Padrões globais de AML/CFT e marcos regulatórios · Aula 2 de 5
Recomendação 15 e sua Nota Interpretativa
10 min de leitura
A Recomendação 15 é o motivo pelo qual empresas de criptoativos são entidades obrigadas. Sua Nota Interpretativa é breve, mas cada parágrafo se traduz em um dever concreto: um pedido de licença, uma inspeção de supervisão, um limite mais baixo para a devida diligência, uma sanção contra um diretor. Um responsável por compliance que consegue relacionar uma regra nacional ao parágrafo que ela implementa pode identificar o que é um padrão mínimo global, o que é uma exigência local adicional e o que um avaliador verificará.
Duas partes de uma mesma Recomendação
A Recomendação 15 (Novas tecnologias) tem duas partes. A primeira, mais antiga, exige que países e instituições financeiras identifiquem e avaliem os riscos de lavagem de dinheiro e financiamento do terrorismo relacionados a novos produtos, práticas comerciais, mecanismos de entrega e tecnologias. Também exige que as instituições avaliem esses riscos antes do lançamento e adotem medidas para gerenciá-los. A segunda parte, acrescentada em outubro de 2018, exige que os países assegurem que os prestadores de serviços de ativos virtuais (VASPs) sejam regulados para fins de PLD/CFT, licenciados ou registrados e sujeitos a sistemas eficazes de monitoramento da conformidade.
A primeira parte também se aplica aos VASPs. Listar um novo token, adicionar uma blockchain, lançar staking ou abrir uma rede de caixas eletrônicos de criptoativos são exemplos de novos produtos ou tecnologias, e um supervisor solicitará a avaliação de risco que precedeu o lançamento.
A Nota Interpretativa da Recomendação 15 (INR.15), adotada em junho de 2019 e alterada desde então (incluindo mudanças correspondentes em fevereiro de 2025), apresenta os detalhes. Quem é considerado um VASP e o que está fora da definição são abordados na aula O VASP como entidade obrigada.
INR.15 parágrafo por parágrafo
| Parágrafo | Requisito | Destinatários |
|---|---|---|
| 1 | Os ativos virtuais são considerados “bens”, “produtos”, “fundos”, “fundos ou outros ativos” e “valor correspondente”; portanto, todas as Recomendações se aplicam a eles, inclusive as relativas a confisco e congelamento | Países |
| 2 | Identificar, avaliar e compreender os riscos dos ativos virtuais e aplicar uma abordagem baseada em risco; os VASPs devem identificar, avaliar e mitigar seus próprios riscos | Países e VASPs |
| 3 | Licenciar ou registrar VASPs, no mínimo onde forem constituídos; impedir que criminosos e seus associados sejam proprietários, controladores ou gestores; identificar e sancionar pessoas que exerçam atividades de VASP sem licença ou registro | Países |
| 4 | Não é necessária uma licença ou registro separado para VASPs para instituições financeiras já licenciadas ou registradas, autorizadas a exercer atividades de VASP e sujeitas a todas as obrigações do GAFI | Países |
| 5 | Supervisão ou monitoramento baseado em risco por uma autoridade competente, e não por um organismo autorregulador, com poderes para inspecionar, exigir informações e aplicar sanções, inclusive retirar, restringir ou suspender uma licença | Países e supervisores |
| 6 | Sanções eficazes, proporcionais e dissuasivas (criminais, civis ou administrativas), aplicáveis aos VASPs e a seus diretores e à alta administração | Países |
| 7 | Aplicam-se as medidas preventivas das R.10 a R.21, com ressalvas: (a) limite de USD/EUR 1.000 para CDD em transações ocasionais; (b) a Travel Rule | VASPs e instituições financeiras que enviam ou recebem transferências de ativos virtuais |
| 8 | A mais ampla cooperação internacional possível; os supervisores trocam informações com homólogos estrangeiros, independentemente de sua natureza, status ou dos nomes usados para os VASPs | Países e supervisores |
O parágrafo 7(b), a Travel Rule, é abordado em profundidade na aula Recomendação 16 aplicada a ativos virtuais.
Licenciamento e registro
O parágrafo 3 da INR.15 estabelece o mínimo: um VASP que seja uma pessoa jurídica deve ser licenciado ou registrado na jurisdição onde foi constituído, o que a Orientação do GAFI interpreta como o local de sua incorporação; uma pessoa física, no local onde exerce suas atividades. Os países também podem exigir o licenciamento de VASPs que ofereçam produtos ou serviços a clientes em seu território, ou que realizem operações a partir dele. O parágrafo 4 dispensa de uma segunda licença as instituições financeiras já licenciadas e autorizadas a exercer atividades de VASP. O GAFI também aceita que um país proíba atividades de VASP, desde que ainda identifique e sancione quem as exerça mesmo assim.
O parágrafo 3 também inclui um teste de adequação e idoneidade: as autoridades devem impedir que criminosos ou seus associados detenham participação significativa ou de controle, sejam beneficiários efetivos ou exerçam função de gestão. Também exige que as autoridades identifiquem e sancionem operadores sem licença.
Um caso prático. Um VASP fictício, Kestrel, é constituído no País X, opera sua equipe de operações a partir do País Y e oferece seus serviços a clientes de varejo no País Z.
- O País X deve licenciar ou registrar a Kestrel: esse é o requisito mínimo do parágrafo 3.
- O País Y pode exigir uma licença porque a Kestrel realiza operações em seu território.
- O País Z pode exigir uma licença porque a Kestrel oferece serviços a seus residentes.
- Se a Kestrel tiver apenas uma licença do País X, deverá verificar se Y e Z exercem os poderes opcionais do país anfitrião, o que ocorre em uma minoria considerável de jurisdições.
A equipe de compliance registra cada conclusão, a base jurídica e a data da revisão. A aula Como os regimes nacionais implementam o padrão mostra como manter esse registro em diversos países.
Supervisão e sanções
Os parágrafos 5 e 6 determinam o que acontece após o licenciamento. A supervisão deve ser baseada em risco e conduzida por uma autoridade competente com poderes efetivos: inspeção, exigência de apresentação de informações e uma série de sanções disciplinares e financeiras, até a retirada da licença. As sanções devem alcançar diretores e a alta administração, e não apenas a empresa. Os avaliadores verificam ambos os parágrafos na análise da eficácia da supervisão e das medidas preventivas (IO.3, segundo a Metodologia de 2022), procurando evidências de que as inspeções ocorrem e de que as sanções são de fato aplicadas. A aula Supervisão, exames e medidas de execução aborda como os supervisores fazem isso.
Medidas preventivas com ressalvas para VASPs
O parágrafo 7 aplica as Recomendações 10 a 21 aos VASPs. A tabela mostra como cada uma se aplica a um programa de criptoativos.
| Recomendação | Aplicação aos VASPs |
|---|---|
| R.10 Devida diligência do cliente | Sempre em relações de negócios; em transações ocasionais a partir de USD/EUR 1.000 (para outras instituições financeiras, o limite para transações ocasionais é USD/EUR 15.000); sempre que houver suspeita ou dúvidas sobre dados anteriores |
| R.11 Manutenção de registros | No mínimo cinco anos, incluindo registros de transações, como endereços de carteiras e txids, para que as transações possam ser reconstruídas |
| R.12 Pessoas politicamente expostas | Triagem e medidas reforçadas, como para qualquer instituição financeira |
| R.13 Correspondência bancária | O GAFI aplica essa recomendação a relações transfronteiriças entre VASPs que se assemelhem à correspondência bancária: devida diligência da contraparte antes da troca de dados ou fundos |
| R.15 Novas tecnologias | Avaliação de risco antes do lançamento de produtos, tokens ou blockchains |
| R.16 Transparência de pagamentos | A Travel Rule, por meio do parágrafo 7(b) |
| R.17 e R.18 | Dependência de terceiros; controles internos e programas para todo o grupo, inclusive filiais estrangeiras |
| R.19 Países de maior risco | Devida diligência reforçada e contramedidas quando solicitadas pelo GAFI |
| R.20 e R.21 | Comunicações de transações suspeitas, inclusive tentativas de transação; é proibido alertar o cliente |
As sanções financeiras direcionadas previstas nas R.6 e R.7 aplicam-se aos VASPs como a qualquer pessoa. Por isso, o congelamento imediato de ativos designados deve fazer parte de todo programa de VASP.
A Orientação Atualizada de outubro de 2021
Em 28 de outubro de 2021, o GAFI publicou a Orientação Atualizada para uma Abordagem Baseada em Risco para Ativos Virtuais e Prestadores de Serviços de Ativos Virtuais, que substituiu sua orientação de junho de 2019. Ela não é vinculante, mas avaliadores e supervisores se apoiam nela. A atualização abrangeu seis áreas:
- esclarecimento das definições de ativos virtuais e VASPs (inclusive quando NFTs e arranjos de DeFi estão no escopo);
- como os Padrões do GAFI se aplicam a stablecoins, incluindo seus órgãos centrais de governança;
- riscos de transações peer-to-peer e ferramentas para abordá-los;
- licenciamento e registro de VASPs;
- implementação da Travel Rule pelos setores público e privado;
- princípios de compartilhamento de informações e cooperação entre supervisores de VASPs.
Para uma equipe de compliance, as áreas 3 a 5 se traduzem mais diretamente em controles: tratamento baseado em risco de transferências de e para carteiras não hospedadas, comprovação para pedidos de licença e verificações de contrapartes, além de um processo para a Travel Rule. A área 6 explica por que as conclusões de um supervisor sobre um VASP podem chegar rapidamente a outro supervisor.
Atualizações direcionadas: a lacuna de implementação
Os países demoraram a implementar o padrão. O GAFI realizou duas revisões de 12 meses (em 2020 e 2021) e publica atualizações direcionadas anuais desde 2022. Em fevereiro de 2023, adotou um roteiro para reforçar a implementação da R.15 e, desde 2024, publica uma tabela que mostra o status da implementação da R.15 nos membros do GAFI e nas jurisdições com atividade de VASP materialmente importante.
A sétima atualização direcionada (julho de 2026) e um relatório direcionado sobre finanças descentralizadas (julho de 2026) apontaram:
- uma lacuna entre a aprovação de leis sobre a Travel Rule e sua supervisão e aplicação;
- lacunas persistentes na conversão de avaliações de risco em medidas de mitigação, na implementação prática do licenciamento e na identificação de VASPs sem licença e offshore;
- pouquíssimas jurisdições aplicando o padrão a arranjos de DeFi que se qualificam como VASPs;
- uma recomendação para que instituições financeiras e VASPs não interajam com um arranjo de DeFi quando não puderem cumprir as Recomendações pertinentes.
A consequência prática é um cenário desigual. Um VASP licenciado em uma jurisdição rigorosa lidará com contrapartes licenciadas em outros lugares e com algumas que não têm licença em lugar algum; por isso, a devida diligência de contrapartes e os limites baseados em risco são tão importantes quanto a própria licença.
Foco no exame: as duas partes da R.15 (avaliação de risco antes do lançamento de novos produtos ou tecnologias; regulação, licenciamento e supervisão de VASPs); o que a INR.15 exige de países, supervisores e VASPs; o licenciamento, no mínimo, no local onde o VASP é constituído, o poder opcional do país anfitrião e o teste de adequação e idoneidade; a supervisão por uma autoridade competente, e não por um organismo autorregulador, e sanções que alcancem diretores e a alta administração; o limite de USD/EUR 1.000 para CDD em transações ocasionais e como as R.10 a R.21 se aplicam aos VASPs; as seis áreas da Orientação Atualizada de outubro de 2021; o roteiro de fevereiro de 2023 e a finalidade das atualizações direcionadas.