PSAVs: o que a nova regulamentação exige em governança, riscos e controles

Desde 2 de fevereiro de 2026, quem presta serviços com ativos virtuais no Brasil opera sob as regras do Banco Central. As Resoluções BCB 519 e 520, de novembro de 2025, definiram quem pode atuar, em quais modalidades e com qual estrutura. As Instruções Normativas BCB 701 e 704 detalharam como provar isso ao regulador.

Escrever as políticas é a parte mais simples. A dificuldade está em transformar cada requisito em processo, controle e evidência que um auditor, o Banco Central ou um cliente consigam verificar.

O que é uma PSAV?

PSAV é a sigla para prestadora de serviços de ativos virtuais. Pela Resolução BCB 520, a sociedade prestadora é uma instituição autorizada a funcionar pelo Banco Central, que presta serviços de ativos virtuais em nome de terceiros, em uma de três modalidades (art. 4º):

• intermediária: compra, venda e troca de ativos virtuais por conta de clientes, subscrição de emissões, administração de carteiras, staking e operações no mercado de câmbio, entre outras atividades do art. 7º;
• custodiante: guarda e controle das chaves privadas, conciliação das posições dos clientes com o registro em blockchain, execução das instruções de movimentação e tratamento de eventos sobre os ativos (art. 9º);
• corretora: intermediação e custódia na mesma sociedade (art. 10).

A regra não alcança só as sociedades prestadoras. Bancos, corretoras e distribuidoras de valores e corretoras de câmbio também podem prestar esses serviços (art. 20), mas por outra rota: em vez de pedir autorização, fazem uma comunicação formal ao Banco Central acompanhada de certificação técnica independente (IN BCB 701).

O que a regulamentação passa a exigir

O mercado de ativos virtuais cresceu antes de ter regra própria. Os problemas que apareceram nesse período (perda de chaves, mistura entre recursos da empresa e de clientes, fraudes, saldos que não existiam) explicam boa parte do que a Resolução BCB 520 cobra hoje.

A cobrança começa pela estrutura. A sociedade prestadora precisa ter pelo menos três diretores responsáveis perante o Banco Central por cinco frentes: condução dos negócios; prevenção à lavagem de dinheiro e ao financiamento do terrorismo; controles internos e conformidade; gerenciamento de riscos e de capital; e segurança cibernética, incluindo a resposta a incidentes (art. 14, III). Precisa também de uma política de governança aprovada pela administração, documentada e revisada a cada dois anos (art. 16).

Na operação, a norma exige 11 políticas documentadas, entre elas gestão de riscos e continuidade de negócios, gestão de terceiros, guarda de chaves privadas, PLD/FT e segurança cibernética (art. 43).

Uma adequação que envolve a empresa inteira

Tratar a adequação como projeto de tecnologia é um erro comum. A tecnologia sustenta a operação, mas a maior parte das exigências depende de áreas que, em muitas empresas do setor, ainda trabalham separadas:

Quando essas áreas não conversam, a política diz uma coisa, o sistema faz outra e ninguém concilia as duas.

Intermediação, custódia e corretora

A distinção entre as modalidades define o tamanho do trabalho.

• Intermediação. A instituição atua por conta do cliente: compra, vende, troca e executa as demais atividades do art. 7º. Ela não guarda as chaves dos ativos.
• Custódia. O custodiante guarda e controla as chaves privadas e responde pela posição de cada cliente. Também precisa conciliar essa posição com o registro em blockchain e cumprir as instruções de movimentação. Além das obrigações gerais, a custódia tem regras próprias de contrato, deveres operacionais e redundância de dados (arts. 73 a 78), que a certificação técnica da IN BCB 701 exige em itens específicos.
• Corretora. Faz as duas atividades. Intermediária e custodiante não podem combinar atividades entre si; quem quer as duas precisa ser corretora (art. 4º, § 2º). Corretoras de câmbio ficam restritas à intermediação (art. 20, parágrafo único).

Terceirizar não transfere a responsabilidade. A instituição contratante continua responsável pelos serviços prestados aos clientes por meio da empresa contratada (art. 35). No caso do custodiante, quem fornece a tecnologia tem de atestar por escrito que não consegue interferir na guarda nem na movimentação dos ativos (art. 9º, § 6º).

Prova de reservas

A Resolução BCB 520 define prova de reservas como o mecanismo que demonstra que a PSAV possui os ativos virtuais que declara ter em nome de seus clientes (art. 2º, XIII). A prova de reservas é uma obrigação. Os métodos usados ficam documentados na política de segregação patrimonial (art. 30, II). A cada dois anos, uma auditoria independente com asseguração razoável examina os ativos da instituição e dos clientes, e o relatório é publicado no site da PSAV (art. 30, III e § 1º).

Para que a prova feche, a instituição precisa de:

• rastreabilidade das transações;
• conciliação periódica entre saldo contábil, posição dos clientes e saldo on-chain;
• monitoramento contínuo das carteiras;
• controle sobre a geração e a guarda das chaves privadas;
• evidências que um auditor externo consiga reexecutar.

Governança e controles no centro da operação

No início de um mercado, a prioridade costuma ser crescer e lançar produto. A regulamentação inverte essa ordem e pede estrutura formal para:

Gestão de riscos: identificar, avaliar e monitorar riscos operacionais, regulatórios, tecnológicos e reputacionais.

Compliance: acompanhar as normas aplicáveis e testar a aderência a elas.

Segurança da informação: proteger dados, sistemas e chaves privadas, com plano de resposta a incidentes.

Auditoria interna: avaliar, de forma independente, se os controles funcionam. Para bancos e corretoras que comunicam ao Banco Central a prestação de serviços de ativos virtuais, a certificação técnica precisa cobrir as estruturas de riscos, compliance e auditoria interna (IN BCB 701, art. 4º, XI). Para as sociedades prestadoras, a exigência vem da extensão das normas de controles feita pela Resolução BCB 552. [conferir]

O desafio é provar que as políticas funcionam

Política aprovada que ninguém executa não atende a regulamentação. Controle executado sem registro também não, porque não há como demonstrá-lo.

A IN BCB 701 deixa isso explícito. Para a instituição que já prestava serviços com ativos virtuais, a certificação técnica precisa assegurar que ela já atende os requisitos de forma efetiva e integral (art. 4º, § 5º). O parecer genérico é vedado: são 17 itens, cada um com conclusão própria.

Na prática, um avaliador procura:

• políticas formalizadas e aprovadas;
• procedimentos documentados;
• controles operando, com registro de cada execução;
• evidências guardadas e trilha de auditoria.

A autorização não encerra a adequação

Obter a autorização não encerra a supervisão. O Banco Central pode cancelar a autorização de ofício se a instituição descumprir o plano de negócios ou interromper o envio de informações por mais de quatro meses sem justificativa (Res. BCB 519, art. 21). O plano de negócios precisa ficar atualizado e à disposição do regulador (art. 2º, §§ 3º e 4º). A política de governança é revista a cada dois anos, e a auditoria da prova de reservas se repete no mesmo intervalo.

Além disso, a instituição deve se preparar para:

• auditorias internas e independentes recorrentes;
• revisão periódica de políticas e controles;
• atualizações normativas (a Resolução BCB 520 já foi alterada em 2026, pela Resolução BCB 589);
• testes de segurança e de continuidade;
• reavaliação dos riscos a cada produto ou ativo novo.

Prazos que importam

• SPSAV que já operava em 2/2/2026: pedido de autorização (fase 1) até 30/10/2026 (IN BCB 704, art. 9º). O processo tem duas fases (Res. BCB 519, art. 26). A fase 2 traz os demais requisitos e o relatório de asseguração razoável de PLD/FT (IN BCB 704, art. 10, X).
• Bancos, corretoras e distribuidoras que já operavam: comunicação formal ao Banco Central com certificação técnica independente (Res. BCB 520, art. 22; IN BCB 701).
• A partir de 6/11/2026: instituições autorizadas pelo Banco Central ficam proibidas de operar no mercado de ativos virtuais com prestadoras não autorizadas (Res. BCB 520, art. 91, com a redação da Res. BCB 589/2026).

Por onde começar

1. Confirmar a modalidade: intermediária, custodiante ou corretora. Para banco ou corretora, definir a rota do art. 20.

2. Fazer um diagnóstico de aderência dispositivo a dispositivo, começando pelos 17 itens da IN BCB 701, que servem de roteiro mesmo para quem não é obrigado a eles.

3. Mapear riscos e terceiros relevantes, inclusive fornecedores de tecnologia de custódia.

4. Revisar a segregação patrimonial e testar a conciliação que sustenta a prova de reservas.

5. Revisar e aprovar as políticas exigidas, com dono e periodicidade de revisão.

6. Montar o repositório de evidências antes da certificação ou da auditoria, não durante.

7. Definir quem acompanha as alterações normativas e com que frequência.

Conclusão

A regulamentação das PSAVs encerra o período em que o setor operava sem regra prudencial própria. Daqui em diante, a autorização e a permanência no mercado dependem de algo verificável: diretores com responsabilidade nomeada, políticas aprovadas, conciliação que fecha e evidência de que os controles rodam. Para quem atua com ativos virtuais, a regra passou a valer em 2 de fevereiro de 2026, e a supervisão segue depois da autorização.

 A RSM apoia instituições que atuam com ativos virtuais na avaliação da maturidade de sua governança, gestão de riscos e controles internos, identificando lacunas e estruturando evidências para os processos de autorização, certificação e auditoria. Converse com nossos especialistas para preparar sua organização para as exigências regulatórias e para uma supervisão contínua com mais segurança e confiança.