Gerenciamento de riscos e de capital: o que a norma exige

Estrutura de gerenciamento de riscos e de capital na Resolução CMN 4.557: o que exige, apetite por risco, ICAAP e o que a auditoria avalia.

Antes de calcular quanto capital uma instituição financeira precisa, o regulador cobra algo anterior e mais estrutural: que ela tenha uma forma organizada, contínua e integrada de identificar, medir e controlar os riscos que corre, e de planejar o capital que sustenta esses riscos. Essa exigência está na Resolução CMN 4.557, de 2017, que define a estrutura de gerenciamento de riscos e de gerenciamento de capital das instituições autorizadas pelo Banco Central. Ela é o arcabouço de governança de risco que organiza o apetite, os limites, os testes e as responsabilidades no topo da instituição.

O tema é permanente, mas ganha peso sempre que o ambiente de risco se mexe. Em 2026, com a recalibragem dos requerimentos de capital em transição até 2028, com a intensificação das obrigações de dado e de reporte e com o avanço do risco socioambiental e climático dentro do perímetro regulado, a estrutura de gerenciamento deixou de ser documento de prateleira. Ela virou o mecanismo pelo qual o conselho de administração demonstra que sabe os riscos que a instituição assume e que tem plano de capital para sustentá-los.

Resumo

A Resolução CMN 4.557 exige que a instituição mantenha uma estrutura contínua e integrada de gerenciamento de riscos e de gerenciamento de capital, sob responsabilidade do conselho de administração.

O centro da estrutura é a Declaração de Apetite por Riscos, aprovada pelo conselho, que fixa os níveis de risco que a instituição aceita correr e orienta limites, decisões e alçadas.

A norma exige diretor responsável pela gestão de riscos, programa de testes de estresse, política e plano de gerenciamento de capital e avaliação interna da adequação de capital, calibrados pela segmentação prudencial.

Para a auditoria, essa estrutura é parte do ambiente de controle que o auditor avalia, porque sustenta estimativas, continuidade operacional e a confiança nos números que entram nas demonstrações.

O que a estrutura precisa ter

A Resolução CMN 4.557 não trata cada risco em silo. Ela exige gerenciamento integrado, o que significa olhar risco de crédito, risco de mercado, risco de liquidez, risco operacional e, de forma crescente, risco socioambiental e climático, de maneira coordenada, porque eles interagem. Uma deterioração de crédito pode virar problema de liquidez, e um evento operacional pode virar perda financeira. O gerenciamento de capital entra no mesmo arcabouço, porque capital é o recurso que absorve a materialização desses riscos. A norma pede, portanto, que a instituição conecte a visão de risco com a visão de capital, e não as trate como áreas que se ignoram.

No centro da estrutura está a Declaração de Apetite por Riscos. Ela é o documento, aprovado pelo conselho de administração, que fixa quais e quanto de cada risco a instituição está disposta a assumir na perseguição da sua estratégia. Não é retórica. O apetite se desdobra em limites operacionais, em alçadas de decisão e em gatilhos de reporte, de modo que a exposição real possa ser comparada ao que foi declarado. Quando a exposição se aproxima do limite, a estrutura precisa disparar alerta e resposta. Uma declaração de apetite que ninguém consegue amarrar a limites concretos é sinal de estrutura imatura.

A norma exige ainda um diretor responsável pela gestão de riscos, com independência em relação às áreas que tomam risco, e, nas instituições de maior porte, a segregação entre essa função e as áreas de negócio e de administração de recursos de terceiros. Exige um programa de testes de estresse, que projeta o efeito de cenários adversos sobre os riscos e sobre o capital, e exige uma política de gerenciamento de capital acompanhada de um plano de capital com horizonte plurianual e de um processo interno de avaliação da adequação de capital. Esse processo interno é o exercício em que a própria instituição estima de quanto capital precisa para os riscos que corre, e o compara com o capital que tem.

Proporcionalidade: a mesma lógica, profundidade diferente

A estrutura exigida não é idêntica para todas as instituições. A segmentação prudencial calibra a profundidade conforme o porte e a complexidade. As instituições maiores respondem ao arcabouço completo, com comitê de riscos, testes de estresse mais sofisticados, avaliação detalhada da adequação de capital e divulgação robusta. As menores seguem versão proporcional, mais simples, sem que a obrigação desapareça. O erro comum nas instituições menores é concluir que, por serem simples, estão dispensadas. Não estão. A proporcionalidade reduz a profundidade, não a existência da estrutura.

Para quem avalia uma instituição, de fora, por motivo de auditoria, de diligência ou de decisão de capital, a segmentação é o primeiro filtro. Ela diz quais exigências se aplicam e, portanto, o que precisa estar documentado e funcionando. Uma estrutura adequada ao segmento, operando de fato, é sinal de governança madura. Uma estrutura copiada de instituição de porte diferente, grande ou pequena demais para o caso, costuma ser sinal de que ninguém internalizou o propósito da norma.

Por que a auditoria se interessa pela estrutura

A auditoria independente das demonstrações financeiras não emite parecer sobre a estrutura de gerenciamento de riscos como objeto próprio. Mas a estrutura é parte do ambiente de controle da instituição, e o ambiente de controle é algo que o auditor é obrigado a entender e a considerar ao planejar e executar o trabalho. Uma estrutura de risco madura, com apetite amarrado a limites, com monitoramento que funciona e com testes de estresse que chegam a decisões, dá ao auditor um conjunto de controles em que ele pode se apoiar. Uma estrutura formal, que existe no papel mas não opera, aumenta o risco de distorção e obriga o auditor a ampliar seus próprios testes.

O vínculo é mais direto em alguns pontos. As estimativas contábeis mais relevantes de uma instituição financeira, como as provisões para perdas esperadas, dependem de parâmetros e de julgamentos que a estrutura de risco produz e governa. Se a governança desses parâmetros é frágil, a estimativa fica frágil, e a estimativa está nas demonstrações. A avaliação da continuidade operacional, que o auditor precisa examinar, se apoia em projeções de capital e de liquidez que vêm do plano de capital e dos testes de estresse. E a consistência entre o que a instituição reporta ao regulador e o que registra na contabilidade passa por controles que a mesma estrutura organiza. Por isso o auditor olha a estrutura não por formalismo, e sim porque ela sustenta números pelos quais ele responde.

Há também o papel do comitê de auditoria e da auditoria interna, quando existentes, que se conectam à estrutura de risco e com os quais o auditor independente interage. Quando esses órgãos funcionam, a qualidade da informação sobe e o trabalho externo encontra um terreno mais firme. Quando são decorativos, o auditor percebe, e trata o ambiente como de maior risco.

Caso anonimizado

Uma instituição financeira de porte intermediário tinha todos os documentos exigidos pela norma: declaração de apetite por riscos, política de capital, programa de testes de estresse e relatórios periódicos. No trabalho de auditoria, ao percorrer o ambiente de controle, ficou claro que a declaração de apetite não se conectava aos limites operacionais usados no dia a dia. Os limites tinham sido definidos por área, com base em prática anterior, e não derivavam do apetite aprovado pelo conselho. O resultado é que a instituição ultrapassava, em uma carteira, o nível de risco que havia declarado aceitar, sem que nenhum alerta disparasse, porque o limite operacional era mais frouxo que o apetite. A estrutura existia, mas não governava. Para a auditoria, isso significou tratar as estimativas ligadas àquela carteira com ceticismo reforçado e ampliar os testes, porque o controle que deveria conter o risco não estava operando.

Como a MERC pode ajudar

A MERC atua na auditoria independente de instituições autorizadas pelo Banco Central, trabalho em que a estrutura de gerenciamento de riscos e de capital é parte central do ambiente de controle avaliado. Na prática, a MERC examina se o apetite por riscos se traduz em limites e em monitoramento que funcionam, se os parâmetros que alimentam as estimativas contábeis têm governança adequada e se o plano de capital e os testes de estresse sustentam a avaliação de continuidade. Para o conselho e a diretoria, esse exame externo separa a estrutura que opera de verdade da estrutura que só existe no papel, antes que a diferença apareça em um problema de capital ou em uma ressalva. Para conhecer o serviço, veja a página de auditoria independente da MERC. Para discutir o caso da sua instituição, fale com a MERC pela página de contato.

Perguntas frequentes

O que a Resolução CMN 4.557 exige?

Que a instituição mantenha uma estrutura contínua e integrada de gerenciamento de riscos e de gerenciamento de capital, com declaração de apetite por riscos, diretor responsável, testes de estresse, política e plano de capital e avaliação interna da adequação de capital, tudo sob responsabilidade do conselho de administração.

O que é a Declaração de Apetite por Riscos?

É o documento aprovado pelo conselho que fixa quais e quanto de cada risco a instituição aceita correr. Ela orienta limites, alçadas e gatilhos de reporte, e serve de referência para comparar a exposição real com o que foi declarado.

Instituições menores também precisam dessa estrutura?

Sim. A segmentação prudencial calibra a profundidade da estrutura conforme o porte e a complexidade, mas não dispensa a exigência. As menores seguem versão proporcional e mais simples, sem deixar de ter a estrutura.

Qual a relação entre essa estrutura e o Índice de Basileia?

A estrutura cuida da governança do risco e do planejamento do capital, enquanto o Índice de Basileia mede, de forma quantitativa, se o capital é suficiente para os riscos. A avaliação interna de adequação de capital conecta as duas visões.

Por que o auditor independente avalia a estrutura de risco?

Porque ela é parte do ambiente de controle que sustenta estimativas, continuidade e a consistência dos números das demonstrações. Uma estrutura que opera dá ao auditor controles em que se apoiar; uma estrutura apenas formal aumenta o risco e amplia os testes.

Para manter o monitoramento e a resposta a riscos de forma contínua, a MERC apoia a estrutura de gerenciamento contínuo de riscos.