Política
Princípios, diretrizes e responsabilidades relacionados à identificação, avaliação, controle, monitoramento e mitigação dos riscos relevantes da Pay IP.
A presente Política de Gerenciamento de Riscos tem como finalidade estabelecer os princípios, diretrizes e responsabilidades relacionados à identificação, avaliação, controle, monitoramento e mitigação dos riscos relevantes aos quais a Pay Instituição de Pagamento S/A está exposta, em conformidade com a Resolução BCB nº 334/2023 e com a Resolução CMN nº 4.282/2013, aplicadas cumulativamente no contexto da sua atuação como instituição de pagamento.
Esta Política aplica-se a todas as atividades desenvolvidas pela Pay, em todos os níveis organizacionais, incluindo suas áreas internas, sistemas, processos, parceiros terceirizados e operações sob responsabilidade da instituição. Enquadra-se na governança corporativa da empresa e deve ser observada pelos administradores, colaboradores e prestadores de serviço relevantes.
Para fins desta Política, consideram-se os seguintes riscos relevantes:
Risco de crédito: possibilidade de perdas associadas ao inadimplemento de obrigações financeiras por parte de clientes, contrapartes ou participantes de arranjos operacionais vinculados à instituição.
Risco de liquidez: possibilidade de a Pay não ser capaz de honrar eficientemente suas obrigações financeiras, esperadas ou inesperadas, atuais ou futuras, sem afetar suas atividades diárias ou sua situação financeira.
Risco operacional: possibilidade de perdas resultantes de falhas, deficiências ou inadequações de processos internos, pessoas, sistemas ou de eventos externos, incluindo risco legal.
Risco de conformidade: possibilidade de perdas decorrentes de sanções legais ou regulatórias, prejuízos financeiros ou danos reputacionais resultantes do descumprimento de normas legais, regulamentares, autorregulatórias ou internas.
Risco socioambiental: possibilidade de perdas decorrentes de danos ao meio ambiente ou de impactos sociais adversos, inclusive aqueles relacionados a direitos humanos e às relações de trabalho.
Risco de reputação: possibilidade de perdas decorrentes de percepções negativas de clientes, contrapartes, reguladores, mercado ou sociedade em geral.
O gerenciamento de riscos da Pay baseia-se nos princípios de proporcionalidade, materialidade e efetividade. As estruturas, processos e controles são compatíveis com a natureza, o porte, a complexidade, o perfil de risco e o modelo de negócio da Pay. A gestão de riscos é integrada à estratégia corporativa, com participação ativa da alta administração, e pauta-se por postura preventiva, foco na continuidade dos negócios e transparência frente a partes interessadas.
A estrutura de gerenciamento de riscos da Pay compreende a atuação coordenada de três linhas de defesa. A primeira linha de defesa é composta pelas áreas operacionais e de negócio, responsáveis pela gestão direta dos riscos inerentes às suas atividades, com ênfase na conformidade com os controles estabelecidos e na identificação de riscos no nível operacional.
A segunda linha de defesa é representada pelas funções de controle, como a área de Controles Internos, Riscos e Conformidade, que têm como responsabilidade a definição de políticas, monitoramento independente, suporte metodológico, definição de limites de tolerância ao risco e comunicação com a alta administração.
A terceira linha de defesa é exercida pela Auditoria Interna, com independência organizacional, que realiza avaliações periódicas da efetividade dos controles, dos sistemas de gerenciamento de riscos e da governança corporativa como um todo.
O gerenciamento de riscos envolve o ciclo contínuo de identificação, avaliação, mensuração, tratamento, monitoramento e reporte. A identificação considera o levantamento de riscos inerentes a cada processo e produto da Pay, incluindo riscos emergentes.
A avaliação compreende a estimativa de impacto e de probabilidade, por meio de metodologias qualitativas e, quando aplicável, quantitativas. A mensuração visa estabelecer indicadores, limites e cenários para monitoramento e testes de estresse.
O tratamento compreende a definição e execução de planos de ação e controles preventivos e corretivos. O monitoramento é sistemático e integrado aos sistemas da instituição. Os reportes são realizados à Diretoria Executiva e, quando exigido, ao Banco Central do Brasil.
A Pay realiza testes de estresse compatíveis com a materialidade dos riscos aos quais está exposta, de modo a avaliar sua capacidade de absorver perdas em cenários adversos. Os testes consideram cenários internos e externos, inclusive os com baixa probabilidade e alto impacto, sendo conduzidos em periódicos definidos na agenda regulatória e no cronograma interno da instituição. Seus resultados subsidiam o processo decisório, a revisão de limites e a adequação dos planos de contingência.
A Pay adota políticas, procedimentos e controles destinados a garantir que mantenha recursos suficientes para cumprir suas obrigações financeiras, mesmo em condições adversas. Mantém projeções de fluxos de caixa, acompanha a concentração de captação e aplica limites operacionais de liquidez. São estabelecidos limites mínimos de saldo em conta reserva bancária, conta liquidação e recursos em moeda nacional para cobertura de eventos extraordinários, revisados periodicamente.
A Pay não realiza operações sujeitas a risco de crédito próprio, tampouco concede crédito ao público ou atua como financiadora de operações. No entanto, monitora eventuais exposições indiretas oriundas de relações operacionais com instituições parceiras, arranjos de pagamento ou provedores de infraestrutura. Sempre que identificadas exposições residuais, aplica os princípios prudenciais cabíveis, com foco na continuidade operacional e na preservação dos recursos sob sua custódia.
A instituição promove o mapeamento de processos críticos, a formalização de rotinas e a identificação de pontos de controle. Realiza análise de eventos de perda operacional e implementa ações corretivas. A segurança da informação é tratada como pilar da mitigação do risco, com medidas de controle de acesso, contingência de dados e proteção cibernética. Existem planos de continuidade de negócios com testes regulares.
A conformidade com normativos externos e internos é assegurada por meio do monitoramento sistêmico de alterações legais e regulamentares, além da disseminação de políticas internas. A instituição conta com canal de denúncias e mecanismos disciplinares. Quanto ao risco socioambiental, avalia impactos de suas atividades sobre o meio ambiente e a sociedade, assegurando que seus produtos e relações comerciais estejam em conformidade com princípios éticos, de sustentabilidade e de direitos humanos.
A Pay adota estratégias para prevenção de situações que possam comprometer sua imagem institucional. A gestão de crises é disciplinada por plano específico, com previsão de ações coordenadas de comunicação, interlocução com stakeholders e resposta a eventos de impacto.
A Diretoria Executiva é responsável pela aprovação, revisão e divulgação desta Política. Compete à Diretoria de Riscos e Conformidade garantir sua execução, zelar pela qualidade dos controles e manter os registros atualizados. A Auditoria Interna avalia periodicamente a aderência à Política, seus procedimentos e a efetividade da estrutura de gerenciamento de riscos.
Esta Política entra em vigor na data de sua aprovação e deve ser revisada, no máximo, anualmente ou sempre que houver mudança relevante na estratégia, na legislação aplicável ou na exposição aos riscos.
Todas as alterações são registradas e controladas conforme o quadro a seguir:
| Versão | Data da Publicação | Responsável pela Revisão | Aprovado por | Principais Alterações |
|---|---|---|---|---|
| 1 | 1/8/2025 | Diretoria de Riscos e Conformidade | Diretoria Executiva | Versão Inicial da Política |