Empresas cripto do Brasil têm menos de 100 dias para comprovar controles ao Banco Central

As empresas de criptomoedas que já operavam no Brasil entraram na reta final para iniciar o processo de autorização no Banco Central. As sociedades prestadoras de serviços de ativos virtuais (SPSAVs) em atividade têm até 30 de outubro para protocolar a primeira fase do pedido de funcionamento.

O prazo ganhou destaque nesta semana durante o evento “Certificação e Assegurações Razoáveis para PSAVs”, que a CLA Brasil e o escritório b/luz promoveram em São Paulo, com apoio da Associação Brasileira de Tokenização e Ativos Digitais (ABToken).

Os participantes alertaram que a preparação não envolve apenas a entrega de formulários. As empresas terão que demonstrar capacidade financeira, reputação dos controladores, estrutura de governança, controles internos e mecanismos efetivos de prevenção à lavagem de dinheiro, fraudes e golpes.

A Resolução BCB 520 permite que as empresas que apresentarem o pedido dentro do prazo continuem prestando serviços enquanto o BC analisa o processo. Aquelas que perderem a data terão até 30 dias após o encerramento do prazo para cessar as atividades com ativos virtuais.

• Banco Central do Brasil prepara fiscalização mais rígida sobre exchanges e prestadores de serviços cripto

O processo para as empresas que já operavam antes da entrada em vigor das regras ocorrerá em duas fases. Na primeira, a SPSAV deverá comprovar que exercia a atividade antes de 2 de fevereiro, apresentar informações sobre seus controladores, demonstrar o atendimento aos requisitos mínimos de capital e entregar demonstrações financeiras auditadas.

Após uma manifestação favorável do Banco Central, a empresa seguirá para uma segunda etapa, na qual o regulador examinará a capacidade econômico-financeira dos controladores, a origem dos recursos, o plano de negócios, a estrutura de tecnologia, a governança e a qualificação dos administradores.

Nessa segunda fase, a SPSAV também deverá apresentar o relatório de asseguração razoável que a Instrução Normativa BCB 739 passou a exigir. Portanto, 30 de outubro não representa, para as empresas que já operavam, a data-limite para entregar esse relatório. O prazo marca o início formal de um processo que exigirá controles em funcionamento e evidências acumuladas anteriormente.

Auditoria verificará se os controles funcionam

O Banco Central publicou a IN BCB 739 em 29 de maio e colocou a norma em vigor em 1º de junho. O texto alterou a IN BCB 704, que detalha a documentação e os procedimentos para autorização das SPSAVs.

A principal mudança determina que uma auditoria independente registrada na Comissão de Valores Mobiliários (CVM) emita um relatório de asseguração razoável sobre os controles da empresa. Para as SPSAVs que já operavam em 2 de fevereiro, o BC exigirá o documento na segunda fase. Novas empresas, que ainda não atuavam naquela data, precisam apresentar o relatório no pedido inicial.

A asseguração razoável não se limita a confirmar que a companhia possui manuais e políticas internas. O auditor precisa emitir uma opinião conclusiva sobre a estrutura e a efetividade dos mecanismos adotados pela empresa.

O trabalho começa pela política institucional de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. A SPSAV precisa documentar as diretrizes e submetê-las à aprovação do Conselho de Administração ou, quando não houver conselho, da diretoria.

• DETRAN-BA amplia uso de blockchain e passa a registrar documentos dos lotes em leilões

O auditor também analisará se a empresa mantém uma estrutura compatível com o porte, o volume e a complexidade das operações. A área responsável pelos controles não pode manter conflitos de interesses com as equipes comerciais ou de negócios.

A capacitação dos funcionários também integra o escopo. A empresa deverá demonstrar que prepara as equipes para identificar situações suspeitas e aplica controles compatíveis com as funções exercidas por funcionários, correspondentes, parceiros e prestadores terceirizados.

Outro ponto central envolve a avaliação interna de risco. A SPSAV precisa classificar os riscos relacionados aos clientes, produtos, operações, tecnologias, canais de distribuição, parceiros e prestadores de serviços. A administração também deve conhecer e aprovar essa avaliação.

Empresas cripto sob análise

No processo de conhecimento do cliente, o auditor verificará como a empresa coleta, valida e armazena informações. O trabalho inclui a identificação de representantes, administradores e beneficiários finais de pessoas jurídicas, além da classificação de pessoas expostas politicamente e clientes de alto risco.

A norma também exige diligência reforçada para clientes e operações relacionados a jurisdições que o Grupo de Ação Financeira Internacional (GAFI) mantém sob monitoramento. A SPSAV deverá comprovar que aplica critérios de risco e não trata todos os usuários da mesma forma.

• Programa contra crime organizado do Governo Lula terá foco em criptoativos

Os parceiros comerciais entram no mesmo perímetro. A empresa precisa identificar, qualificar e classificar prestadores de liquidez, custodiantes, empresas terceirizadas e outras contrapartes que participem da operação.

A auditoria ainda examinará os sistemas usados para monitorar transações. A SPSAV deverá demonstrar que utiliza parâmetros, regras e cenários compatíveis com o volume e a complexidade do negócio. Também precisará provar que analisa todos os alertas gerados e mantém estrutura suficiente para investigar as ocorrências.

Quando uma operação apresentar indícios de lavagem de dinheiro, a empresa deverá elaborar um dossiê, registrar a decisão e avaliar a necessidade de comunicação ao Conselho de Controle de Atividades Financeiras (Coaf). A Circular BCB 3.978 orienta parte relevante desses procedimentos.

A IN 739 também inclui mecanismos de prevenção a fraudes e golpes, procedimentos para bloqueio administrativo de ativos e controles relacionados às sanções do Conselho de Segurança das Nações Unidas. A auditoria examinará ainda os registros das operações, incluindo a identificação da origem e do destino dos recursos.

Para as empresas que já operavam quando as normas entraram em vigor, o relatório terá um componente adicional: o auditor poderá testar como os controles funcionaram na prática. Isso inclui a análise de alertas, investigações, comunicações ao Coaf, registros de operações, fraudes detectadas e eventuais bloqueios.

A norma permite que o auditor considere relatórios de asseguração razoável emitidos nos 12 meses anteriores sobre os mesmos temas. A possibilidade beneficia empresas que já submetiam seus controles a avaliações independentes antes da exigência atual.

Durante o painel, os especialistas da CLA Brasil destacaram a diferença entre verificar a existência de uma política e testar sua efetividade. Uma empresa pode apresentar manuais completos, mas não conseguir demonstrar que treinou funcionários, tratou alertas, atualizou classificações de risco ou documentou decisões.

Esse ponto explica a preocupação com o prazo. A empresa consegue elaborar uma política em poucas semanas, mas não cria retroativamente o histórico de execução do controle. A auditoria precisará encontrar registros, aprovações, amostras de operações, dossiês e evidências de que a estrutura funciona.

INs 701 e 739 seguem caminhos diferentes

O painel também discutiu a diferença entre as Instruções Normativas 701 e 739. Embora as duas tratem de controles ligados aos serviços de ativos virtuais, elas alcançam instituições distintas e exigem documentos diferentes.

A IN BCB 701 trata principalmente de instituições que já possuem autorização do Banco Central para outras atividades e pretendem ingressar no mercado de ativos virtuais. O grupo inclui corretoras de câmbio, corretoras de títulos e valores mobiliários e distribuidoras de títulos e valores mobiliários.

Essas instituições não precisam constituir necessariamente uma nova SPSAV para oferecer os serviços autorizados pela Resolução 520. No entanto, a licença que já possuem não garante entrada automática no mercado de criptoativos.

A instituição precisa comunicar formalmente o interesse ao Banco Central e apresentar uma certificação técnica elaborada por uma empresa qualificada e independente. A certificação deve avaliar a infraestrutura específica que sustentará a operação com ativos virtuais.

O escopo da IN 701 ultrapassa os controles contra lavagem de dinheiro. A análise inclui governança, gestão de riscos, auditoria interna, segurança cibernética, continuidade de negócios, proteção de chaves privadas, contratação de terceiros, seleção de ativos, transparência com clientes e mitigação de conflitos de interesses.

A certificação também precisa examinar a segregação entre os ativos da instituição e os ativos dos clientes. Quando a empresa oferece custódia, a avaliação deve alcançar os mecanismos de prova de reservas e a capacidade de conciliar os saldos registrados nos sistemas internos com os ativos mantidos nas blockchains.

Já a IN 739 concentra o relatório no processo de autorização das SPSAVs e exige que uma auditoria independente registrada na CVM emita a opinião. Seu foco principal recai sobre os controles de prevenção à lavagem de dinheiro, conhecimento de clientes e parceiros, monitoramento de transações, combate a fraudes, bloqueios e rastreabilidade das operações.

A diferença também altera a escolha do prestador. Uma empresa qualificada e independente pode elaborar a certificação técnica da IN 701, desde que cumpra os requisitos estabelecidos pela norma. No caso da IN 739, a SPSAV precisa contratar uma auditoria com registro na CVM.

Os representantes da CLA alertaram que as empresas podem cometer erros ao contratar um prestador antes de definir corretamente o enquadramento. A certificação técnica e o relatório de asseguração possuem objetos, metodologias e responsáveis diferentes. Dependendo do modelo de negócio, uma instituição poderá precisar de mais de um trabalho independente.

Empresas Web3 enfrentam desafio de governança

Os participantes do painel identificaram uma diferença de maturidade entre empresas tradicionais e negócios nativos de blockchain. Instituições financeiras consolidadas geralmente mantêm políticas de governança, compliance e controles internos, mas nem sempre adaptaram essas estruturas aos riscos específicos dos ativos virtuais.

Uma política de segurança cibernética preparada para sistemas bancários tradicionais, por exemplo, pode não cobrir adequadamente a gestão de chaves privadas, carteiras frias e quentes, contratos inteligentes, bifurcações de redes, serviços de staking ou falhas em provedores de liquidez.

As empresas nativas do mercado cripto enfrentam o problema inverso. Muitas dominam blockchain, custódia e análise on-chain, mas ainda precisam organizar estruturas de governança, segregação de funções, auditoria interna, alçadas decisórias e procedimentos formais de comunicação ao regulador.

Segundo os especialistas, a empresa não conseguirá cumprir as novas regras apenas com uma equipe de tecnologia. Compliance, jurídico, contabilidade, auditoria, segurança cibernética e administração terão que trabalhar de forma coordenada.

A SPSAV também deverá direcionar suas políticas especificamente aos ativos virtuais. Uma empresa pode manter procedimentos tradicionais de KYC e monitoramento, mas ainda assim apresentar lacunas se não incluir análise de carteiras, rastreamento on-chain, exposição a protocolos descentralizados, identificação de contrapartes e riscos relacionados a ativos listados.

A regulação também eleva os custos permanentes de operação. Além do capital mínimo, as empresas precisarão manter profissionais especializados, sistemas de monitoramento, auditorias independentes, segurança cibernética, controles contábeis e rotinas de reporte ao Banco Central.

O painel não apresentou dados que permitam afirmar quantas empresas estão prontas ou quantas poderão abandonar o mercado. Os participantes, porém, avaliaram que o novo ambiente regulatório deverá diferenciar companhias que já construíram estruturas de compliance daquelas que ainda tratam o tema apenas como produção de documentos.

Para medir essa maturidade, a CLA Brasil apresentou o CLA Compass, ferramenta que reúne cerca de 50 perguntas relacionadas às INs 701 e 739. O questionário procura identificar deficiências em governança, auditoria, prevenção à lavagem de dinheiro, controles internos e certificação técnica.

A empresa informou que pretende anonimizar as respostas e produzir um levantamento sobre os principais pontos fortes e fracos do setor. A CLA também declarou que planeja apresentar os resultados ao Banco Central como subsídio para futuras discussões regulatórias. O diagnóstico ainda não possui resultados públicos.