Banco de Dados de Perdas Operacionais Susep (BDPOS)

1. Banco de Dados de Perdas Operacionais Susep (BDPOS) DITEC/CGSOA/COARI/DIRIS

2. Conceituação de Perda Operacional • Para fins do BDPOS, perda operacional... • é o valor quantificável associado à falha, deficiência ou inadequação de processos internos, pessoas e sistemas, ou decorrente de fraudes ou eventos externos, incluindo-se as perdas legais e excluindo-se as perdas decorrentes de decisões estratégicas e à reputação da instituição • Uma quase perda... • é uma falha, ligada a um evento de risco operacional, que não resultou impacto financeiro; ou qualquer evento de risco operacional que poderia ter se concretizado e gerado impacto financeiro, mas que foi evitado • Uma perda descendente... • é uma perda gerada em consequência de uma perda raiz, mas que não existiria caso a perda raiz não houvesse se concretizado

3. Tipos de Eventos Registrados no BDPOS PERDA RAIZ Recuperação Recuperação Alteração Alteração Perda Descendente Perda Descendente • Quase Perdas: não serão registradas • Perdas Descendentes: serão registradas como Perdas Raízes independentes ou agrupadas com a Perda Raiz que lhes originou Recuperação Alteração Recuperação Alteração Provisoriamente

4. Classificação da Perda Operacional no BDPOS PERDA OPERACIONAL Natureza  Função de Negócio  Causa   Corresponde ao Nível 1 definido pelo ORIC, desenvolvido a partir das diretivas Solvência II O Banco Central, seguindo as diretivas Basileia II, definiu classificação semelhante, sendo que segrega a classe 6 em duas classes distintas Ação ou omissão ilegítima num ato inerente à atividade seguradora com o propósito de obtenção de benefício próprio ou favorecimento de terceiros. Dirige-se contra as empresas e são realizadas por indivíduos ou entidades, como segurados ou qualquer ente externo à instituição Ex.: Declaração de um falso sinistro ou provocação intencional do acidente pelo próprio segurado. Falha/interrupção nos serviços ao público ou nos sistemas de tecnologia da informação que gerem perda de receita. Ex.: incapacidade dos sistemas de prover informações confiáveis e suficientes; falhas de hardware; inexistência de backup; linhas telefônicas constantemente ocupadas; vírus. Perdas decorrentes de uma falha não-intencional ou negligente para cumprir uma obrigação com clientes ou relacionadas a um produto e serviço. Ex.: Inclusão em apólice de cobertura de riscos aos quais o segurado não está exposto ou não solicitou; multas relacionadas a práticas anti-concorrenciais, como a fixação de preços (cartel). Perdas decorrentes de atos inconsistentes com contratos ou leis trabalhistas, de saúde ou segurança, do pagamento de reclamações por lesões corporais ou de eventos discriminatórios. Ex.: ação trabalhista de empregado ou ex-empregado pleiteando o pagamento de horas-extras; multas dos órgãos fiscalizadores de saúde e segurança; custo de inatividade dos empregados decorrente de greve geral. Perdas decorrentes de danos aos ativos físicos ocasionados por desastres naturais ou acontecimentos externos. Ex.: vandalismo, incêndio. Perdas decorrentes de administração de processo ou processamento de operação, de relações com contrapartes comerciais e fornecedores. Ex.: necessidade de refazer documentação extraviada ou incorreta; pagamento de sinistro creditado para o cliente errado. Ação ou omissão ilegítima por parte dos empregados num ato inerente à atividade seguradora com o propósito de obtenção de benefício próprio ou favorecimento de terceiros. Ex.: Aprovação indevida, mediante suborno, de apólice para cobertura de riscos já ocorridos. Fraude Interna Fraude Externa Demanda trabalhista ou segurança deficiente do local de trabalho  Prática inadequada relativa a clientes, produtos ou serviços Dano a ativo físico Interrupção das atividades ou falha em sistemas de Tecnologia da Informação Falha na execução, no cumprimento de prazos, ou no gerenciamento das atividades

5. Classificação da Perda Operacional no BDPOS PERDA OPERACIONAL   Simplificação das 18 classes propostas pelo ORIC O Banco Central propõe 8 linhas de negócio não aplicáveis ao mercado segurador Corresponde ao Nível 1 da matriz causal definida pelo ORIC Função de Negócio  Natureza  Causa   Corresponde ao Nível 1 definido pelo ORIC, desenvolvido a partir das diretivas Solvência II O Banco Central, seguindo as diretivas Basileia II, definiu classificação semelhante, sendo que segrega a classe 6 em duas classes distintas Pessoas Administração Fraude Interna  Finanças Corporativas Fraude Externa Processos Negociação/Vendas Demanda trabalhista ou segurança deficiente do local de trabalho Sistemas (TI)  Pagamentos/Liquidações Evento Externo • Varejo • Comercial • Finanças Corporativas • Negociação e Vendas • Pagamentos e Liquidações • Serviços de Agente Financeiro • Administração de Ativos • Corretagem de Varejo Prática inadequada relativa a clientes, produtos ou serviços Sistemas Subscrição Dano a ativo físico Terceirização Interrupção das atividades ou falha em sistemas de Tecnologia da Informação6 Falha na execução, no cumprimento de prazos, ou no gerenciamento das atividades

6. Classificação da Perda Operacional no BDPOS PERDA OPERACIONAL Função de Negócio  Natureza  Causa   Pessoas Administração Fraude Interna Finanças Corporativas Fraude Externa Processos Negociação/Vendas Demanda trabalhista ou segurança deficiente do local de trabalho Sistemas (TI)  Pagamentos/Liquidações Evento Externo Prática inadequada relativa a clientes, produtos ou serviços Sistemas Subscrição Dano a ativo físico Terceirização Interrupção das atividades ou falha em sistemas de Tecnologia da Informação Falha na execução, no cumprimento de prazos, ou no gerenciamento das atividades

7. Outras Informações sobre a Perda Operacional PERDA OPERACIONAL Datas Valores Flags Data da Ocorrência Valor Bruto PSL Data do Registro Recuperações Judicial Descrição do Evento Data do Reconhecimento Alterações Identificação Interna do Evento

8. Etapas para a implementação do BDPOS • Controles de Captura e Classificação • Desenvolvimento dos controles de captura responsáveis pela identificação, captura e classificação das perdas operacionais • Exemplo: • mapeamento dos processos da empresa; • identificação dos processos relevantes sob a ótica do risco operacional, o que pode ser feito por meio de uma matriz de risco operacional 1 • Estabelecimento dos controles para a detecção de perdas operacionais, e mecanismos de captura e classificação • definição de alçadas e responsabilidades 1 O normativo que regulará a matéria definirá alguns processos da empresa que serão obrigatoriamente considerados para fins de captura de perdas operacionais

9. Etapas para a implementação do BDPOS • Projeto e Implementação da Base de Dados • Desenvolvimento dos sistemas de armazenamento físico dos dados de perdas, incluindo mecanismos de consulta, alteração e reportes relativos aos mesmos • Questões relativas à segurança lógica do sistema (alçadas, segurança das informações, back-up, etc.) • Definição dos Processos de Validação Contínua • Definição dos procedimentos de validação contínua, abrangendo: • mecanismos para a avaliação da consistência e da adequação aos standards dos processos de identificação, captura e classificação das perdas operacionais; • testes de consistência e aderência aos standards dos dados inseridos na base de dados • testes de consistência das operações do sistema de armazenamento físico das perdas operacionais, e de sua segurança lógica

10. Cronograma para a implementação do BDPOS • Cronograma proposto pela SUSEP para a implementação do BDPOS 12 meses 24 meses Dezembro2013 2014 2015 / 2016 Projeto e Implementação da Base de Dados & Definição dos Processos de Validação Contínua Regulamentação do BDPOS Controles de Captura e Classificação Início de preenchimento do BDPOS em Janeiro/2017 • As supervisionadas poderão submeter cronograma próprio à SUSEP • Prazo total deve ser de 36 meses; • Devem ser contempladas as 3 etapas descritas • Para a execução de cada uma das 3 etapas estabelecidas deve ser previsto o prazo mínimo de 1 ano • É permitida a previsão de execução concomitante de mais de uma etapa.

11. Procedimentos mínimos de validação do BDPOS • Fase de Implementação • Relatórios da Auditoria Interna que ofereçam conforto quanto aos seguintes itens: • Os procedimentos adotados para a identificação e priorização das perdas operacionais garantem a identificação das perdas operacionais materiais e daquelas derivadas dos processos que, de acordo com norma específica, devem ser considerados • Os controles de captura das perdas operacionais foram definidos de forma adequada • Os procedimentos de classificação das perdas estão aderentes ao standard • Os sistemas desenvolvidos para o armazenamento das perdas operacionais, alteração dos dados, consulta e emissão de reportes atendem ao propósito ao qual se destinam • A segurança lógica do sistema é adequada

12. Procedimentos mínimos de validação do BDPOS • Fase de Preenchimento • Verificação por parte da Susep: • Cumprimento dos prazos para o envio dos dados • Adequação dos dados submetidos aos formatos especificados no BDPOS

13. Procedimentos mínimos de validação do BDPOS • Fase de Preenchimento (cont.) • Relatório anual de auditor interno ou auditor independente (a definir posteriormente): • Adequação dos procedimentos de identificação, captura e classificação das perdas operacionais estabelecidos pela empresa em relação aos standards emitidos pela Susep • Correta aplicação pela empresa dos procedimentos por ela definidos para a identificação, captura e classificação das perdas operacionais • O sistema de armazenamento físico armazena de forma consistente os dados das perdas operacionais detectadas, permitindo a correta execução das funções de consulta, alteração e emissão de relatórios • A segurança lógica do sistema é adequada • Consistência das perdas operacionais inseridas no banco de dados (amostragem) • Aderência dos dados contidos no banco de dados aos standards definidos pela Susep

14. Procedimentos mínimos de validação do BDPOS • Fase de Preenchimento (cont.) • Relatório anual de auditor interno ou auditor independente (a definir posteriormente) (cont.): • Eventuais mudanças nos procedimentos operacionais da empresa, em sua estrutura, etc., foram adequadamente refletidos • Comprovação, por amostragem, de que não há indícios concretos de que perdas operacionais potenciais estejam sendo desconsideradas pelos controles de captura

15. Periodicidade e Forma de Envio do BDPOS • Periodicidade de envio • Ainda em análise • Com certeza não será exigido o envio mensal (mais provável: semestral) • Após desenvolvimento de nova modelagem da fórmula de cálculo padrão do CRoper é muito provável que a periodicidade de envio seja estendida ou que fique determinado o envio apenas sob demanda • Forma de envio • Não vinculado ao FIP/SUSEP • Meio eletrônico (arquivo TXT)

16. Participação mandatória no BDPOS • Empresas com volume de prêmios e de provisões superior a limites pré-estabelecidos por segmento • Demais empresas: • Participação voluntária • Agravamento capital • Boa representatividade do mercado (65 empresas) e de cada segmento (EAPC’s representadas pelas seguradoras que operam com previdência) • Monitoramento simplificado, de fácil acompanhamento pelas empresas

17. Participação mandatória no BDPOS • Empresas Selecionadas

18. Banco de Dados de Perdas Operacionais Susep (BDPOS) DITEC/CGSOA/COARI/DIRIS Vitor Hottum (21) 3233-4046 vitor.hottum@susep.gov.br