Política
Princípios, responsabilidades e diretrizes para identificar, avaliar, tratar, monitorar e comunicar os riscos relevantes da Pay.
Esta Política de Gerenciamento de Riscos tem como objetivo estabelecer os princípios, as diretrizes e as responsabilidades relacionados à identificação, avaliação, mensuração, tratamento, monitoramento, controle e comunicação dos riscos relevantes aos quais a Pay Instituição de Pagamento S/A (“Pay”) está exposta.
A Política observa a legislação e a regulamentação aplicáveis às instituições de pagamento, especialmente as diretrizes da Resolução CMN nº 4.282/2013 e, conforme o enquadramento prudencial da instituição, os requisitos da Resolução BCB nº 198/2022 e demais normas complementares.
Esta Política aplica-se a todas as atividades da Pay e deve ser observada pelos administradores, colaboradores, prestadores de serviços e parceiros relevantes. Seu alcance compreende áreas internas, produtos, serviços, sistemas, processos, projetos, operações terceirizadas e demais atividades sob responsabilidade da instituição.
Para os fins desta Política, a Pay considera, entre outros que se mostrem relevantes ao seu modelo de negócio, os seguintes riscos:
Risco de crédito: possibilidade de perdas associadas ao não cumprimento de obrigações financeiras por clientes, contrapartes, emissores ou participantes de relações operacionais vinculadas à instituição.
Risco de liquidez: possibilidade de a Pay não conseguir cumprir suas obrigações esperadas ou inesperadas, presentes ou futuras, sem afetar suas operações diárias e sem incorrer em perdas significativas.
Risco operacional: possibilidade de perdas decorrentes de falhas, deficiências ou inadequações de processos internos, pessoas ou sistemas, ou de eventos externos. Inclui o risco legal e os riscos relacionados à segurança da informação e à segurança cibernética.
Risco de conformidade: possibilidade de sanções legais ou regulatórias, perdas financeiras ou danos à reputação decorrentes do descumprimento de leis, regulamentos, normas de autorregulação, políticas ou procedimentos internos.
Riscos social, ambiental e climático: possibilidade de perdas associadas a eventos ou práticas de natureza social, ambiental ou climática que possam afetar a instituição, suas partes interessadas ou a continuidade de suas atividades.
Risco de reputação: possibilidade de perdas decorrentes de percepção negativa sobre a Pay por clientes, parceiros, contrapartes, reguladores, mercado ou sociedade.
Risco estratégico: possibilidade de perdas decorrentes de decisões inadequadas, falhas na execução da estratégia ou incapacidade de resposta a mudanças no ambiente de negócios.
O gerenciamento de riscos da Pay é orientado pelos princípios de proporcionalidade, materialidade, prudência, independência, transparência e melhoria contínua. Sua estrutura deve ser compatível com a natureza, o porte, a complexidade, o perfil de risco e o modelo de negócio da instituição.
A gestão de riscos integra o planejamento estratégico e os processos de tomada de decisão, com foco preventivo, proteção dos clientes, continuidade dos negócios, segurança das operações e preservação da solidez e da reputação institucional.
A estrutura de gerenciamento de riscos da Pay é organizada segundo o modelo de três linhas. A primeira linha é formada pelas áreas de negócio e operacionais, responsáveis por identificar, avaliar e gerenciar os riscos inerentes às suas atividades, bem como por executar os controles estabelecidos.
A segunda linha é composta pelas funções de Riscos, Controles Internos e Conformidade, responsáveis por estabelecer metodologias, apoiar as áreas, realizar monitoramento independente, propor limites de tolerância e reportar exposições relevantes à Alta Administração.
A terceira linha é exercida pela Auditoria Interna, que atua com independência e avalia periodicamente a efetividade da governança, dos controles internos e da estrutura de gerenciamento de riscos.
O gerenciamento de riscos compreende um ciclo contínuo de identificação, avaliação, mensuração, tratamento, monitoramento e comunicação. A identificação considera os riscos inerentes a processos, produtos, serviços, projetos e relações com terceiros, incluindo riscos novos ou emergentes.
A avaliação considera a probabilidade de ocorrência e o impacto potencial dos eventos, por meio de critérios qualitativos e, quando aplicável, quantitativos. A mensuração utiliza indicadores, limites e cenários adequados à natureza de cada exposição.
O tratamento inclui a decisão de evitar, reduzir, compartilhar, transferir ou aceitar o risco, sempre dentro dos limites aprovados e acompanhado, quando necessário, de planos de ação. O monitoramento e a comunicação devem permitir o acompanhamento tempestivo das exposições pela Diretoria Executiva.
A Pay define seu apetite por riscos de forma compatível com seus objetivos estratégicos, sua capacidade financeira e operacional e as exigências regulatórias aplicáveis. Os limites e indicadores são aprovados pelas instâncias competentes, monitorados periodicamente e revisados sempre que houver mudanças relevantes no ambiente interno ou externo.
Exceções, desenquadramentos ou situações de risco acima dos limites estabelecidos devem ser comunicados tempestivamente e tratados por meio de medidas corretivas e planos de ação formalmente acompanhados.
A Pay realiza testes de estresse compatíveis com a materialidade de suas exposições, com o objetivo de avaliar sua capacidade de suportar perdas e manter a continuidade de suas atividades em cenários adversos. Os testes consideram eventos internos e externos, inclusive situações de baixa probabilidade e alto impacto, em periodicidade definida no planejamento regulatório e no cronograma interno.
Os resultados subsidiam a tomada de decisão, a revisão de limites, o aprimoramento dos controles e a adequação dos planos de contingência e continuidade.
A Pay mantém políticas, procedimentos e controles destinados a assegurar recursos suficientes para o cumprimento de suas obrigações, inclusive em condições adversas. Para isso, acompanha projeções de fluxo de caixa, concentração de recursos, necessidades de liquidez e limites operacionais, além de manter planos de contingência adequados.
Embora a Pay não conceda crédito ao público nem atue como financiadora de operações, monitora exposições diretas ou indiretas decorrentes de relações com instituições parceiras, arranjos de pagamento, prestadores de serviços e provedores de infraestrutura. Quando identificadas exposições relevantes, são adotados critérios de avaliação, limites, controles e medidas de mitigação compatíveis com o risco.
A Pay mapeia processos críticos, formaliza rotinas, identifica pontos de controle e acompanha eventos de perda operacional. As ocorrências são analisadas para determinação de causas e implementação de medidas preventivas e corretivas.
A segurança da informação e a segurança cibernética integram a gestão do risco operacional, com controles de acesso, proteção de dados, monitoramento de incidentes, gestão de vulnerabilidades e mecanismos de resposta e recuperação. A instituição mantém planos de continuidade de negócios e realiza testes periódicos de sua efetividade.
O risco de conformidade é gerenciado por meio do acompanhamento de alterações legais e regulatórias, da avaliação de aderência de produtos, serviços e processos e da disseminação de políticas e procedimentos internos. A Pay mantém mecanismos para comunicação de desvios, tratamento de ocorrências e aplicação de medidas disciplinares quando cabíveis.
Os riscos social, ambiental e climático são avaliados de acordo com sua relevância para as atividades da instituição, considerando potenciais impactos sobre pessoas, meio ambiente, direitos humanos, relações de trabalho, operações, fornecedores e continuidade dos negócios.
A Pay adota medidas para prevenir e responder a situações que possam comprometer sua imagem, credibilidade ou capacidade de alcançar seus objetivos. O gerenciamento inclui o monitoramento de manifestações de clientes e partes interessadas, a avaliação de impactos reputacionais em decisões relevantes e a manutenção de procedimentos de gestão de crises e comunicação.
Diretoria Executiva: aprovar esta Política, definir diretrizes e limites, assegurar recursos adequados à estrutura de gerenciamento de riscos e acompanhar as exposições e os planos de ação relevantes.
Área de Riscos, Controles Internos e Conformidade: coordenar a execução desta Política, manter metodologias e registros atualizados, realizar monitoramento independente, apoiar as áreas e reportar tempestivamente os riscos relevantes à Alta Administração.
Gestores e áreas de negócio: identificar e gerenciar os riscos de suas atividades, cumprir os controles definidos, comunicar ocorrências e implementar os planos de ação sob sua responsabilidade.
Auditoria Interna: avaliar de forma independente a adequação e a efetividade da estrutura de gerenciamento de riscos, dos controles internos e da governança.
Colaboradores e prestadores de serviços: observar esta Política, executar os controles aplicáveis às suas funções e comunicar situações que possam representar exposição relevante para a Pay.
A Pay promove ações de comunicação e capacitação compatíveis com as responsabilidades de cada público, com o objetivo de fortalecer a cultura de riscos em todos os níveis da organização.
Informações sobre exposições, indicadores, limites, eventos relevantes e planos de ação são consolidadas em relatórios periódicos destinados à Diretoria Executiva e, quando aplicável, às autoridades competentes.
Esta Política entra em vigor na data de sua aprovação pela Diretoria Executiva e deve ser revisada, no mínimo, anualmente ou sempre que ocorrerem alterações relevantes na estratégia, no modelo de negócio, na estrutura organizacional, na exposição a riscos ou na regulamentação aplicável.
Todas as alterações desta Política são registradas e controladas conforme o quadro a seguir:
| Versão | Data da Publicação | Responsável pela Revisão | Aprovado por | Principais Alterações |
|---|---|---|---|---|
| 1 | 1/8/2025 | Área de Riscos, Controles Internos e Conformidade | Diretoria Executiva | Versão inicial da Política |