Controles internos em empresas de ativos virtuais não são apenas uma camada administrativa. Eles funcionam como uma rede de proteção para operações que combinam tecnologia, custódia, pagamentos, identificação de clientes e circulação internacional de recursos. Quando uma falha ocorre, o impacto pode atingir simultaneamente o patrimônio do usuário, a continuidade da plataforma e a confiança no mercado.
A regulamentação do Banco Central passou a incluir segurança, prevenção à lavagem de dinheiro, transparência, governança, controles internos e prestação de informações entre as responsabilidades das sociedades prestadoras de serviços de ativos virtuais. Paulo de Matos Junior, empresário do segmento financeiro com atuação em câmbio e intermediação de criptoativos, aponta essa transição como parte de um movimento que aproxima inovação financeira de padrões formais de supervisão. Mas como esses controles funcionam na prática?
O que os controles internos precisam proteger?
A primeira função é reduzir a probabilidade de que uma operação irregular avance sem ser percebida. Para isso, a empresa precisa controlar a entrada de clientes, a origem dos recursos, os perfis de movimentação, as autorizações internas e o destino das transferências. O controle não termina quando a transação é aprovada: é necessário manter registros que permitam reconstruir o caminho percorrido.
Paulo de Matos Junior pondera que também existe uma dimensão patrimonial e operacional. A empresa deve saber quais ativos pertencem aos clientes, como são movimentados, quem pode acessá-los e quais procedimentos são acionados em caso de divergência. Em plataformas que oferecem custódia, a rastreabilidade precisa estar ligada a permissões, conciliações e resposta a incidentes. Sem essa conexão, cada área pode cumprir sua rotina sem que a organização enxergue o risco completo.
Como prevenir lavagem de dinheiro e financiamento do terrorismo?
A prevenção começa antes do primeiro depósito. O cadastro deve permitir compreender quem é o cliente, qual atividade exerce, quais operações são compatíveis com seu perfil e quando uma mudança de comportamento exige análise adicional. Isso não significa bloquear automaticamente toda movimentação incomum. Significa criar critérios para diferenciar uma variação explicável de um padrão que merece investigação.
Depois da identificação, entram o monitoramento e a análise de alertas. Um sistema pode apontar transferências fragmentadas, uso de múltiplas carteiras ou movimentações incompatíveis com o histórico, mas a tecnologia não substitui a decisão documentada. A Resolução BCB n.º 520 estende às prestadoras regras de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, o que exige políticas conectadas a pessoas, procedimentos e evidências.
Quem deve fiscalizar os próprios controles?
A responsabilidade não pode ficar concentrada no profissional que executa a operação. A diretoria precisa receber informações sobre falhas, alertas relevantes, reclamações, indisponibilidades e medidas corretivas. Já as áreas de compliance e riscos devem ter autonomia proporcional para questionar processos e elevar assuntos sensíveis a instâncias superiores.
Paulo de Matos Junior avalia que a maturidade institucional aparece quando o controle continua funcionando mesmo diante de pressão comercial ou de crescimento acelerado. Isso requer testes periódicos, revisão de acessos, avaliação de fornecedores e acompanhamento de planos de correção. Em 2026, o Banco Central também passou a exigir relatório de asseguração razoável, emitido por auditoria independente registrada na CVM, no processo de autorização das SPSAVs. A medida reforça o valor de uma avaliação externa sobre procedimentos destinados a identificar e prevenir operações suspeitas.
O que muda para empresas que já operam?
A existência de controles informais não significa que a empresa esteja preparada para o ambiente regulado. Muitas organizações cresceram com decisões distribuídas entre fundadores, fornecedores e equipes técnicas, sem documentação suficiente ou separação clara de funções. A transição exige transformar práticas dispersas em políticas aprovadas, fluxos rastreáveis, responsáveis nomeados e evidências que possam ser apresentadas quando solicitadas.
Esse trabalho tende a ser mais consistente quando começa pelo mapeamento dos riscos reais do modelo de negócio. Uma empresa de custódia terá prioridades diferentes de uma intermediadora, assim como uma operação com conexões internacionais demandará atenção específica a câmbio, carteiras autocustodiadas e reporte de informações. O objetivo final não é produzir documentos para arquivar, mas construir controles que ajudem a empresa a detectar desvios, reagir rapidamente e preservar a confiança que sustenta o mercado formal de criptoativos.