização a aprovação de planos de formação plurianuais, os quais devem ser revistos anualmente, garantindo que os seus membros dispõem de conhecimentos atualizados face à evolução do quadro de riscos e às exigências regulatórias. Esta abordagem visa fortalecer a capacidade de supervisão e tomada de decisão, promovendo uma cultura organizacional alinhada com as melhores práticas de gestão e controlo de riscos.

Clarificação do conceito de deficiências: artigo 13.º

O conceito de deficiências foi revisitado, e passa a abranger também os incumprimentos, com o objetivo de simplificar e uniformizar o tratamento desta matéria por parte das instituições supervisionadas.

Para efeitos do Aviso, consideram-se deficiências todas as situações que possam ter um impacto, atual ou potencial, na situação financeira da instituição, no nível e nos requisitos de fundos próprios, no governo interno, na liquidez, na alavancagem, no modelo de negócio, bem como na gestão e controlo de riscos. Entre essas situações incluem-se: (i) incumprimentos de normas legais, regulamentares, normativos internos da instituição ou orientações emitidas pelas autoridades competentes aplicáveis à sua atividade e (ii) oportunidades de melhoria identificadas, designadamente com base em boas práticas reconhecidas a nível nacional ou internacional. 

Flexibilização do modelo organizativo das funções de controlo interno: artigo 14.º

As instituições passam a ter a possibilidade de segmentar a função de gestão de riscos em várias unidades organizacionais. No entanto, é obrigatório que pelo menos uma dessas unidades mantenha uma visão abrangente e integrada de todos os riscos a que a instituição está ou pode vir a estar exposta. O responsável por esta unidade será formalmente reconhecido como o responsável pela função de gestão de riscos.

Cabe ao órgão de administração garantir que a gestão de riscos se processa de forma integrada, promovendo a partilha eficaz de informação entre as diferentes unidades e assegurando que a unidade com visão global dispõe dos meios necessários para monitorizar a qualidade e suficiência das informações recebidas das demais unidades. 

Caso a função de gestão de riscos seja desdobrada em mais do que uma unidade, a instituição deve comunicar previamente essa decisão ao Banco de Portugal, com uma antecedência mínima de 60 dias face à data prevista para a implementação. A comunicação deverá incluir uma descrição detalhada da estrutura a adotar, bem como a justificação dos órgãos de administração e fiscalização sobre a sua adequação face à natureza, escala e complexidade das atividades da instituição, garantindo a robustez do sistema de controlo interno e gestão de riscos. 

Se for considerado que a fragmentação da função de gestão de riscos compromete a eficácia da gestão dos riscos da instituição, nomeadamente por não garantir os objetivos definidos no Aviso, o Banco de Portugal poderá, a qualquer momento, exigir que a gestão de riscos seja centralizada numa única unidade organizacional, no exercício das suas competências de supervisão.

Possibilidade de cumulação das funções de gestão de riscos e conformidade: artigo 16.º

As instituições habilitadas a receber depósitos e cujo valor total dos ativos, num período ininterrupto de dois anos e em base individual, seja inferior a € 3.000.000.000, e que não prestem serviços comuns ao abrigo do disposto no n.º 3 do artigo 50.º do Aviso, passam a poder cumular as funções de gestão de riscos e conformidade numa única unidade de estrutura, desde que cumpram os requisitos aplicáveis, especialmente no que se refere à disponibilidade de recursos materiais, técnicos e humanos necessários para o desempenho eficaz dessas funções.

Para o efeito, o órgão de administração pode decidir, de forma fundamentada e devidamente registada em ata, cumular as duas funções. Esta decisão deve ser precedida de parecer do órgão de fiscalização.

Nessa circunstância, o órgão de administração deve assegurar que a função combinada cumpre integralmente os requisitos aplicáveis e que dispõe de recursos suficientes para o adequado desempenho das suas funções. Além disso, devem ser implementados mecanismos eficazes para prevenir ou mitigar potenciais conflitos de interesses resultantes da acumulação das responsabilidades de ambas as funções numa única unidade organizacional.

As instituições que pretendam adotar esta solução devem comunicar previamente a sua intenção ao Banco de Portugal, com uma antecedência mínima de 60 dias face à data prevista para a implementação. A comunicação deve incluir uma descrição detalhada da estrutura proposta, acompanhada de uma análise da adequação dos recursos materiais, técnicos e humanos, bem como uma justificação dos órgãos de administração e fiscalização sobre a adequação da solução face à natureza, dimensão e complexidade das atividades da instituição, garantindo a manutenção de um sistema de controlo interno e gestão de riscos eficaz e prudente.

 Transações com partes relacionadas: artigo 33.º

Passa a ser permitida a utilização de aprovações prévias agregadas para transações com partes relacionadas, desde que sejam cumpridos determinados requisitos. A aprovação deve especificar as condições concretas para a realização dessas transações e assegurar que tanto a aprovação quanto as condições definidas sejam revistas, no mínimo, trimestralmente.

O órgão de administração deve aprovar uma política interna específica para regulamentar esta matéria, após parecer prévio do órgão de fiscalização. Essa política deve detalhar, entre outros aspetos:

(i) as responsabilidades das funções de gestão de risco e conformidade na identificação e análise de transações com partes relacionadas;

(ii) os mecanismos para garantir o cumprimento das obrigações previstas no Regime Geral das Instituições de Crédito e Sociedades Financeiras relativas à concessão de crédito a membros de órgãos sociais e de detentores de participações qualificadas, incluindo a comunicação à autoridade competente;

(iii) as responsabilidades dos diretores de topo das unidades relevantes na monitorização dessas operações, incluindo a obrigatoriedade de um reporte trimestral às funções de gestão de riscos e de conformidade; e

(iv) os procedimentos para que estas funções reportem periodicamente aos órgãos de administração e fiscalização, fornecendo informação que permita a monitorização das transações e notificando de imediato qualquer incumprimento das normas internas ou da legislação aplicável, acompanhando essa notificação de recomendações corretivas;

Adicionalmente, as políticas internas devem incluir os procedimentos necessários para assegurar a comunicação obrigatória à autoridade de supervisão. Neste contexto, a Instrução do Banco de Portugal n.º 17/2011 é revogada, exceto na secção referente à comunicação obrigatória, uma vez que todas as demais disposições já foram incorporadas no Aviso.

Soluções colaborativas e subcontratação: artigo 36.º

As instituições passam a poder recorrer a soluções colaborativas para a realização de tarefas operacionais no âmbito das suas funções de controlo interno. Além disso, a subcontratação dessas tarefas, anteriormente permitida apenas de forma pontual, poderá agora assumir um caráter permanente. Esta alteração visa proporcionar uma maior flexibilidade às instituições, em especial às de menor dimensão, garantindo um enquadramento ajustado ao princípio da proporcionalidade.

Para o efeito, devem comunicar a sua intenção à autoridade de supervisão competente com pelo menos 60 dias de antecedência. Esta comunicação deve incluir informações essenciais, nomeadamente uma descrição detalhada da solução colaborativa a adotar e a fundamentação dos órgãos de administração e fiscalização quanto à sua adequação, à natureza, escala e complexidade das atividades da instituição.

Políticas de seleção e designação de revisores oficiais de contas: artigo 39.º

Devem ser estabelecidos procedimentos que garantam o reporte à autoridade de supervisão da nomeação do revisor oficial de contas ou da sociedade de revisores oficiais de contas e devem os mesmos ser incluídos nas políticas de seleção e nomeação de revisores oficiais de contas ou sociedades de revisores oficiais de contas em instituições habilitadas a receber depósitos, com exceção das Caixas de Crédito Agrícola Mútuo que integrem o Sistema Integrado de Crédito Agrícola Mútuo.

Alterações às datas de reporte do relatório de autoavaliação: artigos 54.º e 58.º

Foram alteradas as datas de referência e de reporte do relatório de autoavaliação sobre a adequação e eficácia da cultura organizacional e dos sistemas de governo e controlo interno das instituições supervisionadas. O relatório anual será agora elaborado com base em 30 de setembro de cada ano, em vez de 30 de novembro. Nos casos previstos no Aviso e na Instrução do Banco de Portugal n.º 18/2020, que estabelece as obrigações, periodicidade e modalidades de reporte das matérias definidas no Aviso, o relatório deverá ser enviado à autoridade de supervisão competente até 15 de novembro de cada ano, em vez de 31 de dezembro, como era o procedimento anterior.

Quanto aos grupos financeiros, a obrigação de reporte foi simplificada, passando a ser necessário o envio apenas do relatório de autoavaliação do grupo para a autoridade de supervisão competente. Os relatórios de autoavaliação individuais serão submetidos apenas quando a autoridade de supervisão competente o exigir.