BM&FBOVESPA. Política de Risco Operacional. Diretoria de Controles Internos, Compliance e Risco Corporativo. Última Revisão: março de 2013.

Transcrição

1 BM&FBOVESPA Diretoria de Controles Internos, Compliance e Risco Corporativo Página 1 Última Revisão: março de 2013 Uso interno

2 Índice 1. OBJETIVO ABRANGÊNCIA REFERÊNCIA CONCEITOS DIRETRIZES Seção A Comunicação e Consulta Seção B Definição de Contexto Seção C Avaliação de Riscos Seção C.1 Identificação de Riscos Seção C.2 Análise de Riscos Seção C.3 Apreciação de Riscos Seção D Tratamento de Riscos Seção D Aceitação de Riscos Seção E Monitoramento e Revisão RESPONSABILIDADES INFORMAÇÕES DE CONTROLE... 7 Página 2

3 1. OBJETIVO Esta política tem por objetivo estabelecer princípios, diretrizes e responsabilidades a serem observadas no processo de Gestão de Riscos Operacionais da BM&FBOVESPA, de forma a possibilitar a identificação, avaliação, tratamento, monitoramento e comunicação dos riscos inerentes às atividades do negócio. 2. ABRANGÊNCIA Aplica-se à BM&FBOVESPA e suas controladas, com exceção do Banco BM&FBOVESPA regido por política própria. 3. REFERÊNCIA COSO ERM: Committee of Sponsoring Organizations of the Treadway Commission Enterprise Risk Management Framework. Norma ABNT NBR ISO 31000:2009 Gestão de Riscos: Princípios e Diretrizes. 4. CONCEITOS Risco: possibilidade de evento que afeta negativamente a realização dos objetivos da Companhia ou de seus processos. Risco operacional: possibilidade de ocorrência de perdas resultantes de falha, deficiência ou inadequação de processos internos, pessoas e sistemas, ou de eventos externos. Inclui o risco legal, associado à inadequação ou deficiência em contratos firmados pela Companhia, bem como a sanções em razão de descumprimento de dispositivos legais e a indenizações por danos a terceiros decorrentes das atividades desenvolvidas pela Companhia. Entre os eventos de risco operacional, incluem-se fraudes internas e externas; demandas trabalhistas e segurança deficiente do local de trabalho; práticas inadequadas relativas a clientes, produtos e serviços; danos a ativos físicos; aqueles que acarretem a interrupção das atividades da Companhia; e falhas em sistemas de tecnologia da informação. Risco inerente: risco associado ao negócio e existe independente de qualquer ação tomada para sua redução. Risco residual: risco remanescente após a implementação de atividades de controle que visam reduzir sua probabilidade e/ou impacto. Dono do risco: gestor e toda a estrutura hierárquica acima dele (Diretor e Diretor Executivo) como coresponsáveis por monitorar o risco e assegurar que o plano de ação para tratamento do risco seja implantado ou o controle opere satisfatoriamente. Apetite a riscos: está associado ao nível de risco que a Companhia estaria disposta a aceitar na busca e realização de sua missão/visão. Página 3

4 5. DIRETRIZES As diretrizes apresentadas nesta política definem as macro etapas do processo de gestão de riscos operacionais Seção A Comunicação e Consulta A comunicação durante todas as etapas do processo de gestão de riscos operacionais atinge todas as partes interessadas, sendo realizada de maneira clara e objetiva Seção B Definição de Contexto Essa etapa consiste no entendimento dos processos e subprocessos, bem como identificar os riscos e controles da área, por meio de entrevistas com os donos dos processos e com os funcionários indicados por eles Seção C Avaliação de Riscos Seção C.1 Identificação de Riscos A identificação de riscos objetiva reconhecer e descrever os riscos aos quais a Companhia está exposta. Nesta etapa são definidos fatores e consequências de cada risco. A identificação dos riscos é realizada com a participação de todos os envolvidos nos negócios da Companhia nos diferentes níveis Seção C.2 Análise de Riscos Após a identificação dos riscos, são realizadas análises qualitativas e quantitativas, visando a definição dos atributos de impacto e probabilidade, utilizados na priorização dos riscos a serem tratados. Esta etapa inclui o levantamento e a análise dos controles já existentes, apurando-se, assim, os riscos residuais classificados entre: Extremo, Alto, Moderado, Baixo e Irrelevante Seção C.3 Apreciação de Riscos Considerando a classificação do risco, o apetite ao risco e os controles existentes no processo, a exposição final ao risco (risco residual) é avaliada e classificada entre: Confortável, Atenção e Desconfortável, pela Diretoria de Controles Internos, Compliance e Risco Corporativo Seção D Tratamento de Riscos Posteriormente à avaliação de riscos, é definido o tratamento que será dado aos riscos e como estes devem ser monitorados e comunicados às diversas partes envolvidas. Tratar os riscos consiste em decidir entre aceitá-lo, eliminá-lo, reduzi-lo ou transferi-lo. A decisão depende principalmente do grau de apetite ao risco da Companhia. Página 4

5 Seção D Aceitação de Riscos No processo de aceitação de riscos considera-se que o nível atual do risco está abaixo do apetite ao risco estabelecido e é assumido pela Companhia, não existindo ações definidas para seu tratamento. Nesse caso, a decisão deve ser submetida à aprovação de acordo com a alçada descrita a seguir: Tabela de alçadas para aceitação de riscos pela Administração Risco Residual Proposta de aceitação Alçada de aceitação 5 - Extremo 4 - Alto Diretoria Executiva Conselho de Administração 3 - Moderado Diretor Diretoria Executiva 2 - Baixo 1 - Irrelevante Gerente Diretor A aceitação de riscos residuais classificados como alto e extremo deverá ser avaliada pelo Conselho de Administração, uma vez que o apetite ao risco estabelecido pela Companhia é inferior a estes patamares Seção E Monitoramento e Revisão O processo de monitoramento consiste em acompanhar o desempenho dos indicadores de riscos, supervisionar a implantação e manutenção dos planos de ação e o alcance das metas estabelecidas, através de atividades gerenciais contínuas e/ou avaliações independentes. 6. RESPONSABILIDADES Conselho de Administração Deliberar sobre questões estratégicas do processo de gestão de riscos operacionais, tais como o grau de apetite a riscos da Companhia. Aprovar a Política de Risco e suas revisões. Aprovar a aceitação dos riscos classificados como Alto e Extremo. Comitê de Riscos Analisar a Política de Risco da Companhia, assim como quaisquer revisões. Página 5

6 Comitê de Auditoria Analisar a Política de Risco da Companhia, assim como quaisquer revisões, submetendo-a a aprovação do Conselho de Administração. Aprovar a metodologia a ser utilizada para condução do processo de gestão de riscos operacionais. Acompanhar de forma sistemática a gestão de riscos operacionais com o objetivo de garantir sua eficácia e o cumprimento de seus objetivos. Supervisionar as atividades da área de controles internos da Companhia e de suas controladas. Avaliar a efetividade e suficiência dos sistemas de controles e de gerenciamento de riscos operacionais. Diretoria Executiva Patrocinar a implantação da gestão de riscos operacionais na Companhia. Para tanto, devem alocar recursos necessários ao processo e definir a infraestrutura apropriada às atividades de gerenciamento de riscos. Validar os planos de ações para tratamento dos riscos. Propor a aceitação dos riscos classificados como Alto e Extremo ao Conselho de Administração. Aprovar a aceitação dos riscos classificados como Moderado. Diretoria Validar os riscos inerentes à operação da Companhia levando em consideração a sua relevância e probabilidade de ocorrência. Validar os planos de ação para tratamento dos riscos. Propor a aceitação dos riscos classificados como Moderado a Diretoria Executiva. Aprovar a aceitação dos riscos classificados como Baixo e Irrelevante. Diretoria de Controles Internos, Compliance e Risco Corporativo Definir a metodologia a ser utilizada para condução do processo de gestão de riscos operacionais. Coordenar e definir os padrões a serem seguidos no que tange os processos de gestão de riscos operacionais, os sistemas de suporte e as formas e a periodicidade dos seus reportes. Consolidar a avaliação de riscos operacionais, por meio da elaboração de relatórios periódicos, e reportá-los à Diretoria Executiva, Comitê de Auditoria e Comitê de Riscos. Acompanhar a execução dos planos de ação. Contribuir para a definição do escopo e abrangência da auditoria interna nos trabalhos relacionados a riscos. Página 6

7 Gerente Contribuir nas atividades de identificação e avaliação dos riscos inerentes aos processos de negócio sob sua responsabilidade. Gerenciar os riscos inerentes aos processos de negócio sob sua responsabilidade, de forma a mantê-los em um nível de exposição aceitável. Avaliar os riscos inerentes à operação da Companhia levando em consideração a sua relevância e probabilidade de ocorrência. Propor a aceitação dos riscos classificados como Baixo e Irrelevante a Diretoria. Dono do Risco Comunicar tempestivamente riscos não mapeados sejam eles novos ou não identificados anteriormente. Monitorar os riscos sob sua responsabilidade. Apoiar os donos de processo na definição dos planos de ação necessários para tratamento dos riscos. Assegurar a implementação dos planos de ação definidos para tratamento dos riscos sob sua responsabilidade. 7. INFORMAÇÕES DE CONTROLE Vigência: 05/04/2013 a 04/04/2013 Versão: 1 1ª versão: 04/04/2013 Responsáveis pelo documento: Responsável Nome Área Elaboração Corinto Lucca Arruda Gerência de Risco Corporativo Revisão Eduardo Lopes Farias Diretoria de Controles Internos, Compliance e Risco Corporativo Aprovação N/A Conselho de Administração Registro de alterações: Versão Item Modificado Modificação Motivo Data 1 dd/mm/aaaa Página 7