Regras recentes do Banco Central tratam de autorização, capital, segregação de ativos, prevenção à lavagem de dinheiro e segurança da informação
A regulamentação recente do mercado de ativos virtuais trouxe novas exigências para instituições que pretendem atuar nesse segmento ou manter relacionamento com Prestadoras de Serviços de Ativos Virtuais (PSAVs), com impactos sobre processos de autorização, custódia, prevenção à lavagem de dinheiro e segurança da informação. Os principais pontos e os procedimentos que devem ser considerados pela auditoria foram apresentados pela Merc Group à Comissão de Auditoria da ABBC.
As PSAVs podem prestar, entre outros, serviços de intermediação, custódia, administração e transferência de ativos virtuais, conforme as atividades abrangidas pela regulamentação aplicável, que as organiza em três modalidades: intermediária, custodiante e corretora. De acordo com a Lei nº 14.478, ativo virtual é a representação digital de valor que pode ser negociada ou transferida por meio eletrônico. O conceito não se confunde com moeda eletrônica, que representa saldo em uma conta de pagamento. Criptomoedas e stablecoins estão entre os ativos abrangidos por essa estrutura.
A regulamentação ainda é recente e está distribuída em diferentes normas do Banco Central, entre elas as Resoluções BCB nº 519, 520 e 521 e as Instruções Normativas BCB nº 701, 704 e 739. Para instituições autorizadas que pretendem iniciar a prestação de serviços de ativos virtuais, a regulamentação estabelece procedimentos de comunicação e requisitos de documentação e asseguração independente. Já as prestadoras que já atuavam no mercado devem observar o processo de autorização e os prazos de regularização previstos pelo Banco Central, incluindo o prazo de 30 de outubro de 2026 para apresentação do pedido de autorização.
A partir desse prazo, as instituições autorizadas pelo Banco Central devem observar as regras aplicáveis ao relacionamento com PSAVs, inclusive quanto à realização ou viabilização de operações com prestadoras que não estejam autorizadas ou em processo de autorização. Por isso, um dos primeiros pontos de atenção da auditoria é mapear as contrapartes relacionadas à instituição e verificar autorizações, registros, requisitos de capital e demais exigências regulatórias aplicáveis.
Outro aspecto central é a segregação entre os ativos da instituição e os recursos dos clientes. Os controles devem contemplar a existência de mecanismos e carteiras distintas, a proibição de utilização dos ativos de clientes em operações próprias, nos termos da regulamentação, e a conciliação entre os registros internos e os ativos mantidos em blockchain. A política de segregação também deve estabelecer os métodos utilizados para as chamadas provas de reserva, permitindo verificar a existência dos ativos e sua correspondência com as obrigações perante os clientes.
Também estão entre os pontos de atenção os controles de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT), o conhecimento de clientes e parceiros, o monitoramento de operações, as comunicações ao Conselho de Controle de Atividades Financeiras (Coaf), a prevenção a fraudes e a segurança cibernética. Custódia, proteção de chaves, serviços terceirizados, recuperação de posições e políticas e procedimentos aprovados pela administração completam os principais aspectos a serem considerados.
No campo prudencial, o tema também está em evolução. A proposta submetida pelo Banco Central na Consulta Pública nº 126/2025 estabeleceu diferentes tratamentos prudenciais de acordo com as características e os riscos dos ativos virtuais, incluindo categorias específicas para ativos tokenizados, stablecoins e outros criptoativos, com vigência prevista para 1º de janeiro de 2027. Para a instituição, a avaliação das exposições deve considerar os critérios prudenciais aplicáveis, o apetite de risco e os limites internos.
A regulamentação também estabelece mecanismos específicos de asseguração e auditoria independente. No caso das PSAVs, há previsão de auditoria independente periódica sobre demonstrativos relacionados aos ativos da prestadora e de seus clientes, além dos procedimentos de asseguração previstos no processo de autorização, como o relatório de asseguração razoável sobre os controles de PLD/FT (IN BCB nº 739) e, para as instituições já autorizadas, a certificação técnica que acompanha a comunicação de interesse (IN BCB nº 701). Essas exigências não se confundem com a auditoria interna, para a qual, na instituição autorizada, não foi criada uma obrigação específica de realização periódica exclusivamente em razão da existência de ativos virtuais, sem prejuízo da Resolução BCB nº 552/2026, que estendeu essa obrigação às PSAVs autorizadas.
Nesse contexto, a auditoria interna deve considerar essas operações em seu plano de trabalho e acompanhar sua regularidade, os controles associados e a evolução dos riscos. A avaliação deve abranger não apenas o cumprimento das regras específicas para ativos virtuais, mas também a aplicação das normas gerais de controles internos, PLD/FT, segurança da informação, gestão de riscos e prevenção a fraudes.
