O VASP como entidade obrigada

Antes que uma empresa possa elaborar um programa de PLD/CFT, ela precisa responder a uma pergunta prévia: somos uma entidade obrigada e, em caso afirmativo, para quais de nossas atividades? Errar na definição do escopo custa caro. Uma empresa que conclui equivocadamente que está fora do perímetro opera um negócio sem licença e sem controles; uma empresa que não consegue explicar por que um produto está fora do escopo terá dificuldades diante de um supervisor ou parceiro bancário.

As definições do GAFI

O Glossário do GAFI contém as duas definições que a maioria dos regimes nacionais copia ou adapta.

Um ativo virtual (VA) é uma representação digital de valor que pode ser negociada ou transferida digitalmente e usada para fins de pagamento ou investimento. Não inclui representações digitais de moedas fiduciárias, valores mobiliários e outros ativos financeiros já abrangidos por outras partes das Recomendações do GAFI.

Um prestador de serviços de ativos virtuais (VASP) é qualquer pessoa física ou jurídica que não esteja abrangida por outra parte das Recomendações e que, como atividade empresarial, realize uma ou mais das seguintes atividades para ou em nome de outra pessoa física ou jurídica:

1. câmbio entre ativos virtuais e moedas fiduciárias;
2. câmbio entre uma ou mais formas de ativos virtuais;
3. transferência de ativos virtuais (movimentar um VA de um endereço ou conta para outro em nome de outra pessoa);
4. custódia e/ou administração de ativos virtuais ou de instrumentos que permitam controlar ativos virtuais;
5. participação e prestação de serviços financeiros relacionados à oferta e/ou venda de um ativo virtual por um emissor.

A Recomendação 15 e sua Nota Interpretativa sujeitam os VASPs às mesmas medidas preventivas aplicáveis às instituições financeiras (Recomendações 10 a 21): devida diligência do cliente, manutenção de registros, monitoramento, comunicação de transações suspeitas, sanções financeiras direcionadas e a Travel Rule. Bancos e corretoras de valores mobiliários que oferecem as mesmas atividades já são entidades obrigadas. Os detalhes do que os países devem fazer nos termos da R.15 são abordados na aula Recomendação 15 e sua Nota Interpretativa.

Interpretando a definição de forma funcional

A Orientação atualizada do GAFI para uma abordagem baseada em risco a ativos virtuais e VASPs (outubro de 2021) pede aos países que interpretem amplamente ambas as definições e adotem uma abordagem funcional: o que importa é o serviço efetivamente prestado, não o rótulo, a publicidade ou a tecnologia. Quatro expressões são fundamentais.

• “Como atividade empresarial” exclui atividades ocasionais e não comerciais. Uma pessoa que vende suas próprias moedas uma vez não é um VASP; uma pessoa que compra e vende regularmente para terceiros, mediante comissão ou margem, é.
• “Para ou em nome de outra pessoa” exclui atividades realizadas por conta própria. Uma empresa de negociação que investe seu próprio tesouro não é um VASP nessa atividade.
• Controle é o fio condutor da custódia, transferência e câmbio. Manter chaves, poder movimentar ou bloquear ativos de clientes ou poder alterar o funcionamento de um serviço são todos indícios de que a pessoa pode ser considerada um VASP.
• “Não abrangida por outra parte” evita a dupla cobertura. Todos os ativos relevantes são abrangidos pelas normas, seja como VA, seja como outro ativo financeiro; portanto, a questão é qual conjunto de regras se aplica, não se alguma regra se aplica.

O que fica de fora

A orientação identifica várias atividades que ficam fora da definição de VASP quando são as únicas realizadas pela pessoa.

Estar fora da definição não significa estar fora do programa de conformidade de um VASP. As transferências de e para carteiras não hospedadas e a atividade P2P são fatores de risco que sua empresa precisa avaliar, conforme explicam as aulas Riscos tecnológicos específicos de criptoativos e Carteiras não hospedadas e transferências autocustodiadas.

DeFi e o teste dos proprietários/operadores

A orientação estabelece uma distinção cuidadosa para as finanças descentralizadas (DeFi). Uma aplicação DeFi, isto é, o software, não é um VASP, pois as normas não se aplicam à tecnologia subjacente. No entanto, os criadores, proprietários e operadores, ou outras pessoas que mantenham controle ou influência suficiente sobre um arranjo DeFi, podem ser VASPs quando prestam ou facilitam ativamente serviços abrangidos, mesmo que o arranjo se autodenomine descentralizado.

Entre os fatores que o GAFI indica para essa avaliação estão:

• controle sobre o protocolo ou capacidade de definir ou alterar seus parâmetros (na prática, chaves de administrador, direitos de atualização ou poder de pausar contratos);
• uma relação comercial contínua com os usuários, mesmo que realizada por meio de um contrato inteligente ou protocolo de votação;
• obtenção de lucro com o serviço, por exemplo, por meio da cobrança de taxas ou margens.

Na prática, as equipes de conformidade também perguntam se alguém pode movimentar, congelar ou redirecionar os ativos dos usuários, pois isso é uma evidência direta de controle.

A descentralização é uma questão de fato, não de publicidade. Um operador de interface que cobra taxas em cada troca e pode alterar os contratos de roteamento difere bastante de um protocolo cujas chaves foram destruídas anos atrás. Quando não é possível identificar nenhuma pessoa com controle ou influência suficiente, o GAFI espera que os países monitorem os riscos e considerem medidas de mitigação; suas atualizações direcionadas posteriores identificaram repetidamente a DeFi como um desafio de implementação ainda em aberto.

NFTs e stablecoins

A abordagem funcional se aplica tanto aos ativos quanto aos serviços.

Os tokens não fungíveis (NFTs) que são únicos e usados na prática como itens colecionáveis geralmente não são VAs segundo a definição do GAFI. Um NFT usado na prática para pagamento ou investimento — por exemplo, tokens emitidos em grandes séries fungíveis ou fracionados e negociados como investimentos — pode ser um VA, e as plataformas que o negociam ou mantêm para terceiros podem ser VASPs. Um NFT que simplesmente represente um valor mobiliário é abrangido como valor mobiliário.

As stablecoins podem ser VAs ou outros ativos financeiros, dependendo de sua estrutura; de qualquer forma, são abrangidas. A orientação afirma que o órgão central de governança de uma stablecoin, ou seja, as pessoas que definem as regras do arranjo, geralmente será abrangido pelas normas como VASP ou instituição financeira, especialmente se também desempenhar outras funções no arranjo. O relatório direcionado do GAFI sobre stablecoins e carteiras não hospedadas (março de 2026) apontou como boa prática exigir que os emissores adotem controles baseados em risco, como a capacidade de congelar, queimar ou retirar tokens do mercado secundário.

Uma tabela de decisão

A tabela a seguir aplica as definições a modelos de negócios comuns. É um recurso para orientar o raciocínio; a resposta final depende dos fatos e da implementação nacional.

Registro ou licenciamento em todos os lugares

Nos termos da Nota Interpretativa da R.15, os VASPs devem ser licenciados ou registrados, no mínimo, na jurisdição onde são constituídos e, no caso de pessoas físicas, onde está localizado seu estabelecimento. Os países também podem exigir o licenciamento de VASPs que atendam clientes em seu território ou operem a partir dele, e muitos o fazem. Os países também devem tomar medidas para identificar pessoas que operam sem licença ou registro e aplicar sanções. Um país pode proibir atividades de VASP, mas, nesse caso, deve fazer cumprir a proibição.

Para um responsável por conformidade, isso tem três consequências. Mapeie todas as atividades em relação à definição em cada país onde você atende clientes, pois os regimes diferem quanto aos limites, ao escopo da DeFi e às licenças disponíveis (consulte a aula Como os regimes nacionais implementam a norma). Documente a análise, incluindo os motivos pelos quais os produtos estão fora do escopo. E trate as contrapartes da mesma forma: verificar se outro VASP está devidamente registrado é uma das primeiras perguntas da devida diligência de contrapartes.

Foco no exame: as definições do GAFI de ativo virtual e VASP e as cinco atividades; o significado de “como atividade empresarial” e “para ou em nome de outra pessoa”; a abordagem funcional (a substância prevalece sobre o rótulo e a tecnologia); o que fica fora da definição (software, hardware, infraestrutura auxiliar, validadores, usuários de carteiras não hospedadas, P2P puro) e em que situações isso muda; o teste dos proprietários/operadores de DeFi e seus indicadores de controle, relacionamento e obtenção de lucro; o tratamento de NFTs e stablecoins; o licenciamento ou registro, no mínimo, onde o VASP é constituído, e a obrigação de identificar operadores sem licença.