Resolução nº 4.557 de 2017 - Estrutura de Gerenciamento de Riscos PDF

RESOLUÇÃO Nº 4.557, DE 23 DE FEVEREIRO DE 2017 Dispõe sobre a estrutura de gerenciamento de riscos, a estrutura de gerenciamento de capital e a política de...

RESOLUÇÃO Nº 4.557, DE 23 DE FEVEREIRO DE 2017 Dispõe sobre a estrutura de gerenciamento de riscos, a estrutura de gerenciamento de capital e a política de divulgação de informações. (Redação dada pela Resolução nº 4.745, de 29/8/2019.) O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de 1964, torna público que o Conselho Monetário Nacional, em sessão realizada em 23 de fevereiro de 2017, com base nos arts. 4º, inciso VIII, da referida Lei, 2º, inciso VI, e 9º da Lei nº 4.728, de 14 de julho de 1965, 20, § 1º, da Lei nº 4.864, de 29 de novembro de 1965, 7º e 23, alínea “a”, da Lei nº 6.099, de 12 de setembro de 1974, 1º, inciso II, da Lei nº 10.194, de 14 de fevereiro de 2001, 6º do Decreto-Lei nº 759, de 12 de agosto de 1969, e 1º, § 1º, da Lei Complementar nº 130, de 17 de abril de 2009, RESOLVEU: Art. 1º Esta Resolução dispõe sobre a estrutura de gerenciamento de riscos, a estrutura de gerenciamento de capital e a política de divulgação de informações. (Redação dada pela Resolução nº 4.745, de 29/8/2019.) CAPÍTULO I DO ESCOPO Art. 2º As instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil enquadradas no Segmento 1 (S1), no Segmento 2 (S2), no Segmento 3 (S3) ou no Segmento 4 (S4), nos termos do art. 2º da Resolução nº 4.553, de 30 de janeiro de 2017, devem implementar, nos termos dos arts. 5º a 60 e 65 a 67 desta Resolução: I - estrutura de gerenciamento contínuo e integrado de riscos; (Redação dada pela Resolução nº 4.745, de 29/8/2019.) II - estrutura de gerenciamento contínuo de capital; e (Redação dada pela Resolução nº 4.745, de 29/8/2019.) III - política de divulgação de informações sobre: a) a estrutura de gerenciamento contínuo e integrado de riscos; b) a estrutura de gerenciamento contínuo de capital; c) a apuração do montante de ativos ponderados pelo risco (RWA), de que trata a Resolução nº 4.193 de 1º de março de 2013; d) a adequação do Patrimônio de Referência (PR), conforme definido na Resolução nº 4.192, de 1º de março de 2013; e) os indicadores de liquidez, de que tratam a Resolução nº 4.401, de 27 de fevereiro de 2015, e a Resolução nº 4.616, de 30 de novembro de 2017;  f) a Razão de Alavancagem (RA), de que trata a Resolução nº 4.615, de 30 de novembro de 2017; e g) a política de remuneração de administradores, de que trata a Resolução nº 3.921, de 25 de novembro de 2010. (Inciso III incluído pela Resolução nº 4.745, de 29/8/2019.) § 1º As estruturas de gerenciamento de que trata o caput devem ser: I - compatíveis com o modelo de negócio, com a natureza das operações e com a complexidade dos produtos, dos serviços, das atividades e dos processos da instituição; II - proporcionais à dimensão e à relevância da exposição aos riscos, segundo critérios definidos pela instituição; III - adequadas ao perfil de riscos e à importância sistêmica da instituição; e IV - capazes de avaliar os riscos decorrentes das condições macroeconômicas e dos mercados em que a instituição atua. § 2º Cada estrutura de gerenciamento de que trata o caput deve ser unificada para as instituições integrantes de um mesmo conglomerado prudencial, definido nos termos da Resolução nº 4.280, de 31 de outubro de 2013. § 3º As instituições de que trata o caput devem adotar postura prospectiva quanto ao gerenciamento de riscos e ao gerenciamento de capital. Art. 3º (Revogado, a partir de 1º/1/2023, pela Resolução CMN nº 5.049, de 25/11/2022.) Art. 4º É facultada a sistema cooperativo de crédito, independentemente do enquadramento das instituições integrantes, a implementação de estrutura centralizada para o gerenciamento de riscos e de estrutura centralizada para o gerenciamento de capital. § 1º As estruturas centralizadas de que trata o caput devem considerar, para cada instituição do sistema cooperativo de crédito nelas incluída: I - os riscos incorridos de maneira relevante pela instituição; II - os impactos oriundos dos riscos de que trata o inciso I no capital e na liquidez da instituição; III - os riscos associados às entidades controladas pela instituição ou às entidades das quais ela participe. § 2º O exercício da faculdade de que trata o caput implica a evidenciação, em políticas e documentos internos, das funções executadas por cada instituição incluída nas estruturas centralizadas. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 2 de 46  § 3º As estruturas de gerenciamento mencionadas no caput devem estar localizadas em entidade supervisionada pelo Banco Central do Brasil integrante do sistema cooperativo de crédito. § 4º O Banco Central do Brasil deve ser informado sobre a indicação da entidade de que trata o § 3º. § 5º O exercício da faculdade de que trata o caput não exime a responsabilidade da administração de cada cooperativa de crédito pelo gerenciamento de riscos e pelo gerenciamento de capital nos termos desta Resolução, incluindo a designação, perante o Banco Central do Brasil, dos diretores de que tratam os arts. 44 e 47, ou 62. CAPÍTULO II DA DECLARAÇÃO DE APETITE POR RISCOS (RAS) Art. 5º Os níveis de apetite por riscos devem ser documentados na Declaração de Apetite por Riscos (RAS). § 1º Para fins da elaboração da RAS, devem ser considerados: I - os níveis de riscos que a instituição está disposta a assumir, nos termos do art. 6º, caput, discriminados por tipo de risco e, quando aplicável, por diferentes horizontes de tempo; (Redação dada, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) II - a capacidade de a instituição gerenciar riscos de forma efetiva e prudente; III - os objetivos estratégicos da instituição; e IV - as condições de competitividade e o ambiente regulatório em que a instituição atua. § 2º O exercício da faculdade de que trata o art. 4º implica a documentação dos níveis de apetite por riscos, considerando cada instituição integrante do sistema cooperativo de crédito que esteja enquadrada no S2, S3 ou S4. CAPÍTULO III DA ESTRUTURA DE GERENCIAMENTO DE RISCOS Seção I Dos requisitos da estrutura de gerenciamento de riscos Art. 6º A estrutura de gerenciamento de riscos deve identificar, mensurar, avaliar, monitorar, reportar, controlar e mitigar: I - o risco de crédito, conforme definido no art. 21, a que a instituição esteja sujeita de maneira relevante; II - o risco de mercado, conforme definido no art. 25, a que a instituição esteja sujeita de maneira relevante; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 3 de 46  III - o risco de variação das taxas de juros para os instrumentos classificados na carteira bancária (IRRBB), conforme definido no art. 28, a que a instituição esteja sujeita de maneira relevante; IV - o risco operacional, conforme definido no art. 32; V - o risco de liquidez, conforme definido no art. 37; VI - o risco social, conforme definido no art. 38-A; (Redação dada, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) VII - o risco ambiental, conforme definido no art. 38-B; (Redação dada, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) VIII - o risco climático, conforme definido no art. 38-C; (Redação dada, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) IX - o risco país e o risco de transferência, conforme definidos no art. 38-G, a que a instituição esteja sujeita de maneira relevante; e (Redação dada, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) X - os demais riscos relevantes, segundo critérios definidos pela instituição, incluindo aqueles não cobertos na apuração do montante dos ativos ponderados pelo risco (RWA), nos termos da regulamentação em vigor. (Incluído, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) Parágrafo único. (Revogado, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) § 1º O gerenciamento de riscos deve ser integrado, possibilitando a identificação, a mensuração, a avaliação, o monitoramento, o reporte, o controle e a mitigação dos efeitos adversos resultantes das interações entre os riscos mencionados no caput. (Incluído, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) § 2º Para fins do disposto no § 1º, devem também ser consideradas as interações entre os riscos mencionados no caput e o risco de utilização de produtos e serviços da instituição na prática da lavagem de dinheiro ou do financiamento do terrorismo, nos termos da regulamentação emitida pelo Banco Central do Brasil. (Incluído, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) Art. 7º A estrutura de gerenciamento de riscos deve prever: I - políticas e estratégias para o gerenciamento de riscos, claramente documentadas, que estabeleçam limites e procedimentos destinados a manter a exposição aos riscos em conformidade com os níveis fixados na RAS; II - processos efetivos de rastreamento e reporte tempestivo de exceções às políticas de gerenciamento de riscos, aos limites e aos níveis de apetite por riscos fixados na RAS; III - sistemas, rotinas e procedimentos para o gerenciamento de riscos; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 4 de 46  IV - avaliação periódica da adequação dos sistemas, rotinas e procedimentos de que trata o inciso III; V - políticas, processos e controles adequados para assegurar a identificação prévia dos riscos inerentes a: a) novos produtos e serviços; b) modificações relevantes em produtos ou serviços existentes; c) mudanças significativas em processos, sistemas, operações e modelo de negócio da instituição; d) estratégias de proteção (hedge) e iniciativas de assunção de riscos; e) reorganizações societárias significativas; e f) alteração nas perspectivas macroeconômicas; VI - papéis e responsabilidades para fins do gerenciamento de riscos, claramente documentados, que estabeleçam atribuições ao pessoal da instituição em seus diversos níveis, incluindo os prestadores de serviços terceirizados; VII - programa de testes de estresse, conforme definido no art. 11; VIII - avaliação contínua da efetividade das estratégias de mitigação de riscos utilizadas, considerando, entre outros aspectos, os resultados dos testes de estresse; IX - políticas e estratégias, claramente documentadas, para a gestão de continuidade de negócios; X - relatórios gerenciais tempestivos para a diretoria da instituição, o comitê de riscos, e o conselho de administração, quando existente, versando sobre: a) valores agregados de exposição aos riscos de que trata o art. 6º e seus principais determinantes; b) aderência do gerenciamento de riscos aos termos da RAS e às políticas e aos limites mencionados no caput, inciso I; c) avaliação dos sistemas, das rotinas e dos procedimentos, de que trata o caput, inciso IV, incluindo eventuais deficiências da estrutura de gerenciamento de riscos e ações para corrigi-las; d) ações para mitigação dos riscos e avaliação da sua eficácia; e) grau de disseminação da cultura de gerenciamento de riscos no âmbito da instituição; e f) premissas e resultados de testes de estresse. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 5 de 46  § 1º As políticas para gerenciamento de riscos de que trata o caput, inciso I, devem dispor sobre: I - autorizações necessárias e ações apropriadas e tempestivas da diretoria da instituição e, quando cabível, do conselho de administração, em caso de exceções às políticas, aos procedimentos, aos limites e aos termos da RAS; II - instrumentos, serviços financeiros e estratégias de proteção (hedge) com uso previsto pela instituição, em conformidade com os termos da RAS. § 2º Os sistemas de que trata o caput, inciso III, incluem sistemas de informação adequados para avaliar, mensurar e reportar, em condições normais ou de estresse, a dimensão, a composição e a qualidade das exposições, considerando os riscos incorridos pela instituição. § 3º O reporte produzido pelos sistemas de informação de que trata o § 2º deve: I - refletir o perfil de riscos e a necessidade de liquidez da instituição; II - estar disponível, periodicamente e de forma adequada ao uso, para a diretoria e para o conselho de administração, quando existente; III - explicitar as deficiências ou as limitações das estimativas de risco e das premissas adotadas em modelos quantitativos e em cenários. § 4º As políticas de que trata o caput, inciso I devem ser compatíveis com as demais políticas estabelecidas pela instituição, incluindo a Política de Responsabilidade Social, Ambiental e Climática (PRSAC) e a política de conformidade. (Incluído, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) Art. 8º Devem ser disseminados ao pessoal da instituição, em seus diversos níveis, inclusive aos prestadores de serviços terceirizados relevantes, com linguagem e grau de informação compatíveis com sua área de atuação: I - o apetite por riscos documentado na RAS e sua conexão com as atividades e as decisões rotineiras de assunção de riscos; II - os procedimentos para reporte de ocorrências relacionadas à não observância dos níveis de apetite por riscos fixados na RAS; III - as políticas, as estratégias, os processos e os limites previstos na estrutura de gerenciamento de riscos. Parágrafo único. A disseminação das informações de que trata o caput deve ser efetuada por meio de processo estruturado de comunicação. Art. 9º Os modelos para o gerenciamento de riscos, quando utilizados e relevantes, devem ser submetidos a avaliação periódica quanto: I - à adequação e à robustez das premissas e das metodologias utilizadas; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 6 de 46  II - ao seu desempenho, incluindo a comparação, quando aplicável, entre as perdas estimadas e as observadas (backtesting). Parágrafo único. A avaliação dos modelos de que trata o caput não pode ser realizada por unidade responsável pelo seu desenvolvimento nem por unidade que assume riscos. Art. 10. A instituição deve manter quantidade suficiente de profissionais tecnicamente qualificados nas áreas sujeitas à assunção de riscos. Seção II Do programa de testes de estresse Art. 11. Para fins do programa de testes de estresse, considera-se: I - programa de testes de estresse: conjunto coordenado de processos e rotinas, dotado de metodologias, documentação e governança próprias, com o objetivo principal de identificar potenciais vulnerabilidades da instituição; II - teste de estresse: exercício, com finalidade definida, de avaliação prospectiva dos potenciais impactos de eventos e circunstâncias adversos na instituição ou em um portfólio específico; III - análise de sensibilidade: metodologia de teste de estresse que permite avaliar o impacto decorrente de variações em um parâmetro relevante específico no capital da instituição, em sua liquidez ou no valor de um portfólio; IV - análise de cenários: metodologia de teste de estresse que permite avaliar, ao longo de um período determinado, o impacto decorrente de variações simultâneas e coerentes em um conjunto de parâmetros relevantes no capital da instituição, em sua liquidez ou no valor de um portfólio; V - teste de estresse reverso: metodologia de teste de estresse que permite a identificação dos eventos e circunstâncias adversos associados a níveis predefinidos de resultado, capital ou liquidez, incluindo os que configurem a inviabilidade da instituição; e VI - efeitos de segunda ordem: consequências adversas decorrentes de respostas da instituição e do mercado ao cenário originalmente definido. Art. 12. São requisitos do programa de testes de estresse: I - abranger os riscos relevantes mencionados no art. 6º; II - avaliar o impacto de concentrações significativas de riscos; III - utilizar, de forma adequada às necessidades do gerenciamento de riscos, as seguintes metodologias de teste de estresse: a) análise de sensibilidade; b) análise de cenários; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 7 de 46  c) teste de estresse reverso; IV - prever a utilização de premissas e parâmetros adversos adequadamente severos; e V - ser claramente documentado, com detalhamento dos seguintes aspectos: a) governança e processos do programa; b) finalidade, frequência e metodologia de cada teste de estresse; c) ações elencadas para corrigir fragilidades apontadas pelo programa, incluindo a avaliação de sua factibilidade em situações de estresse; d) metodologias para definição dos cenários relevantes, quando utilizada a metodologia de análise de cenários; e) papel desempenhado pelos especialistas da instituição nas definições relativas aos testes de estresse; e f) limitações metodológicas dos testes de estresse, incluindo aquelas relacionadas à seleção de modelos, às suas premissas e às bases de dados utilizadas. Parágrafo único. Na realização do programa de testes de estresse, deve ser considerada a contribuição de especialistas das áreas relevantes da instituição, incluindo as de assunção de riscos, a de gerenciamento de riscos, a econômica, a de finanças e a de gerenciamento de capital. Art. 13. A instituição deve assegurar, relativamente ao programa de testes de estresse: I - o uso de seus resultados na identificação, na mensuração, na avaliação, no monitoramento, no controle e na mitigação dos riscos da instituição; II - seu uso auxiliar na avaliação da adequação e da robustez das premissas e das metodologias utilizadas nos modelos de que trata o art. 9º, quando utilizados. Art. 14. Os testes de estresse devem: I - ser realizados de forma integrada para os diversos riscos e unidades de negócios da instituição, considerando: a) diferentes níveis de agregação das exposições, conforme a finalidade dos testes; e b) o conglomerado prudencial como um todo; II - considerar os efeitos adversos resultantes das interações entre os riscos e prever a utilização de cenário comum, quando utilizada a metodologia de análise de cenários. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 8 de 46  Art. 15. No processo de elaboração de cenários, quando utilizada a metodologia de análise de cenários, devem ser considerados, quando relevantes: I - elementos históricos e hipotéticos; II - riscos de curto e de longo prazo, idiossincráticos e sistêmicos, de origem nacional e externa; III - interação entre riscos; IV - riscos associados ao conglomerado prudencial como um todo e a cada instituição que o integra; V - risco de a instituição vir a prestar suporte financeiro a entidade que não integre seu conglomerado; VI - assimetrias, não linearidades, efeitos de segunda ordem e quebra de correlações e de outras premissas. § 1º Cada cenário elaborado e sua severidade devem ser consistentes com as finalidades do respectivo teste de estresse. § 2º A baixa probabilidade da ocorrência de um cenário não deve necessariamente implicar sua exclusão do programa de testes de estresse. Art. 16. Os sistemas mencionados no art. 7º, inciso III, utilizados no âmbito do programa de testes de estresse, devem ser flexíveis para permitir: I - inclusão e alteração de cenários, quando utilizada a metodologia de análise de cenários; II - incorporação de alterações no modelo de negócio; e III - agregação de operações por fatores de risco, contrapartes e linhas de negócio. Art. 17. Os resultados do programa de testes de estresse devem ser incorporados: I - nas decisões estratégicas da instituição; II - na revisão dos níveis de apetite por riscos; III - na revisão das políticas, das estratégias e dos limites estabelecidos para fins do gerenciamento de riscos e do gerenciamento de capital; IV - no processo estruturado de comunicação de que trata o art. 8º; V - na avaliação dos níveis de capital e de liquidez da instituição e na elaboração dos respectivos planos de contingência; VI - na avaliação da adequação de capital, de que trata o art. 40, inciso VI; e Resolução nº 4.557, de 23 de fevereiro de 2017 Página 9 de 46  VII - no plano de recuperação de que trata a Resolução nº 4.502, de 30 de junho de 2016. Art. 18. A diretoria e o conselho de administração, quando existente, devem se envolver ativamente no programa de testes de estresse, indicando as diretrizes a serem seguidas e aprovando os cenários, quando utilizada a metodologia de análise de cenários. Art. 19. O Banco Central do Brasil poderá determinar: I - ajustes no programa de testes de estresse da instituição, incluindo a utilização de cenários diferentes dos originalmente estabelecidos e a realização de testes de estresse adicionais, caso sejam identificadas deficiências nesse programa; e II - realização de testes de estresse com base em cenários por ele fornecidos. Seção III Da gestão de continuidade de negócios Art. 20. As políticas para a gestão de continuidade de negócios de que trata o art. 7º, inciso IX, devem estabelecer: I - processo para análise de impacto nos negócios que inclua: a) identificação, classificação e documentação dos processos críticos de negócio; b) avaliação dos potenciais efeitos da interrupção dos processos mencionados na alínea “a”; II - estratégias para assegurar a continuidade das atividades da instituição e limitar perdas decorrentes da interrupção dos processos críticos de negócio; III - planos de continuidade de negócios que estabeleçam procedimentos e prazos estimados para reinício e recuperação das atividades em caso de interrupção dos processos críticos de negócio, bem como as ações de comunicação necessárias; IV - testes e revisões dos planos de continuidade de negócios com periodicidade adequada. § 1º A política e os planos de continuidade de negócios devem considerar os serviços prestados por terceiros, quando relevantes. § 2º Os relatórios gerenciais mencionados no art. 7º, inciso X, devem incluir os resultados dos testes e das revisões de que trata o caput, inciso IV. Seção IV Do gerenciamento do risco de crédito Art. 21. Para fins desta Resolução, define-se o risco de crédito como a possibilidade de ocorrência de perdas associadas a: Resolução nº 4.557, de 23 de fevereiro de 2017 Página 10 de 46  I - não cumprimento pela contraparte de suas obrigações nos termos pactuados; II - desvalorização, redução de remunerações e ganhos esperados em instrumento financeiro decorrentes da deterioração da qualidade creditícia da contraparte, do interveniente ou do instrumento mitigador; III - reestruturação de instrumentos financeiros; ou IV - custos de recuperação de exposições caracterizadas como ativos problemáticos, nos termos do art. 24. § 1º Para fins do gerenciamento do risco de crédito, considera-se: I - contraparte: (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) a) o tomador de recursos; (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) b) o garantidor; (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) c) o emissor de título ou valor mobiliário adquirido; (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) d) o usuário final perante o emissor de instrumento de pagamento pós-pago (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) e) o emissor perante o credenciador de instrumento de pagamento; e (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) f) a instituição devedora de outra instituição decorrente de acordo de interoperabilidade entre diferentes arranjos de pagamento; e (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) II - reestruturação de instrumentos financeiros: renegociação que implique a concessão de vantagens à contraparte em decorrência da deterioração da sua qualidade creditícia ou da qualidade creditícia do interveniente ou do instrumento mitigador. § 2º As vantagens mencionadas no § 1º, inciso II, incluem aquelas formalizadas nos instrumentos financeiros originais ou em novos instrumentos utilizados para liquidação ou refinanciamento daqueles. § 3º A definição de risco de crédito inclui: I - o risco de crédito da contraparte, entendido como a possibilidade de perdas decorrentes do não cumprimento de obrigações relativas à liquidação de operações que envolvam fluxos bilaterais, incluindo a negociação de ativos financeiros ou de derivativos; II - (Revogado, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) Resolução nº 4.557, de 23 de fevereiro de 2017 Página 11 de 46  III - (Revogado, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) IV - a possibilidade de ocorrência de desembolsos para honrar garantias financeiras prestadas de que trata a Resolução nº 4.512, de 28 de julho de 2016; V - a possibilidade de perdas associadas ao não cumprimento de obrigações nos termos pactuados por interveniente, provedor do instrumento mitigador ou mandatário de cobrança; VI - o risco de concentração, entendido como a possibilidade de perdas associadas a exposições significativas: a) a uma mesma contraparte; b) a contrapartes com atuação em um mesmo setor econômico, região geográfica ou segmento de produtos ou serviços; c) a contrapartes cujas receitas dependam de um mesmo tipo de mercadoria (commodity) ou atividade; d) a instrumentos financeiros cujos fatores de risco, incluindo moedas e indexadores, são significativamente relacionados; e) associadas a um mesmo tipo de produto ou serviço financeiro; e f) cujo risco é mitigado por um mesmo tipo de instrumento. Art. 22. Devem constituir uma única contraparte para fins do gerenciamento do risco de crédito as contrapartes conectadas. § 1º São consideradas conectadas as contrapartes que compartilhem o risco de crédito perante a instituição, inclusive por meio de relação de controle. § 2º Para fins desta Resolução, a relação de controle deve ser verificada na ocorrência de pelo menos um dos seguintes critérios: I - uma das contrapartes detém, direta ou indiretamente, mais de 50% (cinquenta por cento) do capital votante da outra contraparte; II - acordo de voto entre uma contraparte e outros participantes na outra contraparte assegura preponderância nas deliberações sociais da contraparte participada; III - uma contraparte detém o poder de eleger ou de destituir a maioria dos administradores da outra contraparte; ou IV - uma contraparte detém preponderância nas decisões de gestão operacional da outra contraparte. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 12 de 46  § 3º Os critérios utilizados para a identificação de cada grupo de contrapartes conectadas devem ser documentados. § 4º Excepcionalmente, a instituição poderá não considerar como contraparte única as contrapartes conectadas por relação de controle, desde que demonstrada e documentada a ausência de compartilhamento do risco de crédito. § 5º Para fins do gerenciamento do risco de crédito, o Banco Central do Brasil poderá considerar, a seu critério, duas ou mais contrapartes como conectadas, caso verifique a existência de compartilhamento do risco de crédito entre elas. Art. 23. A estrutura de gerenciamento de que trata o art. 7º deve prever, adicionalmente, para o risco de crédito: I - o gerenciamento de exposições com características semelhantes, tanto em nível individual quanto em nível agregado, abrangendo aspectos como fontes significativas do risco de crédito, identificação da contraparte ou do interveniente, forma de agregação das exposições e uso de instrumento mitigador; II - políticas que estabeleçam critérios para a identificação dos fatores de risco significativos para fins do gerenciamento do risco de concentração; III - mecanismos para o gerenciamento do risco de crédito de: a) instrumentos classificados na carteira de negociação mencionada no art. 26; b) instrumentos classificados na carteira bancária mencionada no art. 26, § 2º; IV - gerenciamento do risco de crédito das exposições não contabilizadas no balanço patrimonial da instituição; V - utilização de informações relevantes e consistentes para avaliação e mensuração do risco de crédito; VI - estimação, segundo critérios consistentes e passíveis de verificação, das perdas esperadas associadas ao risco de crédito, bem como comparação dos valores estimados com as perdas efetivamente observadas; VII - critérios para reavaliação da qualidade creditícia de contrapartes, intervenientes e instrumentos mitigadores; VIII - observada a regulamentação contábil em vigor, mecanismos para que os níveis de provisionamento sejam suficientes em face das perdas esperadas de que trata o inciso VI; IX - avaliação adequada quanto à retenção de riscos em operações de venda ou de transferência de ativos financeiros; X - estabelecimento de limites para exposição ao risco de concentração de que trata o art. 21, § 3º, inciso VI; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 13 de 46  XI - políticas e procedimentos, claramente documentados, para monitorar o endividamento total da contraparte, considerando todos os fatores de risco, incluindo aquele associado a exposições em moeda estrangeira não protegidas por hedge; XII - critérios e procedimentos, claramente definidos e documentados, acessíveis aos envolvidos nos processos de concessão e de acompanhamento de operações sujeitas ao risco de crédito, incluindo: a) análise prévia, realização e repactuação de operações sujeitas ao risco de crédito; b) coleta e documentação das informações necessárias para a completa compreensão do risco de crédito envolvido nas operações; c) avaliação periódica do grau de suficiência dos instrumentos mitigadores; d) detecção de indícios e prevenção da deterioração da qualidade creditícia da contraparte; e) tratamento das exceções aos limites e aos níveis de apetite por risco de crédito fixado na RAS; f) cobrança e recebimento de créditos; g) recuperação de exposições caracterizadas como ativos problemáticos, nos termos do art. 24; XIII - critérios, claramente definidos e documentados, para que o conselho de administração delibere sobre a assunção de exposição a risco de crédito: a) que exceda o limite de concentração, em valor absoluto ou proporcional ao Patrimônio de Referência (PR), estabelecido nas políticas de gerenciamento de riscos; b) incompatível com o perfil de riscos da instituição ou com os produtos e serviços por ela oferecidos; XIV - sistema de classificação das exposições conforme a natureza da operação e o risco de crédito, mediante critérios consistentes e passíveis de verificação, considerando aspectos como: a) situação econômico-financeira, bem como outras informações cadastrais atualizadas da contraparte e do interveniente, quando existente; b) utilização de instrumentos que proporcionem efetiva mitigação do risco de crédito associado à operação; c) período de atraso no cumprimento das obrigações financeiras nos termos pactuados; XV - critérios e procedimentos para identificação, monitoramento e controle de exposição caracterizada como ativo problemático, nos termos do art. 24; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 14 de 46  XVI - documentação e armazenamento de informações referentes às perdas associadas ao risco de crédito, incluindo aquelas relacionadas à reestruturação, nos termos do art. 21, § 1º, inciso II, e à recuperação de crédito; XVII - sistemas de informação capazes de identificar e agregar, de forma contínua, as exposições sujeitas ao risco de concentração definido no art. 21, §3º, inciso VI. § 1º A estimativa da perda esperada, de que trata o caput, inciso VI, deve considerar: I - a classificação da exposição segundo o disposto no caput, inciso XIV; II - o ambiente macroeconômico corrente e alterações previstas no curto prazo; III - a probabilidade de que a exposição seja caraterizada como ativo problemático; IV - a expectativa de recuperação do crédito, incluindo concessão de vantagens, custos de execução e prazos. § 2º A estimativa de perda esperada deve ser revista semestralmente ou: I - mensalmente, caso a exposição apresente atraso no pagamento de encargos ou amortizações; II - imediatamente, diante da caracterização da exposição como ativo problemático. § 3º Os relatórios gerenciais de que trata o art. 7º, inciso X, devem abordar os seguintes aspectos adicionais relativamente ao risco de crédito: I - (Revogado, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) II - a avaliação e a expectativa de desempenho das exposições ao risco de crédito, abordando sua classificação e as respectivas provisões; III - as exposições sujeitas ao risco de concentração definido no art. 21, § 3º, inciso VI. IV - informações relativas às exposições significativas caracterizadas como ativos problemáticos, incluindo características, histórico e perspectivas de recuperação; V - informações sobre execução de mitigadores e exposições em reestruturação. Art. 24. Para fins do gerenciamento do risco de crédito, a exposição deve ser caracterizada como ativo problemático quando verificado pelo menos um dos seguintes eventos: I - a respectiva obrigação está em atraso há mais de noventa dias; II - há indicativos de que a respectiva obrigação não será integralmente honrada sem que seja necessário recurso a garantias ou a colaterais. § 1º Os indicativos de que uma obrigação não será integralmente honrada incluem: Resolução nº 4.557, de 23 de fevereiro de 2017 Página 15 de 46  I - a instituição considera que a contraparte não tem mais capacidade financeira para honrar a obrigação nas condições pactuadas; II - a instituição, independentemente de exigência regulamentar, reconhece contabilmente deterioração significativa da qualidade do crédito do tomador ou contraparte; III - a operação relativa à exposição é reestruturada, nos termos do art. 21, § 1º, inciso II; IV - a instituição pede a falência ou toma providência similar em relação à contraparte; e V - a contraparte solicita ou sofre qualquer tipo de medida judicial que limite, atrase ou impeça o cumprimento de suas obrigações nas condições pactuadas. § 2º As exposições caracterizadas como ativos problemáticos somente podem ter essa condição alterada diante de evidência de retomada, pela contraparte, da capacidade de honrar suas obrigações nas condições pactuadas. § 3º Os critérios para a evidenciação de que trata o § 2º devem ser previamente estabelecidos pela instituição e claramente documentados. Seção V Do gerenciamento do risco de mercado e do IRRBB Art. 25. Para fins desta Resolução, define-se o risco de mercado como a possibilidade de ocorrência de perdas resultantes da flutuação nos valores de mercado de instrumentos detidos pela instituição. Parágrafo único. A definição de que trata o caput inclui: I - o risco da variação das taxas de juros e dos preços de ações, para os instrumentos classificados na carteira de negociação; e II - o risco da variação cambial e dos preços de mercadorias (commodities), para os instrumentos classificados na carteira de negociação ou na carteira bancária. Art. 25-A. Os instrumentos sujeitos ao risco de mercado, conforme definido no art. 25, devem ser gerenciados por uma estrutura de mesa de operações. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 1º Para fins desta Resolução, definem-se: (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) I - mesa de operações como um grupo de operadores ou de livros de negociação com estratégias de negócio e organização claramente definidas e documentadas, sujeita ao processo de gerenciamento do risco de mercado da instituição; e (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Resolução nº 4.557, de 23 de fevereiro de 2017 Página 16 de 46  II - livro de negociação como a unidade gerencial específica para gerenciamento de uma atividade determinada de negociação de instrumentos. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 2º A estrutura de mesas de operações deve ser definida e documentada pela instituição levando-se em consideração a sua estrutura organizacional e os critérios e procedimentos estabelecidos pelo Banco Central do Brasil. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 3º A granularidade da estrutura de mesas de operações deve ser adequada ao volume de negociação da instituição e aos tipos de instrumentos negociados. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Art. 25-B. Cada mesa de operações de que trata o art. 25-A deve gerenciar exclusivamente instrumentos sujeitos ao risco de mercado. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Art. 26. A carteira de negociação é formada pelos instrumentos, inclusive derivativos, mantidos com finalidade de negociação e que atendam às seguintes condições: (Redação dada, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) I - estejam livres de impedimento legal para venda; e (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) II - sejam avaliados diariamente pelo valor de mercado, conforme critérios definidos pela regulamentação em vigor. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 1º (Revogado, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 1º-A Os ajustes ao valor de mercado do instrumento decorrentes da avaliação de que trata o inciso II do caput devem ser reconhecidos em contrapartida à adequada conta de receita ou de despesa, no resultado do período das instituições. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 2º Os instrumentos não classificados na carteira de negociação devem constituir a carteira bancária. § 3º Os instrumentos sujeitos a impedimentos legais de caráter temporário podem ser classificados na carteira de negociação, desde que documentados com base em critérios consistentes e passíveis de verificação. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Art. 26-A. Em situações extraordinárias devidamente fundamentadas, o Banco Central do Brasil poderá autorizar, conforme critérios e procedimentos por ele estabelecidos, a classificação excepcional de instrumentos que atendam ao disposto no art. 26 na carteira bancária ou a reclassificação de instrumentos entre as carteiras de negociação e bancária. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Resolução nº 4.557, de 23 de fevereiro de 2017 Página 17 de 46  Art. 27. A instituição deve estabelecer políticas claramente definidas para determinar quais instrumentos serão incluídos na carteira de negociação, bem como procedimentos para garantir que os critérios de classificação nessa carteira sejam observados de maneira consistente. § 1º Na hipótese de a instituição não manter carteira de negociação, a política e os procedimentos de que trata o caput devem assegurar a inexistência de instrumentos detidos com intenção de negociação. § 2º Na definição da política e dos procedimentos de que trata o caput devem ser observados os critérios estabelecidos pelo Banco Central do Brasil. Art. 27-A. Para fins desta Resolução, transferência interna de riscos corresponde ao registro interno de operação com instrumentos derivativos que possibilite a transferência de riscos dentro da carteira bancária, entre a carteira bancária e a carteira de negociação ou dentro da carteira de negociação, de um mesmo conglomerado prudencial. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 1º As transferências internas de risco entre a carteira bancária e a carteira de negociação ou dentro da carteira de negociação devem ser registradas em mesas de operações. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 2º Para que produzam efeitos no requerimento de capital, as transferências internas de riscos da carteira bancária para a carteira de negociação deverão ser registradas em mesa de operações dedicada previamente autorizada pelo Banco Central do Brasil. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 3º Os critérios e os procedimentos relativos às transferências internas de riscos serão estabelecidos pelo Banco Central do Brasil, inclusive no que se refere à produção de efeitos no requerimento de capital. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) § 4º Até 1º de dezembro de 2022, é facultado às instituições que não tenham uma mesa de operações dedicada autorizada pelo Banco Central do Brasil reconhecer em seu requerimento de capital os efeitos das transferências internas de risco de que trata este artigo. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Art. 28. Define-se o IRRBB como o risco, atual ou prospectivo, do impacto de movimentos adversos das taxas de juros no capital e nos resultados da instituição financeira, para os instrumentos classificados na carteira bancária. Art. 29. A estrutura de gerenciamento de que trata o art. 7º deve prever, adicionalmente, para o risco de mercado e para o IRRBB: I - sistemas que considerem todas as fontes significativas de risco e utilizem dados confiáveis de mercado e de liquidez, tanto internos quanto externos; II - documentação adequada das: (Redação dada, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Resolução nº 4.557, de 23 de fevereiro de 2017 Página 18 de 46  a) reclassificações de instrumentos entre as carteiras de negociação e bancária; e (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) b) transferências internas de riscos, incluindo aquelas que não produzem efeitos para fins de requerimento de capital. (Incluído, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Parágrafo único. (Revogado, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) Art. 30. O gerenciamento do IRRBB deve prever: I - avaliação e controle de seus principais determinantes, incluindo o descasamento entre ativos e passivos, em relação a prazos, taxas, indexadores e moedas; e II - identificação, mensuração e controle desse risco com base em metodologias que sejam consistentes com as características da carteira bancária e que considerem a maturidade, a liquidez e a sensibilidade ao risco dos instrumentos classificados nessa carteira. § 1º Para as instituições enquadradas no S1, S2 ou S3, a identificação, a mensuração e o controle do IRRBB de que trata o caput, inciso II, devem se basear em abordagens de valor econômico e de resultado de intermediação financeira. § 2º Sem prejuízo do disposto no § 1º, para as instituições enquadradas no S1, S2, S3 ou S4, o Banco Central do Brasil poderá definir metodologias específicas e requisitos mínimos a serem observados na identificação, na mensuração e no controle do IRRBB, incluindo as baseadas em abordagens de valor econômico e de resultado de intermediação financeira. § 3º Para fins desta Resolução, consideram-se: I - abordagens de valor econômico: avaliações do impacto de alterações nas taxas de juros sobre o valor presente dos fluxos de caixa dos instrumentos classificados na carteira bancária da instituição; e II - abordagens de resultado de intermediação financeira: avaliações do impacto de alterações nas taxas de juros sobre o resultado de intermediação financeira da carteira bancária da instituição. § 4º Os níveis de apetite por IRRBB devem ser documentados na RAS para cada abordagem de que trata o § 3º. Art. 31. Os relatórios gerenciais de que trata o art. 7º, inciso X, devem abordar os seguintes aspectos adicionais relativamente ao IRRBB: I - resultados da mensuração do IRRBB com base em abordagens de valor econômico e de resultado de intermediação financeira; II - premissas utilizadas na modelagem de: a) opcionalidades embutidas; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 19 de 46  b) mudanças na estrutura temporal dos fluxos de caixa de depósitos sem vencimento contratual definido; e c) agregação de moedas. Seção VI Do gerenciamento do risco operacional Art. 32. Para fins desta Resolução, define-se o risco operacional como a possibilidade da ocorrência de perdas resultantes de eventos externos ou de falha, deficiência ou inadequação de processos internos, pessoas ou sistemas. § 1º A definição de que trata o caput inclui o risco legal associado à inadequação ou deficiência em contratos firmados pela instituição, às sanções em razão de descumprimento de dispositivos legais e às indenizações por danos a terceiros decorrentes das atividades desenvolvidas pela instituição. § 2º Entre os eventos de risco operacional, incluem-se: I - fraudes internas; II - fraudes externas; III - demandas trabalhistas e segurança deficiente do local de trabalho; IV - práticas inadequadas relativas a usuários finais, clientes, produtos e serviços; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) V - danos a ativos físicos próprios ou em uso pela instituição; VI - situações que acarretem a interrupção das atividades da instituição ou a descontinuidade dos serviços prestados, incluindo o de pagamentos; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) VII - falhas em sistemas, processos ou infraestrutura de tecnologia da informação (TI); VIII - falhas na execução, no cumprimento de prazos ou no gerenciamento das atividades da instituição, incluindo aquelas relacionadas aos arranjos de pagamento. (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) § 3º Para as atividades de pagamento, as falhas mencionadas no § 2º incluem: (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) I - falhas na proteção e na segurança de dados sensíveis relacionados tanto às credenciais dos usuários finais quanto a outras informações trocadas com o objetivo de efetuar transações de pagamento; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) Resolução nº 4.557, de 23 de fevereiro de 2017 Página 20 de 46  II - falhas na identificação e autenticação do usuário final em transação de pagamento; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) III - falhas na autorização das transações de pagamento; e (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) IV - falhas na iniciação de transação de pagamento. (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) Art. 33. A estrutura de gerenciamento de que trata o art. 7º deve prever, adicionalmente, para o risco operacional: I - políticas que estabeleçam critérios de decisão quanto à terceirização de serviços e de seleção de seus prestadores, incluindo as condições contratuais mínimas necessárias para mitigar o risco operacional; II - alocação de recursos adequados para avaliar, gerenciar e monitorar o risco operacional decorrente de serviços terceirizados relevantes para o funcionamento regular da instituição; III - implementação de estrutura de governança de TI consistente com os níveis de apetite por riscos estabelecidos na RAS; IV - sistemas, processos e infraestrutura de TI que: a) assegurem integridade, segurança e disponibilidade dos dados armazenados, processados ou transmitidos e dos sistemas de informação utilizados; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) b) contenham mecanismos de proteção e segurança de redes, sítios eletrônicos, servidores e canais de comunicação com vistas a reduzir a vulnerabilidade a ataques digitais; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) c) adotem procedimentos para monitorar, rastrear e restringir acesso a dados sensíveis, redes, sistemas, bases de dados e módulos de segurança; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) d) monitorem as falhas na segurança dos dados e as reclamações dos usuários finais a esse respeito; e (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) e) sejam adequados às necessidades e às mudanças do modelo de negócio, tanto em circunstâncias normais quanto em períodos de estresse; (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) V - processo consistente e abrangente para: a) coletar tempestivamente informações relevantes para a base de dados de risco operacional; b) classificar e agregar as perdas operacionais relevantes identificadas; e Resolução nº 4.557, de 23 de fevereiro de 2017 Página 21 de 46  c) efetuar, tempestivamente, análise da causa raiz de cada perda operacional relevante; VI - realização periódica de análises de cenários com o objetivo de estimar a exposição da instituição a eventos de risco operacional raros e de alta severidade; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) VII - revisão das medidas de segurança e de sigilo de dados, especialmente depois da ocorrência de falhas e previamente a alterações na infraestrutura ou nos procedimentos; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) VIII - elaboração de relatórios que indiquem procedimentos para correção de falhas identificadas; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) IX - realização de testes que assegurem a robustez e a efetividade das medidas de segurança de dados adotadas; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) X - segregação de funções nos ambientes de tecnologia da informação destinados ao desenvolvimento, teste e produção. (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) § 1º No caso de terceirização de serviços de TI, incluindo os relacionados com a segurança dos serviços de pagamento oferecidos, o respectivo contrato de prestação de serviços deve estipular que: (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) I - o contratado deverá atender ao disposto nos incisos IV, VII, VIII, IX e X do caput e ao disposto no § 3º; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) II - a contratante terá acesso aos dados e às informações sobre os serviços prestados; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) III - o Banco Central do Brasil terá acesso a: (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) a) termos firmados; (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) b) documentação e informações referentes aos serviços prestados; e (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) c) dependências do contratado. (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) § 2º Os resultados das análises de cenários de que trata o caput, inciso VI, devem ser considerados na revisão da estrutura de gerenciamento de riscos e na alocação de capital. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 22 de 46  § 3º Para as atividades de pagamentos, a estrutura de que trata o caput deve prever adicionalmente: (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) I - identificação adequada do usuário final; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) II - processos para assegurar que todas as transações de pagamento possam ser adequadamente rastreadas; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) III - mecanismos de monitoramento e de autorização das transações de pagamento, com o objetivo de prevenir fraudes, detectar e bloquear transações suspeitas de forma tempestiva; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) IV - avaliações e filtros específicos para identificar transações consideradas de alto risco; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) V - notificação ao usuário final acerca de eventual não execução de uma transação; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) VI - mecanismos que permitam ao usuário final verificar se a transação foi executada corretamente; (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) VII - identificação, avaliação, gerenciamento, monitoramento e mitigação do risco decorrente da participação de subcredenciador no processo de liquidação das transações de pagamento, no caso de instituição credenciadora; e (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) VIII - mecanismos de monitoramento e controle de falhas na iniciação de transações de pagamento, segregando, no mínimo, os seguintes eventos: (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) a) iniciação de transação de pagamento não autorizada; (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) b) não execução de iniciação de transação de pagamento; (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) c) execução incorreta de iniciação de transação de pagamento; e (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) d) atraso na iniciação de transação de pagamento. (Incluída, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) Art. 34. A instituição deve constituir base de dados de risco operacional que contenha valores associados a perdas operacionais, incluindo provisões e despesas relacionadas a cada evento de perda, e outros dados de risco operacional. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 23 de 46  § 1º Para fins do disposto nesta Resolução, define-se perda operacional como o valor quantificável associado aos eventos de risco operacional mencionados no art. 32. § 2º Devem constar da base de dados de risco operacional as perdas operacionais associadas ao risco de crédito, ao risco de mercado, ao risco social, ao risco ambiental e ao risco climático, independentemente de também constarem de outras bases de dados. (Redação dada, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) § 3º A base de dados de que trata o caput deve ser considerada no gerenciamento do risco operacional. Art. 35. Os relatórios gerenciais de que trata o art. 7º, inciso X, devem incluir informações referentes às perdas operacionais relevantes. Art. 36. A instituição deve se assegurar da adequada capacitação sobre risco operacional de todos os empregados e dos prestadores de serviços terceirizados relevantes. Seção VII Do gerenciamento do risco de liquidez Art. 37. Para fins desta Resolução, define-se o risco de liquidez como: I - a possibilidade de a instituição não ser capaz de honrar eficientemente suas obrigações esperadas e inesperadas, correntes e futuras, incluindo as decorrentes de vinculação de garantias, sem afetar suas operações diárias e sem incorrer em perdas significativas; e II - a possibilidade de a instituição não conseguir negociar a preço de mercado uma posição, devido ao seu tamanho elevado em relação ao volume normalmente transacionado ou em razão de alguma descontinuidade no mercado. Parágrafo único. A definição de que trata o inciso I do caput inclui a possibilidade de a instituição emissora de moeda eletrônica não ser capaz de convertê-la em moeda física ou escritural no momento da solicitação do usuário. (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.076, de 18/5/2023.) Art. 38. A estrutura de gerenciamento de que trata o art. 7º deve prever, adicionalmente, para o risco de liquidez: I - políticas, estratégias e processos que assegurem: a) identificação, mensuração, avaliação, monitoramento, reporte, controle e mitigação do risco de liquidez em diferentes horizontes de tempo, inclusive intradia, em situações normais ou de estresse, contemplando a avaliação diária das operações com prazos de liquidação inferiores a noventa dias; b) manutenção de estoque adequado de ativos líquidos que possam ser prontamente convertidos em caixa em situações de estresse; c) manutenção de perfil de captação de recursos adequado ao risco de liquidez dos ativos e das exposições não contabilizadas no balanço patrimonial da instituição; e Resolução nº 4.557, de 23 de fevereiro de 2017 Página 24 de 46  d) diversificação adequada das fontes de captação de recursos; e II - plano de contingência de liquidez. § 1º O gerenciamento do risco de liquidez deve considerar todas as operações praticadas no mercado financeiro e de capitais, assim como possíveis exposições contingentes ou inesperadas, incluindo as associadas a serviços de liquidação, a prestação de avais e garantias, e a linhas de crédito e de liquidez contratadas e não utilizadas. § 2º A instituição deve considerar o risco de liquidez individualmente nas jurisdições onde opera e nas moedas às quais está exposta, observando eventuais restrições à transferência de liquidez e à conversibilidade entre moedas, tais como as causadas por problemas operacionais ou por imposições feitas por um país. § 3º O plano de contingência de liquidez de que trata o caput, inciso II, deve ser regularmente atualizado e estabelecer responsabilidades, estratégias e procedimentos, claramente definidos e documentados, para enfrentar situações de estresse. Seção VIII Do gerenciamento do risco social, do risco ambiental e do risco climático (Seção VIII incluída, a partir de 1º/7/2022, pela Resolução CMN nº 4.943, de 15/9/2021.) Art. 38-A. Para fins desta Resolução, define-se o risco social como a possibilidade de ocorrência de perdas para a instituição ocasionadas por eventos associados à violação de direitos e garantias fundamentais ou a atos lesivos a interesse comum. § 1º Para fins desta Resolução, interesse comum é aquele associado a grupo de pessoas ligadas jurídica ou factualmente pela mesma causa ou circunstância, quando não relacionada à definição de risco ambiental, de risco climático de transição ou de risco climático físico. § 2º São exemplos de eventos de risco social a ocorrência ou, conforme o caso, os indícios da ocorrência de: I - ato de assédio, de discriminação ou de preconceito com base em atributos pessoais, tais como etnia, raça, cor, condição socioeconômica, situação familiar, nacionalidade, idade, sexo, orientação sexual, identidade de gênero, religião, crença, deficiência, condição genética ou de saúde e posicionamento ideológico ou político; II - prática relacionada ao trabalho em condições análogas à escravidão; III - exploração irregular, ilegal ou criminosa do trabalho infantil; IV - prática relacionada ao tráfico de pessoas, à exploração sexual ou ao proveito criminoso da prostituição; V - não observância da legislação previdenciária ou trabalhista, incluindo a legislação referente à saúde e segurança do trabalho, sem prejuízo do disposto no art. 32; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 25 de 46  VI - ato irregular, ilegal ou criminoso que impacte negativamente povos ou comunidades tradicionais, entre eles indígenas e quilombolas, incluindo a invasão ou a exploração irregular, ilegal ou criminosa de suas terras; VII - ato lesivo ao patrimônio público, ao patrimônio histórico, ao patrimônio cultural ou à ordem urbanística; VIII - prática irregular, ilegal ou criminosa associada a alimentos ou a produtos potencialmente danosos à sociedade, sujeitos a legislação ou regulamentação específica, entre eles agrotóxicos, substâncias capazes de causar dependência, materiais nucleares ou radioativos, armas de fogo e munições; IX - exploração irregular, ilegal ou criminosa dos recursos naturais, relativamente à violação de direito ou de garantia fundamental ou a ato lesivo a interesse comum, entre eles recursos hídricos, florestais, energéticos e minerais, incluindo, quando aplicável, a implantação e o desmonte das respectivas instalações; X - tratamento irregular, ilegal ou criminoso de dados pessoais, sem prejuízo do disposto no art. 32; XI - desastre ambiental resultante de intervenção humana, relativamente à violação de direito ou de garantia fundamental ou a ato lesivo a interesse comum, incluindo rompimento de barragem, acidente nuclear ou derramamento de produtos químicos ou resíduos nas águas; XII - alteração em legislação, em regulamentação ou na atuação de instâncias governamentais, associada a direito ou garantia fundamental ou a interesse comum, que impacte negativamente a instituição; e XIII - ato ou atividade que, apesar de regular, legal e não criminoso, impacte negativamente a reputação da instituição, por ser considerado lesivo a interesse comum. Art. 38-B. Para fins desta Resolução, define-se o risco ambiental como a possibilidade de ocorrência de perdas para a instituição ocasionadas por eventos associados à degradação do meio ambiente, incluindo o uso excessivo de recursos naturais. Parágrafo único. São exemplos de eventos de risco ambiental a ocorrência ou, conforme o caso, os indícios da ocorrência de: I - conduta ou atividade irregular, ilegal ou criminosa contra a fauna ou a flora, incluindo desmatamento, provocação de incêndio em mata ou floresta, degradação de biomas ou da biodiversidade e prática associada a tráfico, crueldade, abuso ou maus-tratos contra animais; II - poluição irregular, ilegal ou criminosa do ar, das águas ou do solo; III - exploração irregular, ilegal ou criminosa dos recursos naturais, relativamente à degradação do meio ambiente, entre eles recursos hídricos, florestais, energéticos e minerais, incluindo, quando aplicável, a implantação e o desmonte das respectivas instalações; IV - descumprimento de condicionantes do licenciamento ambiental; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 26 de 46  V - desastre ambiental resultante de intervenção humana, relativamente à degradação do meio ambiente, incluindo rompimento de barragem, acidente nuclear ou derramamento de produtos químicos ou resíduos no solo ou nas águas; VI - alteração em legislação, em regulamentação ou na atuação de instâncias governamentais, em decorrência de degradação do meio ambiente, que impacte negativamente a instituição; e VII - ato ou atividade que, apesar de regular, legal e não criminoso, impacte negativamente a reputação da instituição, em decorrência de degradação do meio ambiente. Art. 38-C. Para fins desta Resolução, define-se o risco climático, em suas vertentes de risco de transição e de risco físico, como: I - risco climático de transição: possibilidade de ocorrência de perdas para a instituição ocasionadas por eventos associados ao processo de transição para uma economia de baixo carbono, em que a emissão de gases do efeito estufa é reduzida ou compensada e os mecanismos naturais de captura desses gases são preservados; e II - risco climático físico: possibilidade de ocorrência de perdas para a instituição ocasionadas por eventos associados a intempéries frequentes e severas ou a alterações ambientais de longo prazo, que possam ser relacionadas a mudanças em padrões climáticos. Parágrafo único. São exemplos de eventos de risco climático: I - no âmbito do risco climático de transição: a) alteração em legislação, em regulamentação ou em atuação de instâncias governamentais, associada à transição para uma economia de baixo carbono, que impacte negativamente a instituição; b) inovação tecnológica associada à transição para uma economia de baixo carbono que impacte negativamente a instituição; c) alteração na oferta ou na demanda de produtos e serviços, associada à transição para uma economia de baixo carbono, que impacte negativamente a instituição; e d) percepção desfavorável dos clientes, do mercado financeiro ou da sociedade em geral que impacte negativamente a reputação da instituição relativamente ao seu grau de contribuição na transição para uma economia de baixo carbono; e II - no âmbito do risco climático físico: a) condição climática extrema, incluindo seca, inundação, enchente, tempestade, ciclone, geada e incêndio florestal; e b) alteração ambiental permanente, incluindo aumento do nível do mar, escassez de recursos naturais, desertificação e mudança em padrão pluvial ou de temperatura. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 27 de 46  Art. 38-D. A estrutura de gerenciamento de que trata o art. 7º deve prever, adicionalmente, para o risco social, o risco ambiental e o risco climático: I - mecanismos para a identificação e o monitoramento do risco social, do risco ambiental e do risco climático incorridos pela instituição em decorrência dos seus produtos, serviços, atividades ou processos e das atividades desempenhadas por: a) contrapartes da instituição, conforme definição estabelecida no art. 21, § 1º, inciso I; b) entidades controladas pela instituição, nos termos dos critérios estabelecidos no § 2º deste artigo; e c) fornecedores e prestadores de serviços terceirizados da instituição, quando relevantes, com base em critérios por ela estabelecidos; II - identificação, avaliação, classificação e mensuração do risco social, do risco ambiental e do risco climático com base em critérios e informações consistentes e passíveis de verificação, incluindo informações de acesso público; III - registro de dados relevantes para o gerenciamento, incluindo, quando disponíveis, dados referentes às perdas incorridas pela instituição, discriminadas, conforme o caso, em risco social, risco ambiental ou risco climático e com respectivo detalhamento de valores, natureza do evento, região geográfica, definida com base em critérios claros e passíveis de verificação, e setor econômico associado à exposição; IV - identificação tempestiva de mudanças políticas, legais, regulamentares, tecnológicas ou de mercado, incluindo alterações significativas nas preferências de consumo, que possam impactar de maneira relevante o risco social, o risco ambiental ou o risco climático incorrido pela instituição, bem como procedimentos para a mitigação desses impactos; V - monitoramento de concentrações de exposições a setores econômicos ou a regiões geográficas, definidas com base em critérios consistentes e passíveis de verificação, mais suscetíveis de sofrer ou de causar danos sociais, ambientais ou climáticos, e, quando apropriado, estabelecimento de limites para essas exposições; VI - identificação tempestiva de percepção negativa de clientes, do mercado financeiro e da sociedade em geral sobre a reputação da instituição, quando essa percepção possa impactar de maneira relevante o risco social, o risco ambiental e o risco climático por ela incorrido; e VII - realização de análise de cenários, no âmbito do programa de testes de estresse de que trata o art. 7º, inciso VII, que considerem hipóteses de mudanças em padrões climáticos e de transição para uma economia de baixo carbono. § 1º Quando a hipótese de ocorrência de evento de risco social, de risco ambiental ou de risco climático implicar possibilidade de perda relacionada a outro risco mencionado no art. 6º, caput, o gerenciamento de riscos e o cumprimento dos requerimentos mínimos prudenciais, quando aplicáveis, devem ser observados para cada um dos riscos envolvidos. Resolução nº 4.557, de 23 de fevereiro de 2017 Página 28 de 46  § 2º Para fins do disposto no caput, inciso I, alínea “b”, a relação de controle da instituição sobre uma entidade ocorre quando atendido pelo menos um dos seguintes critérios: I - a instituição detém mais de 50% (cinquenta por cento) do capital votante da entidade; II - acordo de voto assegura preponderância da instituição nas deliberações sociais da entidade; III - a instituição detém o poder de eleger ou de destituir a maioria dos administradores da entidade; ou IV - a instituição detém preponderância nas decisões de gestão operacional da entidade. § 3º Para fins do disposto no caput, inciso III, não é requerida a constituição de bases de dados exclusivas, desde que seja possível a extração das respectivas informações com vistas ao gerenciamento do risco social, do risco ambiental e do risco climático. Art. 38-E. O tratamento das interações entre o risco social, o risco ambiental e o risco climático, no âmbito do gerenciamento integrado de que trata esta Resolução, e entre esses e os demais riscos incorridos pela instituição deve incluir: I - critérios, claramente documentados e passíveis de verificação, para a identificação do risco social, do risco ambiental e do risco climático como fonte significativa dos riscos mencionados no art. 6º, caput; II - mecanismos para a consideração de aspectos relativos ao risco social, ao risco ambiental e ao risco climático na concessão, na classificação e no monitoramento das operações sujeitas ao risco de crédito, conforme definido no art. 21, incluindo: a) devida diligência na identificação da contraparte; b) definição de indicadores para a qualificação e a classificação periódica da contraparte conforme o risco social, o risco ambiental e o risco climático; c) avaliação e monitoramento de possíveis impactos na qualidade creditícia da contraparte diante da ocorrência de eventos de risco social, de risco ambiental ou de risco climático; e d) critérios para a avaliação periódica do grau de suficiência de garantias, colaterais e outros mitigadores do risco de crédito diante da ocorrência de evento de risco social, de risco ambiental ou de risco climático; III - avaliação do impacto do risco social, do risco ambiental e do risco climático nas posições sujeitas ao risco de mercado e ao IRRBB, conforme definidos nos arts. 25 e 28, respectivamente, com base em critérios estabelecidos pela instituição; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 29 de 46  IV - políticas, estratégias e procedimentos para a mitigação do risco operacional, conforme definido no art. 32, que possa ser associado a evento de risco social, de risco ambiental ou de risco climático, incluindo: a) estabelecimento de condições mínimas nos contratos firmados pela instituição para mitigar o risco legal, conforme definido no art. 32, § 1º; b) definição de critérios de decisão quanto à terceirização de serviços e de seleção de seus prestadores, nos termos do art. 33, inciso I, que considerem aspectos de risco social, de risco ambiental e de risco climático; e c) consideração de aspectos referentes ao risco social, ao risco ambiental e ao risco climático na análise de cenários de que trata o art. 33, inciso VI, com o objetivo de estimar a exposição da instituição a eventos de risco operacional raros e de alta severidade; e V - políticas, estratégias e procedimentos para a mitigação do risco de liquidez, conforme definido no art. 37, que possa ser associado a evento de risco social, de risco ambiental ou de risco climático, incluindo: a) avaliação do impacto do risco social, do risco ambiental e do risco climático no estoque de ativos líquidos e nas fontes de captação de recursos, de que trata o art. 38, inciso I, alíneas “b” e “d”; e b) no âmbito do plano de contingência de liquidez, de que trata o art. 38, inciso II, estabelecimento de responsabilidades, estratégias e procedimentos para enfrentar situações de estresse associadas à possibilidade de ocorrência de eventos de risco social, de risco ambiental ou de risco climático. Parágrafo único. Os indicadores de que trata o caput, inciso II, alínea “b”, devem considerar, entre outros aspectos: I - os setores econômicos mais relevantes de atuação da contraparte; II - as regiões geográficas mais relevantes de atuação da contraparte, definidas com base em critérios claros e passíveis de verificação; III - os setores econômicos e as regiões geográficas das operações, quando essa identificação for possível; e IV - quando relevante, com base em critérios estabelecidos pela instituição: a) o histórico de cumprimento, pela contraparte, de legislação específica aplicável a suas atividades, produtos e serviços; b) a capacidade de gerenciamento, pela contraparte, do risco social, do risco ambiental e do risco climático por ela incorridos, incluindo a existência, na contraparte, de estrutura de governança compatível com esse processo e de monitoramento dos riscos associados a seus fornecedores e prestadores de serviços terceirizados; e Resolução nº 4.557, de 23 de fevereiro de 2017 Página 30 de 46  c) a existência de relatório elaborado por empresa de auditoria especializada independente contratada pela contraparte, abordando seus procedimentos e controles relativos a aspectos sociais, ambientais e climáticos. Art. 38-F. Os relatórios gerenciais de que trata o art. 7º, inciso X, devem abordar os seguintes aspectos adicionais relativamente ao risco social, o risco ambiental e o risco climático: I - dados sobre as perdas relevantes incorridas, nos termos do art. 38-D, inciso III; e II - informações sobre concentrações de risco social, de risco ambiental e de risco climático, de que trata o art. 38-D, inciso V. Seção IX Do gerenciamento do risco país e do risco de transferência (Seção IX incluída, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) Art. 38-G. Para fins desta Resolução, define-se: I - o risco país como a possibilidade de ocorrência de perdas associadas a eventos relacionados a jurisdição estrangeira, incluindo também: a) o risco soberano, no caso de exposição assumida perante governo central de jurisdição estrangeira; e b) o risco país indireto, no caso de evento relacionado a jurisdição estrangeira diversa daquela onde está localizada a contraparte ou o emissor de instrumento mitigador de risco associado a exposição assumida pela instituição, quando a contraparte ou o emissor possam ser significativamente impactados pelo respectivo evento; e II - o risco de transferência como a possibilidade de ocorrência de entraves na conversão cambial dos recursos necessários à liquidação de obrigação perante a instituição, no caso em que esses recursos estejam localizados em jurisdição diversa daquela onde será realizada a respectiva liquidação. Parágrafo único. Para fins do disposto no caput, inciso I, alínea “b”, aplica-se a definição de contraparte estabelecida no art. 21, § 1º, inciso I. (Art. 38-G incluído, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) Art. 38-H. A estrutura de gerenciamento de que trata o art. 7º deve prever, adicionalmente, para o risco país e para o risco de transferência: I - mecanismos para o gerenciamento do risco país e do risco de transferência por contraparte, por jurisdição e, na existência de fatores relevantes de risco em comum, por conjunto de jurisdições, definido este com base em critérios claros e passíveis de verificação; II - processos para a identificação tempestiva de mudanças políticas, legais, regulamentares, de mercado, entre outras, que possam impactar de maneira relevante o risco país Resolução nº 4.557, de 23 de fevereiro de 2017 Página 31 de 46 e o risco de transferência incorrido pela instituição, bem como procedimentos para a mitigação desses impactos; III - registro de dados relevantes para o gerenciamento do risco país e do risco de transferência, incluindo, quando disponíveis, dados referentes às respectivas perdas incorridas pela instituição; e IV - monitoramento de concentrações significativas de exposição ao risco país e ao risco de transferência. § 1º O gerenciamento de que trata o caput deve também considerar, quando relevantes, as operações interdependências e as operações realizadas entre instituições integrantes de um mesmo conglomerado prudencial. § 2º Os relatórios gerenciais de que trata o art. 7º, inciso X, devem abordar, adicionalmente para o risco país e para o risco de transferência, o reporte de exposições relevantes, agrupadas, conforme o caso, por jurisdição e, na existência de fatores relevantes de risco em comum, por conjunto de jurisdições. (Art. 38-H incluído, a partir de 1º/1/2024, pela Resolução CMN nº 5.089, de 29/6/2023.) CAPÍTULO IV DA ESTRUTURA DE GERENCIAMENTO DE CAPITAL Art. 39. Para fins desta Resolução, define-se o gerenciamento de capital como o processo contínuo de: I - monitoramento e controle do capital mantido pela instituição; II - avaliação da necessidade de capital para fazer face aos riscos a que a instituição está exposta; e III - planejamento de metas e de necessidade de capital, considerando os objetivos estratégicos da instituição. Art. 40. A estrutura de gerenciamento de capital deve prever: I - políticas e estratégias para o gerenciamento de capital, claramente documentadas, que estabeleçam procedimentos destinados a manter o PR, o Nível I e o Capital Principal, de que trata a Resolução nº 4.192, de 1º de março de 2013, em níveis compatíveis com os riscos incorridos e com o requerimento mínimo regulamentar; (Redação dada pela Resolução nº 4.745, de 29/8/2019.) II - sistemas, rotinas e procedimentos para o gerenciamento de capital; III - avaliação dos impactos no capital dos resultados do programa de testes de estresse de que trata o art. 7º, inciso VII; IV - plano de capital; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 32 de 46  V - plano de contingência de capital; VI - avaliação da adequação do capital; VII - relatórios gerenciais tempestivos para a diretoria da instituição, o comitê de riscos e o conselho de administração, quando existentes, versando sobre: a) eventuais deficiências da estrutura de gerenciamento de capital e ações para corrigi-las; e b) adequação dos níveis do PR, do Nível I e do Capital Principal aos riscos incorridos; (Redação dada pela Resolução nº 4.745, de 29/8/2019.) VIII - políticas e estratégias para o gerenciamento de capital, claramente documentadas, que estabeleçam procedimentos destinados a manter a RA em níveis compatíveis com o requerimento mínimo regulamentar estabelecido na Resolução nº 4.615, de 2017. (Incluído pela Resolução nº 4.745, de 29/8/2019.) § 1º O plano de contingência de capital de que trata o caput, inciso V, deve ser regularmente atualizado e estabelecer responsabilidades, estratégias e procedimentos, claramente definidos e documentados, para enfrentar situações de estresse. § 2º A avaliação da adequação do capital deve ser efetuada conforme as seguintes metodologias, estabelecidas pelo Banco Central do Brasil: a) Processo Interno de Avaliação da Adequação de Capital (Icaap), para as instituições enquadradas no S1; b) Processo Interno Simplificado de Avaliação da Adequação de Capital (IcaapSimp), para as instituições enquadradas no S2. § 3º Enquanto não estabelecidos os critérios para a avaliação da adequação do capital conforme a metodologia IcaapSimp, permanecem sujeitas à avaliação da adequação do capital conforme a metodologia Icaap as instituições enquadradas no S2 que, na data-base de 31 de dezembro de 2016, efetuaram a avaliação da adequação do capital de acordo com essa metodologia. Art. 41. O plano de capital, mencionado no art. 40, inciso IV, deve ser consistente com o planejamento estratégico da instituição, abranger o horizonte mínimo de três anos e prever: I - metas e projeções de capital; II - principais fontes de capital da instituição. Parágrafo único. Na elaboração do plano de capital devem ser consideradas: I - ameaças e oportunidades relativas ao ambiente econômico e de negócios; II - projeções dos valores dos ativos e passivos, das operações não contabilizadas no balanço patrimonial, bem como das receitas e despesas; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 33 de 46  III - metas de crescimento ou de participação no mercado; IV - política de distribuição de resultados; e V - termos da RAS. Art. 42. Caso a avaliação da necessidade de capital pela instituição financeira aponte para um valor acima dos requerimentos mínimos de PR, de Nível I e de Capital Principal, de que trata a Resolução nº 4.193, de 2013, a instituição deve manter capital compatível com os resultados das suas avaliações internas. CAPÍTULO V DA GOVERNANÇA DAS ESTRUTURAS DE GERENCIAMENTO E DA POLÍTICA DE DIVULGAÇÃO DE INFORMAÇÕES (Denominação alterada pela Resolução nº 4.745, de 29/8/2019.) Seção I Do gerenciamento de riscos Art. 43. A atividade de gerenciamento de riscos deve ser executada por unidade específica nas instituições de que trata o art. 2º. § 1º A unidade a que se refere o caput deve ser segregada das unidades de negócios e da unidade executora da atividade de auditoria interna, de que trata o art. 2º da Resolução nº 2.554, de 24 de setembro de 1998. § 2º A unidade a que se refere o caput deve ter quantidade suficiente de profissionais experientes e qualificados em gerenciamento de riscos que atendam aos seguintes requisitos: I - possuam conhecimento do mercado e dos produtos e serviços da instituição; II - tenham acesso regular a capacitação e treinamento; III - sejam capazes de questionar os riscos assumidos nas operações realizadas pelas unidades de negócios; e IV - compreendam as limitações e as incertezas relacionadas às metodologias utilizadas na estrutura de gerenciamento de riscos. Art. 44. A instituição deve indicar diretor para gerenciamento de riscos (CRO) responsável pela unidade específica de que trata o art. 43. § 1º As atribuições do CRO abrangem: I - supervisão do desenvolvimento, da implementação e do desempenho da estrutura de gerenciamento de riscos, incluindo seu aperfeiçoamento; Resolução nº 4.557, de 23 de fevereiro de 2017 Página 34 de 46  II - responsabilidade pela adequação, à RAS e aos objetivos estratégicos da instituição, das políticas, dos processos, dos relatórios, dos sistemas e dos modelos utilizados no gerenciamento de riscos; III - responsabilidade pela adequada capacitação dos integrantes da unidade específica de que trata o art. 43, acerca das políticas, dos processos, dos relatórios, dos sistemas e dos modelos da estrutura de gerenciamento de riscos, mesmo que desenvolvidos por terceiros; IV - subsídio e participação no processo de tomada de decisões estratégicas relacionadas ao gerenciamento de riscos e, quando aplicável, ao gerenciamento de capital, auxiliando o conselho de administração; (Redação dada, a partir de 1º/3/2022, pela Resolução CMN nº 4.926, de 24/6/2021.) V - participação no processo de aprovação de que trata o inciso II do art. 50; (Redação dada, a partir de 1º/7/2023, pela Resolução CMN nº 5.077, de 18/5/2023.) VI - responsabilidade pelo cumprimento do disposto na Resolução nº 4.677, de 31 de julho de 2018, que estabelece limites máximos de exposição por cliente e limite máximo de exposições concentradas. (Incluído, a partir de 1º/7/2023, pela Resolução CMN nº 5.077, de 18/5/2023.) § 2º Desde que assegurada a inexistência de conflito de interesses, admite-se que o CRO desempenhe outras funções na instituição, incluindo a avaliação da adequação de capital de que trata o art. 40, inciso VI. § 3º O regimento interno, ou equivalente, da instituição deve dispor, de forma expressa, sobre as atribuições do CRO. § 4º A instituição deve estabelecer condições adequadas para que o CRO exerça suas atribuições de maneira independente e possa se reportar, diretamente e sem a presença dos membros da diretoria, ao comitê de riscos, ao principal executivo da instituição, e ao conselho de administração. § 5º Deve ser assegurado ao CRO acesso às informações necessárias ao cumprimento de suas atribuições. § 6º A nomeação e a destituição do CRO devem ser aprovadas pelo conselho de administração. § 7º A instituição deve designar o nome do CRO perante o Banco Central do Brasil. § 8º A destituição do CRO deve ser tempestivamente divulgada no sítio da instituição na internet e as razões desse fato devem ser comunicadas ao Banco Central do Brasil, que poderá requerer informações adicionais. Art. 45. A instituição deve constituir comitê de riscos. § 1º As atribuições do comitê de riscos abrangem: Resolução nº 4.557, de 23 de fevereiro de 2017 Página 35 de 46  I - propor, com periodicidade mínima anual, recomendações ao conselho de administração sobre os assuntos de que trata o art. 48, inciso II; II - avaliar os níveis de apetite por riscos fixados na RAS e as estratégias para o seu gerenciamento, considerando os riscos individualmente e de forma integrada; III - supervisionar a atuação e o desempenho do CRO; IV - supervisionar a observância, pela diretoria da instituição, dos termos da RAS; V - avaliar o grau de aderência dos processos da estrutura de gerenciamento de riscos às políticas estabelecidas; e VI - manter registros de suas deliberações e decisões. § 2º O comitê de riscos deve ser composto por, no mínimo, três integrantes. § 3º O regimento interno, ou equivalente, da instituição deve dispor, de forma expressa, sobre os seguintes aspectos, relativamente ao comitê de riscos: I - o número máximo de integrantes; II - as regras de funcionamento, incluindo atribuições e periodicidade mínima de reuniões; III - a forma de prestação de contas ao conselho de administração; IV - o prazo de mandato dos membros, quando fixado. § 4º É condição para o exercício da função de integrante do comitê de riscos não ser e não ter sido, nos últimos seis meses, CRO da instituição ou membro do comitê de auditoria de