IN BCB 739 entra em vigor: auditoria independente passa a condicionar autorização de SPSAVs em 2026

BCB exige asseguração razoável NBC TO 3000 emitida por auditor CVM como pré-requisito de autorização para SPSAVs a partir de 1º/jun/2026.

Resumo

• IN BCB 739/2026 publicada em 29/maio/2026, vigência 1º/junho/2026.

• SPSAVs precisam apresentar relatório de asseguração razoável emitido por auditor registrado na CVM, com foco em controles antilavagem (PLD/FT) e sanções internacionais.

• Prazo máximo para protocolo do pedido de autorização: 30 de outubro de 2026 (270 dias contados a partir da vigência das regras-base de fevereiro/2026).

• O trabalho de asseguração segue NBC TO 3000 e referencia controles equivalentes aos de instituições de pagamento, alinhando o regime de cripto ao "nível banco".

O que define a norma

O que aconteceu: contexto da notícia

O Banco Central editou em 29 de maio a Instrução Normativa nº 739, que regula a documentação exigida no processo de autorização de Sociedades Prestadoras de Serviços de Ativos Virtuais. A norma complementa a Lei 14.478/2022 (marco legal dos criptoativos) e a Resolução BCB 4/2024, que designou o BCB como regulador único do setor.

A novidade central: o pedido de autorização de uma SPSAV passa a depender de um relatório técnico independente, e não apenas de autodeclarações. Esse relatório precisa ser emitido por firma de auditoria registrada na CVM e seguir o referencial de asseguração razoável previsto na NBC TO 3000. Empresas que já operam fora do escopo de autorização tinham, pelas normas de fevereiro/2026, prazo de 270 dias para protocolar o pedido. Com a IN 739, esse processo de protocolo precisa vir agora acompanhado do relatório de asseguração.

Fonte primária:Agência Brasil — BC exigirá auditoria independente de empresas de cripto (29/05/2026).

Análise técnica: por que asseguração razoável (NBC TO 3000) e não auditoria de demonstrações

A escolha do BCB por um trabalho de asseguração razoável segundo a NBC TO 3000 (R1) não é arbitrária. Existe uma diferença material entre os tipos de trabalho que um auditor independente pode emitir, e o regulador desenhou a exigência para olhar especificamente para a robustez dos controles antilavagem.

A NBC TO 3000 permite que o auditor emita opinião sobre a "matéria objeto" — neste caso, o desenho e a eficácia operacional dos controles de PLD/FT, sanções e governança. A asseguração razoável exige nível de profundidade de evidência comparável ao de uma auditoria de DFs: testes de desenho, testes de operacionalidade, walkthroughs, amostragem estatística, revisão de exceções e teste de cutoff. Não é um questionário ou um checklist.

Para o BCB, isso significa que o relatório anexado ao pedido de autorização tem peso técnico e probatório, e não apenas burocrático. Para a SPSAV, significa que o trabalho precisa ser planejado com antecedência: 60 a 90 dias para empresas com controles maduros; 4 a 6 meses quando o ambiente de controle ainda é informal.

Implicações práticas para SPSAVs e o ecossistema

Toda corretora, custodiante ou intermediadora de cripto que pretende operar dentro do perímetro autorizado pelo BCB precisa, agora:

1. Mapear o universo de controles em escopo.A IN 739 olha para PLD/FT, mas o relatório precisa cobrir KYC/EDD, monitoramento de operações, política de listas restritivas (ONU, OFAC), reporte ao COAF e governança de sanções.

2. Eleger um auditor independente registrado na CVM.O cadastro é público e atualizado no portal da CVM. Auditores sem registro ativo não podem emitir o trabalho.

3. Realizar gap assessment antes do engajamento formal.Identificar controles inexistentes ou parcialmente desenhados — o relatório precisa ser conclusivo, e ressalvas (exceções) impactam o pedido junto ao BCB.

4. Garantir evidências auditáveis desde 1º/jun. O trabalho de campo precisa testar período relevante; sem evidências, o auditor não emite a opinião.

5. Construir o cronograma reverso a partir de 30/10/2026.Esse é o teto regulatório do protocolo, considerando o prazo de 270 dias contado da vigência das regras-base.

6. Tratar a asseguração como recorrente.O setor caminha para um modelo de "asseguração contínua" anual, espelhando o regime de instituições autorizadas tradicionais.

Perspectiva MERC: o que muda no nicho

O regime de auditoria das SPSAVs reproduz, em escala compactada, o ambiente regulatório das instituições autorizadas pelo BCB. Quem já passou por exercícios de asseguração de controles em instituições de pagamento, SCDs ou corretoras de valores reconhece o desenho: NBC TO 3000, testes de eficácia operacional, governança de exceções, comunicação com o regulador.

A diferença prática é a maturidade do ambiente. Em uma SCD com 3 anos de operação, o ambiente de controles já passou por ciclos de revisão. Em uma SPSAV nativa, o desenho de controles muitas vezes precisa ser construído paralelamente à execução da asseguração — o que muda completamente o cronograma e o esforço.

Casos típicos observados em projetos de readiness para SPSAVs:

• Política de listas restritivas existente mas sem evidência de execução periódica.

• Política de KYC consolidada para PF mas sem regime de Enhanced Due Diligence (EDD) para clientes PJ de alto risco.

• Monitoramento on-chain terceirizado sem governança formal de alçadas e tratativa de alertas.

• Auditoria interna inexistente ou sem independência funcional do compliance.

Esses gaps não inviabilizam a obtenção de uma opinião de asseguração razoável, mas exigem remediação antes do trabalho de campo. Tentar emitir asseguração razoável sobre um ambiente em construção gera exceções materiais, e o pedido junto ao BCB fica comprometido.

Como a MERC pode ajudar

A MERC Audit & Advisory é firma de auditoria independente especializada no mercado financeiro brasileiro, com registro ativo na CVM e equipe dedicada a controles regulatórios. Atuamos em três frentes integradas para SPSAVs:

• Gap assessment regulatório prévio ao engajamento formal de asseguração, com mapeamento dos controles em escopo da IN 739 e remediação priorizada.

• Asseguração razoável NBC TO 3000 para o protocolo junto ao BCB, com cronograma reverso a partir do prazo de 30/10/2026.

• Asseguração contínua anual, integrada ao calendário de governança e ao reporte BCB.

Fale com nosso time para discutir o roadmap específico da sua empresa.

FAQ

A IN BCB 739 substitui a auditoria das demonstrações financeiras da SPSAV?

Não. O relatório de asseguração razoável da IN 739 olha para controles de PLD/FT, sanções e governança. A auditoria das demonstrações financeiras segue a NBC TA 200 a 700 e atende a obrigações societárias e regulatórias próprias, quando aplicáveis.

Toda SPSAV precisa do relatório?

Toda SPSAV que pretenda obter autorização do BCB para operar dentro do perímetro regulado precisa apresentar o relatório no momento do pedido. Empresas que estão fora do perímetro de autorização (por escala ou por modelo de negócio) devem avaliar caso a caso, mas a tendência regulatória é incluir o ecossistema completo.

Qual o prazo para protocolar o pedido?

Até 30 de outubro de 2026, considerando o prazo de 270 dias contado a partir da vigência das regras-base de fevereiro de 2026.

Quanto tempo leva o trabalho de asseguração?

Para empresas com controles maduros: 60 a 90 dias. Para empresas em fase de construção de controles: 4 a 6 meses, incluindo etapa de remediação prévia.

Quem pode emitir o relatório?

Apenas firmas de auditoria com registro ativo na CVM, conforme Resolução CVM 23/2021. Profissional autônomo registrado individualmente também pode emitir, observadas as exigências de independência e capacidade técnica.

O que acontece se houver ressalvas no relatório?

Ressalvas (exceções) reduzem o valor probatório do relatório perante o BCB. Em casos materiais, o pedido de autorização pode ser questionado ou exigir plano de remediação adicional. A prática recomendada é tratar gaps antes da emissão.

A asseguração é exigida só na autorização ou se torna recorrente?

A IN 739 fixa a exigência no momento do pedido. A tendência regulatória — confirmada em diálogos do setor — é evolução para regime anual recorrente, alinhando SPSAVs ao padrão das instituições autorizadas tradicionais.

Auditoria interna da SPSAV pode emitir o relatório?

Não. O regime exige independência conforme NBC PA 290 e referencial CFC/IBRACON. Auditoria interna é parte do ambiente de controle avaliado, não emissora da opinião.