Documento interno de caráter institucional, de propriedade da Aida Pay S.A, destinado a dar transparência à forma como a instituição organiza o gerenciamento integrado de riscos e de capital. Sua reprodução, distribuição ou divulgação parcial fora dos canais oficiais depende de autorização prévia da instituição.

1. Apresentação

A Aida Pay S.A, inscrita no CNPJ sob o nº 66.159.163/0001-20, com sede na Av. Osvaldo Reis, Riviera Business Mall, 3281 — Sala 711, Praia Brava, Itajaí — SC, é fintech autorizada a funcionar pelo Banco Central do Brasil e opera seus produtos de conta, pagamentos e cartão em arranjo de Banking as a Service (BaaS) com a UNIDA DTVM — UNIDA Distribuidora de Títulos e Valores Mobiliários, instituição autorizada a funcionar pelo Banco Central do Brasil responsável pela prestação dos serviços financeiros subjacentes. Seu portfólio abrange conta digital para pessoa física, conta para pessoa jurídica e MEI, conta global em dólar e euro, cartão de crédito, PIX e soluções de recebimento, crédito, investimentos, seguros e integração com sistemas de ERP e PDV.

Esta Estrutura de Gerenciamento Integrado de Riscos e Capital (EGIRC) consolida os princípios, as responsabilidades, os processos e os instrumentos adotados pela Aida Pay para manter o seu perfil de riscos dentro dos limites aprovados pela alta administração e para assegurar que o capital e a liquidez disponíveis sejam compatíveis com a natureza, a escala e a complexidade das atividades desenvolvidas.

A estrutura foi desenhada de forma proporcional ao modelo de negócio da instituição e observa, entre outras normas aplicáveis, a Resolução BCB nº 16, que disciplina a autorização e o funcionamento das instituições de pagamento, a Resolução CMN nº 4.557/2017, que trata da estrutura de gerenciamento de riscos e de capital, a Lei nº 9.613/1998 e a Circular BCB nº 3.978/2020, referentes à prevenção à lavagem de dinheiro e ao financiamento do terrorismo, além das demais normas editadas pelo Banco Central do Brasil e pelo Conselho Monetário Nacional.

A instituição formaliza seus níveis de tolerância e seus limites por meio de uma Declaração de Apetite por Riscos (RAS), aprovada pela alta administração, que considera:

• os níveis de risco que a instituição está disposta a assumir, segregados por tipo de risco;
• a capacidade efetiva de identificar, mensurar e gerenciar cada risco de forma prudente;
• os objetivos estratégicos, o plano de negócios e os projetos de expansão de produtos e de parcerias;
• as condições concorrenciais do mercado de pagamentos e o ambiente regulatório vigente;
• as expectativas de clientes, parceiros de infraestrutura, instituições parceiras e órgãos reguladores.

2. Objetivos e abrangência

A EGIRC tem por objetivo estabelecer um processo contínuo e integrado de gestão que permita à Aida Pay antecipar-se a eventos capazes de comprometer seus objetivos estratégicos, a continuidade dos serviços prestados e a confiança depositada pelos clientes e parceiros.

• Assegurar a identificação tempestiva dos riscos relevantes, inclusive os decorrentes de novos produtos, novas jornadas digitais e novas parcerias de BaaS;
• Garantir que todo risco relevante seja mensurado por metodologia documentada, monitorado por indicadores e reportado às instâncias competentes;
• Manter o capital e a liquidez em patamares suficientes para absorver perdas esperadas e inesperadas, considerando cenários adversos;
• Promover a cultura de riscos em todos os níveis da organização, de modo que a avaliação de risco anteceda a decisão de negócio;
• Atender integralmente às exigências regulatórias e prestar informações consistentes ao Banco Central do Brasil e aos demais órgãos competentes.

A estrutura abrange todas as unidades de negócio, produtos, canais, processos e sistemas da Aida Pay, bem como as atividades relevantes executadas por prestadores de serviços terceirizados, parceiros tecnológicos e instituições parceiras que participem das jornadas oferecidas aos clientes, com destaque para a UNIDA DTVM, instituição parceira do arranjo de BaaS responsável pela prestação dos serviços financeiros subjacentes.

3. Estrutura de governança e papéis

O gerenciamento de riscos e de capital na Aida Pay é organizado de forma unificada, com segregação de funções entre as áreas que originam exposições, as áreas que controlam riscos e a avaliação independente. As atribuições são exercidas por instâncias colegiadas e por áreas internas, e não por pessoas nominalmente designadas neste documento.

3.1. Conselho de Administração

• Aprova a EGIRC, a Declaração de Apetite por Riscos e as políticas de riscos, de capital, de continuidade de negócios, de segurança cibernética, de conformidade e de prevenção à lavagem de dinheiro;
• Aprova os limites de apetite ao risco e as alçadas de decisão, revisando-os periodicamente;
• Zela pela existência de recursos humanos, tecnológicos e orçamentários adequados às funções de controle;
• Avalia a efetividade da estrutura com base nos relatórios recebidos e determina planos de ação quando identificadas deficiências.

3.2. Diretoria executiva

• Implementa as diretrizes aprovadas pelo Conselho de Administração e responde pela execução das políticas de riscos e de capital;
• Submete à aprovação superior propostas de revisão de limites, metodologias e planos de capital;
• Assegura que a avaliação de riscos integre o processo de aprovação de produtos, parcerias e mudanças relevantes de tecnologia;
• Determina medidas corretivas diante de desenquadramentos de limites e acompanha sua execução até o encerramento.

3.3. Diretor responsável pelo gerenciamento de riscos

A Aida Pay mantém diretor estatutário indicado perante o Banco Central do Brasil como responsável pelo gerenciamento de riscos, com independência em relação às unidades geradoras de negócio e à auditoria interna. A ele compete supervisionar o desenvolvimento, a execução e o desempenho da estrutura, verificar sua aderência à Declaração de Apetite por Riscos e reportar à alta administração as exposições relevantes. Sob essa supervisão são organizadas, com a devida segregação, as funções de:

• gerenciamento de riscos;
• gerenciamento de capital;
• controles internos;
• conformidade (compliance) e relacionamento regulatório;
• prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa;
• segurança da informação e segurança cibernética;
• gestão de continuidade de negócios;
• fornecimento de informações a órgãos reguladores e de supervisão.

3.4. Comitês e instâncias técnicas

A instituição apoia suas decisões em instâncias colegiadas de caráter técnico, constituídas conforme a estrutura organizacional vigente, cujas composições são definidas em regimentos internos próprios. Essas instâncias deliberam, entre outros temas, sobre leitura consolidada das exposições, evolução dos indicadores de risco, aprovação de novos produtos e parcerias, eventos de segurança e incidentes operacionais, planos de ação e acompanhamento de recomendações de auditoria. As deliberações são formalizadas em ata e os encaminhamentos são monitorados até sua conclusão.

3.5. Áreas de gerenciamento de riscos e de capital

A área de gerenciamento de riscos auxilia na identificação, mensuração, avaliação, monitoramento, reporte, controle e mitigação dos riscos a que a instituição está exposta, mantendo o inventário de riscos, as metodologias de avaliação e o painel de indicadores. A área de gerenciamento de capital responde pelo monitoramento do capital mantido pela instituição, pela avaliação da necessidade de capital frente aos riscos incorridos e pelo planejamento de metas e necessidades de capital em linha com os objetivos estratégicos.

3.6. Auditoria interna e avaliação independente

A auditoria interna atua com independência em relação à gestão e avalia periodicamente a adequação e a efetividade da governança, dos controles internos e do gerenciamento de riscos e de capital, reportando suas conclusões diretamente à alta administração. Quando aplicável, a instituição recorre a avaliações independentes realizadas por terceiros especializados.

4. Modelo das três linhas

Alinhada às melhores práticas internacionais de governança, a Aida Pay adota o modelo das três linhas, que distribui papéis complementares para que a governança e o gerenciamento de riscos contribuam efetivamente para a criação e a proteção de valor.

5. Declaração de Apetite por Riscos (RAS)

A Declaração de Apetite por Riscos traduz, em linguagem objetiva, os riscos que a Aida Pay aceita assumir na busca de seus objetivos e aqueles que considera inaceitáveis. É documento aprovado pelo Conselho de Administração, revisado ao menos anualmente e sempre que houver mudança relevante no modelo de negócio, no ambiente regulatório ou no cenário macroeconômico.

• Define, para cada tipo de risco, métricas de apetite, níveis de tolerância, gatilhos de alerta e limites máximos;
• Estabelece riscos classificados como inaceitáveis, entre eles a participação em operações com indícios de ilicitude, a inobservância deliberada de norma regulatória e o uso da infraestrutura da instituição para finalidades vedadas;
• Vincula os limites às alçadas de aprovação e aos procedimentos de escalonamento em caso de desenquadramento;
• É desdobrada em limites operacionais específicos por produto, carteira, canal, contraparte e parceiro.

Os valores, percentuais e limites numéricos associados a cada métrica constam de anexos internos da RAS e das atas das instâncias competentes, não sendo divulgados neste documento.

6. Processo de gerenciamento de riscos

O gerenciamento de riscos da Aida Pay é um ciclo contínuo, aplicado de forma homogênea a todas as categorias de risco relevantes, com registro documental em cada etapa.

1. Identificação: mapeamento de riscos por processo, produto, canal, sistema e prestador de serviço relevante, incluindo a avaliação prévia de novos produtos, novas parcerias de BaaS e mudanças tecnológicas significativas;
2. Mensuração e avaliação: aplicação de metodologias documentadas de probabilidade e impacto, com classificação do risco inerente, avaliação do desenho e da efetividade dos controles e apuração do risco residual;
3. Monitoramento: acompanhamento de indicadores-chave de risco, de limites e de gatilhos de alerta, com rotinas automatizadas e verificações independentes;
4. Reporte: produção de relatórios gerenciais tempestivos para a diretoria, as instâncias colegiadas e o Conselho de Administração, bem como os reportes regulatórios devidos;
5. Controle e mitigação: definição de planos de ação com responsável e prazo, ajuste de limites, reforço de controles, transferência de risco quando cabível e descontinuidade de atividades incompatíveis com o apetite aprovado;
6. Revisão: reavaliação periódica das metodologias, dos limites e da efetividade das estratégias de mitigação, incorporando lições aprendidas de incidentes e de recomendações de auditoria.

6.1. Instrumentos, dados e sistemas

A instituição mantém base de dados corporativa e ferramentas de apoio para consolidar exposições, calcular métricas de risco e de capital, registrar eventos e perdas operacionais, acompanhar indicadores e produzir os demonstrativos exigidos pela regulação. A arquitetura privilegia registros rastreáveis, segregação de ambientes, trilhas de auditoria e controles de acesso baseados no princípio do menor privilégio. A qualidade, a integridade e a tempestividade dos dados utilizados nas mensurações são objeto de verificação periódica, e as fontes externas de preços, taxas e informações cadastrais empregadas são independentes das áreas de negócio.

6.2. Conteúdo dos relatórios gerenciais

• Exposições agregadas por categoria de risco e sua evolução no período;
• Aderência à Declaração de Apetite por Riscos, aos limites operacionais e aos requisitos regulatórios;
• Avaliação da adequação do capital e da liquidez frente aos riscos incorridos;
• Resultados dos testes de estresse e situação dos planos de contingência de capital e de liquidez;
• Eventos e perdas operacionais relevantes, incidentes de segurança e respectivas ações corretivas;
• Deficiências identificadas na estrutura, planos de ação em curso e grau de disseminação da cultura de riscos.

A avaliação da efetividade das estratégias de mitigação é realizada em periodicidade mínima semestral, podendo ocorrer em intervalo menor por determinação da diretoria responsável pelo gerenciamento de riscos ou em razão de evento relevante.

7. Riscos gerenciados

A Aida Pay identifica, mensura, avalia, monitora, reporta, controla e mitiga, no mínimo, as categorias de risco a seguir, cuja relevância é reavaliada periodicamente em função do modelo de negócio e do portfólio vigente.

7.1. Risco de crédito

Entende-se como risco de crédito a possibilidade de perdas decorrentes do não cumprimento, pela contraparte, de obrigações pactuadas, da desvalorização de instrumentos em razão da deterioração da qualidade creditícia do tomador, de custos de recuperação e de vantagens concedidas em renegociações.

• Política de crédito documentada, com critérios de elegibilidade, políticas de concessão, alçadas de aprovação e requisitos de garantia quando aplicável;
• Modelos e regras de análise que combinam informações cadastrais, comportamentais e transacionais, com validação periódica de desempenho;
• Limites por cliente, por grupo econômico, por produto e por segmento, com monitoramento de concentração;
• Avaliação do risco de contraparte das instituições e dos parceiros com os quais a Aida Pay mantém recursos ou relações de liquidação;
• Acompanhamento de carteira por faixas de atraso, constituição de provisões conforme a regulação e as práticas contábeis aplicáveis, e processos estruturados de cobrança e renegociação;
• Reavaliação dos critérios em caso de deterioração dos indicadores ou de mudança no cenário macroeconômico.

7.2. Risco de mercado

O risco de mercado corresponde à possibilidade de perdas resultantes da oscilação de valores de mercado de posições detidas pela instituição, incluindo os riscos de variação cambial, de taxas de juros e de preços de ativos. Dado o perfil da Aida Pay, a exposição mais relevante decorre da operação de conta global em dólar e euro e da gestão de disponibilidades.

• Posições classificadas e marcadas a valor de mercado com uso de fontes de preços e taxas independentes e reconhecidas;
• Limites de exposição cambial e de sensibilidade a fatores de risco aprovados pela alta administração, com monitoramento e escalonamento em caso de desenquadramento;
• Vedação a posições de natureza especulativa incompatíveis com o apetite aprovado e com a finalidade de prestação de serviços de pagamento;
• Mensuração de sensibilidade a variações adversas de fatores de risco e inclusão das posições nos testes de estresse;
• Uso de instrumentos de proteção, quando pertinente, com finalidade de mitigação e não de alavancagem.

7.3. Risco de liquidez

O risco de liquidez é a possibilidade de a instituição não conseguir honrar eficientemente suas obrigações esperadas e inesperadas, ou de não conseguir negociar posições a preços adequados em razão de condições de mercado. No contexto dos produtos de conta e de pagamentos operados em arranjo de BaaS, a gestão observa com rigor a segregação e a disponibilidade dos recursos mantidos em contas de pagamento junto à instituição parceira, nos termos da regulação aplicável.

• Segregação dos recursos de clientes mantidos em contas de pagamento, com destinação restrita às finalidades admitidas pela regulação;
• Projeção de fluxo de caixa em diferentes horizontes, com acompanhamento diário das necessidades de liquidação;
• Manutenção de colchão de liquidez em ativos de alta qualidade e rápida conversão, dimensionado para cenários de estresse;
• Indicadores e gatilhos de alerta antecedente, com plano de contingência de liquidez que define medidas, responsáveis e ordem de acionamento;
• Consideração de sazonalidades e picos transacionais típicos de PIX, recebimentos e liquidações de cartões.

7.4. Risco operacional

O risco operacional é a possibilidade de perdas decorrentes de falhas, deficiências ou inadequação de processos internos, pessoas e sistemas, ou de eventos externos, abrangendo também os riscos legais associados a sanções e indenizações.

• Inventário de processos críticos com mapeamento de riscos e controles e avaliação periódica de efetividade;
• Base de dados de eventos e perdas operacionais, com classificação por categoria, causa raiz e tratamento;
• Controles automatizados de conciliação de liquidações, limites transacionais, trilhas de auditoria e segregação de funções;
• Prevenção e detecção de fraudes em jornadas digitais, com monitoramento transacional, autenticação reforçada e regras antifraude;
• Gestão do risco de terceiros, com avaliação prévia, cláusulas contratuais de nível de serviço e de auditabilidade e monitoramento contínuo de prestadores relevantes, inclusive serviços em nuvem e a dependência da infraestrutura da UNIDA DTVM, instituição parceira do arranjo de BaaS;
• Avaliação de risco operacional obrigatória em novos produtos, alterações de arquitetura e integrações com parceiros de BaaS, ERP e PDV.

7.5. Risco social, ambiental e climático

A estrutura incorpora mecanismos específicos para identificar, avaliar, monitorar, controlar e mitigar a exposição ao risco social, ao risco ambiental e ao risco climático, este último nas dimensões física e de transição, em linha com a Política de Responsabilidade Social, Ambiental e Climática da instituição.

• Avaliação dos impactos decorrentes dos próprios produtos, serviços, atividades e operações da instituição;
• Análise de riscos associados a clientes, contrapartes, entidades controladas e prestadores de serviços terceirizados relevantes;
• Monitoramento de eventuais concentrações em setores econômicos ou regiões geográficas suscetíveis a danos sociais, ambientais ou climáticos;
• Critérios de restrição para relacionamento com atividades vedadas ou de elevado risco socioambiental;
• Consideração de cenários climáticos na avaliação de continuidade de negócios e de resiliência da infraestrutura.

7.6. Risco cibernético e segurança da informação

Por operar integralmente em meios digitais, depender da infraestrutura da instituição parceira do arranjo de BaaS e fornecer infraestrutura financeira a terceiros, a Aida Pay trata a segurança cibernética como componente central da sua estrutura de riscos, disciplinada em política específica de segurança cibernética e de segurança da informação.

• Classificação da informação, criptografia de dados em trânsito e em repouso e gestão de chaves;
• Controles de identidade e acesso, autenticação reforçada, revisão periódica de permissões e princípio do menor privilégio;
• Monitoramento contínuo, detecção e resposta a incidentes, com plano de resposta documentado, comunicação às partes afetadas e aos órgãos competentes conforme a regulação;
• Testes de segurança, avaliação de vulnerabilidades, gestão de correções e práticas de desenvolvimento seguro;
• Requisitos de segurança contratualmente exigidos de provedores de serviços de processamento, armazenamento de dados e computação em nuvem;
• Tratamento de dados pessoais em conformidade com a legislação de proteção de dados, com avaliação de impacto quando aplicável.

7.7. Risco de conformidade, legal e de prevenção à lavagem de dinheiro

O risco de conformidade decorre da possibilidade de perdas, sanções ou restrições de atividade em razão do descumprimento de leis, regulamentos, políticas internas e compromissos contratuais. A função de conformidade é independente das áreas de negócio e mantém o inventário de obrigações regulatórias aplicáveis à instituição e ao arranjo de BaaS mantido com a UNIDA DTVM, acompanhando prazos, reportes e mudanças normativas.

• Programa de prevenção à lavagem de dinheiro e ao financiamento do terrorismo estruturado conforme a Lei nº 9.613/1998 e a Circular BCB nº 3.978/2020, com abordagem baseada em risco;
• Procedimentos de conheça seu cliente, conheça seu parceiro, conheça seu funcionário e conheça seu fornecedor, com atualização cadastral periódica;
• Classificação de risco de clientes e de produtos, monitoramento de operações, análise de situações atípicas e comunicação de operações suspeitas aos órgãos competentes;
• Verificação de listas restritivas e de sanções e tratamento diferenciado de pessoas expostas politicamente;
• Avaliação interna de risco e avaliação de efetividade do programa, com reporte à alta administração;
• Código de Ética e Conduta, canal de denúncias com garantia de anonimato e vedação a retaliação, e política de tratamento de conflitos de interesse.

7.8. Risco reputacional

O risco reputacional é tratado como consequência potencial de todos os demais riscos e monitorado a partir de reclamações, manifestações de clientes, demandas de órgãos de defesa do consumidor, interações com reguladores, repercussão pública e qualidade dos serviços prestados pelos parceiros que utilizam a infraestrutura da Aida Pay.

• Acompanhamento de indicadores de atendimento, de reclamações e de resolutividade, com análise de causa raiz;
• Atuação da Ouvidoria como instância final de tratamento de demandas não solucionadas nos canais ordinários, com reporte periódico à alta administração;
• Critérios reputacionais na avaliação de novos clientes, parceiros e fornecedores relevantes;
• Protocolo de comunicação em situações de crise, de incidentes de segurança e de indisponibilidade de serviços.

8. Gerenciamento de capital

O gerenciamento de capital é o processo contínuo de monitoramento e controle do capital mantido pela instituição, de avaliação da necessidade de capital para fazer frente aos riscos incorridos e de planejamento de metas e de necessidades de capital, considerando os objetivos estratégicos e o cenário prospectivo.

1. Apuração e monitoramento do patrimônio líquido e dos requerimentos prudenciais aplicáveis às instituições de pagamento, conforme a regulação do Banco Central do Brasil;
2. Avaliação da suficiência de capital frente ao conjunto de riscos relevantes, inclusive os não capturados por requerimentos mínimos;
3. Elaboração do plano de capital, com horizonte mínimo de três anos, contemplando projeções de crescimento, de resultados e de necessidade de capital;
4. Realização de simulações de condições adversas e avaliação do impacto sobre a adequação de capital;
5. Definição de plano de contingência de capital, com medidas de recomposição, gatilhos de acionamento e responsáveis;
6. Reporte periódico da posição de capital e dos resultados das avaliações à diretoria e ao Conselho de Administração.

Os valores de capital, os requerimentos apurados e as metas estabelecidas constam dos demonstrativos regulatórios e dos documentos internos de planejamento, não sendo reproduzidos nesta estrutura.

9. Testes de estresse

Os testes de estresse são exercícios prospectivos que avaliam os efeitos de condições severas, porém plausíveis, sobre os riscos, o capital e a liquidez da Aida Pay, apoiando a definição do apetite ao risco e dos planos de contingência.

• Cenários macroeconômicos adversos, com deterioração de atividade, elevação de juros e volatilidade cambial relevante para a conta global;
• Cenários idiossincráticos, como aumento abrupto da inadimplência da carteira de crédito e cartão, perda de parceiro ou fornecedor relevante e saída atípica de recursos;
• Cenários operacionais e cibernéticos, incluindo indisponibilidade prolongada de sistemas críticos, falha de provedor de nuvem e incidente de segurança de grande impacto;
• Análises de sensibilidade a fatores isolados e exercícios de estresse reverso, que buscam identificar as condições capazes de inviabilizar o plano de negócio;
• Documentação de premissas, metodologias e resultados, com reporte à alta administração e desdobramento em ações de mitigação.

Os testes são realizados em periodicidade definida internamente, no mínimo anual, e são refeitos sempre que ocorrer mudança relevante no portfólio, na estrutura de parcerias ou no cenário econômico.

10. Gestão de continuidade de negócios

Para mitigar o risco operacional e assegurar a resiliência dos serviços prestados, a Aida Pay mantém política e planos documentados de continuidade de negócios.

• Análise de impacto nos negócios (BIA) para identificação de processos críticos, dependências tecnológicas e tempos máximos toleráveis de interrupção;
• Planos de continuidade e de recuperação com procedimentos, responsáveis e prazos estimados para reinício das atividades;
• Redundância de infraestrutura, rotinas de backup, verificação de integridade e capacidade de recuperação de dados;
• Plano de gerenciamento de crises e de comunicação com clientes, parceiros, reguladores e demais partes interessadas;
• Avaliação da continuidade de prestadores de serviços relevantes e de parceiros de infraestrutura;
• Realização de testes e revisões periódicas dos planos, com registro de resultados e tratamento das deficiências identificadas.

11. Novos produtos, parcerias e mudanças relevantes

A aprovação de novos produtos, de novas jornadas, de novas parcerias de BaaS e de mudanças relevantes de processos ou de arquitetura tecnológica depende de avaliação prévia de riscos, conduzida de forma independente pelas funções de segunda linha.

• Identificação dos riscos introduzidos e dos controles necessários antes da entrada em produção;
• Verificação de aderência à regulação aplicável, à Declaração de Apetite por Riscos e à capacidade operacional e de capital;
• Definição de limites, indicadores e rotinas de monitoramento específicos para o produto ou parceria;
• Acompanhamento reforçado no período inicial de operação, com reavaliação formal após a maturação.

12. Cultura de riscos, capacitação e integridade

A Aida Pay promove a cultura de riscos como elemento de sua identidade institucional, de modo que a consideração de riscos anteceda e qualifique as decisões de negócio em todos os níveis.

• Programa de capacitação periódica em riscos, conformidade, prevenção à lavagem de dinheiro, proteção de dados e segurança da informação, com registro de participação;
• Comunicação interna das políticas aprovadas e dos limites vigentes, com disponibilização em repositório acessível aos colaboradores;
• Incentivos e avaliações de desempenho que não estimulem a assunção de riscos incompatíveis com o apetite aprovado;
• Canal de denúncias disponível a colaboradores, clientes e terceiros, com tratamento independente e vedação a retaliação.

13. Divulgação, vigência e revisão

A Aida Pay divulga ao público, em seu site institucional, resumo desta Estrutura de Gerenciamento Integrado de Riscos e Capital, descrevendo a organização do gerenciamento de riscos e de capital, as categorias de risco relevantes e os mecanismos de controle adotados, nos termos da regulação aplicável. As informações prudenciais e os demonstrativos exigidos são encaminhados ao Banco Central do Brasil nas periodicidades e formatos definidos pela regulação.

Esta estrutura entra em vigor na data de sua aprovação pelo Conselho de Administração, revoga as disposições anteriores que lhe sejam contrárias e é revisada no mínimo anualmente, ou em prazo inferior quando houver alteração relevante na regulação, no modelo de negócio, no portfólio de produtos ou no perfil de riscos da instituição. O descumprimento das diretrizes aqui estabelecidas sujeita os responsáveis às medidas disciplinares previstas nas políticas internas, sem prejuízo das responsabilidades legais e contratuais aplicáveis.

14. Canais de contato