A 17 de abril de 2026, a FDIC, o Gabinete do Controlador da Moeda e o Conselho de Governadores do Sistema da Reserva Federal emitiram conjuntamente orientações revistas sobre a gestão do risco de modelo — a atualização mais significativa nesta área da supervisão bancária desde a SR 11-7, de 2011. As orientações revogaram duas cartas anteriores dirigidas às instituições financeiras (FIL-22-2017 e FIL-27-2021) e substituíram-nas por um quadro modernizado, baseado em princípios, concebido para o panorama atual dos modelos.
Para os responsáveis pela gestão de risco e conformidade no setor bancário, a questão central não é apenas o que mudou — é saber se o atual programa de governação do modelo está concebido para o nível de rigor e continuidade que estas orientações exigem.
O que as agências disseram — e o que não disseram
As orientações revistas são deliberadamente baseadas em princípios, não sendo de caráter prescritivo. As agências deixam claro que estas não estabelecem normas obrigatórias e que o incumprimento, por si só, não dará origem a críticas por parte das autoridades de supervisão. Mas não se deve confundir flexibilidade com baixas expectativas. As orientações descrevem o que constitui uma «prática sólida» — e as entidades reguladoras utilizarão esse padrão nas inspeções.
Âmbito principal: Organizações bancárias com mais de 30 mil milhões de dólares em ativos totais. No entanto, as orientações aplicam-se também explicitamente a instituições de menor dimensão com «exposição significativa ao risco de modelo, devido à prevalência e complexidade dos seus modelos».
O que se entende por «modelo» no âmbito destas orientações? Um método, sistema ou abordagem quantitativa complexa que aplique teorias estatísticas, económicas ou financeiras para transformar dados de entrada em estimativas quantitativas. Estão excluídos a aritmética simples, os processos determinísticos baseados em regras e o software básico.
O que NÃO está abrangido: os modelos de IA generativa e de IA agênica estão explicitamente excluídos na nota de rodapé n.º 3. No entanto, as agências afirmam também que «as práticas de gestão de risco e de governação de um banco devem orientar a determinação de uma governação e de controlos adequados» para estas ferramentas. A mensagem é a seguinte: a IA generativa continua a ter de ser sujeita a alguma forma de governação.
Cinco implicações para as equipas de risco e conformidade do setor bancário
1. O inventário de modelos é agora uma expectativa básica
As orientações referem-se à manutenção de um inventário abrangente dos modelos como uma «prática comum do setor» — uma formulação que indica as expectativas dos auditores. O seu inventário deve incluir informações suficientes para compreender os riscos associados aos modelos, tanto a nível individual como agregado, incluindo as dependências entre modelos, as fontes de dados comuns e os pressupostos partilhados.
Isto significa que a gestão do inventário de modelos tem de ir além das folhas de cálculo. Um repositório centralizado e regulamentado, que permita a pesquisa, esteja atualizado e esteja associado ao estado de validação e aos controlos, constitui a base de um programa de risco de modelos defensável.
2. A materialidade determina o nível de governação
As orientações apresentam a materialidade como o principal critério para avaliar o rigor da governação. A materialidade do modelo depende de dois fatores:
- Exposição do modelo — a importância dos resultados do modelo para as decisões empresariais, mensurável pelo tamanho da carteira ou pelo impacto nos negócios
- Finalidade do modelo — se o modelo serve para cumprir requisitos regulamentares ou para a gestão de risco financeiro (risco mais elevado) em comparação com outras utilizações
Os modelos de elevada materialidade exigem uma «supervisão abrangente e rigorosa». Os modelos de menor materialidade podem ser identificados e monitorizados através de práticas menos rigorosas. Os responsáveis pela gestão de riscos e pela conformidade devem concretizar esta classificação por níveis tanto nas políticas como nos sistemas — e documentar a forma como as classificações de materialidade são efetuadas e revistas.
3. Um «desafio eficaz» requer mais do que conhecimentos técnicos
O «desafio eficaz» deve ser levado a cabo por indivíduos que possuam três qualidades: conhecimentos especializados adequados, independência suficiente e posição e influência na organização para promover a mudança. É frequentemente neste terceiro elemento que os bancos ficam aquém das expectativas.
O papel da auditoria interna é esclarecido: deve avaliar se as práticas de gestão do risco de modelo são rigorosas e eficazes, sem duplicar as atividades de desenvolvimento ou validação. Os bancos que recorrem a recursos externos devem manter uma supervisão adequada e integrar esse trabalho no programa mais abrangente.
4. A monitorização contínua deve acompanhar as mudanças nas condições
As orientações associam explicitamente a monitorização contínua às condições em constante mudança: produtos, exposições, clientes, relevância dos dados e dinâmica do mercado. Um modelo que apresentou um bom desempenho quando foi desenvolvido pode já não ser adequado ao seu objetivo num ambiente de taxas diferente ou após uma reestruturação da carteira.
Trata-se de um claro impulso no sentido da monitorização contínua, em vez de ciclos de revisão baseados no calendário. Os bancos com programas de revisão anuais ou semestrais devem avaliar se essa periodicidade é justificável, tendo em conta o perfil de materialidade dos seus modelos — e se a sua infraestrutura de monitorização é capaz de detetar uma deterioração do desempenho quase em tempo real.
5. A validação do modelo do fornecedor é uma obrigação de primeira ordem
O guia dedica uma secção inteira aos modelos de fornecedores e de terceiros. Mesmo nos casos em que o código, os dados ou a metodologia subjacentes sejam de natureza proprietária, aplicam-se os princípios de gestão do risco de modelo. Os bancos devem:
- Desenvolver uma compreensão da solidez conceptual, da conceção e dos dados de desenvolvimento do modelo do fornecedor
- Realizar um acompanhamento contínuo e uma análise dos resultados para avaliar se os modelos dos fornecedores continuam a ser adequados aos objetivos
- Documentar, justificar e avaliar os ajustes efetuados para personalizar os modelos dos fornecedores
Para a maioria das instituições bancárias, o risco associado aos modelos dos fornecedores constitui uma lacuna significativa e crescente. A explosão das parcerias com empresas de tecnologia financeira, dos modelos de crédito e de deteção de fraudes baseados em IA e dos sistemas BSA/AML de terceiros cria um vasto conjunto de modelos pelos quais os bancos são, em última instância, responsáveis — mesmo quando o fornecedor detém a propriedade intelectual subjacente.
O fator imprevisível na governação da IA
A exclusão explícita da IA generativa e da IA agênica do âmbito destas orientações pode parecer um alívio. Mas não é.
As agências reconhecem que estas tecnologias são «inovadoras e estão em rápida evolução» e que devem continuar a existir mecanismos de governação e controlo, determinados pelas próprias práticas de gestão de risco do banco. Se o seu banco estiver a implementar modelos linguísticos de grande dimensão, agentes de IA ou ferramentas de IA generativa em qualquer processo empresarial, necessita de um quadro de governação de IA específico que coexista — e se integre — com o seu programa de gestão de risco de modelos.
Esse quadro deve abordar a gestão do inventário de IA, as avaliações de preconceito e equidade, a transparência na tomada de decisões baseadas em IA, o mapeamento da conformidade regulamentar (incluindo a futura Lei da UE sobre IA e os quadros nacionais) e a explicabilidade, tanto para as entidades reguladoras como para os clientes.
A diferença entre «A IA está excluída das orientações relativas ao risco de modelo» e «A IA não está sujeita a regulamentação» é precisamente onde reside o risco regulatório.
Como a Archer ajuda as instituições bancárias a cumprir esta norma
O Archer AI Governance oferece uma abordagem empresarial para um quadro de gestão de riscos de modelos com gestão centralizada do inventário de IA — um repositório abrangente e categorizado de ativos de IA, acompanhados por nível de risco e área de aplicação. Avaliações pré-definidas e personalizáveis ajudam os bancos a avaliar os modelos de IA em relação aos requisitos regulamentares. Uma biblioteca de controlos pronta a utilizar promove práticas éticas de IA, e as ferramentas de transparência fornecem documentação clara sobre a tomada de decisões baseada em IA para as entidades reguladoras e as partes interessadas. Em conformidade com a Lei da IA da UE, o Archer AI Governance também oferece flexibilidade para cumprir os quadros nacionais de IA em constante evolução.
A abordagem de governança da IA inclui capacidades específicas para avaliar requisitos regulamentares específicos e riscos relacionados com a IA e os modelos estatísticos. O processo de avaliação da conformidade permite comparar os modelos com os requisitos regulamentares em vigor, com registos de auditoria abrangentes e relatórios detalhados de conformidade. As capacidades de governança de dados garantem elevada qualidade e integridade dos dados — uma resposta direta à ênfase dada pelas orientações à qualidade dos dados no desenvolvimento de modelos.
Conclusão
As orientações interinstitucionais revistas sobre o risco de modelo indicam que as entidades reguladoras esperam que as instituições bancárias gerem os seus modelos através de um quadro de gestão do risco de modelo com um rigor proporcional ao risco, uma continuidade proporcional à materialidade e documentação suficiente para resistir a uma inspeção. Trata-se de um programa contínuo, não de um projeto anual. Para os bancos que ainda gerem o risco de modelo através de folhas de cálculo, fluxos de trabalho de validação manual e calendários de revisão periódica, o fosso entre a situação atual e as expectativas dos inspetores está a aumentar. Os pioneiros na adoção nativa da IA estão a alcançar reduções de 40 a 60 % nos custos manuais de conformidade, com um retorno do investimento em menos de três anos. A boa notícia: este é um problema que tem solução. Inventário centralizado, níveis de governação baseados no risco, monitorização automatizada e governação integrada da IA não são capacidades a que se aspire — são o que os clientes da Archer já utilizam hoje.
Perguntas frequentes
As novas orientações sobre riscos do modelo interagências aplicam-se ao meu banco, caso os nossos ativos sejam inferiores a 30 mil milhões de dólares?
É possível. Embora o âmbito principal vise organizações bancárias com mais de 30 mil milhões de dólares em ativos totais, as orientações abrangem explicitamente instituições de menor dimensão que apresentem uma exposição significativa ao risco de modelo, devido à prevalência e complexidade dos seus modelos. Se o seu banco depender fortemente de modelos quantitativos para o crédito, a deteção de fraudes, a conformidade com a BSA/AML ou outras funções, deve avaliar a sua exposição, independentemente da dimensão dos seus ativos.
O nosso banco utiliza vários modelos fornecidos por terceiros e por fornecedores. Continuamos a ser responsáveis pela validação desses modelos?
Sim — sem dúvida. As orientações tornam a validação do modelo do fornecedor uma obrigação de primeira ordem. Mesmo quando o código, a metodologia ou os dados subjacentes são proprietários, o seu banco continua a ser responsável por compreender a solidez conceptual, realizar um acompanhamento contínuo e documentar quaisquer personalizações. Tendo em conta o crescimento das parcerias com empresas de fintech e dos sistemas de terceiros baseados em IA, esta é uma das lacunas mais significativas e frequentemente subestimadas pelas organizações bancárias atualmente.
A IA generativa está excluída destas orientações — isso significa que não precisamos de a regulamentar?
Não. A isenção não é um passe livre. As agências afirmam explicitamente que as práticas de gestão de risco próprias de cada banco devem determinar a governação e os controlos adequados para as ferramentas de IA generativa e de IA agente. Se o seu banco estiver a implementar modelos linguísticos de grande dimensão ou agentes de IA em qualquer processo empresarial, necessita de um quadro de governação de IA dedicado que funcione em paralelo com o seu programa de risco de modelos — abrangendo a gestão de inventário, avaliações de viés, explicabilidade e mapeamento da conformidade regulamentar. A diferença entre «excluído das orientações sobre risco de modelos» e «sem governação» é precisamente onde reside a exposição regulamentar.
