Onboarding de VASP: A Estrutura de Diligência AML para Instituições Financeiras
O debate sobre se as instituições financeiras regulamentadas devem trabalhar com provedores de serviços de ativos virtuais está efetivamente encerrado. Os bancos estão custodiando criptoativos, stablecoins estão circulando pelos trilhos de pagamento tradicionais e os gestores de ativos detêm ativos digitais em nome dos clientes. A verdadeira questão de conformidade em 2026 não é se deve fazer onboarding de um VASP, mas como fazê-lo de forma documentada, consistente e defensável perante um supervisor. Este artigo apresenta os componentes centrais dessa estrutura, com base na orientação publicada pela Elliptic para instituições financeiras que estão construindo ou atualizando seus processos de integração de VASPs.
Por que "Esperar para Ver" Não é Mais Viável
Os supervisores nas principais jurisdições sinalizaram, por meio de ações de fiscalização, revisões temáticas e expectativas publicadas, que o tratamento passivo dos contrapartes VASP não é aceitável. O fator específico que mudou o cenário é a transparência: uma parte material da atividade de um VASP está em um livro-razão público. Uma vez que esses dados são acessíveis, uma função de conformidade que os ignora enfrenta uma pergunta regulatória direta: por que você não usou as informações que estavam disponíveis para você?
Esse enquadramento é importante porque muda o ônus. As instituições que anteriormente citavam a falta de dados confiáveis como motivo para uma diligência leve de VASPs não têm mais esse argumento. A análise on-chain é uma capacidade madura. A expectativa é que as instituições regulamentadas a utilizem.
A mudança de "se" para "como"
As instituições financeiras que já integraram clientes VASP, ou que mantêm contrapartes expostas a cripto em seus livros, precisam de uma metodologia que possam aplicar consistentemente no onboarding, na revisão periódica e na reavaliação desencadeada por eventos. Aquelas que ainda estão desenvolvendo sua abordagem precisam agir rapidamente. A adoção de stablecoins, em particular, está acelerando o cronograma: relações bancárias correspondentes, processamento de pagamentos e até liquidação comercial agora envolvem contrapartes VASP de maneiras que eram teóricas há poucos anos.
Preparando a Instituição Antes do Início do Onboarding
A qualidade da diligência é limitada pela prontidão institucional. Antes que qualquer VASP individual seja avaliado, a função de conformidade precisa ter uma resposta clara para várias perguntas internas.
Governança e apetite ao risco
Quem é responsável pela decisão de onboarding de VASPs? Na maioria das instituições, isso envolve conformidade, jurídico e a linha de negócios relevante, mas os direitos de decisão e o caminho de escalada precisam ser explícitos. O apetite ao risco para exposição a VASPs também precisa ser definido em nível de categoria: exchanges centralizadas, protocolos descentralizados, custodiantes e processadores de pagamento cada um tem um perfil de risco distinto. Sem essa taxonomia, as decisões de caso individuais serão inconsistentes.
Infraestrutura de políticas e procedimentos
As políticas de onboarding específicas para VASPs devem ser distintas dos procedimentos padrão de KYC corporativo da instituição. Os VASPs são entidades regulamentadas na maioria das jurisdições, mas a base de clientes subjacente, a amplitude dos ativos que tocam e a natureza transfronteiriça de sua atividade criam fatores de risco que os modelos genéricos de CDD não capturam. A infraestrutura de políticas precisa ser construída antes que o volume de casos chegue, não adaptada caso a caso.
As Duas Camadas de Diligência
Um processo de onboarding de VASP defensável opera em duas camadas distintas: uma revisão estruturada baseada em questionário da própria entidade e uma análise on-chain de seu comportamento real de transação. Nenhuma camada é suficiente sozinha.
Camada um: revisão em nível de entidade
A primeira camada cobre o VASP como entidade legal e regulatória. As principais áreas incluem status de licenciamento nas jurisdições em que opera, a qualidade e o escopo de seu próprio programa AML e KYC, estrutura de governança e os tipos de ativos que suporta. VASPs com grande uso de stablecoins, por exemplo, exigem escrutínio específico de como lidam com fluxos de resgate e concentração de contraparte.
Uma ferramenta estruturada para esta camada é o Questionário de Diligência de VASP da Global Digital Finance, conhecido como GDF VADDQ. Este é um questionário padronizado desenvolvido pela indústria que permite que instituições financeiras coletem informações comparáveis de múltiplos contrapartes VASP. Usar um padrão reconhecido importa para a documentação: demonstra a um supervisor que a metodologia de avaliação não é ad hoc. Para instituições que fazem onboarding de múltiplos VASPs, também torna a comparação entre contrapartes mais tratável.
As áreas que tendem a merecer mais atenção em qualquer revisão em nível de entidade são a política de aceitação de clientes do próprio VASP, como ele lida com segmentos de clientes de alto risco e se sua triagem de sanções é abrangente em termos jurisdicionais. Um VASP licenciado em uma jurisdição, mas que atende ativamente clientes em jurisdições de alto risco sem controles complementares, apresenta uma lacuna significativa.
Camada dois: análise de exposição on-chain
A segunda camada é onde o livro-razão público se torna uma entrada direta na diligência, em vez de contexto de fundo. A análise on-chain permite que uma equipe de conformidade avalie que tipos de carteiras e serviços os endereços de um VASP interagiram e em quais volumes.
Uma distinção crítica aqui é direcional. A exposição de entrada e a exposição de saída contam histórias diferentes sobre os controles de um VASP. A exposição de entrada, onde fundos de fontes de alto risco chegaram às carteiras do VASP, fala principalmente sobre a qualidade de aceitação de clientes e monitoramento de transações do VASP: levanta a questão de se fundos ilícitos estão entrando na plataforma. A exposição de saída, onde o VASP enviou fundos para destinos de alto risco, é um sinal diferente e pode indicar que a triagem de sanções ou os controles de saque do próprio VASP têm lacunas.
Ler essas duas dimensões separadamente, em vez de agregá-las em uma única pontuação, produz uma imagem mais matizada e precisa de onde o risco realmente está. As equipes de conformidade que usam software de contabilidade de cripto que integra análise on-chain devem garantir que seu fluxo de trabalho capture ambas as direções, não apenas percentuais gerais de exposição.
A atividade entre cadeias adiciona outra camada de complexidade. VASPs que suportam pontes entre blockchains, ou que mantêm ativos em múltiplas cadeias, requerem análises que sigam os fluxos de ativos entre essas cadeias, em vez de tratar cada cadeia isoladamente. Uma visão exclusivamente de uma única cadeia pode perder exposição significativa roteada por protocolos de ponte.
Interpretando o que a Análise Realmente Mostra
Os dados brutos de exposição on-chain requerem interpretação. Um VASP que mostra alguma exposição a contrapartes de alto risco não é automaticamente um problema: grandes exchanges centralizadas processam volumes enormes, e a exposição estatística a uma ampla gama de tipos de carteiras é esperada. O que importa é a natureza, proporção e concentração dessa exposição, e se é consistente com o modelo de negócios declarado do VASP.
Sinais de alerta que justificam escalada
Certos padrões devem desencadear escalada, independentemente do tamanho ou status de licenciamento do VASP. Isso inclui alta concentração de exposição a endereços ou jurisdições sancionados, fluxos significativos por serviços de mistura ou ofuscação, exposição a carteiras de mercados darknet acima de um limite mínimo e padrões inconsistentes com o escopo geográfico ou base de clientes declarados do VASP.
Da mesma forma, um VASP cujo perfil on-chain é mais limpo do que seu questionário em nível de entidade sugeriria não é necessariamente de menor risco: pode refletir um período de amostra menor, uma operação recentemente lançada ou uma plataforma cujo volume está crescendo rapidamente. As análises devem ser lidas junto com a revisão da entidade, não como substituto dela.
Para escritórios de contabilidade que usam como o aprendizado de máquina está remodelando a análise de blockchain e os fluxos de trabalho de AML, a implicação operacional chave é que as pontuações de risco geradas por máquina exigem validação humana no estágio de escalada. Uma pontuação é uma ferramenta de triagem, não uma decisão.
Monitoramento Contínuo e Cadências de Reavaliação
A aprovação no onboarding não é uma liberação permanente. Os perfis de risco dos VASPs podem mudar materialmente em um curto período: ação regulatória em uma jurisdição chave, mudança de propriedade, violação dos sistemas do próprio VASP ou mudança na mistura de ativos que ele suporta podem cada um alterar significativamente o cálculo do risco.
Cronogramas de revisão por níveis de risco
A frequência de reavaliação deve ser calibrada para o nível de risco atribuído no onboarding. VASPs de maior risco merecem revisão periódica mais frequente do que contrapartes de menor risco. A cadência específica deve ser documentada na política da instituição e aplicada de forma consistente: revisão ad hoc, mesmo quando completa, é mais difícil de defender perante um supervisor do que um programa agendado com gatilhos claros.
Reavaliação desencadeada por eventos
Além das revisões baseadas em calendário, certos eventos devem acionar uma reavaliação imediata, independentemente de quando a última revisão periódica ocorreu. Isso inclui ação regulatória pública contra o VASP, cobertura negativa de mídia credível, mudanças materiais no status de licenciamento do VASP, mudanças significativas no volume de transações ou na mistura de ativos, e quaisquer sinais de análise on-chain que não estavam presentes no onboarding. Construir uma lista clara de eventos-gatilho na política, em vez de deixar isso ao critério do analista, garante que o programa de monitoramento seja consistente e auditável.
Para empresas que aconselham clientes sobre relações com VASPs, entender como a revisão do manual de registro de VASP da Coreia e o que isso significa para equipes de conformidade demonstra como o ambiente regulatório pode mudar rapidamente, exigindo que as instituições reavaliem contrapartes que estavam plenamente em conformidade no onboarding, mas podem enfrentar condições de licenciamento alteradas.
Documentação: Construindo um Registro que Sobrevive ao Escrutínio
A estrutura descrita acima só é tão útil quanto a documentação que gera. Os supervisores que avaliam o programa de conformidade de VASP de uma empresa procurarão evidências de que as decisões foram tomadas com base em critérios definidos, aplicadas consistentemente entre os casos e revisadas em intervalos apropriados.
O que o arquivo precisa conter
No mínimo, o arquivo do VASP deve conter o questionário de diligência preenchido com respostas verificadas contra fontes primárias sempre que possível, o relatório de análise on-chain com a data em que foi gerado e a metodologia usada, o nível de risco atribuído e a justificativa, o registro de aprovação incluindo o nível em que a aprovação foi concedida e a data agendada para a próxima revisão periódica. Quaisquer reavaliações desencadeadas por eventos devem ser documentadas como aditamentos ao arquivo original, não como registros separados sem vínculo.
O padrão de documentação também importa para fluxos de trabalho de software de contabilidade de ativos digitais. Onde os dados de contraparte VASP alimentam o relatório financeiro, por exemplo em bancos correspondentes, processamento de pagamentos ou administração de fundos, o arquivo de conformidade e o registro contábil precisam estar vinculados. Um auditor revisando os fluxos de pagamento de stablecoin de uma empresa, por exemplo, deve ser capaz de rastrear até o registro de diligência do VASP para o contraparte que emitiu ou resgatou essas stablecoins.
Perguntas Frequentes
O que é um VASP para fins de diligência AML?
Um provedor de serviços de ativos virtuais é qualquer entidade que, como negócio, conduz uma ou mais das seguintes atividades em nome de outra pessoa: troca entre ativos virtuais e moedas fiduciárias, troca entre diferentes ativos virtuais, transferência de ativos virtuais, custódia ou administração de ativos virtuais e participação em serviços financeiros relacionados à oferta ou venda de ativos virtuais por um emissor. A definição do FATF é o padrão de referência usado pela maioria das jurisdições importantes. Para fins de diligência, a categoria inclui exchanges centralizadas, custodiantes, processadores de pagamento e certos operadores de protocolos DeFi, dependendo da jurisdição.
O que é o GDF VADDQ e nossa instituição deve usá-lo?
O Questionário de Diligência de VASP da Global Digital Finance é uma estrutura padronizada de solicitação de informações desenvolvida pela organização do setor Global Digital Finance. Ele é projetado para permitir que instituições financeiras coletem informações comparáveis e estruturadas de contrapartes VASP. Usar um padrão reconhecido não substitui a necessidade de verificação independente, mas demonstra aos supervisores que a metodologia da instituição não é ad hoc. Para instituições que fazem onboarding de múltiplos VASPs, também torna a comparação entre contrapartes mais tratável.
Por que a direção da exposição on-chain importa?
A exposição de entrada e a exposição de saída têm implicações de risco diferentes. Se fundos de alto risco fluem para as carteiras de um VASP, isso levanta questões sobre a aceitação de clientes e controles de monitoramento do VASP. Se o VASP envia fundos para destinos de alto risco, isso levanta questões sobre sua triagem de sanções e controles de saque. Tratar ambos como uma única figura agregada mascara onde o risco está realmente concentrado e pode levar a um diagnóstico incorreto do perfil de risco do contraparte.
Com que frequência as relações com VASPs devem ser reavaliadas?
A frequência de reavaliação deve refletir o nível de risco atribuído no onboarding, com VASPs de maior risco revisados com mais frequência. Além das revisões programadas, um conjunto definido de eventos-gatilho, incluindo ação regulatória, mídia adversa, mudanças no status de licenciamento e sinais de análise on-chain, deve provocar reavaliação imediata, independentemente de quando a última revisão periódica ocorreu. A lista de eventos-gatilho deve ser escrita na política, em vez de deixada ao critério do analista.
Como a diligência de VASP se conecta às obrigações de relatórios financeiros?
Quando um contraparte VASP está envolvido em transações que fluem pelos livros da instituição, por exemplo, liquidações de stablecoin, acordos de custódia de cripto ou processamento de pagamentos, o arquivo de conformidade para esse VASP é diretamente relevante para a trilha de auditoria dessas transações. Auditores e reguladores que revisam demonstrações financeiras que incluem fluxos de ativos digitais esperarão poder rastrear esses fluxos até uma avaliação documentada e aprovada do contraparte. Empresas que usam software de contabilidade de cripto devem garantir que os registros de conformidade do VASP e os registros de transações estejam vinculados, não isolados.
Fonte: Elliptic