SUPERINTENDÊNCIA DE CONTROLE GERÊNCIA DE CONTROLE DE TESOURARIA ANÁLISE DE RISCO OPERACIONAL RELATÓRIO DE GERENCIAMENTO DO RISCO OPERACIONAL NO BANCO BMG POSIÇAO EM 31 DE DEZEMBRO DE 2008 Belo Horizonte 02 de Janeiro de 2009
1 SUMÁRIO 1. Introdução... 02 2. Estrutura de Gerenciamento do Risco Operacional... 02 2.1 Política Institucional de Risco Operacional... 02 2.2 Comitê de Gerenciamento de Risco Operacional... 02 2.3 Sistema de Gestão do Risco Operacional... 03 2.4 Plano de Continuidade de Negócios... 03 2.5 Processo de Comunicação e Informação... 04 3. Atividades de Gestão do Risco Operacional... 04 3.1 Mapeamento e Acompanhamento das Atividades de Risco... 04 3.2 Cadastro e Análise de Incidentes de Risco Operacional... 05 3.3 Identificação de Controle dos Responsáveis pelo Cadastro de Incidentes.. 06 4. Metodologia para apuração do Patrimônio de Referência Exigido referente ao Risco Operacional... 06
2 1. INTRODUÇÃO O Banco BMG, em atenção ao inciso III do 3º artigo da Resolução nº. 3380 do Conselho Monetário Nacional, que determina a elaboração, com periodicidade mínima anual, de relatórios que permitam a identificação e correção tempestiva das deficiências de controle e gerenciamento do Risco Operacional, destaca sua estrutura, as atividades exercidas durante todo o ano de 2008 e as características no gerenciamento desse risco em seu âmbito. 2. ESTRUTURA DE GERENCIAMENTO DO RISCO OPERACIONAL 2.1. Política Institucional de Risco Operacional Importante ferramenta de controle, a Política Institucional de Risco Operacional no BMG foi desenvolvida pelos seus acionistas e administradores com base nas recomendações do Novo Acordo da Basiléia e na Resolução 3.380 do Conselho Monetário Nacional. Constitui-se de princípios para estabelecer um efetivo ambiente de gerenciamento de riscos, assegurando que o cumprimento com as normas estabelecidas de governança e controle estejam em conformidade com as orientações da alta administração e a metodologia adotada, abrangendo toda a estrutura do Conglomerado BMG e serviços terceirizados relevantes para o funcionamento regular das suas atividades. Através dessa política, o Conselho de Administração determina a manutenção de todos os riscos conhecidos e potenciais do banco e das empresas prestadoras de serviços sob adequado controle, com graduação máxima de Risco Médio, em uma escala de três níveis que variam de baixo a alto risco. A Política foi divulgada em 29 de junho de 2007 mantendo-se inalterada, sendo que a próxima revisão está prevista para junho de 2009, e pode ser acessada por todos os funcionários e prestadores de serviços através da intranet para consulta. 2.2. Comitê de Gerenciamento de Risco Operacional Para garantir a abrangência do gerenciamento em todos os seus níveis hierárquicos e sobre os serviços prestados, o Conglomerado BMG criou uma estrutura em forma de comitê presidido pelo Diretor Executivo Administrativo e organizado em grupos compostos por Superintendentes e Gerentes ligados com questões de administração, controle, contábil e fiscal, tesouraria análises de processos e tecnologia da informação. O comitê deve:
3 Identificar, avaliar, monitorar, controlar e mitigar os riscos inerentes às atividades do conglomerado; Propor à Diretoria Responsável por Riscos Operacionais correções para as deficiências de controle e de gerenciamento do risco operacional; Documentar e armazenar informações de perdas decorrentes ao risco operacional; Elaborar relatórios anuais identificando e corrigindo as deficiências de controle dos riscos operacionais; Testar os sistemas de controles de riscos operacionais implementados pelo conglomerado; e Implantar, manter e divulgar processos de comunicação e informação voltados a Gestão de Risco Operacional. O primeiro grupo, de Acompanhamento e Monitoramento dos Riscos Operacionais, é responsável pela análise dos pontos chaves de risco e seus controles, avaliação dos eventos de perdas, documentação dos processos e a execução dos planos de ação, reportando as questões relevantes à Diretoria Responsável pelo Risco Operacional. Periodicamente este grupo está obrigado a checar se a estrutura de gerenciamento está capacitada a exercer suas funções na gestão do risco operacional do Conglomerado BMG e dos seus prestadores de serviços. Os Agentes de Acompanhamento e Risco (AAR) estão espalhados nas diversas áreas das empresas. Eles são responsáveis por disseminar a cultura de Gestão de Risco Operacional entre os funcionários e empregar a metodologia para identificação de riscos, incidentes e controles existentes. A Auditoria Interna fiscaliza a Gestão do Risco Operacional realizando testes nos controles, certificando o acompanhamento e a mitigação das perdas e identifica, por meio de relatórios, as deficiências constatadas, reportando à Diretoria e ao Conselho de Administração para que manifestem sobre as ações a serem adotadas promovendo as correções necessárias. 2.3. Sistema de Gestão do Risco Operacional O BMG optou pela aquisição de um sistema informatizado utilizado em mercado para gestão dos riscos e incidentes. Em Agosto de 2008 a área de Marketing publicou um informe na intranet explicando como acessar o sistema de cadastro dos incidentes. 2.4. Plano de Continuidade de Negócios PCN
4 O Plano de Continuidade de Negócio está em curso, sendo desenvolvido pelos próprios funcionários da instituição com base nas melhores práticas utilizadas pelos profissionais da área. O primeiro plano executado compreende o Sistema de Pagamentos Brasileiro (SPB), pela sua importância e criticidade. O processo está em sua ultima fase, em teste. Em caso de falta de energia o servidor de produção e os computadores indicados pelos gestores são assistidos por um sistema de no-break s e um gerador que mantêm o funcionamento dos equipamentos evitando que as atividades do Conglomerado sejam interrompidas. Ainda assim, o BMG está implantando um servidor de contingência em endereço diferente aos das suas agências, com capacidade para suportar todas as suas operações. 2.5. Processo de Comunicação e Informação Todas as informações referentes ao Risco Operacional, política, normas, comunicados e estrutura, foram divulgadas na intranet e continuam a disposição para que os funcionários e prestadores de serviços possam consultar sempre que desejarem. Também foi criado um endereço eletrônico (e-mail) denominado Risco Operacional para que os funcionários possam contatar os analistas sempre que precisarem. 3. ATIVIDADES DE GESTÃO DO RISCO OPERACIONAL 3.1. Mapeamento e Acompanhamento das Atividades de Risco O mapeamento iniciou-se no segundo semestre de 2007 por meio de entrevistas, pessoais ou por questionários, aos gestores das áreas. Foram identificados os processos, as atividades e os riscos inerentes a elas, quantificados os riscos através de uma matriz que relaciona o impacto com a probabilidade e classificados segundo os tipos de eventos de perdas regulamentados pela resolução 3.380, sendo: I. Fraudes internas; II. Fraudes externas; III. Demandas trabalhistas e segurança deficiente do local de trabalho; IV. Práticas inadequadas relativas a clientes, produtos e serviços; V. Danos a ativos físicos próprios ou em uso pela instituição; VI. Aqueles que acarretem a interrupção das atividades da instituição;
5 VII. Falhas em sistemas de tecnologia da informação; VIII. Falhas na execução, cumprimento de prazos e gerenciamento das atividades na instituição. Também foram identificados os controles desses processos e proposta de melhorias dos mesmos. Após todo o mapeamento foi lançado no sistema, sendo identificadas no total 1081 (mil e oitenta e uma) possibilidades de perdas inerentes aos processos do BMG, todas mantidas sob rígido controle com graduação média no máximo, estando devidamente enquadradas ao limite de tolerância determinado pela Política Institucional. A revisão desse mapeamento foi iniciada no dia 31 de julho de 2008 e segue em constante avaliação. Para que a gestão de Risco Operacional no Conglomerado não foque apenas em processos, são consideradas as atividades, a interação entre elas (horizontalmente: processos; verticalmente: departamentos), produtos, pessoas e equipamentos, avaliando criticamente toda a estrutura voltada à continuidade dos negócios. 3.2. Cadastro e Análise de Incidentes de Risco Operacional Outra responsabilidade da área de risco é o acompanhamento de incidente que acontece diariamente. Isto porque o incidente é a materialização do risco, ocorre de maneira inesperada resultado de falhas, fraudes ou práticas inadequadas em qualquer área do Conglomerado BMG e empresas prestadoras de serviços. Contudo a responsabilidade de identificação e cadastro das perdas no sistema recai sobre os gestores, motivo este que no final de 2007 todos os gerentes e coordenadores foram convidados a participar de um treinamento sobre o risco operacional. Valendo-se da sua estrutura de comunicação e informação, o BMG publicou no início de 2008 mais dois comunicados 004/2008 e 007/2008 divulgando a implantação do sistema de Risco Operacional, as responsabilidades de acompanhamento e registro de incidentes, a acessibilidade ao sistema e a maneira como realizar os cadastros. À medida que os incidentes são cadastrados, os analistas de Risco Operacional checam o motivo, a efetividade dos controles ou mesmo se existia controle para o processo, apuram o prejuízo impactado e propõe correções ou novos controles associando os responsáveis pelo processo, independentemente do setor. Os analistas ainda acompanham a execução das medidas propostas validando a efetivação do domínio sobre o risco.
6 Em 2008 foram cadastrados 3534 incidentes, dentre os quais 247 foram excluídos por terem sidos registrados em duplicidade, 40 foram analisados e finalizados, 15 foram analisados e seguem aguardando resposta das áreas para serem finalizados, e 3232 estão em aberto aguardando análise. Todos esses incidentes que em sistema seguem em aberto, decorrem de situações apuradas pela Auditoria Interna e estão sendo analisados conjuntamente pelo grande volume e por isso serão avaliados e reportados em relatório a parte a ser disponibilizado aos responsáveis para só então serem finalizados. Todas essas perdas são contabilizadas conforme as determinações do COSIF e dos controles internos. 3.3. Identificação e Controle dos Responsáveis pelo Cadastro de Incidentes Os funcionários e prestadores de serviços responsáveis pelo registro dos incidentes foram identificados junto aos gestores e, em ação conjunta com a Superintendência de Desenvolvimento de Pessoas, treinados através de cursos virtuais sobre o Risco Operacional e o registro de incidentes em sistema. O controle desses responsáveis é manual, através de planilhas, sendo necessárias constantes atualizações, sobretudo pela movimentação de funcionários não comunicada aos responsáveis pelo controle. 4. METODOLOGIA PARA APURAÇÃO DO PATRIMÔNIO DE REFERÊNCIA EXIGIDO REFERENTE AO RISCO OPERACIONAL PRE (Popr) O Comitê da Basiléia determina 3 (três) abordagens para apuração do patrimônio de referência do risco operacional: Método de Indicador Básico, Método Padronizado e Método de Mensuração Avançada. Cada uma dessas abordagens tem um nível de complexidade crescente, e com um fator de ponderação diferente para determinar o capital de exigência do Risco Operacional, o que influencia na capacidade da empresa alavancar seus ativos. No Brasil, o Conselho Monetário Nacional normatizou a apuração do PRE (Popr) através da Circular 3.383, admitindo duas abordagens e uma variação: Método do Indicador Básico, Método Padronizado Alternativo e Método Padronizado Alternativo Simplificado; e determinou um multiplicador Z exigindo apenas parte do patrimônio de referência, que varia de 20% em julho de 2008 a 80% em dezembro de 2009, já no período seguinte ao citado às instituições deverão imobilizar o PRE (Popr) integralmente.
7 Para escolher a metodologia que proporcionasse a menor alocação de capital para o Conglomerado, a Contabilidade do BMG simulou a apuração do seu PRE (Popr) com base na Abordagem do Indicador Básico, considerando a soma das receitas de intermediação financeira e de prestação de serviços deduzindo as despesas de intermediação financeira dos três últimos períodos anuais, e na Abordagem Padronizada Alternativa Simplificada, segregando sua carteira de crédito as receitas e suas respectivas despesas dos três últimos anos em dois grupos, Comercial/Varejo e demais linhas de negócios. Ao comparar os resultados o BMG optou pela Abordagem Padronizada Alternativa Simplificada.