A Resolução BCB 519/2025 organiza os processos de autorização e exige compatibilidade entre governança, TI e gestão de riscos para as SPSAV (sociedades prestadoras de serviços de ativos virtuais) nas modalidades intermediária, custodiante e corretora. Parte central da aderência é manter políticas e manuais claros, aprovados pela administração, com evidências de implementação (treinamentos, registros, testes, auditorias) e transparência ao público quando aplicável.
1) Código de Conduta e Divulgação de Boas Práticas
- O que é: regras objetivas de comportamento e relacionamento com clientes/mercado (o que pode e o que não pode).
- Por que: coíbe abusos e fraudes; padroniza atendimento.
- Quem precisa: todas as SPSAVs.
2) Política de Governança
- O que é: organograma decisório, comitês, papéis, alçadas e gestão de conflitos.
- Por que: decisões consistentes e rastreáveis, proporcionais ao risco.
- Quem precisa: todas as SPSAVs.
3) Política de Segurança Institucional
- O que é: proteção física e organizacional (acessos a áreas, credenciais, visitantes, mídias).
- Por que: reduz intrusão, perda de ativos e interrupções.
- Quem precisa: todas as SPSAVs.
4) Política de Segurança da Informação e Cibersegurança
- O que é: regras de acesso a sistemas e dados, monitoramento, resposta a incidentes e testes.
- Por que: protege dados e operação contra ataques/vazamentos.
- Quem precisa: todas as SPSAVs. Observação: integra o conjunto “governança + riscos + incidentes”.
5) Política de Segregação de Ativos
- O que é: separa dinheiro e cripto do cliente dos recursos próprios (contas, carteiras e controles).
- Por que: protege patrimônio do cliente e dá transparência.
- Quem precisa: todas as SPSAVs.
6) Política de Guarda e Proteção de Chaves Privadas (clientes/usuários)
- O que é: geração, armazenamento e uso de chaves (ex.: HSM, multisig, cofres, auditorias).
- Por que: impede acessos indevidos e perdas.
- Quem precisa: custodiante e corretora.
7) Política de Controles Internos
- O que é: checkpoints por processo (ordens, saques, listagem, custódia), validações a quatro olhos e trilhas de auditoria.
- Por que: reduz erros/fraudes e permite auditoria eficiente.
- Quem precisa: todas as SPSAVs.
8) Política de Gestão de Riscos
- O que é: identificação de riscos (operacional, tecnológico, liquidez, conduta), limites e mitigação.
- Por que: operação dentro do apetite de risco.
- Quem precisa: todas as SPSAVs.
9) Política de Gestão de Serviços Providos por Terceiros
- O que é: critérios para contratar/supervisionar serviços relevantes (custódia, nuvem, PL/MM, BaaS), com due diligence, SLA e plano de saída.
- Por que: terceiros críticos impactam clientes e continuidade.
- Quem precisa: todas as SPSAVs.
10) Política de Proteção de Dados Pessoais e de Instrumentos de Controle
- O que é: tratamento de dados conforme LGPD e guarda de instrumentos sensíveis (documentos, chaves, logs).
- Por que: evita incidentes, multas e danos reputacionais.
- Quem precisa: todas as SPSAVs.
11) Plano de Continuidade de Negócios (PCN)
- O que é: roteiro para manter/retomar serviços em incidentes (RTO/RPO, testes, comunicação a clientes).
- Por que: resiliência operacional e proteção ao usuário.
- Quem precisa: todas as SPSAVs (custodiantes têm exigências adicionais de dados).
12) Políticas e Mecanismos contra Práticas Espúrias
- O que é: regras para coibir manipulação de mercado (wash trading, spoofing, pump & dump, insider).
- Por que: integridade de mercado e tratamento equitativo.
- Quem precisa: todas as SPSAVs.
13) Manuais KYC, KYE e KYP
- O que é: procedimentos para conhecer clientes, empresas (parceiros/fornecedores) e produtos (adequação).
- Por que: oferta adequada e redução de ilícitos.
- Quem precisa: todas as SPSAVs.
14) Política de Perfil de Risco de Clientes/Usuários
- O que é: critérios de classificação por risco e ajustes de limites/avisos.
- Por que: compatibiliza oferta e proteções ao perfil.
- Quem precisa: todas as SPSAVs.
15) Política de Depósito e Retirada de Recursos Financeiros
- O que é: prazos, limites, conferências, devoluções e comunicação de status.
- Por que: clareza operacional e menos disputas.
- Quem precisa: todas as SPSAVs.
16) Política de PLD/FT e Sanções (incl. CSNU)
- O que é: controles para prevenir lavagem, financiamento do terrorismo e violações de sanções; monitoramento e reporte.
- Por que: cumprimento regulatório e proteção do sistema.
- Quem precisa: todas as SPSAVs.
17) Política de Prevenção a Fraudes e Monitoramento de Transações
- O que é: mecanismos de detecção de golpes/anomalias, fluxos de revisão e bloqueio.
- Por que: reduz perdas e protege clientes.
- Quem precisa: todas as SPSAVs.
18) Política de Seleção, Listagem, Suspensão e Exclusão de Ativos Virtuais
- O que é: critérios objetivos de entrada, acompanhamento e retirada de ativos; página do ativo e avisos.
- Por que: transparência e proteção ao cliente desde a origem.
- Quem precisa: intermediária (e corretora, quando ofertar ativos).
19) Política de Mitigação de Conflitos de Interesses
- O que é: segregação cliente vs. conta própria, fontes de preço independentes e relatório de melhor execução.
- Por que: confiança, preço justo e isonomia.
- Quem precisa: intermediária (e corretora).
20) Política de Contas de Margem (se oferecidas, conforme norma específica)
- O que é: regras de elegibilidade, garantias, chamadas de margem e liquidação forçada.
- Por que: controle de alavancagem e risco sistêmico.
- Quem precisa: intermediária/corretora que ofereçam margem (condicionado a norma específica aplicável).
21) Política de Custódia de Ativos Virtuais
- O que é: guarda, reconciliação, Prova de Reservas (PoR) com auditoria independente bienal e relatório público, e plano de transferência/saída; evidências e documentação do processo.
- Por que: segurança patrimonial e continuidade do serviço.
- Quem precisa: custodiante (e corretora quando custodiar).
Implementação
- Proporcionalidade: ajuste a profundidade ao porte/complexidade.
- Aprovação e treinamento: aprovação formal; divulgação interna; capacitação recorrente.
- Evidências: mantenha logs, atas, relatórios, testes e auditorias arquivados.
- Transparência ao cliente: publique no site/app as informações essenciais (quando aplicável).
