Autorização de SPSAV: cronograma reverso até 30/10/2026

Empresas de ativos virtuais têm prazo até 30/10/2026 para protocolar autorização. Diagnóstico de gaps, cronograma reverso e readiness com asseguração.

Há uma data que organiza todo o resto: 30 de outubro de 2026. É o teto do prazo para que empresas que já operavam com ativos virtuais protocolem o pedido de autorização junto ao Banco Central. A partir dela, o perímetro se fecha para quem não estiver autorizado ou em processo de autorização. E como o pedido precisa vir acompanhado de um relatório de asseguração independente sobre os controles, o prazo real de preparação é bem anterior, porque um trabalho de asseguração não se faz na véspera. Este artigo trata da prontidão: como diagnosticar as lacunas, como montar o cronograma reverso a partir da data-teto e como planejar o readiness de forma que o pedido não trave. Não trata de nenhuma empresa específica.

Para empresas nessa situação, a MERC atua com diagnóstico e adequação regulatória, apoiando a estruturação dos controles e da evidência exigida.

Resumo

• A data que organiza o planejamento é 30 de outubro de 2026, teto do prazo de protocolo do pedido de autorização para quem já operava. Depois dela, o perímetro se fecha para quem não estiver autorizado ou em processo.

• Como o pedido depende de um relatório de asseguração independente sobre os controles, o prazo real de preparação é anterior: o trabalho de campo precisa testar um período relevante e não se faz de última hora.

• O caminho começa por um diagnóstico de gaps: mapear o que o regime exige, confrontar com o que a sociedade tem e classificar cada lacuna por severidade e por esforço de remediação.

• O cronograma se monta de trás para frente: da data-teto para o protocolo, para a emissão do relatório, para o trabalho de campo, para a remediação, para o diagnóstico. Quem parte da data de hoje para a frente costuma subestimar o prazo.

A MERC atende essa demanda por meio de auditoria e asseguração de PSAVs.

O diagnóstico de gaps vem primeiro

Antes de contratar qualquer trabalho formal, a sociedade precisa saber onde está. O diagnóstico de gaps faz isso: pega o conjunto de exigências do regime, capital, segregação patrimonial, custódia, PLD/FT, sanções, travel rule, governança, risco operacional e cibernético, continuidade e terceirização, e confronta cada exigência com o que a sociedade efetivamente tem. Não o que está escrito na política, mas o que opera e deixa evidência.

O valor do diagnóstico está na classificação. Cada lacuna precisa ser avaliada por duas dimensões: severidade, ou seja, quanto aquela ausência compromete o pedido, e esforço de remediação, ou seja, quanto tempo e recurso a correção exige. Um gap de severidade alta e remediação longa, como a construção de um regime de diligência ampliada inexistente ou a formalização de uma governança de custódia que nunca existiu, é o que dita o cronograma. Um gap de baixa severidade e correção rápida entra na fila sem pressionar o prazo. Sem essa classificação, a sociedade trata tudo com a mesma urgência e perde o que mais importa: a sequência.

O cronograma se monta de trás para frente

O erro de planejamento mais comum é partir da data de hoje e projetar para a frente, somando prazos otimistas até chegar a algum ponto no futuro. O jeito certo é o inverso: partir da data-teto e recuar.

Da data-teto do protocolo, recua-se para a emissão do relatório de asseguração, que precisa estar pronto antes do protocolo. Da emissão, recua-se para o trabalho de campo, que precisa de tempo para testar desenho e operação dos controles. Do trabalho de campo, recua-se para a remediação, porque o auditor testa o que existe e opera, e um controle recém-criado precisa de um período operando antes de poder ser testado com evidência. Da remediação, recua-se para o diagnóstico, que identifica o que precisa ser remediado. Quando se soma tudo isso de trás para frente, a conclusão costuma ser desconfortável: o momento de começar não é próximo do prazo, é bem antes dele. Essa é a informação mais útil que o cronograma reverso entrega, porque desfaz a ilusão de que ainda há muito tempo.

Por que a asseguração não se comprime

Vale insistir no ponto que mais gente subestima. O relatório de asseguração razoável exige nível de evidência comparável ao de uma auditoria: testes de desenho, testes de operação, análise de exceções. Para testar se um controle opera, é preciso um período em que ele tenha operado, gerando evidência. Não existe atalho que substitua esse período por uma declaração.

A consequência prática é que a maturidade do ambiente de controle define o esforço. Uma sociedade com controles maduros, que já operam e deixam trilha, tem um caminho mais curto até o relatório. Uma sociedade cujo ambiente de controle ainda precisa ser construído enfrenta um caminho mais longo, porque à construção soma-se o período de operação necessário para gerar evidência. Tentar emitir asseguração sobre um ambiente em construção produz exceções materiais no relatório, e um relatório com exceções materiais compromete o pedido. Por isso a remediação precede o trabalho de campo, e não o contrário.

Um caso anonimizado

Considere uma plataforma que decidiu, com boa antecedência aparente, iniciar a preparação para a autorização. A equipe olhou para o prazo, considerou que havia meses pela frente e planejou contratar a asseguração alguns meses antes da data-teto. O diagnóstico, porém, revelou lacunas de severidade alta e remediação longa: diligência ampliada inexistente, governança de custódia informal, resposta a incidentes nunca testada. Cada uma dessas correções precisava não só ser feita, mas operar por um período antes de poder ser testada. Refeito o cronograma de trás para frente, ficou claro que o momento de ter começado já havia passado, e que o caminho para um relatório sem exceções materiais exigia acelerar a remediação de imediato. A plataforma não estava atrasada por descuido. Estava atrasada por ter planejado para a frente, e não a partir do prazo. A lição é que, em readiness de autorização, o calendário se lê de trás para frente.

Como a MERC pode ajudar

A MERC conduz o readiness de autorização de SPSAV do diagnóstico ao relatório. Fazemos o diagnóstico de gaps confrontando as exigências do regime com o que a sociedade de fato tem, classificamos cada lacuna por severidade e esforço, e montamos o cronograma reverso a partir da data-teto, para que a sociedade saiba, com clareza, quando cada etapa precisa começar. Apoiamos a remediação das lacunas de maior impacto e, quando o ambiente está pronto, conduzimos o trabalho de asseguração independente que instrui o pedido, com a disciplina de evidência que o Banco Central espera. Como auditoria especializada no mercado financeiro brasileiro, tratamos o processo com a mesma lógica de instituições reguladas. O objetivo é que a sociedade protocole no prazo, com um relatório que sustenta o pedido, e não com um trabalho apressado que gera exceções.

Perguntas frequentes

Por que 30 de outubro de 2026 é a data que organiza o planejamento?

Porque é o teto do prazo para que empresas que já operavam protocolem o pedido de autorização. A partir dela, o perímetro se fecha para quem não estiver autorizado ou em processo de autorização. Todo o cronograma se organiza a partir dessa data.

Posso deixar a asseguração para perto do prazo de protocolo?

Não é recomendável. O relatório de asseguração exige evidência de um período em que os controles operaram, além dos testes de desenho e operação. O trabalho não se comprime. O prazo real de preparação é bem anterior à data-teto do protocolo.

O que é um diagnóstico de gaps e por que ele vem primeiro?

É o mapa que confronta as exigências do regime com o que a sociedade efetivamente tem e opera. Ele vem primeiro porque classifica cada lacuna por severidade e esforço de remediação, e é essa classificação que define a sequência e o cronograma de todo o resto.

Por que montar o cronograma de trás para frente?

Porque cada etapa depende da anterior: o protocolo depende do relatório, o relatório depende do trabalho de campo, o campo depende da remediação já operando, a remediação depende do diagnóstico. Partir do prazo e recuar revela quando começar, o que o planejamento para a frente costuma subestimar.

Para aprofundar, conheça o serviço de revisão de controles internos e governança da MERC.

Este artigo trata de alguma empresa específica?

Não. O conteúdo trata do tema técnico, prontidão e cronograma de autorização de SPSAV, sem referência a qualquer empresa, plataforma ou caso nominal. Os exemplos são anonimizados e ilustrativos.

Precisa de apoio especializado? Conheça os serviços de Revisão de Controles Internos e Governança da MERC Group.