Resolução CMN 4.557: guia de gerenciamento integrado de riscos e de capital

A Resolução CMN 4.557, de 23 de fevereiro de 2017, obriga as instituições financeiras dos segmentos S1 a S4 a manter uma estrutura de gerenciamento contínuo e integrado de riscos, uma estrutura de gerenciamento contínuo de capital e uma política de divulgação de informações. Na prática, isso significa ter uma Declaração de Apetite por Riscos (RAS) aprovada pelo conselho, um diretor de riscos (CRO), um comitê de riscos, um programa de testes de estresse, um plano de capital de pelo menos três anos e relatórios públicos sobre tudo isso.

A norma continua em vigor e já passou por mais de dez alterações. As mais recentes trouxeram o risco social, ambiental e climático (Resolução CMN 4.943), o risco país e de transferência (Resolução CMN 5.089), a transferência de liquidez dentro do conglomerado (Resolução CMN 5.222, desde 1º de setembro de 2025) e a possibilidade de o Banco Central exigir testes de estresse periódicos com cenários definidos por ele (Resolução CMN 5.226, desde 1º de dezembro de 2025). Há ainda duas mudanças marcadas para 1º de janeiro de 2027: o risco de mercado passa a incluir os spreads de crédito (Resolução CMN 5.207) e entra em vigor o novo Relatório GRSAC (Resolução BCB 586/2026).

• Quem está sujeito e com que intensidade
• A RAS e o que a estrutura precisa prever
• Os riscos, um a um
• Testes de estresse
• Governança: conselho, CRO, comitê e diretores
• Gerenciamento de capital
• Divulgação: Pilar 3 e Relatório GRSAC
• Erros que o próprio texto da norma ajuda a evitar
• Por onde começaríamos

Quem está sujeito e com que intensidade

A 4.557 vale para as instituições enquadradas no S1, S2, S3 ou S4 pela Resolução nº 4.553/2017, que segmenta o sistema pelo porte (exposição total dividida pelo PIB) e pela atividade internacional:

Desde 1º de janeiro de 2025, a 4.557 deixou de se aplicar a administradoras de consórcio, instituições de pagamento, corretoras e distribuidoras de títulos e valores mobiliários e corretoras de câmbio, que passam a seguir normas próprias do Banco Central (art. 1º, parágrafo único, incluído pela Resolução CMN 5.194).

As estruturas são unificadas para todo o conglomerado prudencial (art. 2º, § 2º), e os sistemas cooperativos de crédito podem centralizá-las numa entidade supervisionada, sem que cada cooperativa deixe de responder pelo próprio gerenciamento (art. 4º).

Dispensas por segmento

Dentro do escopo, os artigos 58 a 60 aliviam os segmentos menores:

No S4 sem comitê de riscos, a diretoria assume a maior parte das atribuições dele (art. 45, § 8º).

A RAS e o que a estrutura precisa prever

A Declaração de Apetite por Riscos documenta os níveis de risco que a instituição aceita assumir, por tipo de risco e, quando aplicável, por horizonte de tempo (art. 5º). Ela considera a capacidade de gerenciar riscos, os objetivos estratégicos e o ambiente competitivo e regulatório. Quem fixa e revisa os níveis é o conselho de administração, com apoio do comitê de riscos, da diretoria e do CRO (art. 48, I). O apetite por IRRBB precisa constar da RAS para cada abordagem de mensuração (art. 30, § 4º).

Tudo o que vem depois se mede contra a RAS. O art. 7º lista o que a estrutura precisa ter, e a tabela abaixo serve como roteiro de documentação:

A RAS também precisa ser comunicada ao pessoal, incluindo prestadores terceirizados relevantes, em linguagem compatível com cada área e por um processo estruturado de comunicação (art. 8º). Na nossa leitura, uma RAS que só traz frases qualitativas não cumpre o papel que a norma lhe dá: sem limites mensuráveis não há exceção para rastrear, e o inciso II do art. 7º pede exatamente esse rastreamento.

Os riscos, um a um

O art. 6º lista o que deve ser identificado, mensurado, avaliado, monitorado, reportado, controlado e mitigado: crédito, mercado, IRRBB, operacional, liquidez, social, ambiental, climático, risco país e de transferência e os demais riscos relevantes, incluindo os não cobertos pelo cálculo do RWA. O gerenciamento é integrado e considera as interações entre esses riscos e o risco de lavagem de dinheiro e financiamento do terrorismo (art. 6º, §§ 1º e 2º).

Crédito

O risco de crédito inclui o risco de contraparte e o de concentração por contraparte, setor, região ou tipo de mitigador (art. 21). Contrapartes conectadas, por exemplo quando uma detém mais de 50% do capital votante da outra, contam como uma só (art. 22). A perda esperada é revista semestralmente, mensalmente se houver atraso e imediatamente quando a exposição vira ativo problemático (art. 23, § 2º).

Mercado e IRRBB

Os instrumentos sujeitos a risco de mercado são geridos em mesas de operações com estratégia documentada (art. 25-A). A partir de 1º de janeiro de 2027, a Resolução CMN 5.207 acrescenta os spreads de crédito ao risco de taxas de juros e de ações da carteira de negociação. O IRRBB é o risco de movimentos de juros sobre a carteira bancária (art. 28); no S1, S2 e S3 ele é medido por abordagens de valor econômico e de resultado de intermediação financeira (art. 30, § 1º).

Operacional

A definição do art. 32 inclui o risco legal e, desde a Resolução CMN 5.076, as falhas em atividades de pagamento. O art. 33 pede critérios para terceirizar, governança de TI coerente com a RAS, segregação entre desenvolvimento, teste e produção, testes das medidas de segurança de dados e uma base de perdas com análise de causa raiz de cada perda relevante.

Liquidez

O risco de liquidez é medido em vários horizontes, inclusive intradia, com avaliação diária das operações que liquidam em menos de noventa dias (art. 38, I, a). A Resolução CMN 5.222 acrescentou a transferência tempestiva de liquidez entre as empresas do conglomerado e a identificação de restrições legais ou contratuais que possam travá-la (art. 38, I, e, e § 4º).

Social, ambiental e climático

Os arts. 38-A a 38-F definem cada risco com exemplos concretos, como trabalho análogo à escravidão, desmatamento, descumprimento de licença ambiental e secas. A estrutura monitora esses riscos nas contrapartes, nas controladas e nos fornecedores relevantes, registra as perdas por região e setor e inclui cenários climáticos no estresse. Esse gerenciamento é diferente da Política de Responsabilidade Social, Ambiental e Climática, que fica na Resolução CMN 4.945.

Desde 2024, o risco país e o de transferência também têm seção própria (arts. 38-G e 38-H), com gerenciamento e reporte por jurisdição.

Testes de estresse

O programa de testes de estresse (arts. 11 a 19) combina análise de sensibilidade, análise de cenários e teste de estresse reverso, com premissas adequadamente severas. A documentação cobre governança, finalidade, frequência e metodologia de cada teste e as limitações dos modelos (art. 12). A baixa probabilidade de um cenário não justifica, por si só, descartá-lo (art. 15, § 2º).

A diretoria e o conselho aprovam os cenários (art. 18), e os resultados alimentam as decisões estratégicas, a revisão do apetite, os planos de contingência e o Plano de Recuperação e de Saída Organizada (art. 17). Com a Resolução CMN 5.226, o Banco Central pode exigir testes com cenários fornecidos por ele, de forma eventual ou com periodicidade definida, e receber os resultados no formato que estabelecer (art. 19, §§ 1º e 2º).

Governança: conselho, CRO, comitê e diretores

A gestão de riscos fica numa unidade específica, segregada das áreas de negócio e da auditoria interna (art. 43). À frente dela está o CRO, nomeado e destituído pelo conselho e designado perante o Banco Central (art. 44). Ele deve poder se reportar ao comitê de riscos, ao principal executivo e ao conselho sem a presença da diretoria. Se for destituído, a instituição divulga o fato no seu site e explica as razões ao Banco Central.

O comitê de riscos (art. 45) tem no mínimo três membros. Ninguém que tenha sido CRO ou membro do comitê de auditoria nos últimos seis meses pode integrá-lo. A maioria não pode ter sido empregada da instituição nos últimos seis meses, deve ter experiência comprovada em gestão de riscos e não pode receber outra remuneração além da função de membro do comitê ou do conselho. O presidente não pode ter presidido o conselho nem outro comitê nos seis meses anteriores. A composição e as atribuições ficam publicadas no site (art. 57).

A norma pede ainda um diretor responsável pelo gerenciamento de capital (art. 47) e outro pela divulgação de informações (art. 56-A), que podem acumular funções sem conflito. Os processos das duas estruturas são avaliados periodicamente pela auditoria interna (art. 52).

O calendário do conselho

Pelo menos uma vez por ano, o conselho aprova e revisa nove itens (art. 48, II):

1. Políticas, estratégias e limites de gerenciamento de riscos.
2. Políticas e estratégias de gerenciamento de capital.
3. Programa de testes de estresse.
4. Políticas de continuidade de negócios.
5. Plano de contingência de liquidez.
6. Plano de capital.
7. Plano de contingência de capital.
8. Política de divulgação de informações.
9. Políticas de classificação na carteira de negociação (art. 27).

Cabe também ao conselho garantir que a remuneração não incentive comportamentos incompatíveis com o apetite (art. 48, X). Sem conselho, essas competências passam à diretoria (art. 49).

Gerenciamento de capital

A estrutura de capital (arts. 39 a 42) inclui políticas para manter o PR, o Nível I, o Capital Principal e a Razão de Alavancagem compatíveis com os riscos, um plano de capital, um plano de contingência e a avaliação da adequação do capital. O S1 usa o Icaap (art. 40, § 2º).

O plano de capital cobre no mínimo três anos e traz metas, projeções e fontes de capital, considerando metas de crescimento, distribuição de resultados e a RAS (art. 41). Se a avaliação interna indicar necessidade acima do mínimo regulatório, a instituição mantém o capital que ela mesma calculou (art. 42).

Divulgação: Pilar 3 e Relatório GRSAC

Desde a Resolução nº 4.745/2019, a 4.557 exige uma política de divulgação que defina o que se publica, a governança do processo, os controles que garantem a fidedignidade e os critérios de relevância (art. 56). O detalhe vem de duas normas do Banco Central:

• Relatório de Pilar 3 (Resolução BCB 54/2020): indicadores prudenciais, capital, alavancagem, liquidez, crédito, mercado e IRRBB, com parte das tabelas divulgada trimestralmente (art. 22).
• Relatório GRSAC: hoje na Resolução BCB 139/2021, que será revogada em 1º de janeiro de 2027 pela Resolução BCB 586, de 3 de setembro de 2026. A nova norma traz doze tabelas, entre elas emissões financiadas por setor, exposições a seca e chuva intensa por região e plano de transição climática. O relatório é anual, com data-base 31 de dezembro e prazo de noventa dias (art. 8º).

Na Resolução BCB 586, o S1, o S2 e o S3 divulgam todas as tabelas; o S4 só as de governança e de compromissos (arts. 6º e 7º). O S3 e o S4 podem começar a divulgar as tabelas quantitativas a partir da data-base de 31 de dezembro de 2028 (art. 12). A responsabilidade é do diretor de divulgação indicado pela 4.557 (art. 11). Na nossa leitura, quem só estruturou o gerenciamento climático para cumprir a 4.557 vai precisar de dados que hoje não coleta, como emissões financiadas por setor da CNAE.

Erros que o próprio texto da norma ajuda a evitar

Estes pontos saem de exigências literais da norma que são fáceis de esquecer:

• Modelo validado por quem o desenvolveu. A avaliação de modelos não pode ser feita pela área que os criou nem por uma área que assume riscos (art. 9º, parágrafo único). O S3 e o S4 estão dispensados; o S1 e o S2, não.
• Base de perdas só com eventos operacionais puros. O art. 34, § 2º pede também as perdas operacionais associadas a crédito, mercado e riscos social, ambiental e climático.
• Contrato de TI sem cláusula de acesso do Banco Central. O art. 33, § 1º exige que o contrato garanta esse acesso.
• Comitê de riscos com ex-CRO. O impedimento de seis meses do art. 45, § 4º vale para todos os membros, inclusive os que não contam na maioria independente.
• Cenário severo descartado por ser improvável. O art. 15, § 2º diz o contrário.
• Documentação dispersa. A RAS, a documentação das duas estruturas e os relatórios ficam à disposição do Banco Central por cinco anos (art. 65). Se o Banco Central identificar insuficiência, pode determinar o aperfeiçoamento e medidas prudenciais preventivas (art. 66).

Por onde começaríamos

Para uma instituição que está revisando a estrutura, esta é a ordem que faríamos:

1. RAS com limites mensuráveis por tipo de risco. Sem eles, o reporte de exceções do art. 7º fica sem base.
2. Base de perdas operacionais com causa raiz. É a peça que mais tempo leva para ganhar histórico e alimenta as análises de cenário.
3. Calendário anual do conselho. As nove aprovações do art. 48, II, distribuídas ao longo do ano e não concentradas numa única reunião.
4. Dados climáticos para o GRSAC de 2027. Indicadores por contraparte, setor e região, como pede o art. 38-E, e um inventário do que falta para as novas tabelas.

No GlobalSuite®, o módulo de Gestão de riscos reúne o registro de riscos, os planos de tratamento com responsável e acompanhamento e o registro de incidentes, com painéis para os relatórios gerenciais. O de Continuidade de negócios cobre a BIA e os testes que o art. 20 pede.

Fontes oficiais: Resolução nº 4.557, de 23 de fevereiro de 2017 (texto consolidado), Resolução nº 4.553/2017, Resolução CMN nº 5.194/2024, Resolução CMN nº 5.207/2025, Resolução CMN nº 5.222/2025, Resolução CMN nº 5.226/2025, Resolução BCB nº 54/2020 e Resolução BCB nº 586/2026, no site do Banco Central do Brasil. Conteúdo revisado em outubro de 2026.