Aviso do Banco de Portugal n.º 3/2006
Considerando que todas as instituições de crédito e sociedades financeiras, bem como os grupos financeiros, devem possuir um sistema de controlo interno adaptado à dimensão, à natureza e ao risco das actividades exercidas;

Tendo em conta objectivos de sistematização dos relatórios de controlo interno, em base individual e consolidada;

Considerando que, sem prejuízo de uma futura revisão mais profunda e abrangente da regulamentação sobre sistemas de controlo interno - decorrente quer da experiência adquirida nesta matéria quer dos desenvolvimentos ao nível internacional -, se mostra aconselhável proceder, desde já, à integração num único instrumento regulamentar das actuais disposições da instrução 72/96, bem como dos procedimentos de controlo interno aplicáveis às actividades e funções centralizadas nos grupos ou desenvolvidas por filiais no estrangeiro;

Considerando o disposto nos artigos 73.º, 93.º, n.º 1, 120.º, n.º 1, 130.º, 131.º, 132.º, 133.º e 134.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras:

O Banco de Portugal, no uso da competência que lhe é conferida pelo artigo 17.º da sua Lei Orgânica e pela alínea c) do artigo 133.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, estabelece o seguinte:

CAPÍTULO I
Objectivos e regras gerais
1.º As instituições de crédito e as sociedades financeiras, adiante designadas por instituições, devem dispor de um sistema de controlo interno que obedeça aos requisitos mínimos definidos neste aviso.

2.º O sistema de controlo interno deve abranger, designadamente, a definição da estrutura organizativa, dos métodos e dos procedimentos adequados à prossecução dos objectivos definidos no n.º 6.º

3.º Na concepção e implementação do sistema de controlo interno deve ter-se em conta o tipo e a dimensão da instituição, bem como a natureza e os riscos das operações por ela realizadas.

4.º A criação e a actualização do sistema de controlo interno, bem como a verificação do seu funcionamento e eficácia, devem ser directamente acompanhadas pelo órgão de administração da instituição.

5.º As regras fundamentais do sistema de controlo interno que estabeleçam, nomeadamente, os seus objectivos, procedimentos e meios destinados a assegurar a sua execução devem ser reduzidas a escrito e divulgadas aos seus utilizadores.

6.º Todo o sistema de controlo interno deve prosseguir os seguintes objectivos fundamentais, tendo em vista permitir uma gestão eficiente da actividade da instituição, através da minimização dos riscos financeiros, operacional, legal e reputacional, de entre outros, incluindo o risco de fraudes, irregularidades e erros (assegurando as suas prevenção e detecção tempestivas):

1) Garantia da existência e segurança dos activos;
2) Controlo dos riscos da actividade da instituição, nomeadamente dos riscos de crédito, de taxa de juro, de mercado, de liquidez, de liquidação de operações cambiais, operacional, reputacional, legal e de compliance (i. e., o risco de a instituição incorrer em sanções de carácter legal ou regulamentar e prejuízos financeiros ou de ordem reputacional em resultado de não ter cumprido leis, regulamentos códigos de conduta e normas de "boas práticas»);

3) Cumprimento das normas prudenciais em vigor;
4) Existência de uma completa, fiável e tempestiva informação contabilística e financeira, em particular no que respeita aos seus registo, conservação e disponibilidade;

5) Prestação de informação financeira fiável, completa e tempestiva às autoridades de supervisão;

6) Prudente e adequada avaliação dos activos e das responsabilidades, nomeadamente para o efeito da constituição de provisões;

7) Adequação das operações realizadas pela instituição a outras disposições legais, regulamentares e estatutárias aplicáveis, às normas internas, às orientações dos órgãos sociais, às normas e aos usos profissionais e deontológicos e a outras regras relevantes para a instituição;

8) Prevenção do envolvimento da instituição em operações relacionadas com branqueamento de capitais e financiamento do terrorismo.

7.º Para atingir os seus objectivos, o sistema de controlo interno deve garantir a existência de um conjunto de procedimentos que permitam, designadamente:

1) A adequada segregação ou separação de funções entre a autorização, a execução, o registo, a guarda de valores e o controlo;

2) A reconstituição por ordem cronológica das operações realizadas;
3) A justificação de toda a informação contabilística através de documentos de suporte, de forma que seja possível chegar, através deles, aos documentos de síntese final e, destes, aos documentos de origem;

4) Um adequado e eficaz sistema de controlo que habilite o respectivo órgão responsável, através de informação fiável e tempestiva sobre a actividade da instituição, a verificar a realização dos objectivos e orientações estabelecidos;

5) A continuidade da actividade da instituição em cenários de contingência;
6) A informação fiável para a gestão, designadamente com o objectivo de mostrar o estado dos negócios e respectivos resultados, assim como a exposição da instituição a cada tipo de risco.

8.º Relativamente aos sistemas informáticos, devem ser adoptados, de entre outros, os seguintes procedimentos específicos:

1) Os sistemas devem ser objecto de descrição detalhada, e todas as alterações introduzidas devem constar de um documento apropriado;

2) As aplicações e os dados devem ser sujeitos a controlos regulares;
3) O equipamento, as aplicações e os dados devem ser dotados de adequada protecção, a fim de prevenir danos, fraudes e acessos não autorizados ao sistema e a informação confidencial.

9.º O sistema de controlo interno das caixas de crédito agrícola mútuo integrantes do SICAM deve ser concebido e organizado em articulação com a Caixa Central.

10.º No caso do número precedente, o relatório previsto no capítulo II deve ser igualmente remetido à Caixa Central.

CAPÍTULO II
Relatório de controlo interno individual
11.º O órgão de administração da instituição deve, anualmente, elaborar um relatório sintético sobre o sistema de controlo interno.

12.º O relatório a que se refere o número precedente deve ser acompanhado de:
1) Um parecer do órgão de fiscalização competente para fiscalizar a eficácia do sistema de gestão de riscos, do sistema de controlo interno e do sistema de auditoria interna sobre a sua acção fiscalizadora em que seja emitida opinião detalhada sobre a eficácia/adequação desses sistemas, com excepção das áreas abrangidas pelo ponto seguinte;

2) Um parecer do revisor oficial de contas sobre a adequação do controlo interno, circunscrito à análise do controlo interno subjacente ao processo de preparação e de divulgação de informação financeira (relato financeiro), incluindo a verificação: i) da regularidade dos livros, registos contabilísticos e documentos que lhe servem de suporte; ii) da extensão da caixa e das existências de qualquer espécie, dos bens ou valores pertencentes à sociedade ou por ela recebidos em garantia, depósito ou outro título; iii) da exactidão dos documentos de prestação de contas, e iv) se as políticas contabilísticas e os critérios valorimétricos adoptados pela sociedade conduzem a uma correcta avaliação do património e dos resultados.

13.º O relatório a que se refere o n.º 11.º e os pareceres mencionados no número anterior devem ser remetidos ao Banco de Portugal pelo órgão de administração da instituição até ao final do mês de Junho.

14.º Sem prejuízo do disposto no n.º 21.º, o relatório deve fazer referência, no mínimo, aos seguintes aspectos:

SECÇÃO I
Aspectos gerais
1 - Estrutura organizativa.
2 - Sistema de controlo que habilite o respectivo órgão responsável, através de informação fiável e tempestiva sobre a actividade da instituição, a verificar a realização dos objectivos e orientações estabelecidos.

3 - Procedimentos de controlo no que se refere ao cumprimento das normas prudenciais em vigor, bem como à prestação de informação financeira fiável, completa e tempestiva às autoridades de supervisão.

4 - Procedimentos de controlo da adequação das operações realizadas com referência a:

a) Outras disposições legais, regulamentares e estatutárias aplicáveis;
b) Normas internas;
c) Orientações dos órgãos sociais;
d) Normas e usos profissionais e deontológicos;
e) Outras regras relevantes para a instituição.
5 - Garantia da existência e segurança dos activos da instituição e dos depositados por terceiros, mediante a realização de controlos regulares de inventários com a adequada desagregação.

6 - Controlo dos riscos da actividade da instituição, nomeadamente dos riscos de crédito, de taxa de juro, de mercado, de liquidez, de liquidação de operações cambiais, operacional e de compliance. Relativamente aos riscos de crédito, de taxa de juro, de liquidez, de liquidação de operações cambiais, operacional e de compliance, as instituições deverão indicar a sua adesão às recomendações do Comité de Supervisão Bancária de Basileia (v. anexo).

7 - Regras sobre segregação de funções, nomeadamente nas operações de crédito e de mercado, entre a autorização, a execução, o registo, a guarda de valores e de outra documentação e o respectivo controlo.

8 - Prevenção do envolvimento da instituição em operações relacionadas com o branqueamento de capitais, compreendendo, designadamente, os seguintes aspectos:

a) Identificação e inserção na estrutura organizativa do responsável pela coordenação dos procedimentos de controlo interno em matéria de branqueamento de capitais, bem como pela centralização da informação e respectiva comunicação às autoridades competentes;

b) Métodos utilizados na verificação do cumprimento pelas agências dos deveres de identificação dos clientes, de conservação de documentos, de exame das operações, de recusa de realização de operações e de comunicação de operações suspeitas, previstos na Lei 11/2004, de 27 de Março;

c) Processos utilizados para garantir a adequação dos sistemas de controlo interno nas sucursais ou filiais no estrangeiro (quando aplicável);

d) Existência, ou não, de sistemas de informação ou de outros procedimentos que permitam a detecção (ao nível central) de operações potencialmente suspeitas;

e) Percurso na comunicação das informações das suspeitas detectadas, desde o empregado que se depara com a operação ou cliente potencialmente suspeito até ao responsável mencionado na alínea a);

f) Programas desenvolvidos no domínio da prevenção do branqueamento de capitais e processos utilizados para garantir um acompanhamento particular das situações susceptíveis de envolver um maior risco de branqueamento de capitais;

g) Informação considerada relevante para avaliar a eficácia dos sistemas instituídos, incluindo informação sobre:

i) O número total das operações comunicadas, ao abrigo dos artigos 7.º e 18.º da Lei 11/2004, de 27 de Março, bem como a natureza e o montante agregado das operações em causa;

ii) O número total das operações analisadas e em relação às quais foi decidida a não comunicação às autoridades competentes, bem como a natureza e o montante agregado das operações em causa;

iii) As acções de formação desenvolvidas e o número de empregados abrangidos.
9 - Controlo de que a informação contabilística e financeira é completa, fiável e tempestiva, em particular no que respeita aos seus registo, conservação e disponibilidade.

10 - Metodologia de avaliação (prudente e adequada) dos activos e das responsabilidades, nomeadamente para o efeito de constituição de provisões e cálculo da imparidade.

11 - Capacidade de reconstituição por ordem cronológica das operações realizadas (justificação de toda a informação contabilística através de documentos de suporte, de forma que seja possível chegar, através deles, aos documentos de síntese final e, destes, aos documentos de origem).

12 - Informação considerada relevante para avaliar a eficácia do plano de contingência em vigor na instituição.

SECÇÃO II
Sistemas informáticos
13 - Indicação dos sistemas informáticos implementados e sua funcionalidade no âmbito da actividade desenvolvida, acompanhada de explicação sobre a forma como se encontram documentados.

14 - Controlos regulares das aplicações e dos dados.
15 - Procedimento de protecção do equipamento, das aplicações e dos dados (a fim de prevenir danos, fraudes e acessos não autorizados ao sistema e a informação confidencial) e síntese dos planos de continuidade de negócio.

SECÇÃO III
Auditoria interna
16 - Breve descrição da função de auditoria interna, incluindo a auditoria informática. As instituições devem, ainda, indicar a sua adesão às recomendações do Comité de Supervisão Bancária de Basileia (v. anexo).

17 - Recursos humanos.
18 - Operações de auditoria efectuadas, deficiências mais relevantes detectadas, respectivo follow-up e plano dos trabalhos a realizar.

19 - Número médio de meses entre duas inspecções sucessivas às agências e aos serviços centrais.

20 - Auditoria informática.
SECÇÃO IV
Deficiências de controlo interno
21 - Principais deficiências detectadas no sistema de controlo interno; em caso de ausência de deficiências detectadas, esse facto deverá ser expressamente declarado.

22 - Acções a desenvolver para as superar.
CAPÍTULO III
Aspectos específicos do sistema de controlo interno dos grupos financeiros
15.º Definições:
1) "Empresa-mãe» - a pessoa colectiva que, dentro do perímetro de consolidação relevante para efeitos da supervisão prudencial, exerce, em última instância, o domínio sobre outra(s) pessoa(s) colectiva(s) - sua(s) filial(ais) -, sendo responsável pela situação financeira consolidada ou subconsolidada, bem como pela informação necessária ao exercício da supervisão prudencial, nos termos do Aviso 8/94;

2) "Estabelecimento offshore» - a entidade (filial ou sucursal) estabelecida em território, incluindo o nacional, caracterizado por atrair um volume significativo de actividade com não residentes, em virtude, designadamente, da existência: de regimes menos exigentes de obtenção de autorização para o exercício da actividade bancária e de supervisão; de regime especial de sigilo bancário; de vantagens fiscais; de legislação diferenciada para residentes/não residentes; de facilidades de criação de veículos de finalidade especial (special purpose vehicles - SPVs).

16.º A empresa-mãe deve dispor de um sistema de controlo interno que permita um efectivo controlo dos riscos associados à actividade de grupo.

17.º O sistema de controlo interno deve:
1) Prever os procedimentos adequados ao objectivo do cumprimento, em cada momento, dos limites e relações referidos no n.º 1.º do Aviso 8/94, de 15 de Novembro, assim como para o reporte da informação necessária à supervisão prudencial em base consolidada;

2) Permitir realizar eficazmente o controlo e a gestão das filiais, assegurando a implementação de processos destinados à recolha da informação essencial para o efeito e, nomeadamente, de forma a proceder ao efectivo controlo dos riscos associados à sua actividade;

3) Instituir o controlo necessário à obtenção de toda a informação relevante para o processo de consolidação - informação contabilística e demais elementos informativos;

4) Definir de forma clara o conteúdo e o formato da informação a reportar pelas entidades incluídas no perímetro de consolidação, as quais devem estar dotadas dos meios necessários à referida prestação de elementos;

5) Estabelecer procedimentos de informação de modo a identificar, medir e controlar eficazmente as operações intragrupo, sua natureza e característica, assim como as concentrações de riscos;

6) Contemplar os procedimentos adequados para garantir que a informação de gestão é coerente entre as várias entidades, de tal modo que a empresa-mãe possa medir, seguir e controlar os riscos em que o grupo incorre;

7) Possibilitar o cumprimento, a todo o momento, dos rácios e limites prudenciais em base consolidada, respectivo reporte ao Banco de Portugal e procedimentos estabelecidos para a consolidação.

18.º A função da auditoria interna deverá ser adequada à dimensão e à natureza das actividades do grupo, supervisionando a eficácia e a adequação dos controlos internos e zelando pela fiabilidade e pela pontualidade da informação reportada pelas filiais, bem como pelo cumprimento das normas internas e dos procedimentos definidos.

CAPÍTULO IV
Relatório de controlo interno do grupo
19.º O órgão de administração da empresa-mãe deve elaborar um relatório sintético sobre o sistema de controlo interno do grupo, estruturado de forma a, no mínimo, abranger os seguintes aspectos:

1) Estrutura organizativa do grupo;
2) Relatório de controlo interno da empresa-mãe, elaborado nos termos do capítulo II, dando assim cumprimento ao disposto no n.º 11.º;

3) Descrição do sistema de controlo interno para as áreas relacionadas com a actividade do grupo, nomeadamente para as seguintes:

a) Actividades e funções centralizadas resultantes da integração de áreas do grupo;

b) Sistema de informação;
c) Cumprimento dos rácios e limites prudenciais em base consolidada;
d) Reporte dos mapas prudenciais em base consolidada ao Banco de Portugal;
e) Procedimentos de consolidação;
f) Prevenção do envolvimento em operações de branqueamento de capitais e financiamento de terrorismo;

g) Expansão internacional das actividades do grupo, particularizando o sistema de informação de gestão e de controlo de riscos instituído;

h) Estabelecimentos offshore, nomeadamente sistema de informação de gestão e de controlo de riscos implementado em função das exigências específicas resultantes das actividades do grupo;

i) Deficiências do sistema de controlo interno detectadas e acções a desenvolver para as superar;

4) Relatórios de cada uma das entidades sujeitas a supervisão em base consolidada ou subconsolidada (empresa-mãe e filiais, incluindo todas as filiais no estrangeiro), elaborados nos termos do capítulo II, e respectivos pareceres previstos no n.º 12.º (no caso das filiais no exterior, estes pareceres podem ser produzidos pela empresa-mãe).

20.º O relatório a que se refere o n.º 19.º deve ser acompanhado de:
1) Um parecer do órgão de fiscalização da empresa-mãe, com opinião detalhada sobre a adequação do sistema de controlo interno do grupo, nos termos previstos no n.º 1 do n.º 12.º deste aviso, no qual deve pronunciar-se, no mínimo, quanto:

a) Ao efectivo controlo dos riscos emergentes das actividades e funções ao nível de grupo;

b) A cada uma das filiais no exterior, podendo tal opinião ser fundamentada nos respectivos pareceres elaborados para o efeito pelos órgãos de fiscalização de cada uma das filiais, caso em que, no entanto, a responsabilidade pelos mesmos, para efeitos do presente capítulo, é do órgão de fiscalização da empresa-mãe;

c) À actividade das entidades do grupo prosseguida através de estabelecimentos offshore;

2) Um parecer do revisor oficial de contas sobre a adequação do controlo interno, circunscrito à análise do controlo interno subjacente ao processo de preparação e de divulgação de informação financeira consolidada (relato financeiro), nos termos previstos no n.º 2 do n.º 12.º deste aviso.

21.º As tarefas centralizadas das várias entidades do grupo podem ser incluídas por referência à parte do relatório de controlo interno da empresa-mãe, ou de qualquer dessas entidades, em que as mesmas sejam descritas.

22.º O relatório de controlo interno do grupo, incluindo os relatórios e pareceres referidos no n.º 4 do n.º 19.º, deve ser remetido anualmente ao Banco de Portugal pelo órgão de administração da empresa-mãe, até ao final do mês de Junho, acompanhado dos pareceres da empresa-mãe mencionados no n.º 20.º

CAPÍTULO V
Disposição revogatória
23.º É revogada a instrução 72/96, de 17 de Junho. Todas as referências realizadas para a referida instrução consideram-se feitas para este aviso.

Lisboa, 3 de Maio de 2006. - O Governador, Vítor Constâncio.

ANEXO
1 - As instituições devem preencher os mapas seguintes (relativos aos riscos de crédito, de taxa de juro, de liquidez, de liquidação de operações cambiais, operacional e de compliance, bem como aos princípios de auditoria interna), que se baseiam em documentos do Comité de Supervisão Bancária de Basileia:

"Principles for the Management of Credit Risk» (Setembro de 2000);
"Sound Practices for Managing Liquidity in Banking Organisations» (Fevereiro de 2000);

"Supervisory Guidance for Managing Settlement Risk in Foreign Exchange Transactions» (Setembro de 2000);

"Internal audit in banks and the supervisor's relationship with auditors» (Agosto de 2001);

"Sound Practices for the Management and Supervision of Operational Risk» (Fevereiro de 2003);

"Principles for the Management and Supervision of Interest Rate Risk» (Julho de 2004);

"Compliance and the compliance function in banks» (Abril de 2005).
2 - Em caso de não adesão, total ou parcial, a alguma das recomendações, devem ser explicitados os respectivos motivos.

(ver documento original)