A atividade de Riscos na CACEIS Bank Spain SAU é regida pelos princípios a seguir, que estão em linha com os fundamentos e políticas do Grupo Santander e levam em consideração as recomendações dos supervisores, reguladores e as melhores práticas do mercado:

• Uma cultura de Riscos integrada na organização.
• Independência da função de riscos.
• Tem como objetivo o foco total em todos os riscos para a adequada gestão e controle.
• Um modelo de organização e governança que atribui a todos os riscos responsáveis o respectivo controle e gestão.

Em dezembro de 2014, a CACEIS Bank Spain SAU aderiu aos fundamentos gerais de riscos do Grupo Santander, que abrangem os princípios básicos aplicados na gestão dos riscos estabelecidos no mapa de riscos (financeiros, não financeiros e transversais).

Governança dos riscos

Além das funções indelegáveis em matéria de riscos desempenhadas pelo Conselho de Administração, em 2015, foi implementado o Comitê Executivo de Riscos, presidido pelo diretor geral da sociedade, bem como o Comitê de Controle de Riscos, presidido pelo Chief Risk Officer, que é o órgão responsável pelo controle efetivo de todos os riscos.

Estrutura organizacional da função de riscos

O Chief Risk Officer é o responsável pela função de Riscos. Reporta ao Diretor Executivo e ao Conselho de Administração e realiza o trabalho de assessoria e challenge para a linha executiva da instituição.

Risco Operacional e Tecnológico; modelos de identificação, medição e avaliação: 

Em vista do negócio da CACEIS Bank Spain SAU, o risco operacional e tecnológico constitui um foco bastante relevante de gestão que segue, a cada momento, os fundamentos e as políticas do Grupo Santander. Assim, definimos uma série de técnicas/ferramentas quantitativas e qualitativas em nível de Grupo para medir e avaliar o risco tecnológico e operacional, que se combinam para fazer um diagnóstico (com base nos riscos identificados) e obter uma avaliação (por meio da medição/avaliação) de cada unidade.

A análise quantitativa é realizada, principalmente, com ferramentas que registram e quantificam o nível de perdas associadas aos eventos de risco operacional:

• Banco de dados interno dos eventos, com o objetivo de capturar todas as perdas por risco operacional da unidade. A captura de eventos relacionados ao risco operacional não se restringe a estabelecer limites (ou seja, não há exclusões em razão da quantidade) e são considerados todos os eventos com impacto contábil (incluindo os de impacto positivo), bem como os não contábeis. Existem processos de conciliação contábil para garantir a qualidade das informações coletadas nos bancos de dados. Os principais eventos de risco operacional são documentados e revisados individualmente.
• Banco de dados externo dos acontecimentos, uma vez que o Grupo Santander participa de consórcios internacionais. A utilização de bancos de dados externos permite uma análise mais detalhada e estruturada dos eventos que ocorrem no setor.
• Análise de cenários de riscos operacionais. Obtém-se uma opinião de especialistas das linhas de negócio e dos gestores de controle de riscos, cujo propósito é identificar eventos em potencial com uma probabilidade de ocorrência muito baixa, mas que poderiam significar uma grande perda para a instituição. São avaliados os possíveis efeitos e são estabelecidos controles adicionais e medidas de mitigação para reduzir a eventualidade de um alto impacto econômico.

As ferramentas definidas para a análise qualitativa procuram avaliar aspectos (cobertura/exposição) vinculados ao perfil de riscos, o que permite a existência de um ambiente de controle. Estas ferramentas consistem principalmente no seguinte:  

• Mapa de processos e riscos e questionários de autoavaliação. Uma avaliação adequada dos riscos, com base no critério especialista de seus gestores, proporciona uma visão qualitativa dos principais focos de riscos da unidade, independentemente de ter se materializado antes.
• A metodologia empregada estima a perda inerente e residual de acordo com o mapa de processos e riscos. Especificamente, os especialistas das diferentes áreas de negócio e de suporte avaliam os riscos associados aos processos e atividades, estimando a frequência média de ocorrência na materialização dos riscos, bem como a severidade média. O exercício inclui também a avaliação da perda maior, a avaliação do ambiente de controle e o vínculo com o risco de reputação e regulatório. As informações obtidas são analisadas em nível local e corporativo e são incluídas na estratégia de redução do risco operacional com medidas para mitigar os principais riscos.
• Sistema de indicadores de risco operacional em contínua evolução e em coordenação com a Área de Controle Interno. Consistem em diversos tipos de estatísticas ou parâmetros que proporcionam informações sobre a exposição de uma instituição ao risco. Estes indicadores são revisados periodicamente com o propósito de alertar mudanças que poderiam revelar problemas com os riscos.
• Recomendações de auditoria. Proporcionam informações relevantes sobre o risco inerente devido a fatores internos e externos que permitem identificar debilidades nos controles.
• Outros instrumentos específicos que permitem uma análise mais detalhada do risco tecnológico, tais como, por exemplo, o controle de incidentes críticos nos sistemas e eventos de segurança digital.

Definimos também protocolos para escalar incidências relevantes, dando visibilidade a determinados eventos de risco. 

Além dos processos regulares de identificação e avaliação riscos, a CACEIS Bank Spain SAU desenvolveu um plano de contingência e de continuidade do negócio para completar os instrumentos de gestão essenciais que, junto com os demais instrumentos e princípios, constituem os componentes de gestão global de riscos da instituição.