Desenhamos e reforçamos a estrutura de gestão de riscos da sua empresa de investimento (ESI) perante a CNMV: mapa de riscos, unidade e comitê de riscos, função de compliance, auditoria interna, regime prudencial IFR/IFD e reporte ao supervisor. Um modelo coerente, proporcional e defensável.
Consulta gratuita
Respondemos em menos de 24 h
Seis blocos que compõem uma estrutura de gestão de riscos coerente, proporcional e defensável perante a CNMV para qualquer empresa de investimento.
Identificamos e classificamos os riscos relevantes da sua entidade — crédito, mercado, liquidez, operacional, concentração, tecnológico e de compliance — e os traduzimos em um perfil de risco alinhado com a abordagem RtC/RtM/RtF do regime prudencial.
Desenhamos a função independente de gestão de riscos, o comitê de riscos e seu reporte ao órgão de administração de acordo com o Real Decreto 813/2023 e a Lei 6/2023 (LMVSI), com um alcance proporcional ao porte da entidade.
Implantamos a função de compliance (cumprimento normativo) exigida pela MiFID II: controle de conduta, adequação (suitability), conflitos de interesse, governança de produtos e reporte ao supervisor.
Definimos a terceira linha de defesa: plano anual de auditoria interna, revisão independente dos controles e acompanhamento de recomendações e constatações.
Analisamos os requisitos de fundos próprios por fatores K, o capital inicial e a classificação da sua ESI segundo o Regulamento (UE) 2019/2033 (IFR) e a Diretiva (UE) 2019/2034 (IFD).
Integramos o risco tecnológico à estrutura de riscos da ESI: gestão do risco de TIC, continuidade, notificação de incidentes e controle de fornecedores críticos de acordo com o DORA.
Sociedades de valores (corretoras de valores), agencias de valores (distribuidoras de valores), sociedades gestoras de carteiras ou empresas de consultoria financeira: cada figura tem seu perfil de risco, seu capital e suas exigências de organização interna perante a CNMV.
“Como pode negociar por conta própria e subscrever emissões (underwriting), a sociedad de valores concentra risco de mercado e de contraparte: exige o capital inicial mais alto e uma estrutura de riscos robusta.”
“A agencia de valores opera por conta de terceiros. O foco de risco se desloca para o risco operacional, a custódia de fundos e instrumentos e o risco de compliance.”
“A sociedade gestora de carteiras faz gestão discricionária: o controle se concentra em adequação, conflitos de interesse, melhor execução e risco reputacional.”
“A empresa de consultoria financeira tem um perfil de risco baixo, mas continua obrigada a manter uma estrutura de riscos e de compliance proporcional à sua atividade perante a CNMV.”
Uma estrutura de riscos fraca ou meramente formal se traduz em exigências da CNMV, requisitos adicionais de capital, sanções e danos à reputação que condicionam a atividade da entidade.
O erro mais comum: tratar a função de riscos como um documento, e não como uma função viva. Quando o comitê de riscos não reúne evidências, atas nem acompanhamento, o modelo não resiste a uma revisão do supervisor.
A CNMV avalia a organização interna, não só o papel: se o mapa de riscos, a governança, a função de compliance e a auditoria interna não se encaixam, o processo de revisão supervisora detecta as lacunas.
O regime prudencial é proporcional, mas exigente: com o IFR/IFD, os fundos próprios são calculados por fatores K, e a CNMV pode impor requisitos adicionais de capital se a avaliação de riscos for insuficiente.
Se a CNMV considerar que os riscos não estão suficientemente cobertos, pode exigir fundos próprios adicionais acima do requisito do IFR.
As deficiências de organização interna e de gestão de riscos estão tipificadas na LMVSI e podem resultar em sanções e em responsabilidade dos administradores.
Um incidente de controle ou uma advertência pública desgasta a relação com clientes, contrapartes e entidades depositárias, afetando o negócio.
Antes de uma inspeção ou de uma autorização, convém revisar o mapa de riscos, a governança interna, as funções de controle e o cálculo dos fundos próprios para garantir que o modelo resista à revisão supervisora.
É o conjunto de políticas, funções e procedimentos que uma empresa de investimento implanta para identificar, medir, monitorar e mitigar os riscos decorrentes de sua atividade. Inclui a função de gestão de riscos, o comitê de riscos, a função de compliance e a auditoria interna.
Não é uma formalidade documental: a CNMV avalia se existe uma organização interna real e proporcional, capaz de sustentar a atividade com controles executados e evidências.
O marco principal é a Lei 6/2023, de 17 de março, dos Mercados de Valores e dos Serviços de Investimento (LMVSI) e sua regulamentação, o Real Decreto 813/2023, de 8 de novembro, que revogou o RD 217/2008.
A isso se somam a MiFID II (Diretiva 2014/65/UE) e o Regulamento Delegado (UE) 2017/565, além do regime prudencial IFR/IFD: Regulamento (UE) 2019/2033 e Diretiva (UE) 2019/2034.
A LMVSI regula a gestão do risco e o comitê de riscos e, como novidade em relação ao regime anterior, estende essa exigência também às ESI pequenas e não interconectadas (ESIPNI), remetendo a uma regulamentação proporcional.
Na prática, o alcance e a formalização do comitê são graduados conforme o porte, a natureza e a complexidade da entidade. Analisamos qual configuração corresponde à sua ESI.
É o regime prudencial específico das empresas de investimento, formado pelo Regulamento (UE) 2019/2033 (IFR) e pela Diretiva (UE) 2019/2034 (IFD), incorporada ao direito espanhol pela LMVSI e pelo RD 813/2023.
Substitui a aplicação generalizada do regime bancário (CRR/CRD) por um modelo proporcional ao risco e ao porte, baseado nos fatores K.
É o modelo de controle interno de referência:
A CNMV espera que essas linhas estejam claramente diferenciadas e dotadas de independência e recursos.
A função de gestão de riscos identifica e mede os riscos e zela por seu controle; a função de compliance monitora o cumprimento das normas de conduta (MiFID II) e os conflitos de interesse; a auditoria interna revisa de forma independente se ambas funcionam.
São funções separadas e, na medida em que a proporcionalidade permitir, independentes entre si e do negócio.
Revisa a coerência e a suficiência da organização interna: mapa e apetite de risco, governança corporativa, idoneidade dos administradores e dos responsáveis por funções-chave, políticas de conflitos e de remuneração, sistema de controle e evidências de seu funcionamento.
Como parte da revisão supervisora, pode solicitar informações, exigir medidas corretivas e impor requisitos adicionais de fundos próprios.
Em geral: risco de crédito e contraparte, de mercado, de liquidez, operacional, de concentração, tecnológico (TIC), de compliance e reputacional.
Além disso, o IFR organiza o risco em três grandes blocos — risco para o cliente (RtC), para o mercado (RtM) e para a própria entidade (RtF) —, que orientam o cálculo dos fundos próprios por fatores K.
Uma ESI pequena e não interconectada: uma empresa de investimento que, por seu porte e atividade, cumpre os limites que a isentam das exigências mais pesadas do regime prudencial (por exemplo, receitas com serviços de investimento inferiores a 30 milhões de euros em média, entre outros critérios). Aplica-se a ela um regime simplificado e proporcional.
São os parâmetros que o Regulamento IFR utiliza para calcular os requisitos de fundos próprios das ESI em função do risco que geram. Agrupam-se em três famílias: risco para o cliente (RtC), risco para o mercado (RtM) e risco para a própria entidade (RtF), e medem variáveis como ativos sob gestão, ordens processadas ou fundos de clientes sob custódia.
As ESI de maior porte e interconexão (com ativos consolidados acima de determinados limites) podem ficar sujeitas ao regime bancário e, quando for o caso, obrigadas a solicitar autorização como instituição de crédito. Além disso, a CNMV pode exigir a aplicação de requisitos do CRR a certas entidades por sua relevância sistêmica.
O Regulamento DORA, aplicável desde janeiro de 2025, obriga as ESI a ter uma estrutura de gestão do risco tecnológico: governança de TIC, continuidade operacional, registro e notificação de incidentes, testes de resiliência e supervisão de fornecedores críticos. É mais uma peça da estrutura de riscos, não um compartimento isolado.
Depende do tipo de entidade. Como referência, segundo o regime IFD/RD 813/2023: € 750.000 para sociedades de valores que negociam por conta própria ou subscrevem emissões; € 150.000 para agencias de valores; e € 75.000 para sociedades gestoras de carteiras e empresas de consultoria financeira. O valor exato deve ser validado conforme os serviços autorizados.
O Fundo de Garantia de Investimentos (Fondo de Garantía de Inversiones) protege os clientes das ESI em situações de insolvência da entidade, dentro dos limites legais. A adesão e o regime de contribuições dependem do tipo de ESI; determinadas EAF e EAFN têm um regime específico de acordo com a LMVSI.
Nem todas as empresas de investimento têm o mesmo perfil de risco nem as mesmas exigências. O capital inicial e o alcance da estrutura de controle dependem dos serviços que a entidade presta.
O esforço de controle depende de dois blocos: o perfil de risco decorrente dos serviços autorizados e o regime prudencial aplicável (classe da ESI segundo o IFR/IFD).
Antes de implantar qualquer coisa, fechamos o diagnóstico do perfil de risco e da classe da ESI. Assim, a estrutura é proporcional: nem superdimensionada nem insuficiente perante a CNMV.
| Tipo de ESI | Sociedad de valores (corretora de valores) | Agencia de valores (distribuidora de valores) | Gestora de carteiras | EAFN |
|---|---|---|---|---|
| Capital inicial (referência) | € 750.000 | € 150.000 (€ 75.000 se não houver custódia) | € 75.000 | € 75.000 |
| Negocia por conta própria | Sim | Não | Não | Não |
| Custódia de fundos e instrumentos | Sim | Possível | Não | Não |
| Risco predominante | Mercado e contraparte | Operacional e custódia | Conflitos e adequação | Compliance (baixo) |
| Comitê e função de riscos | Sim | Sim | Sim | Proporcional |
| Supervisor | CNMV | CNMV | CNMV | CNMV |
Valores de referência para fins de comparação. O capital inicial exato, a classe prudencial e o alcance da estrutura de riscos dependem dos serviços de investimento concretos que a entidade presta e devem ser validados caso a caso de acordo com a LMVSI, o RD 813/2023 e o IFR/IFD.
Uma estrutura de riscos eficaz não é um manual: é um sistema que demonstra coerência entre governança, funções de controle, capital e evidências. A chave é construir algo proporcional que resista à revisão supervisora da CNMV.
O supervisor analisa se a organização interna sustenta a atividade: administradores idôneos, funções-chave dotadas de independência, políticas coerentes e evidências de que os controles são realmente executados.
O mapa de riscos, o apetite de risco e o reporte do comitê ao órgão de administração devem ser desenhados antes do capital. Sem eles, o cálculo dos fundos próprios perde fundamento.
Compliance, auditoria interna, reporte de estados reservados e DORA devem se sustentar ao longo do tempo, não apenas para obter a autorização ou passar por uma inspeção pontual.
Se você quer montar ou revisar a estrutura de riscos da sua ESI, conheça nossos serviços de regulação do mercado de valores ou a área de corporate compliance.
Uma estrutura de riscos eficaz não é um dossiê: é um conjunto de decisões coerentes (mapa de riscos, governança e funções de controle, fundos próprios e reporte) demonstradas com rastreabilidade. Aqui está um painel para entender como isso se aplica na prática.
1) Mapa de riscosO objetivo não é preencher um modelo: é identificar os riscos reais da entidade e fixar um apetite de risco que condicione decisões e capital.
2) GovernançaA função de riscos, o comitê de riscos e seu reporte ao órgão de administração devem se encaixar com o compliance e a auditoria interna, sem sobreposições nem lacunas.
3) CapitalO cálculo por fatores K e o capital inicial devem ser coerentes com o perfil de risco. Um cálculo frágil resulta em exigências da CNMV.
4) Controle contínuoCompliance, auditoria interna, DORA, reporte e acompanhamento transformam a estrutura em uma função real: revisão, correções e evidências vivas desde o primeiro dia.
Decisão rápidaESI grande e interconectada: pode ficar sujeita ao regime bancário (CRR/CRD) ou precisar de licença de instituição de crédito.
ESI padrão: fundos próprios por fatores K, comitê de riscos e organização interna completa.
ESI pequena e não interconectada: regime simplificado e proporcional, sem deixar de controlar seus riscos.
Identificação dos riscos relevantes e limites coerentes com o modelo de negócio e a classe da ESI.
Documento de apetite de risco, mapa de riscos e políticas por categoria de risco.
Função independente que mede, monitora e reporta os riscos ao órgão de administração.
Nomeação do responsável, relatórios de riscos e reporte periódico ao conselho.
Órgão com composição e periodicidade proporcionais, que assessora sobre a estratégia de risco.
Regimento do comitê, atas, ordem do dia e acompanhamento das deliberações.
Monitoramento da conduta MiFID II, dos conflitos de interesse e da governança de produtos.
Manual de compliance, relatório anual, registro de conflitos e evidências de controle.
Revisão independente da eficácia da gestão de riscos e do compliance.
Plano anual de auditoria, relatórios de revisão e acompanhamento de recomendações.
Cálculo por fatores K, capital inicial e cobertura suficiente do perfil de risco.
Memória de cálculo dos fundos próprios, estados reservados e avaliação de capital.
Identifique-os antes de uma autorização ou de uma inspeção para evitar exigências e medidas corretivas.
Se você está montando a estrutura de riscos de uma empresa de investimento, estes termos aparecem nas políticas internas, nos relatórios e na relação com a CNMV.
Entidade autorizada pela CNMV para prestar serviços de investimento: sociedades de valores, agencias de valores, sociedades gestoras de carteiras e empresas de consultoria financeira.
Função independente que identifica, mede e monitora os riscos da entidade e reporta ao órgão de administração. Pode se apoiar em uma unidade de gestão de riscos.
Órgão que assessora o conselho sobre a estratégia e o apetite de risco. A LMVSI o exige de forma proporcional, inclusive para as ESIPNI.
Regulamento (UE) 2019/2033 (IFR) e Diretiva (UE) 2019/2034 (IFD): regime prudencial proporcional ao risco e ao porte da ESI, distinto do regime bancário.
Parâmetros do IFR para calcular os fundos próprios conforme o risco: para o cliente (RtC), para o mercado (RtM) e para a própria entidade (RtF).
Modelo de controle: negócio (1ª), gestão de riscos e compliance (2ª) e auditoria interna (3ª). Devem ser diferenciadas e dotadas de independência.
ESI que cumpre os limites que a isentam das exigências mais pesadas do regime prudencial. Aplica-se a ela um regime simplificado e proporcional.
Regulamento europeu aplicável desde janeiro de 2025 que exige gestão do risco de TIC, continuidade, notificação de incidentes e controle de fornecedores críticos.
Informações periódicas que as ESI enviam à CNMV sobre solvência, atividade e riscos, por meio das circulares da Comissão. Base da supervisão contínua.
Baixe nosso guia com a estrutura completa: organização interna, funções de controle, comitê de riscos, regime IFR/IFD e preparação para a revisão supervisora.
Conte-nos como é sua ESI e explicaremos como estruturar ou reforçar o controle de riscos perante a CNMV.
Na Espanha, o controle e a gestão de riscos das empresas de investimento se estruturam a partir da Lei 6/2023, de 17 de março, dos Mercados de Valores e dos Serviços de Investimento (LMVSI) e de sua regulamentação, o Real Decreto 813/2023, de 8 de novembro, que revogou o RD 217/2008 e concluiu a transposição da Diretiva (UE) 2019/2034 (IFD). A supervisão cabe à CNMV, que avalia a organização interna, a idoneidade dos administradores e dos responsáveis por funções-chave e a suficiência da estrutura de gestão de riscos.
O RD 813/2023 regulamenta as medidas de organização interna — gestão de riscos, unidade de gestão de riscos, conflitos de interesse e registros — e, para as entidades grandes e interconectadas, a governança interna e o tratamento dos riscos com comitê de riscos. A LMVSI regula a gestão do risco e estende a obrigação de ter comitê de riscos também às ESI pequenas e não interconectadas, com uma regulamentação proporcional ao porte e ao perfil da entidade.
O regime prudencial das ESI é regido pelo Regulamento (UE) 2019/2033 (IFR) e pela Diretiva (UE) 2019/2034 (IFD), que substituem a aplicação generalizada do regime bancário por um modelo proporcional ao risco. Os requisitos de fundos próprios são calculados por fatores K, agrupados em risco para o cliente (RtC), para o mercado (RtM) e para a própria entidade (RtF). As ESI de maior relevância sistêmica podem ficar sujeitas ao regime bancário ou precisar de autorização como instituição de crédito.
À organização se sobrepõem as normas de conduta da MiFID II (Diretiva 2014/65/UE) e do Regulamento Delegado (UE) 2017/565: adequação, conflitos de interesse e governança de produtos. O modelo de controle se apoia em três linhas de defesa — negócio, funções de riscos e compliance, e auditoria interna —, que a CNMV espera que sejam diferenciadas, independentes e dotadas de recursos.
Como parte da revisão supervisora, a CNMV pode solicitar informações, exigir medidas corretivas e impor requisitos adicionais de fundos próprios quando considerar que os riscos não estão suficientemente cobertos. Uma estrutura de riscos coerente e com evidências reduz o risco de exigências e de processos sancionadores.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .