Classificação 001 GRO Políticas da Organização Risco Operacional Título 001 Política de Gerenciamento de Risco Operacional Responsáveis Diretoria Diretoria Executiva Superintendência Responsável Salim Dayan Responsável Área Riscos, Controles e Compliance Autor(es) Riscos, Controles e Compliance Contato(s) para Esclarecimentos Responsável Adely Dayan Hamoui Responsável(eis) Denis de Menezes Didi Instrumento Normativo Mandatório Política Norma Procedimento Impacta Matriz de Risco Não se aplica Sim (Controle de Referencia: ) Referência Legal Resolução 3.380 - Banco Central do Brasil ( BACEN ) de 29 de Junho de 2006 Circular nº 3.675 de Outubro de 2013 do BACEN Circular nº 3.640 de 4 de março de 2013 RESOLUÇÃO Nº 4.193, DE 1º DE MARÇO DE 2013 Circular SUSEP Nº 492 DE 31/07/2014 Regra(s) de Execução do Negócio Não se aplica Sim Documentos Vinculados Comitê de Riscos, Controles e Compliance Norma de Controles Internos Plano de Continuidade de Negócios Documentos Dependentes Procedimentos Reporte de Falhas / Ocorrências (Risco Operacional), Reporte de Fraudes e Mitigação de Riscos Instruções para Análise e Classificação de Eventos Manual de Riscos,Controles e Compliance Data de Revisão (1) 08/04/2016 - Data de Versionamento (2) Sumário das Alterações Sumário das Alterações 28/04/2016 Adequação do conteúdo de acordo com os processos exercidos pela área responsável. Data (3) Aprovado pelo Conselho Data: 28/04/2016 Publicado em: 28/04/2016 Válido até: 28/04/2017 (1) Data da aprovação da Revisão (alterações que não afetam o conteúdo de regras, diretrizes e procedimentos). (2) Data da aprovação do Versionamento (alterações que afetam o conteúdo de regras, diretrizes e procedimentos). (3) Aprovado em (data de aprovação da versão vigente) e Válido até (data em que o documento deve ser revisado). Propriedade do Banco Daycoval S.A. Página 1 de 10
Sumário 1. Objetivo... 3 2. Aplicação... 3 3. Implementação e Revisão... 3 4. Regra(s) Regulamentar(es)... 3 5. Regra(s) de Execução do Negócio... 3 6. Diretrizes Gerais... 3 6.1. Abrangência... 3 6.2. Estrutura de Risco Operacional... 4 7. Áreas Envolvidas e Responsabilidades... 4 7.1.1. Composição da Estrutura no Gerenciamento de Risco Operacional... 6 7.2. Definição de Risco Operacional... 7 7.3. Evento de Risco Operacional... 7 7.4. Classificação de Evento de Risco Operacional... 7 7.5. Causas de Risco Operacional... 8 7.5.1. Pessoas... 8 7.5.2. Processos... 8 7.5.3. Sistemas... 8 7.5.4. Ocorrências Externas... 9 7.6. Impactos decorrentes de Evento de Risco Operacional... 9 7.6.1. Coleta de Perdas... 9 7.6.2. Perdas financeiras... 9 7.6.3. Impactos Reputacionais... 9 7.6.4. Impactos Indiretos... 9 7.7. Disseminação da Cultura de Risco... 9 7.8. Gestão de Continuidade de Negócios GCN... 10 8. Segregação de Função... 10 Propriedade do Banco Daycoval S.A. Página 2 de 10
1. Objetivo Estabelecer as regras, diretrizes e estrutura de governança sobre o gerenciamento de Risco Operacional, instituídos pelo Banco Daycoval. 2. Aplicação A todos os colaboradores pertencentes ao Banco Daycoval e Empresas do Conglomerado (Grupo Daycoval). 3. Implementação e Revisão Imediata, a partir da aprovação pelo Conselho de Administração e publicação na Intranet Corporativa Portal de Instruções Normativas. A política de gerenciamento de risco operacional deve ser atualizada anualmente pela Diretoria Executiva e Conselho de Administração 4. Regra(s) Regulamentar(es) Resolução 3.380 - Banco Central do Brasil ( BACEN ) de 29 de Junho de 2006: Dispõe sobre a implementação da estrutura de gerenciamento de Risco Operacional nas entidades e demais entidades autorizadas a funcionar pelo Banco Central do Brasil. Circular nº 3.675 de Outubro de 2013 do BACEN: Altera e revoga dispositivos da Circular nº 3.640 de 4 de março de 2013 Circular nº 3.640 de 4 de março de 2013: Estabelece os procedimentos para o cálculo da parcela dos ativos ponderados pelo risco (RWA), relativa ao cálculo do capital requerido para o risco operacional mediante abordagem padronizada (RWAOPAD), de que trata a Resolução nº 4.193, de 1º de março de 2013. RESOLUÇÃO Nº 4.193, DE 1º DE MARÇO DE 2013: Dispõe sobre apuração dos requerimentos mínimos de Patrimônio de Referência (PR), de Nível I e de Capital Principal e institui o Adicional de Capital Principal. Circular SUSEP Nº 492 DE 31/07/2014: Dispõe sobre os critérios para a constituição de banco de dados de perdas operacionais pelas sociedades seguradoras, entidades abertas de previdência complementar, sociedades de capitalização e resseguradores locais, para fins de estudos de aprimoramento do modelo regulatório de capital de risco baseado no risco operacional. 5. Regra(s) de Execução do Negócio Não se aplica. 6. Diretrizes Gerais 6.1. Abrangência A estrutura de Gerenciamento de Risco Operacional abrange os riscos associados à cada entidade individualmente, pertencentes ao Banco Daycoval e Empresas do conglomerado (Grupo Daycoval). Propriedade do Banco Daycoval S.A. Página 3 de 10
6.2. Estrutura de Risco Operacional A estrutura de Gerenciamento de Risco Operacional adotada tem como objetivo a identificação, avaliação, monitoramento, controle e mitigação do risco operacional. A estrutura deve conter mecanismos que permitam a implementação e a disseminação da cultura de Risco Operacional, das políticas, dos processos e de infraestrutura condizentes com a natureza e complexidade das entidades pertencentes ao conglomerado financeiro e ao consolidado econômicofinanceiro. Assegurar a aderência e comprometimento de todos os colaboradores para a adequada gestão do Risco Operacional e da Continuidade de Negócios, inclusive no atendimento da Resolução 3.380/06 do Banco Central do Brasil e dos objetivos da Instituição, inclusive das entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro e seus stakeholders. Na estrutura são definidos os papéis e principais responsabilidades dos envolvidos na gestão de risco operacional, identificadas as linhas de reporte que asseguram a comunicação apropriada e especificadas as atividades de controle para o adequado gerenciamento de risco operacional. 7. Áreas Envolvidas e Responsabilidades Conselho de Administração Revisar e aprovar a política institucional, bem como, manifestar-se sobre as ações incluídas nos relatórios de risco e controle submetidos ao conselho, fazer constar nos relatórios, de acesso público, sua responsabilidade sobre as informações divulgadas e definir o nível de risco que as entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro devem aceitar. Diretoria Executiva Comitê Riscos, Controles Compliance de e Direcionar as ações necessárias ao monitoramento e à mitigação de Risco Operacional, bem como, divulgar informações ao mercado sobre a estrutura e Gerenciamento de Risco Operacional, e, submeter às políticas e relatórios de risco e controle para a aprovação do Conselho de Administração. Tem a função de implantar a estrutura de Gerenciamento de Risco Operacional; Orientar a elaboração e documentação de Políticas e Estratégias; Avaliar o cumprimento dos termos das Políticas e Estratégias para o Gerenciamento de Risco Operacional; Responder aos requerimentos dos Órgãos Reguladores. Supervisionar a área de Riscos, Controles e Compliance e assessorar a Alta Administração no desempenho de suas atribuições relacionadas à adoção de estratégias, políticas e medidas voltadas à disseminação da cultura, mitigação de riscos e da conformidade com as normas aplicáveis. Auditoria Interna Revisar periodicamente o sistema de mensuração de risco, como parte do processo de auditoria interna da Instituição, incluindo as atividades das unidades de negócios e da Gerência de Riscos e Controles, abordando os seguintes aspectos mínimos: As estratégias, políticas e procedimentos; A estrutura organizacional; Os processos de aprovação dos modelos de gestão; Os sistemas de informação (integridade e completude dos dados, fontes de informação); Gerência Riscos, Controles e Compliance Implementar a estrutura, disseminar o conhecimento e subsidiar as demais áreas para aderência e comprometimento das regulamentações que visam o Gerenciamento de Risco Operacional. Identificar, mensurar, controlar e mitigar os riscos operacionais e prover Propriedade do Banco Daycoval S.A. Página 4 de 10
a continuidade dos negócios. Aplicar metodologia para identificar, avaliar, monitorar, controlar e mitigar as causas, dos eventos de Risco Operacional (financeiros e não financeiros), junto aos gestores, coordenando e garantindo planos de ação corretivos e/ou preventivos; Coordenar os gestores nomeados como Representantes de Risco Operacional que terão a função de auxiliar a gestão de Risco Operacional em suas respectivas áreas; Adotar postura crítica dos riscos e dos ambientes de controle com o objetivo de propor planos de ação para melhoria do processo ou implantação de controles; Acompanhar se as recomendações de melhorias dos riscos e controles foram devidamente implementadas pelos Gestores; Acompanhar a implantação e implementação das metodologias, modelos e ferramentas de gestão corporativa de Risco Operacional, em conformidade com as regras aplicáveis; Avaliar o impacto de Risco Operacional em relação aos aspectos identificados em relatórios emitidos pelos Órgãos Reguladores, Auditorias Interna e Externa no tocante as deficiências dos controles e respectivas providencias das áreas; Orientar as ações do dia a dia em conjunto com os níveis táticos e estratégicos; Elaborar relatórios (com periodicidade mínima anual) que permitam identificar e corrigir de forma tempestiva as deficiências de controle e de Gerenciamento do Risco Operacional, e submeter ao Comitê de Riscos, Controles e Compliance; Analisar as ações que asseguram as condições de continuidade das atividades para inibir graves perdas decorrentes de Risco Operacional; Comunicar e disponibilizar relatório com eventuais deficiências identificadas para o Comitê de Riscos, Controles e Compliance, Auditoria Interna e Externa; Ser sênior e independente o suficiente par exercer as atividades sem interferências e conflitos de interesse; Acompanhar a legislação vigente, as novas regulamentações bem como as alterações de normativos anteriormente emitidos de forma a cumprir com todas as determinações queridas pelo órgão regulador. Gerência Áreas de Auxiliar o Gerenciamento de Risco Operacional na execução de seus procedimentos, bem como na disseminação do conhecimento juntos aos colaboradores, visando à aderência e comprometimento das regulamentações. Agentes Internos de Risco Operacional AIRO s Auxiliar o Gerenciamento de Risco Operacional na execução de seus procedimentos, bem como na disseminação do conhecimento juntos às áreas, visando à aderência e comprometimento das regulamentações. Auxiliar nos procedimentos relacionados à implantação e ao monitoramento dos pontos de risco e controle, bem como, aos relacionados às implantações dos planos de ação e melhorias de processos. Propriedade do Banco Daycoval S.A. Página 5 de 10
7.1.1. Composição da Estrutura no Gerenciamento de Risco Operacional Conselho de Administração Diretoria Executiva Conforme Estatuto Social do Banco Daycoval, o Conselho de Administração é o órgão colegiado, composto por, no mínimo, 03 (três) e, no máximo, 06 (seis) membros, todos acionistas da Sociedade, eleitos pela Assembleia Geral, que indicará dentre eles o Presidente, com mandado unificado de 02 (dois) anos, permitida a reeleição. Conforme Estatuto Social do Banco Daycoval S.A, a Sociedade será administrada por uma Diretoria, composta de, no mínimo, 04 (quatro) e, no máximo, 09 (nove) Diretores, sendo de 04 (quatro) a 05 (cinco) Diretores Executivos, dentre eles 01 (um) Diretor Executivo Superintendente. Comitê Riscos, Controles Compliance de e Estabelecer diretrizes para garantir o cumprimento à legislação vigente, inibir riscos incompatíveis e/ou desnecessários às entidades pertencentes ao conglomerado financeiro e ao consolidado econômicofinanceiro, aumentar da eficácia das áreas de negócios e melhorar a efetividade dos controles e minimizar o impacto aos riscos a que estão sujeitos, de acordo com as responsabilidades e composição estabelecidas no documento Comitê da Organização Comitê de Riscos, Controles e Compliance. Propriedade do Banco Daycoval S.A. Página 6 de 10
Área de Riscos, Controles e Compliance Gerencia de Áreas Agentes Internos de Risco Operacional AIRO s Composta por 01 (um) membro, indicado pelo Comitê de Riscos, Controles e Compliance. Os gerentes de área são integrantes da estrutura de Gerenciamento de Risco Operacional. Esses representantes são os gestores das diversas áreas ou quem estes indicarem, tendo como função auxiliar na estrutura de Gerenciamento de Risco Operacional. Os AIRO s são integrantes da estrutura de Gerenciamento de Risco Operacional. Atuam na identificação, controle e monitoramento de ações que envolvem qualquer tipo de risco em suas áreas ou em áreas relacionadas. A presente estrutura, além de atender os requisitos mencionados, visa também trazer outros benefícios tangíveis e intangíveis às entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro: Incrementar o resultado dos negócios e aprimorar a performance dos gestores. Prevenir e reduzir os riscos e perdas operacionais. Aprimorar a Governança Corporativa, o gerenciamento dos riscos e os ambientes de controles internos para fins de avaliar desempenho e reputação. Permitir às áreas de negócio o entendimento consolidado e monitoramento constante de informações relacionadas aos riscos inerentes às áreas. Fornecer subsídios para:. Tomada de decisões estratégicas das entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro.. Avaliação da efetividade dos controles internos.. Aprimorar as políticas de seguros.. Atendimento das exigências dos órgãos reguladores.. Aprimorar a precificação de produtos e serviços.. Desenvolver e compartilhar técnicas e conhecimentos, por meio de coaching.. Constituir um diferencial competitivo. 7.2. Definição de Risco Operacional O Banco Daycoval assume a definição de Risco Operacional sugerida pelo BACEN: Define-se como Risco Operacional a possibilidade de ocorrência de perdas resultantes de falha, deficiência ou inadequação de processos internos, pessoas e sistemas, ou de eventos externos. A definição acima inclui o risco legal associado à inadequação ou deficiência em contratos firmados pela entidade, bem como o risco de sanções em razão de descumprimento de dispositivos legais e de indenizações por danos a terceiros decorrentes das atividades desenvolvidas pela entidade. 7.3. Evento de Risco Operacional É aquele incidente identificado que incorre em perdas ou impactos decorrentes de erro, falha, deficiência ou inadequação de processos relacionados a Risco Operacional. 7.4. Classificação de Evento de Risco Operacional A área de Riscos, Controles e Compliance deve analisar os eventos submetidos pelas linhas de negócios e processos de apoio da Entidade. Propriedade do Banco Daycoval S.A. Página 7 de 10
Os Eventos de Risco Operacional devem ser classificados em: Fraudes Internas. Fraudes Externas. Demandas Trabalhistas e Segurança Deficiente do Local de Trabalho. Práticas Inadequadas Relativas a Clientes, Produtos e Serviços. Danos a Ativos Físicos Próprios ou em Uso pelas Entidades pertencentes ao Conglomerado Financeiro e ao Consolidado Econômico-Financeiro. Aqueles que Acarretem a Interrupção das Atividades das Entidades pertencentes ao Conglomerado Financeiro e ao Consolidado Econômico-Financeiro. Falhas em Sistemas de Tecnologia da Informação. Falhas na execução, cumprimento de prazos e gerenciamento das atividades nas entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro. A classificação dos eventos consiste na análise de dados recebidos, a mesma deve estar de acordo com os conceitos definidos no documento Instruções para Análise e Classificação de Eventos. As responsabilidades e o detalhamento para a execução do reporte dos dados de eventos de Risco Operacional estão definidos no Manual de Procedimentos Reporte de Falhas / Ocorrências (Risco Operacional), Reporte de Fraudes e Mitigação de Riscos e o gerenciamento dos procedimentos realizados pela gerência de riscos e controles para garantir a conformidade com a legislação vigente estão descritos no Manual de Risco de Riscos e Controles. 7.5. Causas de Risco Operacional As causas podem ser segregadas em quatro fatores de risco: pessoas, processos, sistemas e ocorrências externas. 7.5.1. Pessoas Ações humanas intencionais ou não (erros humanos) que podem causar distintos eventos de Risco Operacional ou problemas decorrentes da falta de recursos humanos (seja na quantidade ou na capacidade técnica). Alguns eventos ocasionados por este fator de risco são: erros gerais com operações (seja interno ou externo), falhas quando das admissões e/ou demissões, dano ao corpo, saúde e segurança, difamação, discriminação, assédio, ações mal intencionadas como fraudes e negociações escusas, entre outros. 7.5.2. Processos 7.5.3. Sistemas Deriva da interrupção, falha ou falta de controle, desenho inadequado de processos dentro das linhas de negócio ou em processos de apoio. Alguns eventos causados por este fator de risco são: falta de diligência, reconciliação inadequada, riscos de aquisição, falha em novos produtos ou linhas de negócios, procedimentos de segurança física inadequada, processo de controle de qualidade inadequado, benefícios indevidos a empregados, empregadores, diretores, entre outros. Deficiências decorrentes do desempenho dos sistemas; sistemas não adequados, sistemas obsoletos, falhas com a comunicação externa, alterações efetuadas em sistemas (rotinas) que incorrem em eventos em áreas distintas a área de Tecnologia. Este fator de risco considera a interrupção de comunicação para terceiros. Alguns eventos causados por este fator de risco são: perda de dados, falhas sistêmicas diversas, interrupções no fornecimento de informação eletrônica (interna e externa), tecnologia insuficiente ou obsoleta ao negócio, erro operacional - relacionado com a tecnologia, uso não autorizado ou mau uso da tecnologia, falhas nos equipamentos, hardware inadequado, invasões por hackers, falhas na proteção da rede, vírus de computadores, falhas de programação, entre outros. Propriedade do Banco Daycoval S.A. Página 8 de 10
7.5.4. Ocorrências Externas Este fator de risco é oriundo de ocorrências externas que impactam negativamente nas entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro e relacionam-se com a deficiência decorrente da incapacidade ou ineficiência em tratar tais ocorrências. Alguns eventos causados por este fator de risco são: atos de vandalismo, desastres naturais, desastres não naturais, terrorismo, mudança na legislação capaz de interromper a atividade da entidade parcial ou totalmente, fraudes externas, lavagem de dinheiro por parte de terceiros, entre outros. 7.6. Impactos decorrentes de Evento de Risco Operacional 7.6.1. Coleta de Perdas A área deve documentar e armazenar as informações referentes às perdas associadas ao Risco Operacional, com objetivo de construir uma base histórica. A coleta dos valores de perda de Risco Operacional deve ser realizada com base no Plano Contábil das Instituições do Sistema Financeiro Nacional - COSIF, conforme procedimentos descritos no Manual de Riscos, Controles e Compliance 7.6.2. Perdas financeiras Impacto negativo nas receitas ou nos lucros das entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro, devido à um evento de Risco Operacional e que é correta e distintamente identificado. 7.6.3. Impactos Reputacionais Impacto negativo à imagem das entidades pertencentes ao conglomerado financeiro e ao consolidado econômico-financeiro e que afete sua reputação perante os stakeholders (clientes, mercado financeiro, órgãos reguladores, fornecedores, acionistas e demais partes relacionadas). 7.6.4. Impactos Indiretos São impactos negativos de difícil mensuração financeira ou gastos decorrentes de ações tomadas em função de algum evento ocorrido. 7.7. Disseminação da Cultura de Risco Todos os colaboradores devem ter treinamento, em período subsequente à admissão, sobre os conceitos do Risco Operacional a fim de prover capacitação de acordo com determinado pelo Conselho de Administração, Diretoria Executiva e pelos órgãos reguladores. Prover a capacitação aos agentes internos de risco operacional sobre conceitos e ferramentas de gerenciamento de riscos e controles. Deve se prover a capacitação aos agentes e representantes de Risco Operacional e Coordenadores de Planos de Continuidade Operacional (PCO) e Planos de Recuperação de Desastres (PRD) a fim de que os procedimentos adotados sejam efetivos. Propriedade do Banco Daycoval S.A. Página 9 de 10
7.8. Gestão de Continuidade de Negócios GCN O Plano de Continuidade de Negócios e Recuperação de Desastre implantado, visa assegurar as condições de continuidade das atividades, bem como limitar graves perdas decorrentes de risco operacional. O Plano de Continuidade de Negócios e Recuperação de Desastre implantado assegura a continuidade das atividades, bem como limita graves perdas decorrentes de risco operacional. Fica estabelecido que o Plano de Continuidade de Negócios e Recuperação de Desastre deve ser revisado, no mínimo anualmente, com base na análise de impacto nos negócios, considerando alterações nos itens relativos aos processos, à criticidade, à infraestrutura e aos colaboradores envolvidos, mantendo as informações atualizadas para possível acionamento do Plano. A gestão e ações, relacionadas à infraestrutura, para a execução da GCN nos momentos de indisponibilidade da infraestrutura principal devem ser devidamente registradas pela área Riscos, Controles e Compliance e aprovadas pela Alta Administração. A gestão dos fluxos de manutenção e a atualização dos documentos de suporte da GCN (Análise de Impacto de Negócios, Análise de Riscos, Planos de Continuidade Operacional (PCO) e Planos de Recuperação de Desastres (PRD)) deve ser realizada pela área de Riscos, Controles e Compliance sempre que necessário. Anualmente o cronograma de teste dos Planos de Continuidade Operacional (PCO) e Planos de Recuperação de Desastres (PRD) deve ser definido e elaborado, visando identificar os riscos potenciais e introduzir as medidas de prevenção necessárias. Os resultados (sucessos e desvios) devem ser consolidados e, em seguida, devem ser elaborados planos de ações com medidas mitigadoras, quando necessário. 8. Segregação de Função O Gerenciamento de Risco Operacional é realizado de forma segregada das demais áreas que compõem a estrutura, bem como das atividades realizados pela Auditoria Interna. Propriedade do Banco Daycoval S.A. Página 10 de 10