São Paulo, 29 de dezembro de. 1. Introdução O Conglomerado Ourinvest em atendimento a Resolução 3.380 do Conselho Monetário Nacional, de 29 de junho de 2006, apresenta sua Estrutura de Gerenciamento de Risco Operacional, compatível à complexidade institucional de seus produtos, serviços, atividades, processos e sistemas. A Resolução CMN 3.380/06 define Risco Operacional como sendo a possibilidade de ocorrência de perdas resultantes de falhas, deficiências ou inadequação de processos internos, pessoas e sistemas, ou de eventos externos à Instituição. Esta inclui ainda, ao Risco Operacional, o Risco Legal no tocante à Inadequação ou deficiência em contratos firmados pela Instituição, às sanções em razão do descumprimento de dispositivos legais e às indenizações por danos a 3ºs, decorrentes das atividades desenvolvidas pela Instituição. É decisão estratégica do Conglomerado Ourinvest, não apenas cumprir a legislação vigente, como também, aprimorar os processos e é de acordo com tal linha de raciocínio, que o Gerenciamento do Risco Operacional é considerado uma ferramenta de gestão, o que consequentemente, propicia um ambiente seguro para os clientes, parceiros e acionistas. 2. Estrutura do Gerenciamento de Risco Operacional O Gerenciamento do Risco Operacional é um processo amparado pela Diretoria Colegiada, envolvendo e comprometendo todas as hierarquias do Ourinvest, pois, os incidentes de natureza operacional podem acontecer em qualquer etapa dos processos, não sendo restritas a um ou outro procedimento. A área de Controles Internos é a unidade organizacional responsável por coordenar as ações direcionadas ao Gerenciamento de Riscos Operacionais no Ourinvest. Atua como um facilitador aos empregados, prestando as informações necessárias para que sejam efetivas as ações em função de identificação, avaliação, monitoramento, controle e mitigação dos riscos operacionais. 3. Responsabilidades Diretoria Aprovar a Política de Risco Operacional do Ourinvest revisando-a no mínimo anualmente; Comitê de Auditoria Avaliar os relatórios que permitam analisar e corrigir as deficiências de controle e de gerenciamento do risco; 1 / 7
Diretor Responsável Junto ao BACEN Prestar esclarecimentos ao BACEN a respeito do gerenciamento do Risco Operacional, quando solicitados; Suprir a equipe de trabalho com os recursos necessários à execução do processo; Definir modelo de Alocação de Capital para o Risco Operacional, aderente às determinações do BACEN; Aprovar e implementar planos de Contingência contendo as estratégias a serem adotadas para assegurar condições de continuidade das atividades e limitar graves perdas decorrentes de Risco Operacional. Área de Controles Internos Elaborar a minuta de política de gerenciamento do risco operacional para o Ourinvest; Adotar os procedimentos necessários de identificação, avaliação, monitoramento e mitigação do risco operacional; Providenciar a adequada documentação e o armazenamento das informações referentes às perdas associadas ao Risco Operacional; Elaborar os relatórios que permitam a identificação e a correção tempestiva de deficiências de Controle e de Gerenciamento do Risco Operacional; Manter a Diretoria informada sobre quaisquer situações de risco operacional relevante. Segregação das Atividades O Ourinvest evita o conflito de interesses e tem meios de minimizar e monitorar adequadamente áreas identificadas como de potencial conflito. Resumidamente pode se definir o modelo do Instituto de Auditores Internos do Brasil (Três Linhas de Defesa) da seguinte forma: I. A primeira linha de defesa é a área de negócio responsável por identificar, mensurar, avaliar e mitigar os riscos de seu negócio. Cada área de negócio tem riscos operacionais inerentes e é responsável por manter controles internos eficientes e implementar ações corretivas para resolver deficiências em processos e controles. II. III. A segunda linha defesa é composta pela área Financeira, Controle de Riscos, Tecnologia da Informação (segurança da informação) e Controles Internos, inclui funções de gerenciamento de risco e conformidade, deve trabalhar em conjunto com a área de negócios para garantir que a 1º linha de defesa tenha identificado, avaliado e reportado corretamente os riscos do seu negócio. A auditoria interna é a última linha de defesa, sendo parte integrante da proteção do negócio. Deve revisar de modo sistemático e eficiente as atividades das duas primeiras linhas de defesa e contribuir para seu aprimoramento. 2 / 7
Nota: Por definição da Diretoria, a segregação de funções consiste em estabelecer que um empregado não deve atuar em todas as etapas do processo de uma operação, por exemplo, quem executa, não aprova. É uma maneira de se reduzir o risco de erros, fraudes e conflitos de interesses. 4. Política de Gerenciamento do Risco Operacional A estrutura constituída para assegurar identificação, avaliação, monitoramento, controle e mitigação destes encontram-se descritos no documento específico, publicado e divulgado por meio da Intranet e acessível aos empregados. 5. Metodologia de Gerenciamento de Risco Operacional Para o Gerenciamento do Risco Operacional Qualitativo, realizamos o ciclo: Identificação: A identificação dos riscos se dá através de questionários em planilha Excel, denominados Relatório de Autoavaliação, fornecidos através das informações dos controles internos (Políticas e Normas Internas) sobre suas rotinas e processos. Avaliação: Os Riscos Operacionais são identificados e classificados de como: Alto, Médio ou Baixo. Compilação: As planilhas são compiladas e demonstradas em gráficos, indicando a quantidade de processos por área e de acordo com a classificação. Dessa forma, a área de Controles Internos pode identificar eventuais falhas de procedimento e tomar as devidas providências. Para obter mais efetividade, caso seja documentado em Políticas Corporativas, essas são devidamente aprovadas por toda Diretoria do Ourinvest. 3 / 7
a) Mitigação: A mitigação contínua do Risco Operacional é o objetivo principal do gerenciamento na instituição, pois, quanto mais contido o risco, menor a probabilidade de perdas resultantes da ocorrência do mesmo, e automaticamente, obtém-se como ganho adicional, a otimização de produtos, serviços, atividades, processos e sistemas de informação. b) Recusa: A recusa serve para reduzir o nível de atividades do negócio envolvido, ou mesmo, retirar-se desta atividade completamente, eliminando o risco operacional. 6. Perdas Associadas ao Risco Operacional Na gestão de Riscos Operacionais do Ourinvest, registramos a ocorrência nas próprias áreas afetadas, de forma transparente. O acompanhamento das ações é feito pela área de Controles Internos. Os riscos financeiros são monitorados diariamente pela Diretoria e pela área de Controle de Riscos, de modo a aperfeiçoar os controles e observar as características e regulamentos de cada produto. As ocorrências são revisadas, analisadas e monitoradas a fim de melhorar os procedimentos operacionais e desenvolver dados históricos de perda. Foram elencadas as falhas abaixo, com 1 (um) prejuízo financeiro: 1 RISCOS Cliente com saldo devedor - email em 15/06 OK - Desenvolvimento já tomou providências 2 Gravação de ramal com som baixo ou sem som - email em 28/06 3 Falha no sistema de gravação da Ouvidoria - email em 28/06 4 Gravação de ramal com som baixo ou sem som - email em 28/06 5 Erro no envio de correspondência para cliente - email em 30/06 OK - modificada a rotina 6 Gravação de ramal com som baixo ou sem som - email em 01/07 7 Gravação de ramal com som baixo ou sem som - em 04/07 8 Gravação de ramal com som baixo ou sem som - em 12/07 9 Solicitação de leilão judicial - email 10/08 OK modificada a rotina de verificação dos dados no sistema 10 Gravação de ramal com problema - email em 22/09 11 Gravação de ramal com problema de manutanção - email em 26/09 12 Abertura de conta corrente com CPF errado - email em 03/10 OK - corrido o CPF no sistema, rotina de dupla checagem 13 Gravação de ramal paralizado por manutenção - email em 06/10 14 15 Pagamento de título duplicado para para o cliente - email em 14/12 Remessa em dólar feita em duplicidade para PJ - email em 28/12/ OK - o cliente devolveu os R$. Alteração para dupla checagem no sistema Perda Financeira - U$ 3.613,38 - Ver a possibilidade da PJ devolver o valor (desde setembro) 4 / 7
Matriz de Riscos Remoto Certo Provável 15 2, 3, 4, 6, 7, 8, 10, 11 e 13 Probabilidade Possível 9 5 Raro 12 14 1 Insignificante Baixo Moderado Significativo Alto Legenda Risco Alto Risco Significativo Risco Moderado Risco Baixo Impacto Os riscos identificados com ALTO impacto e uma PROVÁVEL possibilidade de ocorrer estão demonstrados na figura acima. Todas as falhas no sistema PCS (gravação de ramais) podem gerar um risco para o Ourinvest. Com relação ao item 15, onde ocorreu uma perda financeira, foi dada a baixa contra despesas bancárias e posteriormente a Pessoa Jurídica será procurada para a possibilidade de reembolso. Desde setembro as áreas do Ourinvest tratam deste assunto sem sucesso. O conhecimento de qualquer infração ou indício de infração das regras contidas nos documentos do Ourinvest deve ser imediatamente comunicado à Diretoria de Controles Internos para adoção das devidas providências. O Ourinvest dispõe de canais de comunicação acessíveis através de endereços eletrônicos: controles.internos@ourinvest.com.br e comite.auditoria@ourinvest.com.br. Os canais de comunicação são divulgados nos documentos internos, através de e-mails e na página do Ourinvest em www.ourinvest.com.br. 5 / 7
7. Informações Qualitativas Risco de Crédito Trata da possibilidade de ocorrência de perdas associadas ao descumprimento de obrigações contratuais pactuadas, seja pelo tomador ou contraparte, considerando também, a desvalorização do contrato assumido, devido à maior exposição ao risco pelo tomador, à redução de ganhos ou remunerações, às vantagens concedidas na renegociação e aos custos de recuperação. Risco de Mercado O Risco de Mercado trata da variação nos valores dos ativos e passivos, causadas pela oscilação das taxas praticadas pelo mercado (como juros, ações, cotações de moedas e preços de commodities) e também de mudanças na correlação (interação) entre eles e em suas volatilidades. Risco de Liquidez São possíveis descasamentos entre pagamentos e recebimentos que possam afetar a capacidade de cumprimento de uma ou mais obrigações. Este risco também decorre da incapacidade de captar recursos em volume suficiente para honrar seus compromissos de curto, médio e longo prazo. Risco Operacional Em atendimento ao requisito legal e alinhado às melhores práticas de mercado, implementamos uma estrutura para gerenciamento do risco operacional quantitativa e qualitativa, composta por um conjunto de políticas, procedimentos e ações permeadas pela filosofia de melhoria contínua. 8. Plano de Contingência Por definição da Diretoria, nosso Plano de Contingência abrange somente os devidos pagamentos e recebimentos diários. A área de Informática continua monitorando o sincronismo dos arquivos enviados para a empresa RTM. Esta atividade tem como objetivo garantir a contingência numa situação de indisponibilidade da infra-estrutura. Execução de Testes Periódicos - Esta atividade tem como objetivo a melhoria nos procedimentos de contingência. Os testes de contingência realizados apontaram resultados satisfatórios segundo padrões de mercado; as evidências estão nos documentos internos do Ourinvest. 6 / 7
Os testes foram realizados em 07/12/, com cenários de acesso aos servidores do Ourinvest na Av. Paulista e com acesso somente aos servidores na RTM. Foram considerados satisfatórios pelos usuários. O Edifício Ourinvest possui um GRUPO GERADOR STEMAC, com potência de 700 kva, trifásico, na tensão de 220/127 Vca, para funcionamento singelo e automático, para atender a área comum e todos os andares do prédio e manutenção preventiva a cargo de empresa especializada ATG Geradores. 9. Metodologia de Alocação de Capital Utilizamos a Abordagem do Indicador Básico (BIA), com o objetivo de apurar a parcela de capital para cobertura de Risco Operacional (Popr), conforme legislação vigente. 10. Aprovação As informações deste relatório foram submetidas e aprovadas pelo Diretor responsável pelo assunto. Ediley Alberto Bispo Gerente de Controles Internos Ourinvest Samuel Jorge Esteves Cester Aprovado Pelo Diretor Responsável pela Resolução nº 3.380 7 / 7