Dispõe sobre a estrutura de gerenciamento de riscos e a estrutura de gerenciamento de capital.
A Resolução CMN nº 4.557 estrutura o gerenciamento de riscos e capital das instituições autorizadas pelo Banco Central.
📌 Traz requisitos para RAS, riscos, capital, testes de estresse, continuidade, governança e transparência.
⚠️ A aplicabilidade depende do segmento prudencial, conglomerado, sistema cooperativo e dispensas específicas.
🧾 Este pacote é retrato-fonte da versão original, sem consolidação de alterações posteriores.
A Resolução CMN nº 4.557, de 23 de fevereiro de 2017, é uma norma prudencial estruturante sobre gerenciamento de riscos e gerenciamento de capital no âmbito das instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil. Este pacote foi produzido como retrato-fonte da versão original oficial da resolução, sem consolidar alterações posteriores. Por isso, os requisitos representam comandos que nasceram do documento original, inclusive prazos transitórios e revogações expressas nele contidas.
A norma organiza um regime escalonado por segmento prudencial. Para instituições enquadradas nos segmentos S1 a S4, o núcleo é a implementação de estruturas contínuas de gerenciamento integrado de riscos e de gerenciamento de capital. Para instituições S5, o regime é simplificado e concentrado em gerenciamento contínuo de riscos. A resolução também trata de estruturas centralizadas em sistema cooperativo de crédito e de estruturas unificadas em conglomerado prudencial.
O pacote resultante contém requisitos operacionais de governança, processos, reportes, retenção de registros, divulgação pública, comunicação ao Banco Central, testes de estresse, continuidade de negócios, risco de crédito, risco de mercado, IRRBB, risco operacional, risco de liquidez e gerenciamento de capital. Também registra pontos que não viraram requisitos autônomos, como definições, dispensas por segmento e comandos de vigência.
O escopo principal da resolução alcança instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil enquadradas nos segmentos S1, S2, S3 e S4, para implementação das estruturas de riscos e capital. As instituições S5 recebem um bloco próprio, com estrutura simplificada de gerenciamento contínuo de riscos. A norma também contém comandos especiais para sistemas cooperativos de crédito e para conglomerados prudenciais.
A segmentação do pacote usa uma aproximação com o setor financeiro e os atributos de segmento prudencial disponíveis no dicionário. Isso deve ser revisado no workspace quando houver informações mais precisas sobre autorização, enquadramento prudencial, conglomerado, cooperativa ou escopo de instituição autorizada. Essa cautela é importante porque o texto jurídico fala em instituições autorizadas pelo Banco Central, enquanto o dicionário de tags não possui uma única tag específica para esse universo inteiro.
As dispensas específicas por segmento foram mantidas como pontos de escopo e exceção, especialmente para S2, S3 e S4. Elas reduzem a aplicabilidade de determinados itens do programa de testes de estresse, modelos, comunicações, IRRBB, risco operacional, base de dados, plano de contingência de capital e comitê de riscos. Essas dispensas não foram transformadas em obrigações autônomas porque sua função principal é calibrar o alcance de outros requisitos.
O primeiro bloco relevante é a governança geral das estruturas de riscos e capital. Para S1 a S4, a instituição deve implementar estruturas contínuas, proporcionais ao modelo de negócio, ao perfil de riscos, à complexidade dos produtos, serviços, atividades e processos, e capazes de avaliar condições macroeconômicas e de mercado. Em conglomerado prudencial, as estruturas devem ser unificadas. Para S5, a estrutura simplificada deve identificar, mensurar, avaliar, monitorar, reportar, controlar e mitigar riscos relevantes, além de prever políticas, estratégias, rotinas e procedimentos.
A Declaração de Apetite por Riscos é tratada como documento central de governança. A RAS deve documentar os níveis de apetite por riscos e considerar os tipos de riscos assumidos, a capacidade de gerenciamento, os objetivos estratégicos e o ambiente competitivo e regulatório. Vários requisitos dependem da RAS: limites de risco, exceções, comunicação interna, IRRBB, estrutura remuneratória, testes de estresse e decisões de governança.
O segundo bloco é a estrutura de gerenciamento de riscos. A norma exige gerenciamento integrado de riscos relevantes, incluindo crédito, mercado, IRRBB, operacional, liquidez, socioambiental e outros riscos definidos pela instituição. O pacote converteu esse comando em requisitos de políticas, limites, processos de exceção, sistemas de informação, reportes gerenciais, papéis e responsabilidades, avaliação prévia de riscos em mudanças relevantes e disseminação da cultura de riscos.
O terceiro bloco é o programa de testes de estresse. O programa deve abranger riscos relevantes, avaliar concentrações, empregar metodologias adequadas, usar premissas severas, documentar governança e limitações, incorporar especialistas e usar os resultados nas decisões estratégicas, revisão da RAS, políticas, comunicação, capital, liquidez, planos de contingência e plano de recuperação quando aplicável. O envolvimento da diretoria e do conselho na aprovação de cenários foi mantido dentro do requisito do programa.
O quarto bloco é a continuidade de negócios. A norma exige análise de impacto nos negócios, identificação e classificação de processos críticos, avaliação dos efeitos de interrupção, estratégias de continuidade, planos com procedimentos e prazos estimados de reinício e recuperação, ações de comunicação, testes, revisões e consideração de terceiros relevantes. O pacote separou continuidade de negócios porque possui artefatos e evidências próprias, como análise de impacto, plano de continuidade e relatório de testes.
No risco de crédito, a norma combina definições, procedimentos e reportes. Foram extraídos requisitos para contrapartes conectadas, estrutura de gerenciamento de crédito, estimativa e revisão de perdas esperadas, procedimentos do ciclo de crédito, classificação de exposições e ativos problemáticos, documentação de perdas e reportes adicionais. A granularidade foi maior nesse bloco porque há diferenças claras de processo, evidência e área responsável: cadastro de grupos conectados, perdas esperadas, ativo problemático, concessão e cobrança, reportes gerenciais e armazenamento de perdas.
No risco de mercado e IRRBB, o pacote separa a classificação de instrumentos entre carteira de negociação e carteira bancária, o gerenciamento de mercado e IRRBB e a documentação do apetite por IRRBB na RAS. A norma exige sistemas com dados confiáveis, documentação de reclassificações e transferências internas de risco, avaliação de descasamentos de prazos, taxas, indexadores e moedas, abordagens de valor econômico e resultado de intermediação financeira para determinados segmentos e reportes gerenciais com premissas de modelagem.
No risco operacional, o pacote distingue terceirização, governança de TI, perdas operacionais, análises de cenários, base de dados, reporte de perdas e capacitação. Essa separação evita um requisito guarda-chuva e facilita criar controles e evidências específicas: contratos de TI com acesso do Banco Central, política de terceirização, relatórios de disponibilidade e segurança, base de perdas, análise de causa raiz, cenários raros e severos, conciliação de perdas e trilhas de treinamento.
No risco de liquidez, a norma exige políticas, estratégias e processos que cubram horizontes distintos, inclusive intradia, avaliação diária de operações com liquidação inferior a noventa dias, estoque de ativos líquidos, perfil de captação adequado, diversificação de fontes, avaliação de exposições contingentes, moedas e jurisdições. O plano de contingência de liquidez foi separado como requisito próprio porque tem documento, responsabilidades, estratégias, procedimentos e atualização regular.
A estrutura de capital deve conter políticas e estratégias para manter Patrimônio de Referência, Nível I e Capital Principal compatíveis com os riscos, sistemas, rotinas, avaliação dos impactos dos testes de estresse, plano de capital, plano de contingência de capital, avaliação de adequação e relatórios gerenciais. O plano de capital foi tratado como requisito próprio, com horizonte mínimo de três anos, metas, projeções e fontes de capital, considerando ambiente econômico, ativos, passivos, operações fora do balanço, receitas, despesas, crescimento, distribuição de resultados e RAS.
A norma também exige que, caso a avaliação interna indique necessidade de capital superior aos requerimentos mínimos, a instituição mantenha capital compatível com os resultados dessas avaliações. Esse item foi classificado como alta criticidade por sua relação direta com solvência, suficiência de capital e supervisão prudencial.
A resolução dedica bloco relevante à governança. A unidade de gerenciamento de riscos deve ser específica, segregada das unidades de negócios e da auditoria interna, e contar com profissionais experientes e qualificados. O CRO deve ser indicado, ter atribuições formalizadas, independência, acesso a informações, possibilidade de reporte direto e designação perante o Banco Central. A destituição do CRO gera divulgação pública e comunicação ao Banco Central.
O comitê de riscos também tem requisitos próprios: atribuições, recomendações anuais ao conselho, avaliação da RAS, supervisão do CRO, supervisão da observância da RAS pela diretoria, avaliação de aderência dos processos, registros de deliberações, composição mínima, regimento, critérios de independência e coordenação com comitê de auditoria. A unidade e o diretor de gerenciamento de capital foram consolidados em um requisito de governança de capital, com segregação da auditoria interna e designação perante o Banco Central.
As atribuições do conselho de administração e da diretoria foram consolidadas em requisito próprio. O conselho deve fixar e revisar a RAS, aprovar e revisar anualmente políticas, estratégias, limites, programa de estresse, continuidade, contingência de liquidez, plano de capital e contingência de capital, assegurar aderência, corrigir deficiências, aprovar alterações significativas, autorizar exceções, promover cultura de riscos, prover recursos, organizar o comitê, alinhar remuneração e assegurar capital e liquidez suficientes. Quando não houver conselho, essas competências passam à diretoria.
A norma exige relatório de acesso público, com periodicidade mínima anual, descrevendo as estruturas de riscos e capital. O relatório deve ficar em local único e de fácil identificação no site da instituição, em seção específica de informações relativas ao gerenciamento de riscos. Deve haver resumo publicado com as demonstrações contábeis, indicando a localização do relatório. Também deve ser divulgada no site a composição e as atribuições do comitê de riscos.
A retenção documental exige manter à disposição do Banco Central por cinco anos a RAS, a documentação das estruturas de riscos e capital e os relatórios previstos na resolução. O pacote converteu esse comando em requisito de retenção de registros, com controles de repositório, versionamento e recuperação.
Comunicações regulatórias foram extraídas quando o texto traz destinatário claro: entidade centralizadora cooperativa, CRO, diretor de capital, instituição responsável por conglomerado, diretor S5, instituição responsável por conglomerado S5, destituição do CRO e respostas a determinações do Banco Central. Quando o texto não especifica canal ou formato, esses elementos foram deixados em aberto para evitar invenção.
A versão original da resolução trouxe prazos transitórios de implementação: até 180 dias para S1 e até 360 dias para S2, S3, S4 ou S5, contados da publicação. Também exigiu plano de implementação para S2 e S3 em até 180 dias, aprovado pelo conselho. Como esses prazos já se encerraram por comando expresso do próprio documento, os requisitos correspondentes foram marcados como encerrados e inativos, preservados apenas para auditoria histórica.
A resolução revogou as Resoluções nº 3.380/2006, 3.464/2007, 3.721/2009, 3.988/2011 e 4.090/2012. Essas revogações foram registradas em alteracoesRequisitos, sem recriar os requisitos das normas revogadas dentro deste pacote. Essa decisão segue o princípio de retrato-fonte: o pacote da Resolução nº 4.557 registra o efeito que nasceu dela, mas não consolida obrigações de outros documentos.
As principais evidências sugeridas são políticas de riscos e capital, RAS, relatórios gerenciais, inventários de sistemas e modelos, relatórios de testes de estresse, análise de impacto nos negócios, planos de continuidade, bases de perdas, dossiês de crédito, relatórios de liquidez, planos de capital, atas de conselho e comitê, comprovantes de designação ao Banco Central, publicações em site e repositório de retenção documental.
As áreas internas mais impactadas são riscos e controles, prudencial e capital, diretoria e estratégia, crédito, tesouraria e mercados, financeiro e tesouraria, contabilidade e controladoria, tecnologia e segurança, operações, auditoria interna, jurídico-regulatório, suprimentos e contratos, relações institucionais e governança cooperativa quando aplicável.
Os controles sugeridos foram calibrados para não confundir periodicidade normativa com periodicidade de controle. Recorrências normativas foram incluídas apenas quando expressas: revisão anual pelo conselho, recomendações anuais do comitê e relatório público anual. Frequências de controles internos foram sugeridas como prática operacional, não como obrigação normativa autônoma.
O primeiro ponto de atenção é a aplicabilidade por segmento. Vários requisitos possuem dispensas para S2, S3 ou S4, e o regime S5 é próprio. A importação no workspace deve considerar o enquadramento prudencial e, quando houver, o enquadramento como conglomerado prudencial ou sistema cooperativo de crédito.
O segundo ponto é que este pacote é retrato da versão original. Alterações posteriores da Resolução nº 4.557 não foram incorporadas. Se o objetivo for uma visão consolidada vigente, será necessário processar a versão consolidada ou cada norma alteradora em pacote próprio.
O terceiro ponto é a amplitude da segmentação. Como o dicionário não contém marcador único para “instituições autorizadas a funcionar pelo Banco Central do Brasil”, foi usada aproximação por setor financeiro combinada com segmentos prudenciais. Essa escolha deve ser revisada para evitar falso positivo em empresas financeiras que não estejam dentro do sujeito regulado.
O quarto ponto é a distinção entre requisito vivo e histórico. Os prazos de implantação original e o plano de implantação S2/S3 foram mantidos por valor de auditoria, mas estão encerrados. Eles não devem aparecer como obrigações recorrentes atuais.
O quinto ponto é a dependência de documentos citados. Alguns requisitos remetem a normas complementares, como segmentação prudencial, conglomerado prudencial, RWA, PR, plano de recuperação, risco socioambiental e auditoria interna. Essas referências foram catalogadas para links ricos e navegação, sem usar normas posteriores para alterar o status da resolução original.
Temas
