Notice No. 2/2025

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Publicado no: DR, 2.ª Série, n.º 56, Parte E, de 20-03-2025 Mod. 99999910/T – 01/14 Índice Texto do Aviso Anexo ao Aviso (a que se refere o artigo 6.º) – Republicação do Aviso do Banco de Portugal n.º 3/2020 Texto do Aviso Em 15 de julho de 2020 foi publicado o Aviso do Banco de Portugal n.º 3/2020 (“Aviso n.º 3/2020” ou “Aviso”), que regulamenta os sistemas de governo e controlo interno e define os padrões mínimos em que deve assentar a cultura organizacional das instituições. Dada a relevância do Aviso n.º 3/2020 para a boa gestão das instituições de crédito e sociedades financeiras, o Banco de Portugal considera essencial promover a sua atualização regular para garantir um adequado alinhamento com a legislação e regulação europeias, incorporar a experiência de supervisão adquirida com a sua aplicação, bem como dar resposta às necessidades do setor entretanto identificadas. Nesse sentido, o Banco de Portugal vem atualizar o Aviso n.º 3/2020, aproveitando também a oportunidade para atualizar e clarificar algumas das suas disposições. Uma das alterações mais relevantes que agora se introduz prende-se com a possibilidade de as entidades supervisionadas poderem adotar soluções colaborativas para o exercício de tarefas operacionais das suas funções de controlo interno. Adicionalmente, a subcontratação das tarefas operacionais das funções de controlo interno deixa de ser, por regra, meramente ocasional, passando a permitir-se que ocorra de forma permanente. Estas alterações visam alargar o leque de opções disponíveis para as instituições, designadamente as de menor dimensão em linha com o princípio da proporcionalidade, de forma a ser possível dar resposta efetiva às necessidades de gestão de riscos, bem como à crescente complexidade do enquadramento regulatório europeu. Adicionalmente, é flexibilizado o modelo organizativo das funções de controlo interno de modo a permitir o seu ajustamento de acordo com as necessidades específicas de cada instituição. Desde logo, passa a ser permitido que as instituições desdobrem a função de gestão de riscos em várias unidades, para melhor permitir a execução das responsabilidades que lhe estão globalmente atribuídas. Em todo o caso, uma dessas unidades terá de continuar a assegurar uma visão global e holística de todos os riscos a que a instituição está ou pode vir a estar exposta. O responsável desta unidade de estrutura é considerado o responsável pela função de gestão de riscos nos termos e para os efeitos do disposto

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 no artigo 17.º do Aviso n.º 3/2020 e os responsáveis das demais unidades que a formam são considerados titulares de funções essenciais. Por outro lado, em linha com o disposto nas orientações da Autoridade Bancária Europeia (“EBA” na sigla inglesa) sobre governo interno (EBA/GL/2021/05, divulgadas através da Carta Circular do Banco de Portugal n.º CC/2018/00000016), e tendo em consideração o princípio da proporcionalidade, passa a estar prevista a possibilidade de combinação das funções de gestão de riscos e de conformidade nas instituições habilitadas a receber depósitos, desde que verificadas determinadas condições. Neste caso, as entidades supervisionadas terão de assegurar que a função combinada de gestão de riscos e de conformidade cumpre com todos os requisitos legais e regulamentares aplicáveis, em particular no que respeita a recursos materiais, técnicos e humanos necessários para o desempenho das suas funções. Outra das matérias cuja alteração merece destaque corresponde aos planos de formação. O Aviso n.º 3/2020 passa a prever a obrigatoriedade da sua elaboração relativamente aos membros dos órgãos de administração e de fiscalização das instituições supervisionadas, com vista a assegurar a sua permanente atualização quanto a todos os riscos a que a instituição está ou pode vir a estar exposta, com especial foco nos riscos considerados emergentes. Por sua vez, aproveitou-se a oportunidade para clarificar o conceito de deficiências. Com efeito, os incumprimentos passam agora a integrar o conceito de deficiências, o que se antecipa poder vir a simplificar e uniformizar a forma como são tratados pelas instituições supervisionadas. Em matéria de transações com partes relacionadas, passam a admitir-se expressamente as aprovações prévias agregadas, verificados determinados requisitos, e são detalhadas algumas das matérias que têm de constar das políticas em vigor nas instituições sobre a matéria. Adicionalmente, e de modo a evitar a dispersão de exigências de reporte, passa a estar previsto que as políticas de transações com partes relacionadas devem incluir os procedimentos para assegurar a comunicação prevista no n.º 2 do artigo 85.º e no n.º 4 do artigo 109.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras à autoridade de supervisão competente. Assim sendo, é revogada a Instrução do Banco de Portugal n.º 17/2011, na medida em que, com exceção da referida comunicação, as demais disposições já se encontram vertidas no Aviso n.º 3/2020. Assinala-se também que, relativamente às políticas de seleção e designação de revisores oficiais de contas ou sociedades de revisores oficiais de contas de entidades habilitadas a receber depósitos, passa a estar previsto que têm de incluir os procedimentos para assegurar o reporte à autoridade de supervisão competente da designação do revisor oficial de contas ou sociedade de revisores oficiais de contas.

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 São também ajustadas as datas de referência e de reporte do relatório de autoavaliação da adequação e eficácia da cultura organizacional e dos sistemas de governo e controlo interno das instituições supervisionadas. O relatório anual passa a ser elaborado com referência a 30 de setembro de cada ano, ao invés de ser elaborado com referência a 30 de novembro. Nos casos previstos no Aviso n.º 3/2020 e na Instrução do Banco de Portugal n.º 18/2020 – que consagra as obrigações, periodicidade e modo de reporte das matérias definidas pelo Aviso n.º 3/2020 – este relatório é reportado à autoridade de supervisão competente até ao dia 15 de novembro de cada ano (ao invés de 31 de dezembro de cada ano, como sucedia até aqui). Relativamente aos grupos financeiros, é simplificada a obrigação de reporte, passando a prever-se o envio apenas do relatório de autoavaliação do grupo à autoridade de supervisão competente. Os relatórios de autoavaliação individuais passam a ser reportados apenas se a autoridade de supervisão competente o exigir. Por último, aproveita-se a oportunidade para incorporar os artigos 10.º e 11.º da Instrução do Banco de Portugal n.º 28/2007, a qual é revogada na medida em que as demais disposições passaram a constar de legislação e regulamentação europeia. Em face das alterações consagradas pelo aviso alterador, opta-se igualmente por republicar o Aviso n.º 3/2020 com as alterações introduzidas pelo presente Aviso. O projeto do presente Aviso foi sujeito a consulta pública, tendo sido consultadas a Comissão do Mercado de Valores Mobiliários e a Autoridade de Supervisão de Seguros e Fundos de Pensões. Nestes termos, o Banco de Portugal, no uso das competências que lhe são conferidas pelo artigo 17.º da sua Lei Orgânica, aprovada pela Lei n.º 5/98, de 31 de janeiro, pelo disposto no n.º 12 do artigo 30.º-B, no n.º 9 do artigo 35.º-B, no n.ºs 1 e 2 do artigo 99.º, no n.º 3 do artigo 115.º, no n.º 3 do artigo 115.º-G, no n.º 2 do artigo 115.º-I, no n.º 8 do artigo 115.º-X, na alínea f) do n.º 1 do artigo 116.º, no artigo 116.º-AH, no n.º 2 do artigo 120.º e na alínea c) do artigo 133.º, todos do Regime Geral das Instituições de Crédito e Sociedades Financeiras, aprovado pelo Decreto- Lei n.º 298/92, de 31 de dezembro e pelo disposto no n.º 1 do artigo 13.º do Decreto-Lei n.º 145/2006, de 31 de julho, determina o seguinte: Artigo 1.º Objeto O presente Aviso procede à alteração do Aviso do Banco de Portugal n.º 3/2020. Artigo 2.º Alterações ao Aviso do Banco de Portugal n.º 3/2020 1 – O artigo 1.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação:

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 «Artigo 1.º […] 1 - […] a) […] b) […] c) Companhias financeiras, companhias financeiras mistas e sociedades gestoras de participações sociais sujeitas à supervisão do Banco de Portugal nos termos do disposto no artigo 117.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando sejam consideradas empresas-mãe nos termos da alínea q) do artigo 2.º- A do mesmo diploma. 2 - […] 3 - […] 4 - O presente Aviso regulamenta ainda os artigos 15.º e 16.º do Decreto-Lei n.º 145/2006, de 31 de julho.» 2 – O artigo 5.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação: «Artigo 5.º […] 1 - Os órgãos de administração e de fiscalização da instituição identificam e avaliam as respetivas necessidades ao nível da sua composição e organização e, salvo se outro órgão for competente para o efeito nos termos da legislação em vigor, aprovam, respetivamente, regulamentos internos próprios. 2 - […] 3 - No caso previsto no n.º 3 do artigo 14.º, os pelouros respeitantes às diferentes unidades de estrutura que formam a função de gestão de riscos são atribuídos ao mesmo administrador executivo. 4 - Os órgãos de administração e de fiscalização aprovam planos de formação plurianuais a frequentar pelos seus membros, os quais são revistos anualmente, de modo a assegurar a sua atualização permanente quanto a todos os riscos a que a instituição está ou pode vir a estar exposta, com especial foco nos riscos considerados emergentes. 5 - Em resultado da identificação e avaliação promovidas ao abrigo do n.º 1, os órgãos de administração e de fiscalização, ou o Comité de Nomeações previsto no artigo 115.º-B do Regime Geral das Instituições de Crédito e Sociedades Financeiras, quando constituído, elaboram e mantêm atualizada, num documento único, uma descrição detalhada das

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 responsabilidades e funções a desempenhar por cada um dos seus membros e das competências e experiência profissional necessárias para o efeito. 6 - Para dar cumprimento ao disposto nos números 1, 2 e 5 do presente artigo, o órgão de administração, em articulação com o órgão de fiscalização, assegura que a instituição dispõe de políticas e processos internos, devidamente documentados e aprovados, que permitam: a) A identificação e avaliação das necessidades referidas no n.º 1, e a elaboração da descrição referida no n.º 5; b) A identificação, seleção e avaliação de potenciais candidatos a membros dos seus órgãos de administração e de fiscalização que permita suprir as necessidades referidas no n.º 1, atendendo à descrição referida no n.º 5. 7 - [anterior n.º 5] 8 - Tendo presente o disposto nos números 1 e 5, a instituição dispõe de uma política de sucessão, que tem em consideração o disposto na política de seleção e avaliação dos membros dos órgãos de administração e de fiscalização e dos titulares de funções essenciais e que inclui, nomeadamente, a identificação e descrição de perfis de função detalhados, incluindo o papel organizacional do cargo, as principais responsabilidades e interações, bem como a formação académica, experiência profissional e competências de gestão ou aptidões específicas necessárias 9 - [anterior n.º 7] 10 - Para efeitos do disposto nos números 8 e 9, a instituição recolhe e mantém apenas os dados pessoais necessários à prossecução dos objetivos que as referidas disposições visam atingir, nomeadamente, nome, contactos, habilitações académicas e percurso profissional.» 3 – O artigo 6.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação: «Artigo 6.º […] 1 - As instituições abrangidas pelo presente Aviso, com exceção das previstas na alínea b) do n.º 1 do artigo 1.º, estão obrigadas a adotar um órgão de fiscalização. 2 - O órgão de administração interage de forma regular e efetiva com o órgão de fiscalização e assegura que este dispõe da informação, dos recursos materiais, técnicos e humanos, incluindo para recorrer a serviços externos, que o órgão de fiscalização considere

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 necessários para o cabal exercício das competências que lhe são conferidas pela legislação e pela regulamentação aplicáveis. 3 - O órgão de fiscalização dispõe de um regulamento interno que define os procedimentos necessários ao adequado exercício das suas funções, incluindo os procedimentos que lhe permitam obter as informações necessárias para o efeito, bem como a existência de uma linha de reporte formal no âmbito da qual é definida a frequência mínima das suas interações com as funções de controlo interno. 4 - Qualquer um dos membros do órgão de fiscalização pode solicitar, a todo o tempo, qualquer documento ou informação, escrita ou oral, que considere relevante para o exercício das suas funções diretamente às diversas unidades de estrutura ou a qualquer colaborador da instituição, em particular às funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, sem necessidade de qualquer pedido ou comunicação prévia ao órgão de administração, e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização. 5 - As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, podem, por sua iniciativa, transmitir qualquer informação ou remeter ao órgão de fiscalização diretamente, qualquer documento que considerem relevante, sem necessidade de pedido ou comunicação prévia ao órgão de administração e sem que este órgão possa obstar ao acesso direto à informação ou documento em causa pelo órgão de fiscalização. 6 - Qualquer condicionamento, ainda que temporário, ao acesso a informação, documentação ou a colaboradores da instituição, conforme previsto no n.º 4, ou ao acesso das funções de controlo interno ao órgão de fiscalização, conforme previsto no n.º 5, é comunicado, de imediato, à autoridade de supervisão competente e debatido em reunião do órgão de fiscalização, ficando registado em ata. 7 - O disposto nos números 3 a 6 do presente artigo aplica-se, com as devidas adaptações, também aos administradores não executivos do órgão de administração da instituição, quando existam.» 4 – O artigo 8.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação: «Artigo 8.º […] 1 - […]

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 a) […] b) O registo dos participantes e dos membros presentes em cada ponto da agenda; c) [anterior alínea b)] d) [anterior alínea c)] e) [anterior alínea d)] f) [anterior alínea e)] 2 - […] 3 - […]» 5 – O artigo 9.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação: «Artigo 9.º […] 1 - […] a) […] b) Suporta o desenvolvimento da atividade da instituição e a implementação de um sistema de controlo interno adequado e eficaz, de forma a assegurar que a gestão e o controlo das operações e dos riscos a que a instituição está ou pode vir a estar exposta, são efetuados de uma forma prudente; c) […] d) […] e) […] 2 - […] a) […] b) […] 3 - […] 4 - […] 5 - O órgão de fiscalização emite parecer prévio vinculativo sobre todas as matérias previstas no presente artigo respeitantes à própria organização deste órgão.» 6 – O artigo 12.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação: «Artigo 12.º […] 1 - O órgão de administração da instituição estabelece e mantém um sistema de controlo interno, traduzido num conjunto de estratégias, políticas, processos, sistemas e

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 procedimentos com o objetivo de garantir a resiliência operacional e a sustentabilidade da instituição no médio e longo prazo e o exercício prudente da sua atividade, através: a) […] b) […] c) […] d) […] e) […] 2 - […]» 7 – O artigo 13.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação: «Artigo 13.º […] 1 - […] 2 - […] a) […] b) […] c) […] 3 - Para efeitos do disposto no presente Aviso, correspondem a deficiências as seguintes situações com impacto, atual ou potencial, nomeadamente na situação financeira da instituição, no nível de fundos próprios, nos requisitos de fundos próprios, no governo interno, na liquidez, na alavancagem, no modelo de negócio, na gestão e controlo de riscos da instituição: a) Os incumprimentos legais, regulamentares, de normativos internos em vigor na instituição ou de orientações aplicáveis à atividade da instituição emitidas pelas autoridades competentes; b) As oportunidades de introdução de melhorias decorrentes, nomeadamente, de melhores práticas reconhecidas a nível nacional ou internacional. 4 - […]» 8 – O artigo 14.º do Aviso do Banco de Portugal n.º 3/2020 passa a ter a seguinte redação: «Artigo 14.º […] 1 - […]

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 2 - O órgão de administração assegura que a função de gestão de riscos tem uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta. 3 - No caso de a função de gestão de riscos ser desdobrada em mais do que uma unidade de estrutura, a instituição define qual dessas unidades de estrutura tem uma visão global de todos os riscos a que a instituição está ou pode vir a estar exposta, sendo o seu responsável considerado responsável pela função de gestão de riscos nos termos e para os efeitos do disposto no artigo 17.º do presente Aviso. 4 - Os responsáveis pelas unidades de estrutura que formam a função de gestão de riscos são considerados pela instituição como titulares de funções essenciais nos termos e para os efeitos do disposto no artigo 33.º-A do Regime Geral das Instituições de Crédito e Sociedades Financeiras. 5 - Para efeitos do disposto no n.º 3 do presente artigo, constitui responsabilidade do órgão de administração assegurar: a) A existência de interações e fluxos de informação adequados e frequentes entre as diferentes unidades de estrutura que formam a função de gestão de riscos; b) Que a unidade de estrutura que tem a visão global de todos os riscos a que a instituição está ou pode vir a estar exposta tem poderes para desenvolver as atividades de verificação que considerar necessárias relativamente às demais unidades de estrutura que formam a função de gestão de riscos para obter garantia sobre a qualidade e suficiência da informação global de que dispõe sobre todos os riscos a que a instituição está ou pode vir a estar exposta. 6 - No caso previsto no n.º 3 do presente artigo, com uma antecedência mínima de 60 dias face à data pretendida de implementação, a instituição, ao abrigo do disposto no n.º 1 do artigo 120.º do Regime Geral das Instituições de Crédito e Sociedades Financeiras, comunica a sua pretensão à autoridade de supervisão competente, de forma a que esta autoridade, querendo, por razões prudenciais, e no prazo de 45 dias após a comunicação, se possa pronunciar. A comunicação à autoridade de supervisão deve conter a seguinte fundamentação: a) Uma descrição da solução a adotar; b) Os motivos pelos quais os órgãos de administração e de fiscalização consideram que a mesma é adequada à natureza, âmbito e complexidade das atividades da instituição e ao estabelecimento e manutenção de um sistema de controlo interno e gestão de riscos que assegure o exercício prudente da sua atividade.

Aviso do Banco de Portugal n.o 2/2025 .................................................................................................................................................................................................. Mod. 99999910/T – 01/14 7 - Caso se verifique que o desdobramento da função de gestão de riscos não assegura uma adequada gestão dos riscos a que a instituição está ou pode vir a estar exposta, nomeadamente por não assegurar de forma adequada os objetivos previstos no presente Aviso, a autoridade de supervisão competente pode, a todo o tempo, no âmbito das suas competências de supervisão, exigir que a gestão dos riscos em causa seja assegurada por uma única unidade de estrutura. 8 - Os requisitos previstos no presente Aviso relativos à função de conformidade aplicam-se à função de controlo do cumprimento do quadro normativo referida no artigo 3.º do Aviso do Banco de Portugal n.º 1/2022, sempre que esta se encontre segregada daquela função de controlo interno. 9 - Para garantir a independência das funções de controlo interno, para além do disposto no artigo 15.º, o órgão de administração assegura que: a) [alínea a) do anterior n.º 4] b) Dispõem de uma linha de reporte direto aos órgãos de administração e de fiscalização e aos comités previstos no Regime Geral das Instituições de Crédito e Sociedades Financeiras que, pela natureza das suas responsabilidades, devam receber informação e interagir com as funções de controlo interno. c) Dispõem de planos de atividades e de formação aprovados pelo órgão de administração, depois de obtido parecer prévio do órgão de fiscalização, cujos graus de execução devem ser regularmente monitorizados, no âmbito das respetivas competências, pelos órgãos de administração e de fiscalização; d) [alínea c) do anterior n.º 4] e) [alínea d) do anterior n.º 4] f) [alínea e) do anterior n.º 4] g) [alínea f) do anterior n.º 4] 10 - As funções de controlo interno, incluindo todas as unidades de estrutura que formam a função de gestão de riscos, dispõem de acesso direto aos órgãos de administração e de fiscalização e aos comités de apoio àqueles órgãos, quando constituídos, por sua iniciativa ou por iniciativa de qualquer membro destes órgãos. 11 - [anterior n.º 6] 12 - [anterior n.º 7]» 9 – O artigo 15.º do Avis