PLD/FT e travel rule na PSAV: os controles que o regulador cobra e a trilha que o auditor testa

A entrada das prestadoras de serviços de ativos virtuais no perímetro regulatório do sistema financeiro muda o padrão de exigência em prevenção à lavagem de dinheiro e ao financiamento do terrorismo. A PSAV deixa de operar sob regras próprias e passa a responder por controles típicos de instituições reguladas. Isso inclui um mecanismo específico do universo cripto: a travel rule, a viagem da informação do originador e do beneficiário nas transferências de ativos virtuais.

Este artigo é técnico e genérico. Não trata de nenhuma empresa específica, não avalia programas de PLD de participantes nominados e não substitui análise jurídica ou regulatória do caso concreto. O objetivo é explicar o que muda com a PSAV no perímetro, como funciona a travel rule e, sobretudo, qual trilha de evidência o auditor e o assegurador buscam para concluir sobre desenho e eficácia dos controles.

Empresas nessa situação costumam tratar o tema dentro de um trabalho de diagnóstico e adequação regulatória.

Resumo

• A PSAV entra no perímetro de PLD/FT.A Lei 14.478/2022, o Decreto 11.563/2023 e as Resoluções BCB 519, 520 e 521, em vigor a partir de 02/02/2026, sujeitam as prestadoras a controles equivalentes aos do sistema financeiro: KYC, abordagem baseada em risco, monitoramento e governança de PLD.

• A travel rule é o controle-assinatura do setor.Ancorada na Recomendação 16 do GAFI, exige que a instituição originadora transmita e a beneficiária receba dados do originador e do beneficiário nas transferências acima do limiar definido.

• O monitoramento vai além do transacional.A análise on-chain agrega rastreamento de carteiras, checagem contra listas de sanções e medição de exposição a endereços de risco, complementando o KYC e alimentando a comunicação ao COAF.

• O auditor testa desenho, eficácia e trilha.Logs, alertas, decisões, comunicações tempestivas e registros da travel rule são a evidência que sustenta a conclusão sobre o programa de PLD.

O que muda com a PSAV no perímetro de PLD

Antes do marco legal, boa parte da atividade com ativos virtuais operava fora de um regime formal de PLD/FT. A Lei 14.478/2022 definiu o setor, o Decreto 11.563/2023 designou o Banco Central como órgão regulador e supervisor, e as Resoluções BCB 519, 520 e 521 detalharam autorização, funcionamento e conduta. Com vigência a partir de 02/02/2026, as PSAVs passam a ser sujeitas às obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, com controles equivalentes aos exigidos das demais instituições reguladas.

Na prática, isso significa que a prestadora precisa de um programa estruturado, e não de rotinas avulsas. Os pilares são conhecidos de quem atua no sistema financeiro: identificação e qualificação de clientes (KYC), abordagem baseada em risco, monitoramento contínuo de operações, comunicação de operações suspeitas e uma governança de PLD com responsabilidades definidas. A diferença está na natureza do ativo. Transações em blockchain são pseudônimas, cruzam fronteiras em minutos e podem envolver endereços sem qualquer instituição por trás. O programa de PLD precisa incorporar essa realidade técnica, sob pena de ser formalmente completo e operacionalmente cego.

A tabela abaixo relaciona os principais controles esperados, o objetivo de cada um e a evidência que pode ser testada em uma auditoria ou trabalho de asseguração.

A travel rule explicada

A travel rule tem origem nas recomendações do GAFI. A Recomendação 15 tratou das novas tecnologias e trouxe as VASPs, sigla internacional para prestadoras de serviços de ativos virtuais, para dentro do perímetro de combate à lavagem de dinheiro. A Recomendação 16 estabeleceu a regra de transmissão de informação, historicamente aplicada a transferências eletrônicas de recursos e estendida às transferências de ativos virtuais.

O princípio é direto. Em uma transferência acima de um limiar definido, a instituição originadora deve transmitir dados do originador e do beneficiário, e a instituição beneficiária deve recebê-los. A informação "viaja" junto com a operação, permitindo que ambas as pontas saibam quem está de cada lado. Isso reconstitui, no ambiente cripto, uma capacidade que a intermediação bancária tradicional sempre teve: identificar as partes de uma transferência.

Os dados envolvidos costumam incluir nome do originador, identificação de conta ou endereço de origem, e nome do beneficiário, entre outros elementos exigidos conforme o regime aplicável. Quando a mensagem chega incompleta ou não chega, a instituição beneficiária precisa de uma política clara: reter, questionar a contraparte, aplicar diligência reforçada ou recusar. A ausência de tratamento para mensagens incompletas é uma fragilidade recorrente e um ponto natural de teste.

A tabela a seguir sintetiza a lógica da travel rule por dimensão, incluindo o caso das carteiras autocustodiadas, que discutiremos adiante.

Monitoramento e análise on-chain

O monitoramento de transações é o coração operacional do programa. No mundo cripto, ele ganha uma camada adicional: a análise on-chain. Como o registro das operações está publicamente disponível na blockchain, a prestadora pode rastrear a origem e o destino dos recursos para além da própria fronteira, acompanhando o histórico das carteiras envolvidas.

Três frentes se destacam. A primeira é o rastreamento de carteiras, que reconstitui o caminho dos ativos e identifica proximidade com endereços associados a atividade ilícita. A segunda é a checagem contra listas de sanções, incluindo endereços designados por autoridades. A terceira é a medição de exposição a endereços de risco, que atribui escores conforme a origem dos recursos e alimenta decisões de bloqueio, retenção ou comunicação.

Essas frentes não substituem o KYC nem o monitoramento transacional clássico. Elas se combinam. Um cliente com cadastro consistente pode, ainda assim, receber recursos de uma carteira com exposição elevada a endereços de risco. É o cruzamento entre o que se sabe do cliente e o que a cadeia revela sobre os recursos que produz os alertas mais relevantes. Para o auditor, importa verificar se essa integração existe de fato ou se as camadas operam isoladas, gerando pontos cegos.

Carteiras autocustodiadas e o ponto cego

O maior desafio prático da travel rule está nas carteiras autocustodiadas, também chamadas de unhosted ou self-hosted. São carteiras controladas diretamente pelo usuário, sem uma instituição por trás. Quando a transferência ocorre entre duas prestadoras reguladas, a informação viaja de uma ponta a outra. Quando uma das pontas é uma carteira autocustodiada, não há contraparte institucional para transmitir ou receber a mensagem.

Isso cria um ponto cego estrutural. A prestadora consegue identificar o cliente do seu lado, mas depende de mecanismos próprios para vincular a carteira externa a uma pessoa identificada e para avaliar o risco da operação. Entram aqui os controles compensatórios: comprovação de titularidade da carteira, diligência reforçada acima de determinados valores e uso intensivo da análise on-chain para suprir a ausência de informação transmitida.

Um segundo desafio é a interoperabilidade dos protocolos de travel rule. O mercado desenvolveu diferentes padrões técnicos de troca de mensagens, nem sempre compatíveis entre si. Duas prestadoras reguladas podem, cada uma, cumprir a regra em seu próprio padrão e ainda assim falhar em se comunicar. A cobertura de contrapartes e o tratamento das falhas de compatibilidade tornam-se, por isso, objeto legítimo de avaliação.

Governança de PLD e comunicação ao COAF

Nada disso funciona sem governança. O programa de PLD precisa de um diretor responsável formalmente designado, de uma avaliação interna de risco que fundamente as escolhas de controle e de políticas aprovadas pela instância competente. A avaliação interna de risco não é peça de arquivo: ela orienta a abordagem baseada em risco, define onde aplicar diligência reforçada e justifica a calibragem dos cenários de monitoramento.

A comunicação de operações suspeitas ao COAF fecha o ciclo. Quando o monitoramento detecta uma situação atípica sem justificativa econômica ou legal aparente, ou quando se configura hipótese prevista em norma, a prestadora deve comunicar. Aqui, dois atributos são críticos: a fundamentação da decisão e a tempestividade. Comunicar tarde, ou deixar de comunicar situação que exigia reporte, é falha de controle. Registrar a data de detecção e a data de envio permite medir esse intervalo objetivamente.

O que o auditor e o assegurador procuram como evidência

O trabalho de auditoria ou de asseguração sobre um programa de PLD avalia duas dimensões: o desenho dos controles e sua eficácia operacional. Desenho é saber se o controle, tal como concebido, é capaz de mitigar o risco. Eficácia é saber se ele operou de forma consistente ao longo do período. Uma política bem escrita que não é seguida na prática reprova no segundo teste.

Para chegar a essa conclusão, o auditor busca trilha. A trilha é o conjunto de registros que demonstra que o controle funcionou: os logs do sistema de monitoramento, os alertas gerados e sua fila de tratamento, as decisões tomadas sobre cada alerta e sua fundamentação, as comunicações ao COAF com suas datas, e os registros da travel rule mostrando mensagens enviadas, recebidas e o tratamento das incompletas. A cobertura do monitoramento também é testada: verifica-se se as regras alcançam os riscos relevantes ou se há tipologias sem cenário correspondente.

Onde não há registro, não há evidência, e onde não há evidência, o auditor não pode concluir pela eficácia. Por isso a orientação prática é constante: o controle precisa deixar rastro. Um alerta tratado sem registro da decisão, uma comunicação sem data de detecção, uma transferência sem log da mensagem de travel rule, todos são pontos em que o programa pode ser sólido na intenção e frágil na comprovação. A auditoria transforma essa distinção em achado.

Como a MERC pode ajudar

A MERC Group atua na avaliação independente de programas de PLD/FT no contexto das prestadoras de serviços de ativos virtuais. O trabalho combina conhecimento da norma com entendimento técnico do ambiente cripto, o que permite testar não apenas a formalidade das políticas, mas a operação real dos controles.

Entre as frentes de atuação estão: revisão de desenho dos controles de PLD frente às exigências regulatórias aplicáveis; testes de eficácia operacional do monitoramento, do KYC e da travel rule; avaliação da trilha de evidência que sustenta comunicações ao COAF e decisões sobre alertas; análise da cobertura do monitoramento e da integração com a análise on-chain; e trabalhos de asseguração que endereçam a robustez do programa de forma estruturada. O objetivo é oferecer à administração e à governança uma visão objetiva sobre onde o programa está sólido e onde a evidência precisa ser fortalecida antes que a supervisão o faça.

Para aprofundar, conheça o serviço de revisão de controles internos e governança da MERC.

Perguntas frequentes

A partir de quando as PSAVs precisam cumprir as regras de PLD/FT?

O marco legal foi estabelecido pela Lei 14.478/2022 e regulamentado pelo Decreto 11.563/2023. As Resoluções BCB 519, 520 e 521 detalharam o regime e entraram em vigor em 02/02/2026, quando passam a valer plenamente as obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo para as prestadoras.

O que é a travel rule e de onde ela vem?

É a regra que exige a viagem da informação do originador e do beneficiário nas transferências de ativos virtuais acima de um limiar definido. Tem origem na Recomendação 16 do GAFI, complementada pela Recomendação 15, que trouxe as prestadoras de ativos virtuais para o perímetro de combate à lavagem de dinheiro.

Por que as carteiras autocustodiadas são um problema?

Porque não têm uma instituição por trás. Quando uma das pontas da transferência é uma carteira controlada diretamente pelo usuário, não existe contraparte institucional para transmitir ou receber os dados exigidos pela travel rule. A prestadora precisa de controles compensatórios, como comprovação de titularidade e análise on-chain reforçada.

Qual a diferença entre testar desenho e testar eficácia de um controle?

Testar o desenho é avaliar se o controle, como foi concebido, consegue mitigar o risco. Testar a eficácia operacional é verificar se ele funcionou de forma consistente ao longo do período examinado. Uma política adequada no papel pode reprovar no teste de eficácia se não for seguida na prática.

Que evidência sustenta o cumprimento das obrigações de PLD?

A trilha: logs do monitoramento, alertas gerados e sua disposição, decisões fundamentadas, comunicações ao COAF com datas de detecção e de envio, e registros da travel rule, incluindo o tratamento de mensagens incompletas. Onde não há registro, o auditor não tem base para concluir pela eficácia do controle.

Este artigo trata de alguma empresa específica?

Não. O conteúdo é técnico e genérico, com foco em requisitos regulatórios, controles esperados e evidência de auditoria. Não avalia, cita ou faz referência a nenhuma prestadora nominada, e não substitui análise jurídica ou regulatória do caso concreto.