PT Jornal Oficial da União Europeia L 169/1

REGULAMENTO DELEGADO (UE) 2018/959 DA COMISSÃO

de 14 de março de 2018

que complementa o Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho no que diz respeito à especificação da metodologia de avaliação ao abrigo da qual as autoridades competentes autorizam as instituições a utilizar Métodos de Medição Avançada para o risco operacional

(Texto relevante para efeitos do EEE)

A COMISSÃO EUROPEIA,

Tendo em conta o Tratado sobre o Funcionamento da União Europeia,

Tendo em conta o Regulamento (UE) n.o 575/2013 do Parlamento Europeu e do Conselho, de 26 de junho de 2013, relativo aos requisitos prudenciais para as instituições de crédito e para as empresas de investimento e que altera o Regulamento (UE) n.o 648/2012 (1), nomeadamente o artigo 312.o, n.o 4, terceiro parágrafo,

Considerando o seguinte:

(1) Para efeitos dos requisitos de fundos próprios para o risco operacional, o artigo 312.o, n.o 2, primeiro parágrafo, do Regulamento (UE) n.o 575/2013 dispõe que as autoridades competentes autorizem as instituições a utilizar Métodos de Medição Avançada (a seguir designados «AMA») baseados nos seus próprios sistemas de medição de risco operacional se estiverem cumulativamente reunidos os critérios qualitativos e quantitativos previstos no mesmo artigo, o que implica a conformidade das instituições com esses requisitos em todas as circunstâncias. Em consequência, essa avaliação não diz apenas respeito ao pedido de autorização inicial de uma instituição para utilizar AMA, mas é igualmente aplicável numa base contínua.

(2) Os diversos elementos que constituem o quadro do AMA de uma instituição não devem ser considerados isoladamente, mas sim analisados e avaliados como um conjunto de elementos interligados, de modo a que as autoridades competentes possam considerar que existe um nível adequado de conformidade em relação a cada uma das partes do quadro.

(3) A avaliação por parte das autoridades competentes do cumprimento pela instituição dos requisitos referidos nas alíneas a) e b) do artigo 312.o, n.o 4, do Regulamento (UE) n.o 575/2013, por forma a poder utilizar Métodos de Medição Avançada, não deve ser efetuada de modo uniforme. A natureza dos elementos a avaliar varia consoante o tipo de avaliação realizada, que por sua vez depende do tipo de pedido apresentado. As autoridades competentes são obrigadas a avaliar o cumprimento desses requisitos quando uma instituição apresenta pela primeira vez um pedido para utilizar AMA, solicita a extensão do âmbito de aplicação dos AMA de acordo com o plano de aplicação sequencial aprovado, solicita uma extensão ou alteração dos AMA que tenha sido autorizada a utilizar ou solicita o retorno à utilização de métodos menos sofisticados em conformidade com o artigo 313.o do Regulamento (UE) n.o 575/2013. Além disso, as autoridades competentes devem proceder a uma revisão contínua da utilização dos AMA pelas instituições. Por conseguinte, as autoridades competentes devem realizar a avaliação do cumprimento pela instituição dos requisitos de utilização dos AMA, de acordo com a natureza dos elementos a avaliar que correspondem à metodologia de avaliação relevante.

(4) O artigo 85.o, n.o 1, da Diretiva 2013/36/UE do Parlamento Europeu e do Conselho (2) exige que as instituições definam o que entendem por risco operacional para efeitos de aplicação das políticas e procedimentos destinados a avaliar e gerir a exposição ao risco operacional. O Regulamento (UE) n.o 575/2013 estabelece uma definição de «risco operacional» que inclui tanto os riscos jurídicos como os riscos ligados aos modelos. No artigo 3.o, n.o 1, da Diretiva 2013/36/UE, o risco do modelo refere-se a perdas potenciais devido à ocorrência de erros no desenvolvimento, aplicação ou utilização de modelos internos, mas não inclui as perdas potenciais devidas a ajustamentos das avaliações decorrentes do risco de modelo, como referido no artigo 105.o do Regulamento (UE) n.o 575/2013 relativamente à avaliação prudente ou no Regulamento Delegado (UE) 2016/101 da Comissão (3), e não se refere ao risco de modelo associado à utilização de uma metodologia de avaliação eventualmente incorreta como referido no artigo 105.o, n.o 13, do Regulamento (UE) n.o 575/2013. Do mesmo modo, o Regulamento (UE) n.o 575/2013 não especifica o modo como as autoridades competentes devem verificar a conformidade com o requisito de definição de qualquer risco operacional relacionado com os riscos jurídicos e com os riscos dos modelos. As normas que especificam a metodologia de avaliação a utilizar pelas autoridades competentes para avaliar se as instituições podem utilizar os AMA devem portanto incluir essa especificação.

(5) Importa igualmente harmonizar os métodos de supervisão no que respeita à correta articulação dos riscos operacionais nas transações financeiras, incluindo os ligados ao risco de mercado, uma vez que os riscos operacionais destas transações se revelaram importantes e que os seus fatores determinantes, geralmente de natureza multifacetada, podem não ser sistematicamente percetíveis e não serem registados como tal em toda a União.

(6) As normas a respeitar pelos quadros de governação e gestão de riscos da instituição estão definidas no artigo 74.o da Diretiva 2013/36/UE e no artigo 321.o do Regulamento (UE) n.o 575/2013. Por conseguinte, a metodologia de avaliação dos AMA deve prever a verificação, pelas autoridades competentes, de que uma instituição dispõe de uma estrutura organizativa clara para a governação e gestão dos riscos operacionais, com linhas de responsabilidade devidamente definidas, transparentes e coerentes e que tenha em conta a natureza, a escala e a complexidade das atividades da instituição, ao avaliar se a mesma pode utilizar AMA. Em especial, é conveniente confirmar se a função de gestão do risco operacional é essencial para a identificação, medição e avaliação, monitorização, controlo e redução dos riscos operacionais que a instituição enfrenta e se é suficientemente independente das unidades de negócio da instituição, de modo a garantir que as apreciações de natureza profissional e as recomendações por si formuladas sejam independentes e imparciais. Importa também determinar que a direção de topo é responsável pela elaboração e aplicação do quadro de governação e de gestão do risco operacional aprovado pelo órgão de administração e por assegurar que esse quadro seja aplicado de forma coerente em toda a organização da instituição. As autoridades competentes devem também avaliar se são facultados meios e informação adequados a todos os níveis hierárquicos, de modo a que todos os membros do pessoal compreendam as suas responsabilidades no que diz respeito à gestão do risco operacional.

(7) A eficácia dos sistemas internos de comunicação constitui uma condição prévia para uma boa governação interna. Por conseguinte, as autoridades competentes devem assegurar que uma instituição que solicita autorização para utilizar AMA adote sistemas eficazes de comunicação em matéria de risco, não só para o órgão de administração e a direção de topo como também para todas as funções responsáveis pela gestão dos riscos operacionais a que a instituição esteja ou possa vir a estar sujeita. O sistema de comunicação de informações deve refletir a situação atualizada das questões relacionadas com o risco operacional na instituição e deve incluir todos os aspetos relevantes da gestão e medição desse mesmo risco.

(8) Em conformidade com o artigo 321.o, alínea a), do Regulamento (UE) n.o 575/2013, o sistema interno de medição do risco operacional de uma instituição deve estar devidamente integrado nos seus processos correntes de gestão do risco. Por conseguinte, a metodologia para a avaliação dos AMA deve prever que as autoridades competentes assegurem que uma instituição que solicite uma autorização para aplicar AMA utiliza efetivamente o seu sistema de medição do risco operacional nas suas atividades correntes e para fins de gestão do risco, numa base contínua e não apenas para efeitos de cálculo dos requisitos de fundos próprios para o risco operacional. As regras relativas à avaliação prudencial dos AMA devem, por conseguinte, incluir regras sobre as expectativas em matéria de supervisão a cumprir pelas instituições que solicitem autorização para utilizar AMA, em termos de um «teste de utilização».

(9) A fim de proporcionar às instituições e às autoridades competentes provas de que o sistema de medição do risco operacional de uma instituição é sólido e fiável e gera requisitos de fundos próprios para o risco operacional mais credíveis do que uma metodologia de regulamentação do risco operacional mais simples, as autoridades competentes devem verificar se a instituição comparou, durante um determinado período, o seu sistema de medição do risco operacional com a mesma medição de acordo com o Método do Indicador Básico ou com o Método Padrão, prevista nos artigos 315.o, 317.o e 319.o do Regulamento (UE) n.o 575/2013. Esse período deve ser suficientemente longo para que a autoridade competente possa determinar que a instituição cumpre as normas qualitativas e quantitativas estabelecidas no Regulamento (UE) n.o 575/2013 para efeitos de utilização de um AMA.

(10) De acordo com o artigo 321.o, alínea g), do Regulamento (UE) n.o 575/2013, os fluxos de dados e os processos de uma instituição associados ao sistema de medição do AMA devem ser transparentes e estar acessíveis. Os dados relativos ao risco operacional não se encontram imediatamente disponíveis, uma vez que têm primeiramente de ser identificados nos registos e arquivos da instituição e, em seguida, devidamente reunidos e atualizados. Além disso, o sistema de medição é geralmente bastante sofisticado e prevê várias etapas lógicas e computacionais para gerar os requisitos de fundos próprios correspondentes ao AMA. A metodologia de avaliação do AMA deve portanto verificar se a qualidade dos dados e os sistemas informáticos são devidamente concebidos e corretamente implementados dentro da instituição, de modo a cumprir a finalidade para que são criados.

(11) O quadro do AMA de uma instituição está sujeito a processos de validação interna e a revisões por auditores em conformidade com o disposto no artigo 321.o, alíneas e) e f), do Regulamento (UE) n.o 575/2013. Embora a estrutura organizacional das funções de validação interna e auditoria possa variar consoante a natureza, a complexidade e a atividade da instituição, importa garantir que a metodologia de avaliação do AMA aplicada nas revisões realizadas por estas funções respeite critérios comuns no que se refere às condições e ao âmbito de tais revisões.

(12) O processo de modelação do risco operacional é uma disciplina relativamente recente e em constante evolução. Por conseguinte, o artigo 322.o do Regulamento (UE) n.o 575/2013 concede uma flexibilidade considerável às instituições para a elaboração do sistema de medição do risco operacional para efeitos de cálculo dos requisitos de fundos próprios correspondentes ao AMA. Tal flexibilidade não deve, porém, resultar em diferenças significativas entre as instituições no que diz respeito às principais componentes do sistema de medição, nomeadamente a utilização de dados internos, de dados externos, a análise de cenários e os fatores relativos ao contexto económico e ao controlo interno (conhecidos e referidos como «os quatro elementos»), aos principais pressupostos de modelação que permitem englobar eventos de «aba» severos e os respetivos fatores determinantes de risco (o desenvolvimento do conjunto de dados de cálculo, a granularidade, a identificação das distribuições das perdas e a determinação das distribuições das perdas agregadas e das medidas de risco) ou perdas esperadas, à correlação e aos critérios para uma afetação do capital que assegure a coerência interna de um sistema de medição. Por conseguinte, a fim de garantir que o sistema de medição do risco é metodologicamente bem fundado, comparável entre as instituições, eficaz na apreensão dos riscos operacionais reais e potenciais das instituições e sólido e fiável em termos de definição dos requisitos regulamentares de fundos próprios correspondentes ao AMA, a metodologia de avaliação desse AMA deve prever que os mesmos critérios e requisitos sejam aplicados pelas autoridades competentes em toda a União. A metodologia de avaliação do AMA deve também ter em conta as componentes idiossincráticas do risco operacional relacionadas com a diferente dimensão, natureza e complexidade das instituições.

(13) Em especial no que respeita aos dados internos, deve atender-se a que, embora uma perda por risco operacional só possa decorrer de um evento de risco operacional, essa ocorrência pode ser revelada por diversos elementos, nomeadamente os encargos diretos, as despesas, as provisões ou as receitas não cobradas. Embora alguns eventos de risco operacional tenham um impacto quantificável e estejam refletidos nas demonstrações financeiras da instituição, outros há que não são quantificáveis e não afetam essas demonstrações financeiras, pelo que deverão ser detetáveis a partir de outras fontes, nomeadamente os arquivos administrativos e os conjuntos de dados relativos a incidentes ocorridos. Por conseguinte, as regras que especificam a metodologia de avaliação a aplicar pelas autoridades competentes para autorizar as instituições a utilizar AMA devem determinar o que constitui uma perda por risco operacional e o montante a registar para efeitos do AMA, bem como, de modo mais geral, todos os potenciais elementos que poderão revelar a ocorrência de eventos de risco operacional.

(14) Por vezes, as instituições conseguem recuperar rapidamente perdas por risco operacional que acabam de ser constatadas. Essas perdas rapidamente recuperadas não devem ser consideradas para efeitos de cálculo dos requisitos de fundos próprios correspondentes ao AMA, embora possam ser úteis para fins de gestão. Uma vez que as instituições utilizam diversos critérios para classificar as perdas como rapidamente recuperadas, as regras sobre a metodologia de avaliação do AMA devem nomeadamente especificar critérios adequados para essa classificação.

(15) As autoridades competentes podem reconhecer técnicas de redução do risco no âmbito de um AMA, desde que estejam preenchidas determinadas condições, como referido no artigo 323.o do Regulamento (UE) n.o 575/2013. A fim de permitir uma aplicação eficaz das regras relativas às referidas técnicas de redução do risco, as autoridades competentes devem seguir normas específicas quando avaliam a aplicação dessas regras pela instituição. Em especial, se as técnicas de redução do risco assumirem a forma de seguros, é necessário garantir que esses seguros sejam prestados por empresas de seguros autorizadas na União ou em jurisdições com normas regulamentares para as companhias de seguros equivalentes às aplicáveis na União.

(16) Caso sejam utilizadas técnicas de redução do risco através de outros mecanismos de transferência de risco que não os seguros, as autoridades competentes devem assegurar que esses mecanismos transfiram efetivamente o risco e não sejam utilizados para contornar os requisitos de fundos próprios correspondentes ao AMA. Esta condição é indispensável à luz das especificidades do risco operacional, em que não existem ativos de referência subjacentes claramente definidos e as perdas inesperadas assumem um papel mais importante do que em outros tipos de risco. Esta situação é ainda exacerbada pela ausência de um mercado eficiente, líquido e estruturado para «produtos» de risco operacional, que até agora têm sido negociados fora do setor bancário, incluindo as chamadas «obrigações por catástrofe» e os derivados climáticos. Por último, muitas vezes é bastante difícil avaliar o risco jurídico de tais mecanismos, mesmo quando as cláusulas e condições dos contratos são definidas com clareza e cuidado.

(17) A fim de assegurar uma transição harmoniosa para as instituições que já estão autorizadas a utilizar AMA ou que solicitaram uma autorização para utilizar AMA antes da entrada em vigor do presente regulamento, é conveniente prever que as autoridades competentes só apliquem o presente regulamento no que diz respeito à avaliação dos AMA dessas instituições após um determinado período transitório. Dado que a revisão regular do AMA referida no artigo 101.o, n.o 1, da Diretiva 2013/36/UE é normalmente realizada anualmente, esse período transitório deve ser de um ano a contar da data de entrada em vigor do presente regulamento.

(18) As instituições que utilizam distribuições gaussianas ou normais para reconhecimento de situações de correlação na totalidade ou em partes dos respetivos AMA devem deixar de fazer uso dessas distribuições no contexto desses AMA, uma vez que os pressupostos envolvidos implicam a independência de «aba» das diferentes categorias de risco operacional, excluindo assim a possibilidade de ocorrência simultânea de perdas importantes de diferentes tipos, pressuposto esse que não é prudente nem realista. Por conseguinte, deve ser concedido tempo suficiente para a transição harmoniosa destas instituições para um novo regime em que sejam introduzidos no sistema de medição do risco operacional pressupostos mais prudentes, que impliquem uma dependência de «aba» positiva. Atendendo a que a aplicação dos referidos pressupostos pode exigir a alteração de alguns dos principais elementos e procedimentos conexos do quadro dos AMA, seria conveniente prever dois anos para essa transição.

(19) O presente regulamento baseia-se nos projetos de normas técnicas de regulamentação apresentados à Comissão pela Autoridade Bancária Europeia.

(20) A Autoridade Bancária Europeia realizou consultas públicas abertas sobre os projetos de normas técnicas de regulamentação, analisou os potenciais custos e benefícios conexos e solicitou o parecer do Grupo das Partes Interessadas do Setor Bancário criado em conformidade com o artigo 37.o do Regulamento (UE) n.o 1093/2010 do Parlamento Europeu e do Conselho (4),

ADOTOU O PRESENTE REGULAMENTO:

CAPÍTULO 1

DISPOSIÇÕES GERAIS

Artigo 1.o

Avaliação dos Métodos de Medição Avançada

1. A avaliação segundo a qual as autoridades competentes autorizam uma instituição a utilizar Métodos de Medição Avançada (AMA) deve confirmar:

a) O cumprimento dos elementos previstos nos artigos 3.o a 6.o;

b) O cumprimento dos capítulos 2 e 3;

c) O cumprimento do capítulo 4, caso a instituição tenha contratado seguros e adotado outros mecanismos de transferência de risco referidos no mesmo capítulo.

2. Os capítulos 1 a 4, devem ser tidos em conta sempre que as autoridades competentes realizem os seguintes procedimentos:

a) Uma avaliação da relevância das extensões e das alterações ao AMA utilizado pela instituição;

b) Uma avaliação do plano de aplicação sequencial do AMA utilizado pela instituição;

c) Uma avaliação do retorno por uma instituição à utilização de métodos menos sofisticados em conformidade com o artigo 313.o do Regulamento (UE) n.o 575/2013;

d) As revisões em curso do AMA utilizado pela instituição.

Artigo 2.o

Definições

Para efeitos do presente ato delegado, entende-se por:

1) «Limiar de modelação “corpo“ - “aba“»: o valor da perda que separa o «corpo» da «aba» da distribuição das perdas;

2) «Conjunto de dados de cálculo»: a parte dos dados recolhidos, reais ou construídos, que preenche as condições necessárias para contribuir para o sistema de medição do risco operacional;

3) «Limiar de recolha de dados»: o valor da perda a partir do qual uma instituição identifica e analisa as perdas por risco operacional para efeitos de gestão e medição;

4) «Data de contabilização»: a data em que uma perda ou uma provisão para cobertura de um evento de risco operacional é reconhecida pela primeira vez na demonstração de resultados;

5) «Limite mínimo de modelação»: o valor da perda a partir do qual as distribuições da frequência e da severidade, quer empíricas quer paramétricas, são modeladas em relação com o risco operacional;

6) «Perda bruta» ou «perda»: a perda resultante de um evento de risco operacional antes de qualquer tipo de recuperação;

7) «Evento ligado a conduta irregular»: um evento de risco operacional resultante de conduta irregular, intencional ou por negligência, incluindo a prestação indevida de serviços financeiros;

8) «Categoria de risco operacional»: o nível, por exemplo o tipo de evento e o segmento de atividade, a que o sistema de medição do risco operacional de uma instituição gera distribuições de frequência e de severidade separadas;

9) «Perfil de risco operacional»: a representação em valores absolutos, num determinado momento, do risco operacional atual e futuro de uma instituição;

10) «Tolerância ao risco operacional»: a visão prospetiva de uma instituição, representada em valores absolutos, do nível agregado e dos tipos de risco operacional que a instituição está disposta ou preparada para suportar sem prejudicar os respetivos objetivos estratégicos e plano de atividades;

11) «Recuperação»: a ocorrência relacionada com a perda original mas independente dessa perda e separada no tempo, pela qual são recebidos fundos ou entradas de benefícios económicos da mesma parte ou de terceiros;

12) «Medida do risco»: um dado estatístico único relativo ao risco operacional, extraído da distribuição das perdas agregadas ao grau de confiança desejado, incluindo as medições do Valor em Risco (VaR) ou das perdas (por exemplo, Perda Esperada, Perda Mediana);

13) «Ciclo de vida de desenvolvimento dos sistemas» ou «CVDS»: o processo de planeamento, criação, ensaio e implantação de uma infraestrutura informática;

14) «Perda temporária»: o impacto económico negativo registado num período contabilístico devido a um evento de risco operacional que afeta os fluxos de caixa ou as demonstrações financeiras de períodos contabilísticos anteriores.

Artigo 3.o

Eventos de risco operacional relacionados com o risco jurídico

1. As autoridades competentes devem confirmar se uma instituição identifica, recolhe e trata dados sobre os eventos de risco operacional e as perdas relacionados com riscos jurídicos para efeitos tanto de gestão dos riscos operacionais como de cálculo dos requisitos de fundos próprios correspondentes ao AMA, verificando pelo menos, de forma cumulativa:

a) Que a instituição identifica claramente e classifica como perdas por risco operacional ou outras despesas decorrentes de eventos que resultem em processos judiciais, incluindo pelo menos os seguintes casos: i) omissão das medidas necessárias para garantir o cumprimento de uma norma jurídica, ii) medidas tomadas para evitar o cumprimento de uma norma jurídica, iii) eventos relacionados com condutas irregulares;

b) Que a instituição identifica claramente e classifica como perdas por risco operacional ou outras despesas resultantes de ações voluntárias destinadas a evitar ou reduzir os riscos jurídicos decorrentes de eventos de risco operacional, incluindo reembolsos ou descontos de serviços futuros oferecidos aos clientes a título voluntário, quando tais reembolsos não sejam oferecidos na sequência de queixas dos utilizadores;

c) Que a instituição identifica claramente e classifica no âmbito do risco operacional as perdas resultantes de erros e omissões em contratos e documentação;

d) Que a instituição não classifica os seguintes elementos no âmbito do risco operacional: i) reembolsos a terceiros ou empregados e pagamentos de goodwill devido a oportunidades de negócio em que não tenha ocorrido violação de quaisquer regras ou da conduta ética e em que a instituição tenha cumprido as suas obrigações atempadamente, ii) Despesas judiciais externas cujo evento subjacente não é um evento de risco operacional;

Para efeitos da alínea a), os processos judiciais devem ser considerados como sendo todos os acordos judiciais, incluindo tanto as transações judiciais mandatadas como os acordos extrajudiciais.

2. Para efeitos da aplicação do presente artigo, as normas jurídicas devem incluir pelo menos os seguintes elementos:

a) Qualquer requisito derivado de disposições regulamentares ou legislativas nacionais ou internacionais;

b) Qualquer requisito derivado de disposições contratuais, regulamentos internos e códigos de conduta elaborados em conformidade com as normas e as práticas nacionais ou internacionais;

c) As normas éticas.

Artigo 4.o

Eventos de risco operacional relacionados com o risco do modelo

As autoridades competentes, ao avaliarem se uma instituição identifica, recolhe e trata os dados relativos a eventos de risco operacional e as perdas relativas ao risco do modelo, na aceção do artigo 3.o, n.o 1, ponto 11, da Diretiva 2013/36/UE do Parlamento Europeu e do Conselho, de 26 de junho de 2013, não só para efeitos de gestão do risco operacional como do cálculo dos requisitos de fundos próprios correspondentes ao AMA, devem confirmar o seguinte:

a) Que pelo menos os seguintes eventos, e as correspondentes perdas, resultantes dos modelos utilizados para a tomada de decisões são classificados como risco operacional: i) definição inadequada de um modelo escolhido e das suas características, ii) verificação inadequada da pertinência do modelo escolhido para o instrumento financeiro a avaliar ou para o produto cujo preço deve ser estabelecido, ou da sua pertinência para as condições de mercado aplicáveis, iii) erros na aplicação de um modelo escolhido, iv) incorreções nas avaliações pelo valor de mercado ou na medição dos riscos decorrentes de erros na contabilização de uma transação através do sistema de negociação, v) utilização de um modelo escolhido ou dos seus resultados para um fim para o qual não foi concebido ou destinado, incluindo a manipulação dos parâmetros de modelação, vi) monitorização extemporânea e ineficaz do desempenho do modelo para confirmar se o mesmo continua a cumprir a respetiva finalidade;

b) Que os eventos relacionados com a subavaliação dos requisitos de fundos próprios pelos modelos internos autorizados pelas autoridades competentes não sejam incluídos na identificação, recolha e tratamento de dados relativos a eventos de risco operacional e às perdas referentes ao risco do modelo.

Artigo 5.o

Eventos de risco operacional associados a transações financeiras, incluindo os relativos ao risco de mercado

As autoridades competentes confirmam que pelo menos os seguintes eventos, tal como as respetivas perdas, são classificados como risco operacional, quando avaliam se uma instituição identifica, recolhe e trata os dados relativos a eventos de risco operacional e às perdas relativas a transações financeiras e ao risco de mercado, para efeitos tanto de gestão dos riscos operacionais como do cálculo dos requisitos de fundos próprios correspondentes ao AMA:

a) Eventos devidos a erros operacionais e a erros de introdução de dados, incluindo: i) falhas e erros durante a introdução ou a execução das ordens, ii) perda de dados ou má compreensão do fluxo de dados entre a sala de negociação (front office) e as áreas de controlo (middle-office) e processamento das transações (back-office) da instituição, iii) erros de classificação, iv) especificação incorreta das transações na ficha descritiva, incluindo erros relacionados com o montante da transação, os prazos de vencimento e as características financeiras;

b) Eventos devidos a falhas nos controlos internos, incluindo: i) falhas na correta execução de uma ordem de liquidação de uma posição de mercado em caso de movimentos de preços adversos, ii) posições não autorizadas assumidas acima dos limites atribuídos, independentemente do tipo de risco com que estejam relacionadas;

c) Eventos devidos a insuficiente qualidade dos dados e indisponibilidade do ambiente informático, incluindo indisponibilidade técnica de acesso ao mercado que resulte na incapacidade de concluir contratos.

Artigo 6.o

Qualidade e possibilidades de auditoria da documentação

1. As autoridades competentes verificam a qualidade da documentação relativa ao AMA utilizada por uma instituição, confirmando pelo menos:

a) Que a documentação foi aprovada ao nível adequado da administração da instituição;

b) Que a instituição tem em vigor políticas que definem normas para garantir a elevada qualidade dos documentos internos, incluindo responsabilidades específicas por assegurar que a documentação conservada seja completa, coerente, exata, atualizada, reconhecida e segura;

c) Que a estrutura da documentação estabelecida nas políticas a que se refere a alínea b) identifica no mínimo os seguintes elementos: i) tipo de documento, ii) autor, iii) revisor, iv) agente emitente e titular, v) datas de elaboração e aprovação, vi) número da versão, vii) historial de alterações do documento;

d) Que a instituição documenta cuidadosamente as suas políticas, procedimentos e metodologias.

2. As autoridades competentes devem verificar as possibilidades de auditoria da documentação relativa ao AMA utilizado por uma instituição, confirmando pelo menos:

a) Que a documentação é suficientemente pormenorizada e precisa para permitir o exame do AMA por terceiros, incluindo: i) a compreensão dos fundamentos e procedimentos subjacentes à sua elaboração, ii) a compreensão do sistema de medição do risco operacional a fim de determinar o funcionamento dos requisitos de fundos próprios correspondentes ao AMA, as suas limitações e pressupostos fundamentais e a possibilidade de reproduzir o desenvolvimento do modelo.

CAPÍTULO 2

CRITÉRIOS QUALITATIVOS

SECÇÃO 1

Governação

Artigo 7.o

Processo de gestão do risco operacional

1. As autoridades competentes devem avaliar a eficácia do quadro do AMA de uma instituição para a governação e a gestão do risco operacional e a existência de uma estrutura organizativa clara, com linhas de responsabilidade bem definidas, transparentes e coerentes, confirmando pelo menos:

a) Que o órgão de administração da instituição discute e aprova a governação, os processos de gestão e o sistema de medição do risco operacional;

b) Que o órgão de administração da instituição define claramente e determina os seguintes elementos, pelo menos anualmente: i) a tolerância da instituição ao risco operacional, ii) a declaração por escrito da tolerância ao risco operacional da instituição quanto ao nível agregado das perdas por risco operacional e aos tipos de eventos, contendo medidas tanto qualitativas como quantitativas, incluindo limiares e limites baseados em medições das perdas por risco operacional que a instituição está disposta ou preparada para suportar a fim de concretizar os seus objetivos estratégicos e o seu plano de atividades, assegurando que esteja acessível e seja compreensível a todos os níveis da instituição;

c) Que o órgão de administração da instituição controla, numa base contínua, a conformidade da instituição com a declaração relativa à tolerância ao risco operacional referida na alínea b), subalínea ii);

d) Que a instituição aplica um processo de gestão do risco operacional para identificar, avaliar e medir, monitorizar e comunicar os riscos operacionais, incluindo os eventos por conduta irregular, e está em condições de identificar o pessoal responsável pela gestão do processo relativo aos riscos operacionais;

e) Que a informação resultante do processo a que se refere a alínea d) é transmitida aos órgãos executivos e comités relevantes da instituição e que as decisões produzidas por esses comités são comunicadas ao pessoal da instituição responsável pela recolha, controlo, monitorização e gestão do risco operacional e aos responsáveis pelas atividades de gestão que dão origem ao risco operacional;

f) Que a instituição avalia pelo menos anualmente a eficácia do controlo dos seus riscos operacionais, o processo de gestão do risco operacional e o sistema de medição do risco operacional;

g) Que a instituição notifica as autoridades competentes relevantes dos resultados da avaliação a que se refere a alínea f), pelo menos anualmente.

2. Para efeitos da avaliação a que se refere o n.o 1, as autoridades competentes devem ter em conta o impacto da estrutura de governação do risco operacional sobre o nível de participação na gestão e na cultura do pessoal da instituição em relação aos riscos operacionais, incluindo pelo menos:

a) O nível de conhecimento, por parte do pessoal da instituição, das políticas e procedimentos em matéria de risco operacional;

b) O processo interno da instituição para questionar a conceção e a eficácia do quadro do AMA.

Artigo 8.o

Função independente de gestão do risco operacional

1. As autoridades competentes devem avaliar a independência da função de gestão do risco operacional em relação às unidades de negócio da instituição, confirmando pelo menos:

a) Que a função de gestão do risco operacional realiza as seguintes tarefas separadamente das unidades responsáveis pelos segmentos de negócio da instituição: i) a conceção, desenvolvimento, implementação, manutenção e controlo do processo de gestão e dos sistemas de medição do risco operacional, ii) a análise dos riscos operacionais associados à introdução e ao desenvolvimento de novos produtos, mercados, segmentos de negócio, processos, sistemas e à alterações significativas de produtos existentes, iii) o controlo das atividades de negócio que possam dar origem a uma exposição ao risco operacional suscetível de infringir a tolerância ao risco da instituição;

b) Que a função de gestão do risco operacional beneficia de um respaldo adequado por parte do órgão de administração e da direção de topo e assume no seio da instituição um estatuto adequado ao exercício das suas tarefas;

c) Que a função de gestão do risco operacional não é simultaneamente responsável pela função de auditoria interna;

d) Que o responsável pela função de gestão do risco operacional preenche pelo menos os seguintes requisitos: i) um nível de experiência adequado à gestão dos riscos operacionais reais e potenciais, conforme indicado pelo perfil de risco operacional, ii) comunicação regular com o órgão de administração e respetivos comités, conforme determinado pela estrutura de gestão do risco da instituição, iii) participação ativa na definição da tolerância ao risco operacional da instituição e da estratégia para a gestão e redução desse risco, iv) independência das funções e das unidades operacionais cuja verificação é da alçada da função de gestão do risco operacional, v) atribuição de um orçamento para execução da função de gestão do risco operacional pelo responsável pela gestão dos riscos referido no artigo 76.o, n.o 5, quarto parágrafo, da Diretiva 2013/36/UE, ou por um membro do órgão de administração na sua qualidade de responsável pela supervisão, e não por uma unidade de negócio ou com funções executivas.

Artigo 9.o

Participação da direção de topo

As autoridades competentes devem avaliar o grau de envolvimento da direção de topo de uma instituição confirmando pelo menos:

a) Que a direção de topo é responsável pela aplicação do quadro de governação e gestão do risco operacional aprovado pelo órgão de administração;

b) Que a direção de topo está habilitada pelo órgão de administração para desenvolver políticas, processos e procedimentos de gestão do risco operacional;

c) Que a direção de topo aplica as políticas, processos e procedimentos de gestão do risco operacional referidos na alínea b).

Artigo 10.o

Comunicação de informações

As autoridades competentes devem avaliar se a comunicação de informações sobre o perfil de risco operacional e a sua gestão pela instituição é suficientemente regular, atempada e sólida, confirmando pelo menos:

a) Que os problemas relativos aos sistemas de comunicação de informações e de controlo interno da instituição são identificados com rapidez e precisão;

b) Que os relatórios respeitantes ao risco operacional da instituição são distribuídos aos níveis de gestão apropriados e às áreas da instituição identificadas nesses relatórios como eventualmente problemáticas;

c) Que a direção de topo da instituição recebe pelo menos relatórios trimestrais sobre a mais recente evolução do perfil de risco operacional da instituição e utiliza esses relatórios no processo de tomada de decisões;

d) Que os relatórios sobre o risco operacional da instituição contêm as informações de gestão relevantes e pelo menos uma síntese geral dos principais riscos operacionais da instituição e das suas filiais e unidades de negócio relevantes;

e) Que a instituição elabora relatórios ad hoc caso ocorram determinadas deficiências a nível das políticas, processos e procedimentos de gestão do risco operacional a fim de detetar e corrigir prontamente essas deficiências e, consequentemente, reduzir substancialmente a potencial frequência e severidade de um evento de perda.

SECÇÃO 2

Teste de utilização

Artigo 11.o

Utilização de um AMA

As autoridades competentes devem avaliar se uma instituição utiliza um AMA para finalidades internas, confirmando pelo menos:

a) Que o sistema de medição do risco operacional da instituição é utilizado para gerir os riscos operacionais em diferentes segmentos de negócio, unidades ou entidades jurídicas no âmbito da estrutura organizacional;

b) Que o sistema de medição do risco operacional está integrado no âmbito das diferentes entidades do grupo e, se for utilizado a nível consolidado, que o quadro do AMA da instituição-mãe é alargado às filiais e que o risco operacional dessas filiais, bem como os fatores relativos ao contexto económico e ao controlo interno referidos no artigo 322.o, n.os 1 e 6, do Regulamento (UE) n.o 575/2013, são incorporados nos cálculos do AMA a nível do grupo;

c) Que o sistema de medição do risco operacional é também utilizado para efeitos do processo de avaliação da adequação do capital interno da instituição previsto no artigo 73.o da Diretiva 2013/36/UE.

Artigo 12.o

Integração contínua dos AMA

As autoridades competentes devem avaliar se uma instituição assegura a integração contínua do seu sistema de gestão do risco operacional nos seus processos correntes de gestão do risco, confirmando pelo menos:

a) Que o sistema de medição do risco operacional é atualizado regularmente e continua a ser desenvolvido à medida que vai sendo adquirida mais experiência e sofisticação a nível da gestão e quantificação do risco operacional;

b) Que a natureza e o equilíbrio dos contributos para o sistema de medição do risco operacional são pertinentes e refletem, em todas as circunstâncias, a natureza da atividade, da estratégia, da organização e da exposição ao risco operacional da instituição.

Artigo 13.o

Utilização de um AMA para apoiar a gestão do risco operacional da instituição

As autoridades competentes devem avaliar se uma instituição utiliza um AMA para apoiar a gestão dos respetivos riscos operacionais, confirmando pelo menos:

a) Que o sistema de medição do risco operacional é efetivamente utilizado para uma comunicação rápida e regular de informações coerentes e que refletem com exatidão a natureza das atividades e o perfil de risco operacional da instituição;

b) Que a instituição toma medidas corretivas para melhorar os procedimentos internos após a receção de informações sobre os resultados do sistema de medição do risco operacional.

Artigo 14.o

Utilização de um AMA para melhorar a organização e o controlo do risco operacional da instituição

As autoridades competentes devem avaliar se uma instituição utiliza o AMA para melhorar ainda mais a organização e o controlo dos seus riscos operacionais, confirmando pelo menos:

a) Que a definição pela instituição da sua tolerância ao risco operacional e dos respetivos objetivos e atividades de gestão dos riscos operacionais são claramente comunicados no âmbito da instituição;

b) Que a relação entre a estratégia de negócio da instituição e a sua gestão do risco operacional, nomeadamente no que diz respeito à aprovação de novos produtos, sistemas e processos, é claramente comunicada no âmbito da instituição;

c) Que o sistema de medição do risco operacional aumenta a transparência, a sensibilização para o risco e as competências em matéria de gestão do risco operacional e proporciona incentivos para melhorar essa mesma gestão a todos os níveis da instituição;

d) Que os contributos e os resultados do sistema de medição do risco operacional são utilizados nas decisões e nos planos relevantes, nomeadamente os planos de ação, de continuidade das atividades e de auditoria interna da instituição, bem como nas suas decisões de afetação de capital, planos de seguros e decisões orçamentais.

Artigo 15.o

Comparação do AMA com os métodos menos sofisticados

1. As autoridades competentes devem avaliar se uma instituição demonstrou a estabilidade e a solidez dos resultados do seu AMA, confirmando pelo menos:

a) Que antes da concessão da autorização para utilizar o AMA para efeitos regulamentares, a instituição calculou os seus requisitos de fundos próprios para o risco operacional, tanto no âmbito desse AMA como de acordo com o método menos sofisticado anteriormente aplicável, e que efetuou esse cálculo: i) numa base razoavelmente regular e pelo menos trimestral, ii) abrangendo todas as entidades jurídicas relevantes e que tinham a pretensão de utilizar o AMA na data de início da respetiva aplicação, iii) abrangendo todos os riscos operacionais que seriam abrangidas pelo AMA na data de início da aplicação;

b) Que a instituição cumpre pelo menos os seguintes critérios: i) o processo de gestão do risco operacional e o sistema de medição do risco operacional foram desenvolvidos e testados, ii) todos os problemas foram resolvidos e o sistema e o processo conexo foram aperfeiçoados, iii) assegurou que o sistema de medição do risco operacional gera resultados conformes com as expectativas da instituição, incluindo a tomada em consideração das informações de ambos os sistemas, atual e anterior, da instituição, iv) tem demonstrado que pode rapidamente fazer variar os parâmetros do modelo por forma a compreender o impacto da alteração dos pressupostos por via de ajustamentos mínimos nos sistemas ou de intervenções efetuadas manualmente, v) consegue realizar ajustamentos de capital adequados ao nível dos requisitos de fundos próprios antes da primeira utilização «ao vivo» do AMA, vi) demonstrou ao longo de um período razoável que os novos sistemas e processos de comunicação de informações são sólidos e geram informações em matéria de gestão que a instituição pode utilizar para identificar e gerir o risco operacional;

Para efeitos da alínea a), a avaliação do cálculo efetuado deve abranger pelo menos dois trimestres consecutivos.

2. As autoridades competentes podem conceder autorização para utilização de um AMA sempre que a instituição comprove que continua a comparar continuamente o cálculo dos seus requisitos de fundos próprios para o risco operacional no âmbito do AMA com o cálculo pelo método menos sofisticado anteriormente aplicável, durante o período de um ano após a concessão da autorização.

SECÇÃO 3

Auditoria e validação interna

Artigo 16.o

Funcionamento da auditoria e da validação interna

1. As autoridades competentes devem avaliar em que medida as funções de auditoria e de validação interna de uma instituição confirmam que a gestão do risco operacional e os processos de medição aplicados para efeitos do AMA são fiáveis e eficazes na gestão e medição do risco operacional no âmbito da organização, verificando pelo menos:

a) Que a função de validação interna fornece um parecer fundamentado e devidamente informado, pelo menos anualmente, sobre se o sistema de medição do risco operacional funciona como previsto e se os resultados do modelo são adequados para os diversos fins internos e de supervisão a que se destinam;

b) Que a função de auditoria verifica a integridade das políticas, processos e procedimentos em matéria de risco operacional, avaliando se cumprem os requisitos regulamentares e os controlos estabelecidos, pelo menos anualmente e, em especial, que essa mesma função de auditoria avalia a qualidade das fontes e dos dados utilizados para fins de medição e gestão dos riscos operacionais;

c) Que as funções de auditoria e validação interna dispõem de um programa de revisão que abrange os aspetos do AMA incluídos no presente regulamento e é regularmente atualizado em relação: i) ao desenvolvimento de procedimentos internos para identificar, medir e avaliar, monitorizar, controlar e reduzir o risco operacional, ii) à aplicação de novos produtos, processos e sistemas que sujeitam a instituição a um risco operacional significativo;

d) Que a validação interna é efetuada por recursos qualificados, independentes das unidades validadas;

e) Que, nos casos em que as atividades de auditoria são realizadas por funções de auditoria internas ou externas ou por entidades externas qualificadas, estas são independentes do processo ou do sistema a avaliar e, se forem externalizadas, que o órgão de administração e a direção de topo da instituição continuam a ser responsáveis por assegurar que as funções externalizadas são realizadas em conformidade com o plano de auditoria aprovado da instituição;

f) Que as revisões da auditoria e da validação interna sobre o quadro do AMA estão devidamente documentadas e os seus resultados são distribuídos aos destinatários adequados nas instituições, incluindo, se for caso disso, os comités de risco, a função de gestão do risco operacional, os quadros de gestão dos segmentos de negócio e outro pessoal relevante;

g) Que os resultados das revisões da auditoria e da validação interna são resumidos e comunicados, pelo menos anualmente, ao órgão de administração da instituição ou a um comité por este designado, para aprovação;

h) Que a análise e a aprovação da eficácia do quadro do AMA da instituição são efetuadas pelo menos uma vez por ano.

Artigo 17.o

Governação da auditoria e da validação interna

As autoridades competentes devem avaliar se a governação da auditoria e da validação interna da instituição é de boa qualidade, confirmando pelo menos:

a) Que os programas de auditoria para a revisão do quadro do AMA abrangem todas as atividades importantes que possam expor a instituição a um risco operacional significativo, incluindo as atividades externalizadas;

b) Que as técnicas de validação interna são proporcionais à evolução do mercado e às condições de funcionamento e que os seus resultados são objeto de análise da auditoria.

SECÇÃO 4

Qualidade dos dados e infraestrutura informática

Artigo 18.o

Qualidade dos dados

1. As autoridades competentes devem avaliar a medida em que a qualidade dos dados utilizados por uma instituição no quadro do AMA é mantida, e que os procedimentos de recolha e manutenção são regularmente analisados por essa instituição, verificando se a mesma dispõe pelo menos dos seguintes conjuntos de dados:

a) Dados que permitam elaborar e acompanhar o seu historial de risco operacional, constituídos por dados internos e externos, análise de cenários e fatores relativos ao contexto económico e ao controlo interno;

b) Dados complementares, incluindo os parâmetros, resultados e informações obtidas a partir dos modelos.

2. Para efeitos do n.o 1, as autoridades competentes devem confirmar que a instituição definiu dimensões de qualidade dos dados apropriadas, de modo a apoiar eficazmente o seu sistema de medição e o seu processo de gestão do risco operacional, e que respeita regularmente as dimensões definidas.

3. Para efeitos do n.o 1, as autoridades competentes devem confirmar que as dimensões da qualidade dos dados da instituição cumprem no mínimo as seguintes condições:

a) Assumem uma amplitude, profundidade e alcance suficientes para a tarefa em causa;

b) Correspondem às necessidades atuais e potenciais dos utilizadores;

c) São rapidamente atualizadas;

d) São adequadas e coerentes com o âmbito da sua utilização;

e) Representam com exatidão o fenómeno do mundo real que pretendem representar;

f) Não violam qualquer regra da atividade, numa base de dados que deve ser mantida de forma estática e dinâmica.

4. Para efeitos do n.o 1, as autoridades competentes devem confirmar que a instituição dispõe de documentação adequada para a conceção e manutenção das bases de dados utilizadas no quadro do seu AMA e que essa documentação inclui pelo menos:

a) Um mapa global das bases de dados envolvidas no sistema de medição do risco operacional, com as respetivas descrições;

b) Uma política de dados e uma declaração de responsabilidade;

c) Descrições dos fluxos de trabalho e procedimentos relacionados com a recolha e o armazenamento dos dados;

d) Uma declaração que contemple todas as insuficiências identificadas nas bases de dados utilizadas nos processos de validação e revisão e uma declaração sobre a forma como a instituição tenciona corrigir ou reduzir as insuficiências detetadas.

5. As autoridades competentes devem confirmar que as políticas relativas ao CVDS do AMA são aprovadas pelo órgão de administração e pela direção de topo da instituição.

6. Sempre que a instituição utilize fontes de dados externas, deve assegurar o cumprimento das disposições previstas no presente artigo.

Artigo 19.o

Avaliação de supervisão da infraestrutura informática.

1. As autoridades competentes devem avaliar em que medida uma instituição garante a solidez, robustez e o desempenho da infraestrutura informática utilizada para efeitos do AMA, confirmando pelo menos:

a) Que os sistemas e a infraestrutura informática utilizada pela instituição para efeitos do AMA são sólidos e resistentes e que essas características podem ser mantidas de forma contínua;

b) Que o CVDS aplicado para efeitos do AMA é sólido e adequado no que respeita aos seguintes elementos: i) gestão dos projetos, gestão do risco e governação, ii) engenharia, garantia da qualidade e planeamento dos testes, iii) modelação e desenvolvimento dos sistemas, iv) garantia de qualidade de todas as atividades, incluindo a revisão dos códigos e, se for caso disso, a verificação desses mesmos códigos, v) realização de testes, incluindo a aceitação por parte dos utilizadores;

c) Que a infraestrutura informática utilizada pela instituição para efeitos do AMA é sujeita a processos de gestão da configuração, das alterações e das diferentes versões;

d) Que o CVDS e os planos de contingência previstos para efeitos do AMA são aprovados pelo órgão de administração ou pela direção de topo da instituição e que esses órgãos são regularmente informados sobre o desempenho da infraestrutura informática utilizada para efeitos do AMA.

2. Sempre que a instituição subcontratar partes da manutenção das infraestruturas informáticas utilizadas para efeitos do AMA, deve assegurar o cumprimento das disposições previstas no presente artigo.

CAPÍTULO 3

NORMAS QUANTITATIVAS

SECÇÃO 1

Utilização de dados internos, dados externos, análise de cenários e fatores relativos ao contexto económico e ao controlo interno («os quatro elementos»)

Artigo 20.o

Princípios gerais

As autoridades competentes devem avaliar a conformidade de uma instituição com as normas referentes à utilização de dados internos, dados externos, análise de cenários e fatores relativos ao contexto económico e ao controlo interno («os quatro elementos»), como referido no artigo 322.o do Regulamento (UE) n.o 575/2013, verificando pelo menos:

a) Que a instituição dispõe de documentação interna indicando em pormenor a forma como os quatro elementos são recolhidos, combinados e/ou ponderados, incluindo uma descrição do processo de modelação que ilustre a utilização e a combinação dos quatro elementos e os motivos que estão na base das opções de modelação;

b) Que a instituição tem uma compreensão clara do modo como cada um dos quatro elementos influenciam os requisitos de fundos próprios correspondentes ao AMA;

c) Que a combinação dos quatro elementos utilizada pela instituição tem por base uma metodologia estatística sólida, suficiente para estimativas com percentis elevados;

d) Que na recolha, produção e tratamento de informações sobre os quatro elementos a instituição aplica pelo menos: i) os critérios estabelecidos nos artigos 21.o a 24.o em relação aos dados internos, ii) os critérios estabelecidos no artigo 25.o em relação aos dados externos, iii) os critérios estabelecidos no artigo 26.o em relação à análise de cenários, iv) os critérios estabelecidos no artigo 27.o em relação aos fatores relativos ao contexto económico e ao controlo interno.

SUBSECÇÃO 1

Dados internos

Artigo 21.o

Características dos dados internos

As autoridades competentes devem avaliar a conformidade de uma instituição com as normas relativas às características dos dados internos, como referido no artigo 20.o, alínea d), subalínea i), verificando pelo menos:

a) Que a instituição reúne todos os dados a seguir indicados quanto a um grupo de forma clara e coerente: i) a perda bruta causada pela ocorrência de um evento de risco operacional, ii) as recuperações;

b) Que a instituição é capaz de identificar separadamente o montante das perdas brutas, as recuperações provenientes de seguros e outros mecanismos de transferência de risco (a seguir designados pelo acrónimo «OMTR») e as recuperações não provenientes de seguros e OMTR na sequência de um evento de risco operacional, com exceção das perdas parcial ou integralmente recuperadas no prazo de cinco dias úteis;

c) Que a instituição aplica um sistema para definir e justificar limiares de recolha de dados apropriados com base no montante das perdas brutas;

d) Que a categoria de risco operacional é razoável e não omite dados relativos a perdas que sejam significativos para uma medição eficaz do risco operacional e para a gestão do risco;

e) Que, em relação a cada uma das perdas, a instituição é capaz de identificar e registar pelo menos os seguintes elementos na base de dados interna: i) a data da ocorrência ou de início da ocorrência do evento ligados ao risco operacional, se disponíveis, ii) a data da constatação do evento de risco operacional, iii) a data de contabilização.

Artigo 22.o

Âmbito das perdas por risco operacional

1. As autoridades competentes devem confirmar que uma instituição identifica, recolhe e trata os elementos de perda gerados por um evento de risco operacional, como referido no artigo 20.o, alínea d), subalínea i), verificando se a instituição inclui pelo menos os seguintes elementos no âmbito da perda por risco operacional, tanto para efeitos de gestão do risco operacional como de cálculo dos requisitos de fundos próprios correspondentes ao AMA:

a) Encargos diretos, incluindo imparidades e custos de liquidação, registados na conta de resultados e depreciações devidas ao evento de risco operacional;

b) Custos suportados em resultado do evento de risco operacional, incluindo: i) despesas externas diretamente associadas ao evento de risco operacional, incluindo despesas judiciais e honorários pagos a consultores, advogados ou fornecedores, ii) custos de reparação ou substituição para restabelecer a situação existente antes do evento de risco operacional, quer sob a forma de valores exatos ou, se estes não estiverem disponíveis, de estimativas;

c) Provisões ou reservas contabilizadas na conta de resultados para cobertura das prováveis perdas devidas ao risco operacional, nomeadamente resultantes de eventos relacionados com conduta irregular;

d) Perdas pendentes, sob a forma de perdas decorrentes de um evento de risco operacional, que se encontram temporariamente registadas em contas transitórias ou provisórias e não estão ainda refletidas nos resultados, que se prevê venham a ser incluídas num prazo compatível com a dimensão e a duração do elemento pendente;

e) Receitas não cobradas significativas, relativas a obrigações contratuais perante terceiros, incluindo a decisão de compensar um cliente na sequência do evento de risco operacional, não através de um reembolso ou pagamento direto mas sim através de um ajustamento das receitas, dispensando ou reduzindo taxas contratuais durante um determinado período futuro;

f) Perdas temporárias, quando abrangem mais do que um exercício financeiro e dão origem a riscos jurídicos.

2. Para efeitos do n.o 1, as autoridades competentes podem, na medida do apropriado, confirmar que a instituição identifica, recolhe e procede ao tratamento para fins de gestão do risco operacional, de quaisquer elementos adicionais que resultem de um evento de risco operacional significativo, incluindo:

a) Um quase-incidente, sob a forma de uma perda nula causada por um evento de risco operacional, incluindo uma falha do sistema informático na sala de negociação fora do horário de funcionamento mas perto da sua abertura ou encerramento;

b) Um ganho resultante de um evento de risco operacional;

c) Custos de oportunidade, sob a forma de um aumento dos custos ou de uma quebra das receitas devido a eventos de risco operacional que impeçam a futura realização de negócios indeterminados, incluindo custos de pessoal não orçamentados, perdas de receitas e custos de projeto relacionados com a melhoria dos procedimentos;

d) Custos internos, incluindo horas extraordinárias ou prémios.

3. Para efeitos do n.o 1, as autoridades competentes devem igualmente confirmar que a instituição exclui os seguintes elementos do âmbito das perdas por risco operacional:

a) Custos dos contratos de manutenção geral de ativos fixos tangíveis;

b) Despesas internas ou externas para promover a atividade após a ocorrência de um evento de risco operacional, incluindo iniciativas a nível de modernização, melhorias, avaliação dos riscos e dinamização dessa atividade;

c) Prémios de seguro.

Artigo 23.o

Montante das perdas registadas em elementos de risco operacional

1. As autoridades competentes devem confirmar que uma instituição regista o montante das perdas geradas por um evento de risco operacional, como referido no artigo 20.o, alínea d), subalínea i), verificando pelo menos:

a) Que o montante total das perdas ou das despesas suportadas, incluindo provisões, custos de liquidação, os montantes pagos para reparar os danos, sanções, juros de mora e despesas jurídicas, é considerado como o montante das perdas registadas tanto para efeitos de gestão dos riscos operacionais como de cálculo dos requisitos de fundos próprios correspondentes ao AMA, salvo especificação em contrário;

b) Que, nos casos em que o evento de risco operacional esteja relacionado com o risco de mercado, a instituição inclui os custos de liquidação das posições no mercado no montante das perdas registadas nos elementos ligados ao risco operacional; e que, nos casos em que a posição é intencionalmente deixada em aberto após a identificação do evento de risco operacional, qualquer parte da perda devida a condições de mercado desfavoráveis após essa decisão de manter a posição em aberto não será incluída no montante das perdas registadas nos elementos ligados ao risco operacional;

c) Que, nos casos em que os pagamentos de impostos se referem a deficiências ou processos inadequados da instituição, esta inclui no montante das perdas registadas dos elementos de risco operacional as despesas suportadas em resultado do evento de risco operacional, incluindo sanções, encargos com juros, encargos com juros de mora e despesas jurídicas, com exclusão do montante do imposto inicialmente devido;

d) Que, nos casos em que ocorram perdas temporárias e o evento de risco operacional afete diretamente terceiros, incluindo clientes, fornecedores e empregados da instituição, esta inclui também no montante das perdas registadas no elemento ligado ao risco operacional a correção das suas demonstrações financeiras.

2. Para efeitos do disposto no n.o 1, nos casos em que o evento de risco operacional conduza a um evento de perda que seja, em parte, rapidamente recuperada, as autoridades competentes devem aceitar a inclusão no montante das perdas registadas pela instituição apenas da parte da perda que não for rapidamente recuperada em conformidade com o disposto no artigo 21.o, alínea b).

Artigo 24.o

Perdas por risco operacional relacionadas com o risco de crédito

1. As autoridades competentes devem confirmar que uma instituição identifica, recolhe e procede ao tratamento das perdas por risco operacional relacionadas com o risco de crédito, como referido no artigo 20.o, alínea d), subalínea i), verificando se a instituição inclui no âmbito das suas perdas por risco operacional, para efeitos de gestão desses riscos, pelo menos os seguintes elementos:

a) Fraudes cometidas por um cliente da instituição, por iniciativa própria, ocorridas num produto ou processo de crédito na fase inicial do ciclo de vida de uma relação de crédito, incluindo as tentativas de influenciar decisões de crédito com base em documentos falsificados ou demonstrações financeiras incorretas, como a inexistência ou sobrestimação de cauções ou comprovativos de salário falsificados;

b) Fraudes cometidas por usurpação da identidade de outra pessoa, sem o conhecimento desta, incluindo pedidos de empréstimo através de usurpação eletrónica dos dados dos clientes, de identidades fictícias ou da utilização fraudulenta de cartões de crédito dos clientes.

2. Para efeitos do n.o 1, as autoridades competentes devem confirmar que a instituição toma pelo menos as seguintes medidas:

a) Adapta o limiar para a recolha de dados relativos aos eventos de perda descritos no n.o 1, colocando-o a níveis comparáveis aos das restantes categorias de risco operacional do quadro do AMA, se adequado;

b) Inclui na perda bruta relativa aos eventos descritos no n.o 1 o montante total em dívida no momento ou após a constatação da fraude, bem como quaisquer eventuais despesas conexas, incluindo os juros de mora e as despesas jurídicas.

Artigo 25.o

Dados externos

As autoridades competentes devem avaliar a conformidade de uma instituição com as normas relativas às características dos dados externos, como referido no artigo 20.o, alínea d), subalínea ii), verificando pelo menos:

a) Que, no caso de a instituição participar em iniciativas de consórcio para a recuperação de eventos e perdas por risco operacional, a instituição está apta a fornecer dados de qualidade idêntica, em termos de alcance, integridade e exaustividade, à dos dados internos que cumprem as normas referidas nos artigos 21.o, 22.o, 23.o e 24.o, e que o faz de forma coerente com o tipo de dados solicitados pelas normas desses consórcios em matéria de comunicação de informações;

b) Que a instituição dispõe de um processo de filtragem dos dados que lhe permite selecionar os dados externos relevantes, com base em determinados critérios estabelecidos, e assegurar-se de que os dados externos utilizados são relevantes e compatíveis com o seu perfil de risco;

c) Que, para evitar distorções nas estimativas dos parâmetros, o processo de filtragem conduz a uma seleção coerente dos dados, independentemente do montante das perdas, e que, caso autorize exceções a esse processo de filtragem, a instituição dispõe de uma política que prevê critérios para essas isenções e documentação comprovativa do fundamento das mesmas;

d) Que, no caso de a instituição adotar um processo de ajustamento de escala dos dados que envolva o ajustamento dos montantes das perdas comunicadas nos dados externos, ou das respetivas distribuições, por forma a que se enquadrem com as atividades, a natureza e o perfil de risco da instituição, esse processo de ajustamento seja sistemático e estatisticamente justificado e apresente resultados coerentes com o perfil de risco da instituição;

e) Que o processo de ajustamento de escala da instituição é coerente ao longo do tempo e a sua validade e eficácia são regularmente revistas.

Artigo 26.o

Análise de cenários

1. As autoridades competentes devem avaliar a conformidade de uma instituição com as normas relativas à análise de cenários, como referido no artigo 20.o, alínea d), subalínea iii), verificando pelo menos:

a) Que a instituição dispõe de um sólido quadro de governação no que respeita aos processos que envolvem cenários, quadro esse que permite obter estimativas credíveis e fiáveis, mesmo quando o cenário seja utilizado para avaliar eventos de elevada severidade ou a exposição global aos riscos operacionais;

b) Que o processo de definição dos cenários é claramente definido, devidamente documentado, replicável e concebido por forma a reduzir tanto quanto possível a subjetividade e as eventuais distorções, nomeadamente: i) a subavaliação do risco devido ao número reduzido de eventos observados, ii) a deturpação da informação devido a conflitos entre os interesses dos avaliadores do cenário e os objetivos e consequências da avaliação, iii) a sobrestimação de eventos com proximidade temporal em relação aos avaliadores do cenário, iv) a distorção da avaliação devido às categorias segundo as quais as respostas são apresentadas, v) as distorções na informação apresentada em materiais de apoio para as perguntas do inquérito ou nas próprias perguntas.

c) Que estejam presentes facilitadores experientes e qualificados que assegurem a coerência do processo;

d) Que os pressupostos utilizados no processo dos cenários se baseiam, na medida do possível, nos dados internos e externos relevantes, de acordo com um processo de seleção objetivo e imparcial;

e) Que o número de cenários escolhido e o nível ou as unidades em que são estudados são realistas e explicados de forma adequada, e que as estimativas desses mesmos cenários tomam em consideração as alterações relevantes nos contextos internos e externos que possam afetar a exposição da instituição ao risco operacional;

f) Que as estimativas dos cenários são geradas tendo em conta os possíveis ou prováveis eventos de risco operacional que ainda não se concretizaram, total ou parcialmente, numa perda por risco operacional;

g) Que o processo e as estimativas dos cenários estão sujeitos a um rigoroso processo de questionamento e controlo.

Artigo 27.o

Fatores relativos ao contexto económico e ao controlo interno

As autoridades competentes devem avaliar a conformidade de uma instituição com as normas ligadas aos fatores relativos ao contexto económico e ao controlo interno, como referido no artigo 20.o, alínea d), subalínea iv), verificando pelo menos:

a) Que os fatores relativos ao contexto económico e ao controlo interno da instituição são prospetivos e refletem as potenciais fontes de risco operacional, incluindo o crescimento rápido, a introdução de novos produtos, a rotação do pessoal e as falhas dos sistemas;

b) Que a instituição dispõe de orientações políticas claras que limitam a amplitude das reduções dos requisitos de fundos próprios correspondentes ao AMA, resultantes de ajustamentos dos fatores relativos ao contexto económico e ao controlo interno;

c) Que os ajustamentos dos fatores relativos ao contexto económico e ao controlo interno referidos na alínea b) são justificados e que a adequação do seu nível é confirmada pela comparação, ao longo do tempo, com a orientação e dimensão dos dados internos reais sobre as perdas, as condições do contexto económico e as alterações na eficácia validada dos controlos.

SECÇÃO 2

Principais pressupostos de modelação do sistema de medição do risco operacional

Artigo 28.o

Avaliação geral

As autoridades competentes devem avaliar as normas da instituição em relação aos principais pressupostos de modelação do sistema de medição do risco operacional, como referido no artigo 322.o, n.o 2, alíneas a) e c), do Regulamento (UE) n.o 575/2013, verificando pelo menos:

a) Que a instituição desenvolve, aplica e mantém um sistema de medição do risco operacional bem constituído sob o ponto de vista metodológico, eficaz em termos de deteção dos riscos operacionais reais e potenciais e sólido e fiável na geração dos requisitos de fundos próprios correspondentes ao AMA;

b) Que a instituição dispõe de políticas adequadas no que respeita à definição do conjunto de dados de cálculo, em conformidade com o artigo 29.o;

c) Que a instituição aplica o nível adequado de granularidade no seu modelo, em conformidade com o artigo 30.o;

d) Que a instituição dispõe de um processo adequado para a identificação das distribuições das perdas, em conformidade com o artigo 31.o;

e) Que a instituição determina as distribuições das perdas agregadas e as medições do risco de forma adequada, em conformidade com o artigo 32.o.

Artigo 29.o

Definição do conjunto de dados de cálculo

Para avaliar se uma instituição dispõe de políticas adequadas no que respeita à definição do conjunto de dados de cálculo, como referido no artigo 28.o, alínea b), as autoridades competentes devem confirmar pelo menos:

a) Que a instituição define critérios e exemplos específicos para a classificação e tratamento dos eventos de risco operacional e das perdas no conjunto de dados de cálculo e que esses critérios e exemplos asseguram um tratamento coerente dos dados relativos às perdas a todos os níveis da instituição;

b) Que a instituição não utiliza perdas líquidas de recuperações de seguros e de recuperações de OMTR no conjunto de dados de cálculo;

c) Que a instituição adotou, no que se refere às categorias de risco operacional com frequência reduzida de eventos, um período de observação mais longo do que o mínimo previsto no artigo 322.o, n.o 3, alínea a), do Regulamento (UE) n.o 575/2013;

d) Que a instituição, no âmbito da definição do conjunto de dados de cálculo para efeitos de estimativa das distribuições de frequência e severidade, utiliza apenas a data de constatação ou a data da contabilização, e uma data não posterior à data de contabilização para incluir nos dados de cálculo as perdas ou provisões relativas aos riscos jurídicos;

e) Que a escolha da instituição do limiar mínimo de modelação não afeta negativamente a exatidão das medidas do risco operacional e que a utilização de limiares mínimos de modelação muito superiores aos limiares de recolha de dados é limitada e, quando aplicada, é devidamente justificada pela análise de sensibilidade dos diferentes limiares realizada pela instituição;

f) Que a instituição inclui todas as perdas operacionais acima do limiar mínimo de modelação escolhido no cálculo dos dados e que os utiliza, independentemente do seu nível, para gerar os requisitos de fundos próprios correspondentes ao AMA;

g) Que a instituição aplica taxas de ajustamento adequadas aos dados quando os efeitos da inflação ou deflação são significativos;

h) Que as perdas causadas por um evento-raiz sob a forma de um evento de risco operacional comum ou por múltiplos eventos ligados a um evento de risco operacional inicial que originam eventos ou perdas são agrupadas e integradas pela instituição no conjunto de dados como uma única perda;

i) Que todas as possíveis exceções ao tratamento previsto na alínea h) são devidamente documentados e justificados para evitar uma redução indevida dos requisitos de fundos próprios correspondentes ao AMA;

j) Que a instituição não elimina do conjunto de dados de cálculo do AMA ajustamentos significativos das perdas por risco operacional relativas a eventos únicos ou eventos ligados, se a data de referência dos referidos ajustamentos for abrangida pelo período de observação e a data de referência do evento único inicial ou do evento-raiz a que se refere a alínea h) se situar fora desse período;

k) Que a instituição é capaz de distinguir, em relação a cada exercício de referência incluído no período de observação, entre os montantes das perdas relacionadas com eventos detetados ou contabilizados nesse exercício e os montantes das perdas pertinentes para efeitos de ajustamento ou agrupamento de eventos detetados ou contabilizados em exercícios anteriores.

Artigo 30.o

Granularidade

Para avaliar se uma instituição aplica o nível de granularidade adequado no seu modelo, como referido no artigo 28.o, alínea c), as autoridades competentes devem confirmar pelo menos:

a) Que a instituição tem em conta a natureza, complexidade e as idiossincrasias das suas atividades de negócio e os riscos operacionais a que está exposta, sempre que agrupa risco com fatores comuns e define as categorias de risco operacional de um AMA;

b) Que a instituição justifica a sua escolha do nível de granularidade das respetivas categorias de risco operacional com base em meios qualitativos e quantitativos e classifica as categorias de risco operacional com base em dados fixos, independentes e homogéneos;

c) Que a escolha da instituição quanto ao nível de granularidade das suas categorias de risco operacional é realista e não afeta negativamente a prudência dos resultados do modelo ou das suas partes;

d) Que a instituição analisa regularmente a escolha do nível de granularidade das suas categorias de risco operacional, com vista a garantir que continua a ser adequado.

Artigo 31.o

Identificação das distribuições das perdas

A fim de avaliar se uma instituição dispõe de um processo adequado para a identificação das distribuições de frequência e severidade das perdas, como referido no artigo 28.o, alínea d), as autoridades competentes devem confirmar pelo menos:

a) que a instituição aplica um processo bem definido, documentado e rastreável para a seleção, atualização e revisão das distribuições das perdas e para a estimativa dos respetivos parâmetros;

b) Que o processo de seleção das distribuições das perdas propicia escolhas claras e coerentes pela instituição, reflete adequadamente o perfil de risco na «aba» e inclui pelo menos: i) um processo de utilização de instrumentos estatísticos, incluindo gráficos, medidas do centro, da variação, da assimetria e da leptocurtose para investigar o conjunto de dados de cálculo para cada categoria de risco operacional, com vista a compreender melhor o perfil estatístico dos dados e a selecionar a distribuição mais adequada, ii) técnicas adequadas para a estimativa dos parâmetros de distribuição, iii) ferramentas de diagnóstico adequadas para avaliar as distribuições dos dados, dando preferência às que sejam mais sensíveis em relação à «aba»;

c) Que, durante a seleção de uma distribuição das perdas, a instituição pondera cuidadosamente a assimetria positiva e a leptocurtose dos dados;

d) Que, nos casos em que os dados estão bastante dispersos na «aba», não são utilizadas curvas empíricas para estimar a área dessa mesma «aba», mas são em vez disso utilizadas distribuições subexponenciais cuja «aba» diminui mais lentamente do que se fossem utilizadas distribuições exponenciais, a menos que existam motivos excecionais para aplicar outras funções, que são de qualquer modo devidamente tratadas e inteiramente justificadas para evitar uma redução indevida dos requisitos de fundos próprios correspondentes ao AMA;

e) Que, se forem utilizadas distribuições separadas das perdas para o «corpo» e para a «aba», a instituição pondera cuidadosamente a escolha do limiar de modelação «corpo»-«aba»;

f) Que é proporcionado apoio estatístico documentado, complementado por elementos qualitativos, quanto ao limiar de modelação «corpo»-«aba» selecionado;

g) Que, no decurso da estimativa dos parâmetros da distribuição, a instituição reflete o caráter incompleto do conjunto de dados de cálculo devido à existência de limiares mínimos de modelação no modelo ou que justifica a utilização de um conjunto de dados de cálculo incompleto com base no facto de não prejudicar a exatidão das estimativas dos parâmetros e os requisitos de fundos próprios correspondentes ao AMA;

h) Que a instituição instituiu metodologias com vista a reduzir a variabilidade das estimativas dos parâmetros e fornece medidas das taxas de erro em torno destas estimativas, incluindo intervalos de confiança e valores p;

i) Que, se a instituição adotar estimadores sólidos através de generalizações de estimadores clássicos, com boas propriedades estatísticas, incluindo uma eficiência elevada e um enviesamento reduzido para a totalidade da área próxima da distribuição subjacente e desconhecida dos dados, pode demonstrar que a sua utilização não subestima o risco na «aba» da distribuição das perdas;

j) Que a instituição avalia a adequação do ajustamento entre os dados e a distribuição escolhida através da utilização de instrumentos de diagnóstico de natureza tanto gráfica quanto quantitativa, mais sensíveis à «aba» do que ao «corpo» dos dados, nomeadamente quando os dados se encontram muito dispersos na «aba»;

k) Que, se for caso disso, nomeadamente quando esses instrumentos de diagnóstico não conduzirem a uma escolha clara para a distribuição com melhor ajustamento aos dados ou para reduzir o efeito da dimensão da amostra e do número de parâmetros estimados nos testes de adequação do ajustamento, a instituição utiliza métodos de avaliação que comparam o desempenho das distribuições das perdas, nomeadamente o teste dos rácios de probabilidade, o critério de informação de Akaike e o critério de Schwarz Bayesian;

l) Que a instituição tem um ciclo regular para controlo dos pressupostos subjacentes às distribuições das perdas selecionadas e que, quando os pressupostos são invalidados, nomeadamente por gerarem valores fora dos intervalos estabelecidos, a instituição testou métodos alternativos e classificou corretamente as eventuais alterações aos pressupostos, em conformidade com o Regulamento Delegado (UE) n.o 529/2014 da Comissão (5).

Artigo 32.o

Determinação das distribuições das perdas agregadas e das medições do risco

A fim de avaliar se uma instituição determina de forma adequada as distribuições das perdas agregadas e as medições do risco, como referido no artigo 28.o, alínea e), as autoridades competentes devem confirmar pelo menos:

a) Que as técnicas elaboradas pela instituição para esse efeito asseguram níveis adequados de precisão e estabilidade das medições do risco;

b) Que as medições do risco são complementadas com informações sobre o respetivo nível de precisão;

c) Que, independentemente das técnicas utilizadas para agregar as distribuições da frequência e severidade das perdas, incluindo simulações de Monte Carlo, métodos ligados à transformação de Fourier, o algoritmo de Panjer e aproximações de perdas únicas, a instituição adota critérios que reduzem os erros relacionados com a amostra e com fatores numéricos e estabelece uma medição da magnitude desses erros;

d) Que, no caso de serem utilizadas simulações de Monte Carlo, o número de passos a realizar é coerente com a forma das distribuições e com o nível de confiança a atingir;

e) Que, quando a distribuição das perdas apresenta uma «aba pesada» e é medida com um nível de confiança elevado, o número de passos é suficientemente grande para reduzir a variabilidade da amostragem para um nível aceitável;

f) Que, caso seja utilizada a transformação de Fourier ou outros métodos numéricos, as questões ligadas à estabilidade do algoritmo e à propagação dos erros são atentamente ponderadas;

g) Que a medição do risco gerada pelo sistema de medição do risco operacional da instituição cumpre o princípio do risco monotónico, como comprovado pela geração de requisitos de fundos próprios mais elevados quando o perfil de risco subjacente aumenta e de requisitos de fundos próprios mais reduzidos quando o perfil de risco subjacente diminui;

h) Que a avaliação pela instituição do risco gerado pelo sistema de medição do risco operacional é realista na perspetiva económica e de gestão, e ainda que a instituição aplica técnicas adequadas para evitar limitar a perda individual máxima, a menos que indique uma justificação objetiva clara para a existência de um limite superior, e para evitar implicar a não existência do primeiro momento estatístico da distribuição;

i) Que a instituição avalia explicitamente a solidez dos resultados do sistema de medição do risco operacional mediante a realização de análises de sensibilidade adequadas dos dados de cálculo ou dos respetivos parâmetros.

SECÇÃO 3

Perdas esperadas e correlação

Artigo 33.o

Perdas esperadas

As autoridades competentes devem avaliar as normas da instituição relativas às perdas esperadas, como referido no artigo 322.o, n.o 2, alínea a), do Regulamento (UE) n.o 575/2013, confirmando que, quando a instituição calcula os requisitos de fundos próprios correspondentes ao AMA apenas em relação às perdas não esperadas, cumpre pelo menos os seguintes requisitos:

a) A metodologia da instituição para a estimação das perdas esperadas é coerente com o sistema de medição do risco operacional para a estimação dos requisitos de fundos próprios correspondentes ao AMA, que inclui tanto as perdas esperadas como as perdas não esperadas, e que o processo de estimação das perdas esperadas é feito por categoria de risco operacional e é coerente ao longo do tempo;

b) A instituição define as perdas esperadas utilizando métodos estatísticos que são menos sensíveis às perdas extremas, incluindo a mediana e a média truncada, especialmente no caso de dados que correspondem a uma «aba» de média ou grande dimensão relativa;

c) Que o limite máximo de compensação para as perdas esperadas aplicado pela instituição está sujeito ao total das perdas esperadas e que o limite máximo de compensação para as perdas esperadas em cada categoria de risco operacional está sujeito às respetivas perdas esperadas relevantes calculadas de acordo com o sistema de medição do risco operacional da instituição aplicado à categoria em causa;

d) Que as compensações que a instituição autoriza para as perdas esperadas em cada categoria de risco operacional são substitutos de capital ou se encontram de outro modo disponíveis para cobrir as perdas esperadas com um elevado grau de certeza durante o período de um exercício;

e) Que caso a compensação não corresponda a provisões, a instituição limita a disponibilidade da compensação às operações que envolvem perdas com um elevado grau de previsibilidade, estabilidade e frequência;

f) Que a instituição não utiliza as reservas específicas para eventos de perdas por risco operacional excecionais já registados como compensações por perdas esperadas;

g) Que a instituição documenta claramente o modo como as suas perdas esperadas são medidas e constatadas, incluindo a forma como quaisquer compensações das perdas esperadas preenchem as condições enunciadas nas alíneas de a) a f).

Artigo 34.o

Correlação

As autoridades competentes devem avaliar as normas de uma instituição relativas às correlações, como referido no artigo 322.o, n.o 2, alínea d), do Regulamento (UE) n.o 575/2013, confirmando se, quando a instituição calcula os requisitos de fundos próprios correspondentes ao AMA reconhecendo uma correlação apenas parcial entre as diferentes estimativas do risco operacional, cumpre pelo menos os seguintes requisitos:

a) A instituição analisa cuidadosamente quaisquer formas de dependência linear ou não linear, relativamente a todos os dados, quer para o «corpo» quer para a «aba», entre duas ou mais categorias de risco operacional ou no interior de uma categoria de risco operacional;

b) A instituição apoia os seus pressupostos em matéria de correlação, na medida do possível, numa combinação adequada de análises de dados empíricos e da apreciação por peritos;

c) As perdas dentro de cada categoria de risco operacional são independentes entre si;

d) Se a condição prevista na alínea c) não for cumprida, as perdas dependentes são agregadas;

e) Apenas nos casos em que nenhuma das condições enunciadas nas alíneas c) ou d) esteja preenchida, a dependência dentro das categorias de risco operacional é devidamente modelizada;

f) A instituição tem em devida consideração a dependência entre os eventos de «aba»;

g) A instituição não baseia a estrutura de dependência em distribuições gaussianas ou normais;

h) Todos os pressupostos em matéria de dependência utilizados pela instituição são prudentes, tendo em conta as incertezas relacionadas com a modelação da dependência para o risco operacional, e o grau de prudência utilizado pela instituição aumenta à medida que diminuem o rigor dos pressupostos de dependência e a fiabilidade dos requisitos de fundos próprios resultantes;

i) A instituição justifica devidamente os pressupostos de dependência que utiliza e procede regularmente a análises de sensibilidade com vista a avaliar os efeitos dos pressupostos da dependência nos requisitos de fundos próprios correspondentes ao seu AMA.

SECÇÃO 4

Mecanismo de afetação de capital

Artigo 35.o

Coerência do sistema de medição do risco operacional

As autoridades competentes devem avaliar as normas da instituição relacionadas com a coerência interna do sistema de medição do risco operacional, como referido no artigo 322.o, n.o 2, alínea e), do Regulamento (UE) n.o 575/2013, confirmando pelo menos:

a) Que o mecanismo de afetação de capital da instituição é coerente com o seu perfil de risco e com a conceção global do sistema de medição do risco operacional;

b) Que a afetação dos requisitos de fundos próprios correspondentes ao AMA tem em conta as potenciais diferenças internas em termos de risco e de qualidade de gestão do risco operacional e de controlo interno entre as partes do grupo ao qual os requisitos de fundos correspondentes ao AMA são afetados;

c) Que não existem impedimentos diretamente observáveis, de direito ou de facto, atuais ou previstos, a uma transferência rápida de fundos próprios ou ao pronto reembolso de passivos;

d) Que a afetação dos requisitos de fundos próprios correspondentes ao AMA do nível do grupo consolidado para os níveis inferiores do grupo envolvidos no sistema de medição do risco operacional assenta em metodologias sólidas e, na medida do possível, sensíveis ao risco.

CAPÍTULO 4

SEGUROS E OUTROS MECANISMOS DE TRANSFERÊNCIA DE RISCO

Artigo 36.o

Princípios gerais

As autoridades competentes devem avaliar a conformidade da instituição com os requisitos relativos ao impacto dos seguros e OMTR no âmbito de um AMA, como referido na última frase do artigo 322.o, n.o 2, alínea e), e no artigo 323.o do Regulamento (UE) n.o 575/2013, confirmando pelo menos:

a) Que o prestador do seguro cumpre os requisitos de autorização a que se refere o artigo 323.o, n.o 2, do Regulamento (UE) n.o 575/2013, em conformidade com o artigo 37.o;

b) Que o seguro é prestado por uma entidade terceira, como referido no artigo 323.o, n.o 3, alínea e), do Regulamento (UE) n.o 575/2013, em conformidade com o artigo 38.o;

c) Que a instituição evita a múltipla contabilização das técnicas de redução do risco, como referido no artigo 322.o, n.o 2, alínea e), do Regulamento (UE) n.o 575/2013, em conformidade com o artigo 39.o;

d) Que o cálculo da redução do risco reflete adequadamente a cobertura de seguro, como referido no artigo 323.o, n.o 3, alínea d), do Regulamento (UE) n.o 575/2013, e que o enquadramento relativo ao reconhecimento dos seguros está bem fundamentado e documentado, como referido no artigo 323.o, n.o 3, na alínea f), do mesmo regulamento, incluindo os seguintes elementos: i) a cobertura de seguro está relacionada com o perfil de risco operacional da instituição, em conformidade com o artigo 40.o, ii) a instituição utiliza um cálculo sofisticado da redução do risco, em conformidade com o artigo 41.o, iii) o cálculo da redução do risco está alinhado com o perfil de risco operacional da instituição em tempo útil, em conformidade com o artigo 42.o;

e) Que a metodologia da instituição para o reconhecimento dos seguros abrange todos os elementos relevantes através da aplicação de fatores de desconto ou de correções de valor no montante do reconhecimento dos seguros, como referido no artigo 323.o, n.o 3, alíneas a) e b), e no artigo 323.o, n.o 4, do Regulamento (UE) n.o 575/2013, em conformidade com o artigo 43.o;

f) Que a instituição demonstra que se conseguiu um efeito significativo de redução do risco através da introdução de OMTR, como referido no artigo 323.o, n.o 1, segunda frase, do Regulamento (UE) n.o 575/2013, em conformidade com o artigo 44.o.

Artigo 37.o

Equivalência da autorização do prestador de seguros

Para efeitos da apreciação dos requisitos para a obtenção da autorização do prestador de seguros, como referido no artigo 36.o, alínea a), as autoridades competentes devem considerar que uma empresa autorizada num país terceiro cumpre os requisitos em matéria de autorização, sempre que essa empresa preencha requisitos prudenciais que sejam equivalentes aos aplicados na União, incluindo os requisitos a que se refere o artigo 323.o do Regulamento (UE) n.o 575/2013.

Artigo 38.o

Prestação de seguros por intermédio de terceiros

1. A fim de avaliar se a cobertura do seguro para efeitos dos requisitos de fundos próprios correspondentes ao AMA é prestada por uma entidade terceira, como referido no artigo 36.o, alínea b), as autoridades competentes devem confirmar, com base numa visão global da situação consolidada de uma instituição como referido no artigo 4.o, n.o 1, ponto 47, do Regulamento (UE) n.o 575/2013, que nem a instituição nem nenhuma outra das entidades incluídas no perímetro de consolidação tem uma participação ou uma participação qualificada, como referido no artigo 4.o, n.o 1, pontos 35 e 36, respetivamente, do Regulamento (UE) n.o 575/2013, na parte que presta o seguro.

2. Caso os requisitos previstos no n.o 1 só sejam cumpridos parcialmente, apenas aquela parte do seguro prestado cuja responsabilidade final incumbe a uma entidade terceira elegível pelo facto de o risco ser efetivamente transferido para fora das entidades consolidadas deve ser considerada como prestação de seguro efetuada por uma entidade terceira.

Artigo 39.o

Contabilização múltipla das técnicas de redução do risco

A fim de avaliar se a cobertura de seguro para efeitos dos requisitos de fundos próprios correspondentes ao AMA evita a contabilização múltipla das técnicas de redução do risco, como referido no artigo 36.o, alínea c), as autoridades competentes devem confirmar que a instituição adotou medidas razoáveis para assegurar que nem a instituição nem qualquer das entidades incluídas no perímetro de consolidação promovem intencionalmente contratos de resseguro que cubram eventos de risco operacional que constituem o objeto do acordo inicial de seguro subscrito pela instituição.

Artigo 40.o

Processo de identificação dos riscos de seguro

1. A fim de avaliar se a cobertura do seguro está relacionada com o perfil de risco de uma instituição, como referido no artigo 36.o, alínea d), subalínea i), as autoridades competentes devem confirmar que a instituição efetuou um processo de identificação dos riscos de seguro bem documentado e fundamentado, através do qual a instituição desenvolve uma cobertura de seguro coerente com a probabilidade e o impacto de todas as perdas por risco operacional que poderá eventualmente enfrentar.

2. Para efeitos do n.o 1, as autoridades competentes devem confirmar que a instituição cumpre pelo menos os seguintes critérios:

a) Estima a probabilidade de recuperação do seguro e o quadro temporal possível para a receção de pagamentos por parte das seguradoras, incluindo a possibilidade de a reclamação vir a ser objeto de litígio, a duração desse processo e as atuais taxas e condições de liquidação, com base na experiência da sua equipa de gestão do risco de seguros, apoiada quando necessário por peritos externos apropriados, incluindo assistência jurídica, corretores e transportadores;

b) Utiliza as estimativas resultantes da alínea a) para avaliar o desempenho do seguro em caso de perdas por risco operacional e concebe esse processo com vista a avaliar a resposta do seguro para que todos os dados pertinentes relativos a perdas e cenários sejam inseridos no sistema de medição do risco operacional;

c) Faz um levantamento exaustivo das apólices de seguro com base na sua avaliação resultante da alínea b) em relação aos riscos operacionais da própria instituição, ao nível máximo de pormenor, utilizando todas as fontes de informação disponíveis, incluindo dados internos, dados externos e estimativas de cenários;

d) Emprega um nível adequado de competências e procede a essa análise com transparência e coerência;

e) Atribui a importância adequada ao desempenho passado e previsto do seguro através de uma avaliação das componentes das apólices;

f) Obtém a aprovação formal do organismo ou comité de risco competente;

g) Reexamina periodicamente o processo de identificação dos seguros.

Artigo 41.o

Utilização de um sistema sofisticado de cálculo da redução do risco

A fim de avaliar se uma instituição utiliza um sistema sofisticado de cálculo da redução do risco, como referido no artigo 36.o, alínea d), subalínea ii), as autoridades competentes devem confirmar que o método de modelação para integrar a cobertura de seguros no AMA cumpre pelo menos os seguintes critérios:

a) É coerente com o sistema de medição do risco operacional adotado para quantificar as perdas brutas, antes da intervenção dos seguros;

b) É transparente na sua relação com a probabilidade efetiva e o impacto das perdas utilizados na determinação global pela instituição dos seus requisitos de fundos próprios correspondentes ao AMA, sendo igualmente coerente com essa relação.

Artigo 42.o

Alinhamento do cálculo de redução dos riscos com o perfil de risco operacional

Para avaliar se o cálculo de redução dos riscos está alinhado com o perfil de risco operacional de uma instituição em tempo útil, como referido no artigo 36.o, alínea d), subalínea iii), as autoridades competentes devem confirmar pelo menos:

a) Que a instituição analisou a utilização dos seguros e reviu os cálculos dos requisitos de fundos próprios correspondentes ao AMA, consoante o caso, nos casos em que a natureza dos seguros mudou significativamente ou em que houve uma alteração substancial do perfil de risco operacional da instituição;

b) Se forem registadas perdas materiais que afetem a cobertura do seguro, que a instituição recalcula os requisitos de fundos próprios correspondentes ao AMA com uma margem de prudência adicional;

c) Se houver uma anulação ou redução imprevista da cobertura do seguro, que a instituição está disposta a substituir imediatamente a apólice de seguro por condições e uma cobertura equivalentes ou melhores, ou a aumentar os seus requisitos de fundos próprios correspondentes ao AMA para um nível bruto, que não contemple cobertura de seguros;

d) que a instituição calcula o capital líquido e bruto, sem contabilizar a cobertura de seguro, a um nível de granularidade tão exaustivo que qualquer erosão do montante segurado disponível, nomeadamente devido ao pagamento de uma perda material ou a uma alteração da cobertura do seguro, possa ser imediatamente reconhecida pelo seu efeito nos requisitos de fundos próprios correspondentes ao AMA.

Artigo 43.o

Cobertura de todos os elementos pertinentes

1. A fim de avaliar se a metodologia de uma instituição para o reconhecimento dos seguros abrange todos os elementos pertinentes, através da aplicação de deduções ou correções de valor no montante reconhecido dos seguros, como referido no artigo 36.o, alínea e), as autoridades competentes devem confirmar pelo menos:

a) Que a instituição analisa os diversos fatores que criam o risco de o prestador de seguros não efetuar os pagamentos previstos e diminuir a eficácia da transferência do risco, incluindo a capacidade da seguradora para pagar atempadamente e a capacidade da instituição para identificar, analisar e comunicar qualquer sinistro em tempo oportuno;

b) Que a instituição analisa a forma como os diferentes fatores referidos na alínea a) afetaram o efeito da redução do seguro no perfil de risco operacional no passado e as suas eventuais repercussões no futuro;

c) Que a instituição reflete as incertezas a que se refere a alínea a) nos seus requisitos de fundos próprios correspondentes ao AMA, através de uma aplicação adequada de fatores de correção prudentes;

d) Que a instituição considera atentamente as características das apólices de seguro, designadamente se essas apólices abrangem unicamente as perdas que sejam reclamadas ou notificadas à seguradora durante a vigência da apólice, pelo que qualquer perda que seja detetada após o termo da apólice não está abrangida, ou se cobrem as perdas sofridas durante a sua vigência, mesmo que não sejam detetadas e que a reclamação só tenha sido apresentada após a expiração da apólice, ou se as perdas correspondem a perdas diretas ou são da responsabilidade de terceiros;

e) Que a instituição regista e documenta na íntegra os dados relativos aos reembolsos a título de seguros, por tipo de perda, nas suas bases de dados relativas às perdas, e estabelece correções de valor em conformidade;

f) Que a instituição dispõe de procedimentos para a identificação, análise e tratamento das reclamações de perdas, com vista a verificar a garantia de cobertura efetiva prestada pelo segurador ou a capacidade de receber o pagamento dos fundos reclamados dentro de um prazo razoável;

g) Que a instituição quantifica explicitamente e modela separadamente os fatores de correção em relação a cada uma das incertezas relevantes identificadas, em vez de aplicar um único fator de correção ao cálculo, abrangendo todas as incertezas, ou uma correção de valor ex post;

h) Que a instituição tem em conta o reconhecimento do risco da capacidade da seguradora para o pagamento dos sinistros, na medida do possível, através da aplicação de fatores de correção adequados na metodologia de modelação dos seguros;

i) Que a instituição garante que o risco ligado à capacidade da seguradora para pagar os sinistros por incumprimento de uma contraparte é avaliado com base na qualidade de crédito da empresa de seguros responsável nos termos do contrato de seguro em causa, independentemente da questão de saber se a instituição-mãe da companhia de seguros tem melhor notação ou se o risco é transferido para terceiros;

j) Que a instituição formula pressupostos prudentes em relação à renovação das apólices de seguro com base em condições e cobertura equivalentes ao contrato inicial ou aos contratos existentes;

k) Que a instituição dispõe de procedimentos para assegurar que o potencial esgotamento dos limites da apólice de seguro e o preço e a disponibilidade das reposições de cobertura, bem como os casos em que a cobertura do contrato de seguro não corresponde ao perfil de risco operacional da instituição, são devidamente contemplados na metodologia de seguros contemplada no seu AMA.

2. Para efeitos do n.o 1, as autoridades competentes podem considerar que o requisito no sentido de a instituição aplicar fatores de correção para o período restante até ao termo do contrato de seguro ou até ao seu cancelamento não é necessária se a cobertura for renovada e permanente e se estiver preenchida pelo menos uma das seguintes condições:

a) Se a instituição puder demonstrar a existência de cobertura permanente em condições equivalentes ou em melhores condições, termos e cobertura durante pelo menos 365 dias;

b) Se a instituição possuir uma apólice que não possa ser anulada pela seguradora, exceto em caso de não pagamento do prémio, ou que tenha um prazo de cancelamento superior a ano.

Artigo 44.o

Outros mecanismos de transferência de risco

A fim de avaliar se uma instituição demonstrou que se conseguiu um efeito significativo de redução dos riscos com a introdução de OMTR, como referido no artigo 36.o, alínea f), as autoridades competentes devem pelo menos:

a) Confirmar que a instituição tem experiência de utilização de instrumentos OMTR e das suas características, incluindo as possibilidades de cobertura e a prontidão do pagamento, antes de estes instrumentos poderem ser reconhecidos no sistema de medição do risco operacional da instituição;

b) Recusar OMTR como instrumentos de redução do r