II SÉRIE-B — NÚMERO 61 28 k) Definição, implementação e manutenção de planos de continuidade de negócio e ou de recuperação em caso de catástrofe». Nos termos dos artigos 16.o e 17.o do Aviso, é exigida às instituições de crédito a criação e manutenção de uma função de gestão de riscos e de uma função de «compliance», sendo que, em particular, a função de gestão de riscos deve ser responsável por (a)ssegurar a aplicação efetiva do sistema de gestão de riscos, através do acompanhamento contínuo da sua adequação e a eficácia, bem como da adequação e da eficácia das medidas tomadas para corrigir eventuais deficiências desse sistema, bem como por «(p)restar aconselhamento ao órgão de administração e elaborar e apresentar a este e ao órgão de fiscalização um relatório, de periodicidade pelo menos anual, relativo à gestão de riscos, indicando se foram tomadas as medidas adequadas para corrigir eventuais deficiências». Assim, sobre o órgão de administração da instituição de crédito recai, em especial, a responsabilidade de zelar pela eficácia do sistema de gestão de riscos, competindo-lhe, nesse âmbito, conhecer «(...) os tipos de riscos a que a instituição se encontra exposta e os processos utilizados para identificar, avaliar, acompanhar e controlar esses riscos, (...) sendo responsável pelo estabelecimento e manutenção de um sistema de gestão de riscos apropriado e eficaz», bem como, «(a)provar políticas e procedimentos, concretos, eficazes e adequados, para a identificação, avaliação, acompanhamento e controlo dos riscos a que a instituição está exposta, assegurando a sua implementação e cumprimento» [cfr. n.o 1 e alínea b) do n.o 2 do artigo 18.o do Aviso n.o 5/2008]. O sistema de controlo interno deve ainda «garantir a existência de informação substantiva, atual, compreensível, consistente, tempestiva e fiável», por forma a permitir «uma visão global e abrangente sobre a situação financeira, o desenvolvimento da atividade, o cumprimento da estratégia e dos objetivos definidos, o perfil de risco da instituição e o comportamento e evolução do mercado ou mercados relevantes». (cfr. n.o 1 do artigo 19.o do Aviso n.o 5/2008). O artigo 21.o do Aviso impõe a existência de um processo de monitorização do sistema de controlo interno, o qual compreende «todas as ações e avaliações de controlo desenvolvidas pelas instituições com vista a garantir a eficácia e adequação do seu sistema de controlo interno, nomeadamente, através da identificação de deficiências no sistema, quer na sua conceção, quer na sua implementação e ou utilização». Finalmente, determina o artigo 23.o do mesmo Aviso a responsabilização direta do órgão de administração «pela implementação e manutenção de um processo de monitorização do sistema de controlo interno adequado e eficaz», competindo-lhe, designadamente, aprovar as políticas e procedimentos subjacentes a tal processo de monitorização, bem como assegurar a implementação efetiva das suas orientações e recomendações por forma a «introduzir correções e ou melhorias no sistema de controlo interno» [cfr. alíneas a) e e) do n.o 2 do artigo 23.o do Aviso n.o 5/2008]. 3.1.2.2 Normativos internos da CGD Não obstante todo o normativo e regulação a nível europeu e nacional, aplicável às instituições financeiras, e conforme destaca a «Nota de Enquadramento à Intervenção do Governador» nesta Comissão, «não existem, nem podem existir, mecanismos de supervisão que previnam ou mitiguem totalmente o risco da atividade bancária, a proteção da solidez de uma instituição bancária cabe, em primeiro lugar, e, sobretudo, ao respetivo órgão de administração e demais responsáveis com funções-chave na gestão da instituição, e, em segundo lugar, ao órgão de fiscalização e aos auditores externos. Assim, mostra-se necessário, para melhor compreensão da matéria em análise, fazer referência aos principais normativos internos adotados pela CGD, com enfoque na concessão de crédito, seguindo-se de perto a metodologia adotada no relatório EY. Conforme descreve aquele relatório, em 2001, na sequência da publicação do BCBS, a CGD procurou desenvolver estruturas de gestão de risco up to date, com enfoque na criação da Direção Geral de Riscos (DGR), «com a função de gestão de riscos, como exemplo das melhores práticas em Portugal à época». No período 2001-2004, «a CGD desenvolveu normativos consonantes com a regulamentação, atribuindo relevância à avaliação do risco de crédito, tendo implementado aplicativos informáticos de suporte». Entre 2004 e 2007, «perante a crescente competitividade no mercado português entre os maiores players e o surgimento de bancos estrangeiros com políticas de crédito agressivas (sobretudo no retalho) e num ambiente