Maturidade Risco Operacional · Regulamento COBAC risco operacional

O risco operacional define se como o risco de perdas resultantes de uma inadequação ou de uma falha dos processos, do pessoal, dos sistemas internos ou de acontecimentos externos. O risco jurídico está aí incluído. O dispositivo prudencial COBAC daí retira obrigações precisas para as instituições de crédito da zona CEMAC: identificação e mapeamento dos riscos por linha de atividade, recolha e historização dos incidentes e das perdas, dispositivos de continuidade e de recuperação informática, enquadramento da subcontratação, envolvimento do órgão deliberativo e exigência de fundos próprios a título do risco operacional.

Na prática, este dispositivo é difícil de gerir porque atravessa toda a instituição. A rede de agências, a monética, os sistemas de informação, a conformidade e os recursos humanos produzem cada um uma parte da matéria, raramente ao mesmo ritmo e raramente com o mesmo vocabulário. Três questões surgem sempre. A base de incidentes é realmente alimentada pelas áreas de negócio, ou reconstituída no final do exercício pela direção de riscos? O mapeamento é confrontado com as perdas observadas, ou vive a sua própria vida numa pasta? Os planos de continuidade são testados, e os ensinamentos dos testes são acompanhados até ao seu encerramento?

Dois pontos de contexto pesam sobre as instituições da zona. Primeiro, o reforço da supervisão sobre a segurança dos sistemas de informação e sobre a externalização: a dependência de prestadores e de plataformas monéticas regionais desloca uma parte do risco para fora da instituição, sem deslocar a responsabilidade. Depois, uma confusão frequente a dissipar: o risco operacional não é o controlo interno. O controlo interno fornece os dispositivos de controlo, o risco operacional mede a exposição residual e materializa a em perdas e em fundos próprios.

Uma auditoria de conformidade conclui com uma constatação binária: a exigência está satisfeita ou não está. O diagnóstico de maturidade responde a outra questão. Em que nível de controlo se situa cada componente do dispositivo, e qual a ação precisa que permite passar ao nível seguinte. O desvio entre a pontuação obtida e o objetivo gera o plano de ação, que a IA agrupa num roteiro priorizado. A comparação entre entidades do grupo e com as avaliações anteriores torna a progressão clara para o órgão deliberativo.

O referencial está pronto a usar no Datamensio. Adapta se à sua instituição: a IA ajusta os domínios, as questões e os níveis de maturidade segundo o método CMMI, ou constrói uma versão adaptada a partir dos seus próprios procedimentos, do seu mapeamento e dos seus relatórios de controlo interno.