Desenhamos e implementamos seu programa de compliance para criptoativos: AML/CFT, KYC/KYB, monitoramento on-chain, Travel Rule, screening de sanções e reporting (SARs), para exchanges, custodiantes e VASPs e projetos blockchain. Um programa operável e defensável, alinhado ao MiCA, à Lei 10/2010 e ao novo pacote AML da UE (AMLR/AMLA).
Consulta gratuita
Respondemos em menos de 24 h
Um programa de compliance para criptoativos é um conjunto integrado de políticas, controles, procedimentos e responsabilidades que garante que uma entidade que opera com ativos digitais cumpra as normas aplicáveis: AML/CFT (prevenção à lavagem de dinheiro), sanções, proteção de dados e requisitos setoriais. Não é “um documento”: é um sistema operacional com evidências.
Bem desenhado, ele minimiza o risco regulatório, facilita a relação com bancos e fornecedores, reduz o risco de sanções e protege a reputação. E chega no momento-chave: o novo pacote AML da UE transforma os prestadores de serviços de criptoativos (CASP) em sujeitos obrigados diretos a partir de 2027, com supervisão reforçada.
Da avaliação de riscos ao reporting: políticas, controles operacionais, controles técnicos e governança, adaptados ao seu modelo de negócio cripto.
Criamos as políticas, a matriz de riscos, os procedimentos de monitoramento e as regras de escalonamento, adaptados ao modelo de negócio cripto. É a base para demonstrar diligência perante os supervisores.
Desenhamos fluxos de verificação documental, biometria e correlação on-chain, com níveis de diligência conforme o risco (incluindo a diligência reforçada, EDD). Isso reduz a fraude e facilita a integração bancária.
Definimos padrões suspeitos, scoring de endereços, detecção de mixers e gatilhos para diligência reforçada ou bloqueio temporário, com evidências para as comunicações de operações suspeitas.
Assessoria e integração técnica para cumprir a transferência de dados entre prestadores (Regulamento (UE) 2023/1113), com foco em privacidade, segurança e interoperabilidade transfronteiriça.
Verificação das listas OFAC, UE e ONU, controles contratuais e procedimentos de bloqueio para transferências com risco de sanções. Minimiza a exposição legal e reputacional.
Programas de treinamento para as equipes, auditorias de compliance e exercícios de simulação de incidentes e de resposta a SARs. Fortalece a cultura de compliance e a capacidade de resposta.
Um programa completo se apoia em quatro camadas que funcionam juntas. Quando falta uma, o compliance se torna “informal” e se rompe quando o volume aumenta.
A abordagem baseada em risco (RBA) combina sinais on-chain, off-chain e de produto para classificar clientes, contrapartes e transações e aplicar a medida proporcional a cada nível de risco.
Se você presta serviços de criptoativos por conta de clientes, você é (ou será) sujeito obrigado. Um programa de compliance não é opcional: é o que permite operar, ter acesso a bancos e crescer.
“Uma CEX gerencia onboarding em massa, monitoramento transacional e reporting. Precisa de políticas AML/KYC, regras de alerta e evidências para os supervisores e para os bancos com os quais opera.”
“A custódia de ativos por conta de terceiros exige controles técnicos robustos, segregação, gestão de acessos e coerência entre registros on-chain, sistemas internos e contabilidade.”
“Operação multichain, swaps, bridges e protocolos. O essencial é uma abordagem baseada em risco com monitoramento on-chain e um marco claro de gestão de fornecedores (oráculos, bridges, analytics).”
“Os gateways fiat-cripto e as mesas OTC concentram risco de origem dos recursos e de sanções. Exigem diligência reforçada, screening e rastreabilidade de cada operação de valor elevado.”
Um programa fraco não só expõe a sanções: ele fecha portas com bancos e contrapartes e se rompe ao escalar. Estes são os riscos que mais expõem uma entidade cripto.
O pacote AML da UE transforma os CASP em sujeitos obrigados diretos a partir de 10 de julho de 2027, com supervisão reforçada da AMLA. Antecipar-se é a única estratégia razoável.
Evasão de sanções: um screening deficiente das listas OFAC, UE ou ONU expõe a responsabilidade legal grave e a bloqueios por parte dos bancos correspondentes.
Mixers e privacy coins: a exposição a mixers e a moedas com anonimato reforçado (que o AMLR restringe a partir de 2027) dispara o risco se não houver controles.
Erros na Travel Rule: dados incompletos ou mal transmitidos entre prestadores geram rejeições, atrito e achados em inspeções.
Falhas com fornecedores: custodiantes, oráculos, bridges ou integradores sem due diligence nem cláusulas de compliance transferem o risco deles para a sua entidade.
Sem RBA nem evidências: sem uma abordagem baseada em risco documentada, você não consegue justificar suas decisões perante um supervisor nem em uma auditoria.
Entre o MiCA, a Travel Rule e o novo pacote AML da UE, o nível de exigência sobe. Fazemos o diagnóstico, desenhamos o programa e deixamos as evidências prontas para o supervisor e os bancos.
Toda entidade cripto precisa de uma função de compliance com autoridade e independência. A questão é como estruturá-la: com uma equipe própria ou com um Compliance Officer externo especializado.
Diante de um “compliance no papel”, o que faz a diferença é que o programa seja operável, defensável e proporcional ao risco, com evidências para cada decisão.
Um programa completo e audit-ready, com foco na operação real e no seu modelo de negócio, e com acompanhamento contínuo se você precisar.
| Característica | Interno (equipe própria) | Terceirizado (Compliance Officer externo) |
|---|---|---|
| Custo | Estrutura fixa; aumenta com o tamanho da equipe | Variável e ajustável à fase do negócio |
| Independência | Risco de pressão interna sem boa governança | Externa por definição, sem conflitos operacionais |
| Especialização cripto | Depende do perfil que você consiga contratar | Experiência específica em ativos virtuais |
| Escalabilidade | Escala contratando e treinando | Escala com o prestador e suas ferramentas |
| Tempo de implantação | Seleção, treinamento e curva de aprendizado | Início rápido com metodologia comprovada |
A opção ideal depende do tamanho, da fase e do modelo de negócio: muitas entidades combinam um responsável interno com apoio externo especializado. Quadro orientativo; esta página é informativa e não constitui assessoria jurídica.
É um conjunto integrado de políticas, controles, procedimentos e responsabilidades que garante que uma entidade que opera com criptoativos cumpra as normas aplicáveis (AML/CFT, sanções, proteção de dados e requisitos setoriais). Não é um documento isolado, mas um sistema operacional com evidências que podem ser demonstradas.
Os VASPs (exchanges, custodiantes, brokers, prestadores de transferências) e, em geral, quem presta serviços de criptoativos por conta de clientes. Eles já são sujeitos obrigados de prevenção à lavagem de dinheiro, e o novo pacote AML da UE reforça isso para os CASP a partir de 2027.
Na Espanha, a Lei 10/2010 (prevenção à lavagem de dinheiro), sob a supervisão do SEPBLAC. Na UE, o MiCA (Regulamento 2023/1114) e a Travel Rule (Regulamento 2023/1113). E o novo pacote AML: o AMLR (Regulamento 2024/1624), a sexta diretiva e a autoridade AMLA. O padrão internacional é o do GAFI (FATF).
É a metodologia que combina indicadores on-chain, off-chain e de produto para classificar clientes, contrapartes e transações e aplicar medidas proporcionais: diligência normal, diligência reforçada (EDD) ou bloqueio e escalonamento. Documentar a RBA permite justificar cada decisão perante supervisores e auditorias.
Verificação da identidade do cliente (KYC) ou da empresa e de seus beneficiários finais (KYB), segmentada por tipo (varejo, institucional, OTC, market maker). Combina verificação documental, biometria e correlação on-chain, com avaliação da jurisdição, screening de PEP e identificação dos beneficiários finais, além de procedimentos de diligência reforçada para os casos de maior risco.
Uma SAR é uma comunicação de operação suspeita à autoridade competente (na Espanha, o SEPBLAC). Ela é feita quando há sinais de lavagem de dinheiro ou de financiamento do terrorismo (interação com endereços sancionados, movimentos cross-chain para ocultar a rastreabilidade, valores elevados sem justificativa). O Compliance Officer avalia a evidência técnica e jurídica antes de comunicá-la, preservando a confidencialidade.
Sim. É recomendável designar um Compliance Officer com autoridade, independência e experiência em ativos virtuais, que coordene a abordagem baseada em risco, as SARs, a relação com os supervisores e o treinamento da equipe. Ele pode ser interno ou terceirizado a um especialista externo, para reforçar a independência e acelerar a implantação.
O AMLR (Regulamento (UE) 2024/1624) é o “código único” antilavagem da UE, de aplicação direta a partir de 10 de julho de 2027. Ele transforma os CASP em sujeitos obrigados diretos, reforça o KYC e a identificação do beneficiário final, restringe as contas anônimas e as privacy coins e fixa um limite de pagamentos em espécie de 10.000 euros. Antecipar o programa é a única estratégia razoável.
Depende do modelo de negócio (exchange, custodiante, DeFi), do volume, do número de jurisdições e do nível de automação. Trabalhamos com um escopo definido após um diagnóstico inicial; escreva para nós e peça um orçamento sob medida.
Depende do escopo, mas um programa básico (diagnóstico, manual, políticas e fluxos) costuma estar operacional em poucas semanas. O que mais se prolonga é a integração técnica do monitoramento, os testes end-to-end e o treinamento das equipes.
VASP (Virtual Asset Service Provider) é o termo do GAFI para os prestadores de serviços de ativos virtuais. CASP (Crypto-Asset Service Provider) é o termo equivalente na UE, segundo o MiCA. Na prática, referem-se aos mesmos atores: exchanges, custodiantes, brokers e prestadores de transferências.
É a verificação de clientes, contrapartes e endereços nas listas de sanções (OFAC dos EUA, da UE e da ONU) para detectar e bloquear operações com risco de sanções. É uma obrigação crítica: seu descumprimento gera responsabilidade legal grave e bloqueios por parte dos bancos correspondentes.
Sim, nas plataformas reguladas. O AMLR proíbe, a partir de 2027, as contas de criptoativos anônimas e as moedas com anonimato reforçado (como Monero ou Zcash) nos prestadores autorizados da UE, que deverão identificar plenamente seus clientes.
Eles se complementam: o MiCA regula os serviços e os emissores; a Travel Rule regula as informações que acompanham cada transferência; e o pacote AML fixa as obrigações de prevenção à lavagem de dinheiro. Um bom programa de compliance integra tudo isso em um único sistema.
O KYT (Know Your Transaction) é a análise de risco das transações e dos endereços: clustering, exposição a recursos ilícitos (hacks, ransomware, sanções), detecção de mixers e scoring. É a camada técnica que alimenta os alertas e as evidências do programa.
A AMLA é a nova Autoridade Europeia de Combate à Lavagem de Dinheiro, com sede em Frankfurt, criada pelo Regulamento (UE) 2024/1620. Ela coordenará os supervisores nacionais e supervisionará diretamente um grupo de entidades de alto risco (incluindo grandes CASP) a partir de 2027-2028.
Não. O SEPBLAC continua sendo a Unidade de Inteligência Financeira da Espanha e o interlocutor principal dos sujeitos obrigados, agora sob a coordenação técnica da AMLA. É um modelo de dois níveis: supervisão europeia e supervisão nacional, com o mesmo nível de exigência regulatória.
Montá-lo não é redigir um manual: é avaliar o risco, desenhar controles, estruturar a governança e deixar evidências. A ordem importa, e cada camada se apoia na anterior.
Um manual sem controles operacionais nem técnicos não protege. O que sustenta o compliance é a operação real: onboarding, monitoramento, alertas e evidências.
A abordagem baseada em risco não é intuição: é um scoring com fatores definidos e decisões registradas, que permite justificar cada medida perante um supervisor.
Sem um Compliance Officer com autoridade nem processos de escalonamento, as políticas não se transformam em decisões. A governança é o que faz o sistema funcionar.
Quer situar isso no marco completo? Veja o novo pacote AML (AMLR), a Travel Rule e a licença CASP (MiCA).
Construímos o programa como uma sequência ordenada (diagnóstico e RBA, políticas, KYC e monitoramento, Travel Rule e sanções e governança e treinamento) sem travar a sua operação.
1) Diagnóstico + RBAAnalisamos seu modelo de negócio, seus fluxos e suas contrapartes e construímos a matriz de riscos que orienta todo o programa.
2) PolíticasRedigimos o manual AML/CFT e os procedimentos operacionais: dados, validações, escalonamentos, bloqueios e conservação de evidências.
3) KYC + monitoramentoDesenhamos o onboarding escalonado por risco e as regras de monitoramento on-chain (KYT), com gatilhos para diligência reforçada ou bloqueio.
4) Travel Rule + sançõesIntegramos a transferência de dados entre prestadores, o screening de sanções (OFAC, UE, ONU) e o procedimento de comunicação de operações suspeitas.
Decisão rápidaOnboarding em massa, monitoramento e reporting: programa completo com automação.
Foco em controles técnicos, segregação e coerência contábil.
Abordagem baseada em risco, monitoramento on-chain e gestão de fornecedores.
Compliance Officer com autoridade e comitês de controle.
Quem decide e responde.
Risco avaliado e documentado (RBA), não intuitivo.
Justifica cada medida.
Identidade, beneficiário final e diligência conforme o risco.
A porta de entrada.
Alertas, investigação e comunicação de suspeitas.
Detecção e reporte.
Evidências e logs conservados e acessíveis.
A prova perante a inspeção.
Quase todos nascem de ter “o papel” sem a operação e a governança por trás.
Os termos que aparecem repetidamente ao desenhar e auditar um programa de compliance para criptoativos.
Prevenção à lavagem de dinheiro e ao financiamento do terrorismo. O núcleo normativo do programa.
Know Your Customer: identificação e verificação do cliente no onboarding, com avaliação de risco.
Know Your Business: verificação da empresa cliente, de sua estrutura e de seus beneficiários finais (UBO).
Risk-Based Approach: classificar clientes e transações por risco e aplicar medidas proporcionais.
Enhanced Due Diligence: medidas adicionais para relações ou operações de maior risco.
Comunicação à autoridade (na Espanha, o SEPBLAC) quando há sinais de lavagem de dinheiro ou de financiamento do terrorismo.
Virtual Asset Service Provider: prestador de serviços de ativos virtuais, segundo o GAFI.
Prestador de serviços de criptoativos segundo o MiCA. O equivalente europeu do VASP.
Know Your Transaction: análise de risco de transações e endereços (clustering, exposição ilícita).
Verificação de clientes e endereços nas listas OFAC, UE e ONU, com bloqueio das operações de risco.
Responsável pelo compliance, com autoridade e independência, que coordena a RBA, as SARs e a relação com os supervisores.
Regulamento (UE) 2024/1624: o “código único” antilavagem, aplicável a partir de 10 de julho de 2027, que transforma os CASP em sujeitos obrigados.
Diga-nos que tipo de entidade você é (exchange, custodiante, VASP, DeFi, gateway fiat-cripto), em quais jurisdições opera e o que já tem implementado. Indicamos por onde começar e o que priorizar com vistas a 2027.
Um programa de compliance para criptoativos integra políticas, controles operacionais, controles técnicos e governança para cumprir as obrigações de prevenção à lavagem de dinheiro (AML/CFT), sanções e proteção de dados. Na Espanha, a referência é a Lei 10/2010, sob a supervisão do SEPBLAC; na UE, o MiCA e a Travel Rule (Regulamento (UE) 2023/1113, aplicável desde dezembro de 2024); e o padrão internacional é fixado pelo GAFI (FATF).
O pacote AML europeu tem três peças: o AMLR (Regulamento (UE) 2024/1624), o “código único” de obrigações, de aplicação direta a partir de 10 de julho de 2027, que estende a condição de sujeito obrigado aos prestadores de serviços de criptoativos (CASP); a sexta diretiva (Diretiva (UE) 2024/1640), sobre registros, supervisão e sanções; e o regulamento que cria a AMLA (Regulamento (UE) 2024/1620), a nova autoridade europeia com sede em Frankfurt. O SEPBLAC continuará sendo o interlocutor nacional, sob a coordenação da AMLA.
Textos de referência: AMLR (Regulamento (UE) 2024/1624), Regulamento (UE) 2023/1113 (Travel Rule) e o supervisor nacional, o SEPBLAC. Esta página é informativa e não constitui assessoria jurídica; cada entidade deve analisar seu caso individualmente.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .