Entenda o que muda e o que sua empresa já deveria ter pronto para responder ao regulador sem parar a operação.
Se sua empresa presta serviços de ativos virtuais, é hora de repensar o compliance para PSAVs. Até pouco tempo, esse compliance girava em torno das regras específicas de custódia e intermediação de criptoativos. De uma hora para outra, porém, esse recorte ficou pequeno. Isso porque o Banco Central decidiu que as PSAVs autorizadas também seguem as mesmas normas de controles internos, auditoria e segurança cibernética que já valem para bancos e outras instituições financeiras.
Assim Resoluções BCB 552 e 553, foram publicadas em março de 2026. Além disso, elas ampliaram o alcance de nove normas anteriores. Dessa forma, as PSAVs entraram em exigências que, até então, só valiam para instituições reguladas pelo Sistema Financeiro Nacional.
O que mudou de fato
Desde novembro de 2025, com as Resoluções BCB 519, 520 e 521, o Banco Central já regulava a autorização e o funcionamento das PSAVs. Contudo, as Resoluções 552 e 553 foram além. Elas trouxeram para o escopo ouvidoria, controles internos, segurança cibernética, contratação de serviços relevantes — incluindo nuvem — e auditoria interna. Além disso, a 553 ainda inclui as PSAVs nas regras contábeis do Sistema Financeiro Nacional, com adoção do Cosif e obrigações de envio de demonstrações financeiras ao Banco Central.
Na prática, portanto, ter uma política escrita guardada em uma pasta deixou de ser suficiente. Afinal, o regulador quer ver o processo em funcionamento, com registro de quem fez o quê e em qual momento.
As áreas que pedem atenção agora
Algumas frentes, então, passam a exigir atenção especial das PSAVs:
- Controles internos: devem identificar, avaliar e monitorar os riscos da operação. Além disso, precisam de documentação que comprove que os processos acontecem na rotina e não ficam apenas no papel.
- Segurança cibernética: a empresa deve demonstrar que protege seus sistemas e dados. Para isso, deve manter procedimentos e controles que possam ser verificados e auditados.
- Terceiros e serviços de nuvem: a contratação de fornecedores exige atenção aos contratos e análise dos riscos envolvidos em cada contratação.
- Auditoria interna: os processos e controles precisam ser avaliados. Assim, é possível verificar se aquilo que está documentado realmente funciona na prática.
- Ouvidoria: as empresas devem observar as regras aplicáveis ao tratamento de reclamações, solicitações e demais demandas de clientes e usuários.
Se só de ler essa lista você já sentiu o tamanho do trabalho pela frente, então vale conversar com quem lida com isso todos os dias.
Como estruturar o compliance para PSAVs na prática
O maior desafio dessas novas exigências não é escrever uma política nova. Na verdade, é provar, todos os dias, que os controles internos e a auditoria realmente acontecem. Ou seja, é preciso ter registro de quem aprovou o quê e em qual momento.
É aí, então, que entra o módulo de Formulários da Gopliance. Ele automatiza processos internos como declaração de conflito de interesse, avaliação de conduta e aprovação de fornecedores. Além disso, conta com esteiras de aprovação configuráveis e comitês responsáveis por cada etapa. Assim, cada resposta fica registrada com data, hora e identidade de quem participou. Consequentemente, o time de compliance tem em mãos a evidência que o Banco Central cobra na hora da auditoria.
Além dos Formulários, a plataforma também reúne Políticas e Normas, Código de Ética e Canal de Denúncias no mesmo lugar. Dessa forma, cobre também a parte de ouvidoria e integridade prevista nas novas regras. Assim, sua empresa mostra ao regulador não só que criou os processos, mas também que eles funcionam na rotina, com rastreabilidade de ponta a ponta.
Erros comuns nesse processo de adaptação
Na hora de se adequar às novas exigências, alguns erros podem, então, dificultar a rotina de compliance e a preparação para uma auditoria:
- Atualizar apenas as políticas: revisar documentos sem verificar se os processos descritos realmente acontecem na rotina. Isso deixa uma diferença entre o que está previsto e o que a empresa consegue comprovar.
- Espalhar as evidências: manter registros em e-mails, planilhas e WhatsApp dificulta a localização das informações. Além disso, esse é um dos sintomas mais comuns da fragmentação de dados no compliance, que atrapalha justamente na hora de apresentar evidências durante uma auditoria.
- Subestimar os riscos de terceiros: deixar de revisar contratos ou documentar a análise de risco de fornecedores. Assim, isso pode criar lacunas nos controles relacionados a serviços relevantes e soluções de nuvem.
Conclusão
A regulamentação das PSAVs ainda deve avançar nos próximos meses. Por isso, o caminho mais seguro é tratar essa adaptação como rotina permanente, e não como projeto pontual. Afinal, quanto antes sua empresa tiver processos documentados, executados e com evidência disponível, menor será o risco na hora de responder ao Banco Central.
Veja como estruturar o compliance para PSAVs da sua empresa, com evidência pronta para qualquer auditoria.
