Antifraude alcança as prestadoras de ativos virtuais

O regime antifraude do sistema financeiro passou a alcançar as prestadoras de ativos virtuais, com retenção cautelar e registro de ocorrências.

A novidade regulatória de maior alcance operacional das últimas semanas para o mercado de ativos virtuais não criou um regime novo: estendeu um regime que já existia. Ao trazer expressamente a prestação de serviços de ativos virtuais para dentro da disciplina de prevenção a fraudes aplicada às instituições financeiras, às instituições de pagamento e às demais autorizadas, o regulador colocou esse segmento sob a mesma régua de controles, registro de ocorrências e retenção cautelar de transferências suspeitas. A consequência é direta: o que era prática voluntária de cada plataforma passa a ser dever verificável, com trilha, prazo e evidência. Este artigo não trata de nenhuma plataforma específica. Trata do que o regime antifraude exige de controles, dados e conciliação, e de como a MERC apoia, em diagnóstico e adequação regulatória, instituições reguladas a demonstrar esse cumprimento de forma auditável.

Resumo

O regime antifraude não é novo, mas o perímetro é.As alterações recentes na norma de prevenção a fraudes do sistema de pagamentos passam a alcançar expressamente a prestação de serviços de ativos virtuais. Não se trata de um dever inédito, e sim da extensão, a esse segmento, de obrigações de identificação, registro e tratamento de fraudes que já valiam para instituições financeiras e de pagamento.

A retenção cautelar é um controle com prazo e gatilho.Determinadas transferências, sobretudo as destinadas a prestadores sediados no exterior ou a carteiras autocustodiadas acima de um patamar de valor, podem ficar sujeitas a um período de retenção temporária. Isso transforma um alerta de risco em um procedimento operacional que precisa disparar, ser comunicado ao cliente e ficar registrado.

Para quem precisa endereçar isso na prática, a MERC mantém uma frente dedicada de auditoria e asseguração de PSAVs.

O centro da exigência é o registro e o dado.A norma cobra que ocorrências e tentativas de fraude, além das medidas corretivas adotadas, sejam registradas. Sem base de dados íntegra e reconstituível, o controle existe no discurso, mas não resiste ao exame.

Quem é supervisionado precisa demonstrar, não afirmar.Numa inspeção, a pergunta não é se a plataforma diz combater fraude, e sim se cada ocorrência foi identificada, se a retenção disparou quando devia e se tudo ficou documentado. É onde a asseguração e a revisão independente de controles agregam: transformam a afirmação de conformidade em prova.

Por que o regulador escolheu estender, e não recriar

A decisão de estender um regime existente, em vez de desenhar um específico para ativos virtuais, carrega um recado técnico. O risco de fraude no trânsito de valores não muda de natureza quando o valor é uma moeda tokenizada, um ativo virtual ou um saldo em conta de pagamento. O golpe de engenharia social, o desvio para uma carteira controlada por terceiro, a conta aberta com dado falso para receber recursos de vítima: o modo de operação é o mesmo, apenas o meio muda. Ao unificar a régua, o regulador reconhece que a fronteira entre o dinheiro tradicional e o ativo virtual, do ponto de vista do fraudador, praticamente desapareceu.

Isso tem uma implicação prática para quem presta o serviço. A plataforma que tratava a prevenção a fraudes como diferencial de produto passa a tratá-la como obrigação de conformidade, com o mesmo peso de um controle prudencial. E a que já mantinha controles precisa agora demonstrá-los sob um padrão que admite inspeção: não basta ter o controle, é preciso provar que ele operou em cada caso concreto.

O ponto mais sensível é o da transferência de saída para o exterior ou para carteiras autocustodiadas acima de um patamar de valor. É exatamente por esse caminho que o produto de uma fraude tende a escapar do alcance de recuperação. A retenção cautelar temporária existe para criar uma janela de verificação antes que o valor se torne irrecuperável. Do ponto de vista de controle, é um freio deliberado, e todo freio precisa de gatilho claro, de responsável e de trilha do que aconteceu durante a retenção.

Onde a régua encosta nos controles, no dado e na auditoria

O primeiro ponto é de dado. A retenção cautelar só dispara corretamente se o sistema souber, em tempo de operação, o valor acumulado do cliente no dia, o destino da transferência e a natureza da carteira ou do prestador de destino. Isso exige base transacional íntegra, parâmetros amarrados ao motor de decisão e capacidade de somar operações do mesmo cliente. Base incompleta ou parâmetro mal calibrado é, na prática, um controle que não opera: ora retém o que não deveria, gerando atrito, ora deixa passar o que deveria reter, deixando o risco intacto.

O segundo ponto é de processo. Identificar a ocorrência, reter, comunicar o cliente, decidir sobre a liberação ou o bloqueio e registrar cada etapa forma uma cadeia de controle que precisa de trilha. Sob a lógica da NBC TA 315 (R2), que trata do entendimento da entidade e da avaliação dos riscos de distorção relevante, e da NBC TA 330, que trata das respostas a esses riscos, um processo sem registro reconstituível é ambiente de risco elevado. Não porque a plataforma não tenha feito o certo, mas porque não consegue demonstrá-lo depois. O registro de fraudes, tentativas e medidas corretivas não é burocracia: é a prova de que o controle vive.

O terceiro ponto é de reflexo nas demonstrações e na exposição. Fraudes consumadas podem gerar perdas, ressarcimentos a clientes, provisões e passivos contingentes, avaliados sob a ótica do reconhecimento e da divulgação de provisões e contingências. Falhas relevantes de controle podem gerar sanção. E quando parte da operação depende de infraestrutura de terceiros, os controles dessa infraestrutura entram no perímetro de avaliação, o que aproxima o tema dos trabalhos de asseguração sobre controles de organizações prestadoras de serviço, sob a lógica da NBC TO 3402. Vale ainda uma distinção que costuma se perder: prevenção a fraude e prevenção à lavagem de dinheiro são regimes vizinhos, mas não idênticos. Tratar os dois como a mesma coisa deixa lacunas nos dois.

Como a MERC pode ajudar: o que fazemos e o que você recebe

A MERC é a primeira e única auditoria especializada no mercado financeiro brasileiro, e a extensão do regime antifraude ao segmento de ativos virtuais é exatamente o tipo de tema em que a especialização pesa, porque exige ler ao mesmo tempo a norma de prevenção, a qualidade do dado transacional e a evidência que sustenta cada retenção e cada registro. A abordagem cobre do diagnóstico à asseguração, com profundidade ajustável ao porte, ao volume de operações e ao perfil de risco da instituição. O escopo abaixo mostra, frente a frente, o que executamos e o que fica na sua mão como entregável.

Sobre esse ciclo, a especialização da MERC agrega a leitura da norma pela ótica de quem depois vai examinar a evidência. Quando o controle antifraude já nasce pensando no gatilho de retenção, no registro de cada ocorrência e na trilha de cada decisão, a instituição não constrói apenas conformidade: constrói um ambiente que resiste à inspeção e ao trabalho de asseguração. É a diferença entre afirmar que combate fraude e demonstrá-lo.

Um caso ilustrativo (anonimizado)

Considere uma prestadora de serviços de ativos virtuais de médio porte que já mantinha uma equipe de risco e um sistema de alertas, e que recebe a extensão do regime como confirmação de que estava no caminho certo. A equipe revisa a política, comunica a mudança e considera o tema resolvido. No diagnóstico, o problema real aparece: o motor de retenção não soma o acumulado do cliente no dia, tratando cada transferência isoladamente, o que permite fracionar a saída abaixo do patamar; a comunicação ao cliente sobre a retenção não é padronizada; e os registros de tentativas de fraude ficam dispersos entre planilhas e canais de atendimento, sem data e sem responsável. O que parecia maturidade era, na verdade, um controle que operava por exceção, não por desenho.

O trabalho é reorganizado em frentes. Primeiro a qualidade e a agregação do dado transacional, depois o desenho do gatilho de retenção e da comunicação, e por fim o registro reconstituível e a prontidão para inspeção. Nenhuma etapa dependeu de tecnologia nova: dependeu de dado íntegro, parâmetro bem calibrado e registro datado. O caso é ilustrativo e não se refere a nenhuma instituição específica. O padrão, porém, é frequente: o risco quase nunca está na ausência de um sistema, e sim em subestimar quanto de dado, calibragem e prova o regime antifraude realmente cobra.

Perguntas frequentes

O que muda com a extensão do regime antifraude ao segmento de ativos virtuais?

Passa a existir uma obrigação expressa de prevenir, identificar, registrar e tratar fraudes na prestação de serviços de ativos virtuais, no mesmo padrão já aplicado a instituições financeiras e de pagamento. Não é um dever totalmente novo, e sim a extensão a esse segmento de obrigações de controle, registro e retenção cautelar de transferências de maior risco que antes ficavam a critério de cada plataforma.

O que é a retenção cautelar de 24h e quando ela se aplica?

É um período de retenção temporária de determinadas transferências, criado para abrir uma janela de verificação antes que o valor se torne irrecuperável. Tende a alcançar transferências de maior risco, como as destinadas a prestadores sediados no exterior ou a carteiras autocustodiadas acima de um patamar de valor, considerando inclusive o total movimentado pelo cliente no mesmo dia. O cliente deve ser informado da retenção e do motivo.

Prevenção a fraude é a mesma coisa que prevenção à lavagem de dinheiro?

Não. São regimes vizinhos, com objetivos e gatilhos próprios. A prevenção a fraude foca no engano e no desvio de recursos, muitas vezes com uma vítima direta; a prevenção à lavagem foca em disfarçar a origem de recursos ilícitos. Tratar os dois como um só deixa lacunas nos dois. Do ponto de vista de controle, exigem processos, registros e trilhas específicos, ainda que possam compartilhar dados e infraestrutura.

Onde a auditoria se conecta com esse tema?

Diretamente. A qualidade do dado transacional, o desenho e a operação do gatilho de retenção e o registro de ocorrências são avaliados sob a NBC TA 315 (R2) e a NBC TA 330, no exame do ambiente de controle e das respostas aos riscos. Quando a operação depende de infraestrutura de terceiros, entram os trabalhos de asseguração sobre controles de organizações prestadoras de serviço. E perdas, ressarcimentos e sanções potenciais podem exigir reconhecimento ou divulgação, o que traz o tema para o campo das demonstrações.

Como demonstrar conformidade de forma que resista à inspeção?

Combinando dado, processo e prova. O dado transacional precisa ser íntegro e capaz de agregar as operações do cliente; o gatilho de retenção precisa estar bem calibrado e amarrado ao motor de decisão; e cada ocorrência, retenção e medida corretiva precisa ter registro datado e reconstituível. Um trabalho de asseguração sobre esses controles oferece a terceiros, com evidência e nível de confiança definido, a demonstração de que o regime antifraude opera de fato, e não apenas no papel.

Para aprofundar, conheça o serviço de auditoria independente da MERC.

Este artigo tem caráter informativo e técnico e não constitui aconselhamento contábil, regulatório ou de investimento. A aplicação das regras de prevenção a fraudes e de retenção cautelar depende dos fatos específicos de cada operação e do texto integral das normas vigentes.