O avanço da regulamentação dos prestadores de serviços de ativos virtuais (PSAVs), fez o mercado brasileiro entrar em uma etapa em que, para além da autorização para operar, as empresas precisam demonstrar que possuem infraestrutura, controles de segurança, monitoramento e procedimentos capazes de sustentar suas operações dentro de um ambiente regulado.
Para Jason Jiang, Chief Business Officer (CBO) da CertiK, um dos principais efeitos do novo cenário é transformar segurança e compliance em elementos estruturais da operação.
Na avaliação do executivo, quatro frentes devem estar entre as prioridades das empresas que pretendem atuar no mercado brasileiro: adequação à regulamentação local, infraestrutura tecnológica, monitoramento on-chain e segurança operacional e resposta a incidentes (OpSec).
A primeira delas é compreender quais requisitos regulatórios se aplicam à operação e estabelecer processos capazes de demonstrar conformidade.
A existência de regras mais detalhadas aumenta o trabalho de adequação, mas também oferece maior previsibilidade para empresas que precisam decidir se investirão no mercado e para instituições financeiras que avaliam sua exposição a ativos digitais.
A segunda frente está relacionada à capacidade da infraestrutura tecnológica de sustentar a operação em escala.
Para uma empresa global, por exemplo, não basta utilizar uma infraestrutura de nuvem que funcione em outros mercados: é necessário avaliar se arquitetura, aplicações, APIs, controles de acesso e demais componentes conseguem suportar adequadamente a operação brasileira e seus requisitos específicos.
“A clareza regulatória muda a forma como as instituições avaliam o mercado. Quando os requisitos estão definidos, empresas conseguem entender melhor quais controles, investimentos e estruturas precisam implementar para operar dentro das regras. Isso é especialmente importante para instituições que tratam ativos digitais como uma estratégia de longo prazo”, afirma Jiang.
Camada adicional de monitoramento
A terceira frente decorre de uma característica específica dos ativos digitais: parte relevante das operações acontece on-chain.
Isso cria riscos diferentes daqueles encontrados exclusivamente na infraestrutura financeira tradicional e torna necessário incorporar ferramentas capazes de acompanhar endereços, contrapartes e movimentações de ativos em blockchain.
Esse monitoramento pode complementar controles tradicionais de compliance, prevenção à lavagem de dinheiro e financiamento do terrorismo (AML/CFT) e gestão de riscos, permitindo identificar comportamentos ou exposições potencialmente suspeitos.
A quarta frente é a preparação para situações em que os controles preventivos não são suficientes.
Planos de resposta a incidentes precisam definir previamente procedimentos como comunicação com autoridades, investigação do ataque, tentativa de congelamento ou rastreamento de ativos e coordenação com outras plataformas e parceiros.
Confiança no centro da institucionalização
Quanto mais bancos, fintechs e outras instituições ampliarem suas participações no mercado de ativos digitais, mais é necessária a existência e a efetividade dos controles, que tendem a ganhar importância tanto perante reguladores quanto parceiros institucionais e clientes.
Jiang avalia que o Brasil parte de uma posição relevante nesse processo.
Diferentes mercados internacionais estão construindo seus modelos com prioridades distintas: enquanto a União Europeia avançou com o MiCA e forte atenção à proteção dos consumidores, os Estados Unidos vêm desenvolvendo uma agenda particularmente relevante em stablecoins. No Brasil, o diferencial está no nível de detalhamento do arcabouço desenvolvido para o mercado de ativos virtuais.
A regulamentação, porém, não elimina a necessidade de transparência e cooperação entre reguladores, operadores e especialistas em segurança, especialmente porque tecnologias, modelos de negócio e ameaças continuam evoluindo.
Para as empresas, o resultado prático é que a preparação para o mercado regulado precisa ir além de uma lista de requisitos para obtenção de licença.
Compliance, infraestrutura, monitoramento on-chain, cibersegurança e resposta a incidentes passam a fazer parte de uma mesma estratégia de prontidão regulatória.
