Estudo de caso: lançamento de um VASP em conformidade

Todo o conteúdo deste curso converge para uma pergunta: você conseguiria lançar uma empresa de criptoativos e mostrar a um supervisor, 18 meses depois, que seu programa funciona? Este estudo acompanha uma exchange fictícia, desde sua primeira avaliação de riscos até sua primeira inspeção, aplicando cada módulo por vez. Nomes, países e identificadores são fictícios.

A empresa e seus mercados

A Veltora Exchange é uma startup sediada no País A. Ela oferecerá serviços de exchange entre criptoativos e moeda fiduciária e entre criptoativos, custódia e saques para endereços externos: quatro das cinco atividades de VASP definidas pela FATF (consulte a aula O VASP como entidade obrigada). A empresa planeja começar no mercado doméstico e, em seguida, expandir para o País B, um grande mercado de varejo, e para o País C, um mercado menor, com uso de criptoativos em rápido crescimento. O mapeamento dos três regimes com o método da aula Como os regimes nacionais implementam o padrão resulta em:

O estudo abrange 18 meses:

Etapa 1: Avaliação de riscos e apetite a risco

No mês 0, o responsável por compliance conduz a avaliação de riscos em toda a empresa descrita na aula A abordagem baseada em risco, usando como insumo as avaliações nacionais de riscos dos três países.

A declaração de apetite a risco do conselho transforma a avaliação em decisões: nenhum privacy coin, nenhum quiosque de criptoativos, nenhum marketplace peer-to-peer, saques diretos para mixers e serviços sancionados bloqueados, e apenas negociação à vista, com limites menores para residentes do País C no primeiro ano. Cada escolha mitiga um risco tecnológico específico de criptoativos, conforme descrito na aula Riscos tecnológicos específicos de criptoativos, em vez de abandonar um mercado inteiro. O monitoramento reforçado é tratado como um fator de risco que exige medidas aprimoradas, não como motivo para recusar todos os clientes do País C.

Etapa 2: Desenho do programa

Seguindo a aula Como estruturar a função de compliance, o conselho nomeia um MLRO com acesso direto ao comitê de risco e um substituto treinado. A Veltora adota um modelo de hub and spoke: monitoramento, investigações e operações da Travel Rule ficam no País A; o País B conta com um responsável por compliance residente; e o País C é atendido pelo hub. O modelo de dimensionamento da equipe prevê 12 profissionais de compliance no lançamento e é recalculado antes de cada expansão. A análise de alertas de nível 1 é terceirizada, com 5% das análises submetidas a uma amostragem de qualidade realizada internamente.

Uma política de grupo é redigida conforme o padrão comum mais rigoroso, com adendos curtos para cada país. A matriz de riscos e controles contém 140 controles, dos quais 38 são fundamentais. Para a tecnologia, a Veltora contrata serviços de verificação de identidade, dados de listas, análise de blockchain e uma solução de Travel Rule compatível com IVMS101 e dois protocolos abertos; além disso, desenvolve sua própria plataforma de dados e lógica de decisão. As verificações pré-transação falham em modo seguro.

Etapa 3: Clientes

O processo de integração aplica os métodos do Módulo 2. Dois casos ilustram as situações mais complexas:

• Um cliente do País B deposita 35 BTC de uma carteira autocustodiada e afirma que comprou as moedas em 2013. A origem dos fundos é comprovada por uma mensagem assinada que demonstra o controle do endereço, pelo histórico on-chain até um saque de uma exchange em 2013 e por um comprovante de compra datado. O cadastro é aprovado com EDD e registrado dessa forma.
• A Tolvik Pay, uma processadora de pagamentos do País B, solicita uma conta institucional. Sua acionista é uma holding offshore com diretores nomeados. A Veltora solicita a cadeia de titularidade e os contratos que conferem o controle; quando não é possível identificar os beneficiários finais, ela recusa a solicitação e avalia se é necessário fazer uma comunicação.

Etapa 4: Travel Rule

Em vez de manter três conjuntos de regras, a Veltora envia todos os dados IVMS101 do originador e do beneficiário em cada transferência para outro VASP, independentemente do valor, o que também atende ao limite zero do País B. Todos os VASPs contrapartes passam por due diligence antes de receber dados dos clientes. As transferências recebidas sem os dados exigidos ficam retidas por até dois dias úteis enquanto os dados são solicitados; depois, são devolvidas.

O País C é um caso de sunrise: seus VASPs ainda não têm obrigação legal. A Veltora envia dados aos VASPs contrapartes do País C que passam pela due diligence e podem recebê-los com segurança, e bloqueia saques para aqueles que não conseguem recebê-los. Para carteiras não hospedadas, ela coleta informações da contraparte junto ao próprio cliente e exige comprovação de controle por mensagem assinada acima do limite do País B e acima de seu próprio limite interno em todos os lugares (consulte a aula Carteiras não hospedadas e transferências para carteiras autocustodiadas).

Etapa 5: Sanções

A Veltora verifica nomes e carteiras em relação à lista consolidada do Conselho de Segurança das Nações Unidas e a todas as listas autônomas aplicáveis nos Países A, B e C, realizando uma nova verificação de toda a base de clientes a cada alteração nas listas. O bloqueio geográfico combina o endereço cadastrado, dados de IP, detecção de VPN e de provedores de hospedagem e sinais do dispositivo.

No mês 11, a verificação antes do crédito sinaliza um depósito de 4,2 ETH proveniente de um endereço incluído em uma lista dois dias antes. Os fundos são congelados em uma conta segregada, a conta do cliente é restringida sem explicações que possam alertá-lo, a autoridade competente do País A é notificada dentro do prazo exigido e uma investigação analisa as demais contrapartes do cliente (consulte a aula Verificação de carteiras e transações).

Etapa 6: Monitoramento e comunicação

Quatorze cenários entram em operação no lançamento, entre eles uma regra de entrada e saída rápida para contas novas:

-- TM-07: contas abertas nos últimos 30 dias que sacam pelo menos
-- 90% dos depósitos de um dia, quando os depósitos chegam a USD 5,000 ou mais
WITH daily AS (
  SELECT customer_id, CAST(event_at AS DATE) AS day,
         SUM(CASE WHEN direction = 'IN'  THEN amount_usd ELSE 0 END) AS dep,
         SUM(CASE WHEN direction = 'OUT' THEN amount_usd ELSE 0 END) AS wd
  FROM transfers
  GROUP BY customer_id, CAST(event_at AS DATE)
)
SELECT d.customer_id, d.day, d.dep, d.wd
FROM daily d
JOIN customers c ON c.customer_id = d.customer_id
WHERE c.onboarded_at >= CURRENT_DATE - INTERVAL '30' DAY
  AND d.dep >= 5000
  AND d.wd >= 0.9 * d.dep;

A consulta totaliza os depósitos e saques de cada cliente por dia do calendário e, em seguida, seleciona as contas novas cujas saídas no mesmo dia chegam a 90% das entradas. Um dia do calendário é uma simplificação de uma janela móvel de 24 horas; a sintaxe de intervalos varia entre os mecanismos.

Após o lançamento no País B, os alertas aumentam para 11.000 por mês. Os testes abaixo da linha (consulte a aula Ajuste, métricas e governança de modelos) justificam aumentar um dos limites, e um novo cenário visa identificar um padrão encontrado nas investigações: compradores de primeira viagem que enviam todo o saldo para endereços novos posteriormente associados a golpes de investimento. Cada entidade licenciada envia comunicações à unidade de inteligência financeira de seu próprio país, e as informações sobre suspeitas só são compartilhadas dentro do grupo quando a lei permite.

Etapa 7: A primeira inspeção

No mês 15, a auditoria interna testa o programa inteiro. No mês 18, o supervisor do País A realiza uma inspeção e solicita a avaliação de riscos, as políticas, as atas do conselho e as informações gerenciais, 60 arquivos de clientes, 25 alertas, todas as comunicações enviadas, os registros da Travel Rule, os registros de treinamento e o relatório de auditoria.

O supervisor reconhece que a própria Veltora identificou a primeira questão. O plano de correção indica responsáveis e prazos; a auditoria interna valida cada correção antes de encerrá-la; e o progresso é comunicado trimestralmente, conforme descrito nas aulas Treinamento, cultura e testes independentes e Supervisão, exames e medidas de execução.

O que o estudo ensina

• A avaliação de riscos orienta todas as decisões posteriores e deve ser refeita antes de cada novo mercado, não depois.
• Uma única regra global rigorosa, como o envio de todos os dados da Travel Rule em cada transferência entre VASPs, costuma ser mais barata do que várias regras locais.
• A maioria das constatações decorre de mudanças de processo que ignoraram a estrutura de controles: um novo país, uma exceção ou uma tarefa terceirizada.
• As evidências de que a empresa identificou e corrigiu seus próprios problemas têm peso real perante os supervisores.

Foco no exame: usar a avaliação de riscos em toda a empresa e as avaliações nacionais de riscos para definir o apetite a risco; tratar um país sob monitoramento reforçado como um fator de risco, não como motivo para sair automaticamente do mercado; estruturar uma função no modelo hub and spoke e recalcular o modelo de dimensionamento da equipe antes de expandir; comprovar a origem dos fundos de ativos adquiridos anteriormente e recusar o cadastro quando não for possível esclarecer a titularidade beneficiária; adotar um padrão global único para a Travel Rule, lidar com VASPs contrapartes em situação de sunrise e aplicar controles para carteiras não hospedadas; congelar e comunicar fundos provenientes de um endereço recém-designado; ajustar os controles após o lançamento; relacionar as constatações da inspeção às causas raiz e validar as correções.