QUANDO NÃO EXISTIA UM MANUAL: REFLEXÕES SOBRE A IMPLANTAÇÃO DE OPERAÇÕES COM ATIVOS VIRTUAIS EM INSTITUIÇÕES FINANCEIRAS
Em 2018, eu ocupava a cadeira de Diretora de Jurídico e Compliance de uma empresa de ativos virtuais. Naquela época, a maior parte das perguntas que chegavam à minha mesa simplesmente não tinha resposta. Não porque eu não soubesse respondê-las. Mas porque ninguém sabia.
Não existia licença. Não existia um marco regulatório. Não existia um manual.
E talvez tenha sido justamente por isso que aprendi uma das maiores lições da minha carreira: a governança sempre chega antes da regulamentação. Na prática, precisávamos construir um modelo de governança para um negócio que ainda estava sendo descoberto. Naquela época, eu imaginava que, quando a regulamentação chegasse, essas discussões desapareceriam.
Hoje, acompanhando instituições que começam a implantar operações com ativos virtuais, percebo que elas continuam exatamente onde sempre estiveram. A diferença é que agora temos regras. Mas as perguntas continuam sendo as mesmas.
Talvez o maior equívoco seja imaginar que a regulamentação resolve problemas de implantação de uma nova operação. Não, ela resolve problemas de conformidade. Implantação é outra conversa.
O que significa implantar uma operação com ativos virtuais?
Antes mesmo de discutir blockchain, stablecoins ou tokenização, uma instituição financeira precisa responder perguntas muito mais fundamentais:
• O que exatamente estamos oferecendo?
• Onde essa operação se encaixa dentro da estrutura da instituição?
• Quem será responsável por ela?
• Ela será tratada como um novo produto ou como uma nova linha de negócios?
Talvez esse seja o primeiro erro que vejo com frequência. Confundir implantação tecnológica com implantação organizacional.
A primeira discussão nunca é tecnológica
Quando as pessoas imaginam uma operação com ativos virtuais, normalmente pensam em blockchain, wallets, parceiros tecnológicos. Na prática, minhas primeiras reuniões sempre foram sobre papéis e responsabilidades.
Quem decide? Quem aprova? Quem monitora? Quem comunica um incidente? Quem pode interromper uma operação? Quem assume determinado risco?
Lembro de uma das primeiras reuniões. Alguém perguntou: “Quem vai aprovar o balanceamento entre a cold e a hot wallet?”
Ficamos alguns segundos em silêncio. Não existia resposta. Não porque faltasse boa vontade. Mas porque ninguém havia pensado naquela pergunta antes. Foi ali que eu percebi que governança não é um conjunto de políticas.
Governança começa quando alguém precisa tomar uma decisão e ninguém sabe quem deveria tomá-la. A tecnologia entra depois que a governança já começou a ser desenhada e, felizmente, tem sido o menor problema.
O primeiro desafio é entender quais riscos realmente existem
Esse talvez tenha sido o maior aprendizado da época. Na ausência de regulamentação, não podíamos simplesmente copiar um manual. Precisávamos entender o negócio. E o negócio era baseado em um robô de arbitragem de bitcoins em alta frequência e eu não tinha a menor ideia de que cara tinha um robô de arbitragem…
Eu sou advogada. Nunca tinha visto um robô de arbitragem. Nunca tinha acompanhado uma operação de alta frequência. Nunca tinha analisado um fluxo financeiro que acontecia simultaneamente em corretoras espalhadas pelo mundo. E, naquele momento, eu tinha duas opções. Fingir que entendia, ou aprender o negócio antes de escrever a primeira política.
E então, precisava descobrir quais riscos eram novos, quais riscos eram exatamente os mesmos de qualquer operação financeira, quais controles tradicionais continuavam fazendo sentido e quais precisavam ser adaptados.
Foi aí que percebi algo que continuo repetindo até hoje: compliance não nasce da norma. Nasce da compreensão do risco. Precisei entender todos os riscos associados a uma operação de realizar arbitragem em alta frequência com um robô, em plataformas de terceiros. Só pela descrição já se percebe que os riscos eram diversos.
Além disso, recebíamos recursos de diversos clientes diferentes, em Reais e em Ativos Virtuais, ou seja, havia o risco do recebimento desses recursos. Outro risco importante a ser administrado.
E como era um negócio novo, cada semana descobríamos um risco novo diferente. Toda sexta-feira eu tinha a sensação de que o mapa de riscos estava desatualizado. Não porque o compliance estivesse errado. Mas porque o negócio ainda estava nascendo e nos mostrando a cada dia suas diferentes facetas.
Uma semana discutíamos risco operacional. Na outra, surgia um risco tecnológico que ninguém havia considerado. Depois aparecia um parceiro internacional custodiante com um questionário gigante de onbording, com requisitos de um país onde esse tema já estava regulado. Depois uma exchange que só abria conta em nome de pessoa física, e não podíamos transacionar recursos de clientes em uma conta aberta da pessoa física do sócio. Depois um novo fluxo financeiro, e assim por diante.
Percebi que, naquele tipo de negócio, o mapa de riscos nunca era um documento acabado. Era um organismo vivo. Foi ali que deixei de enxergar o mapa de riscos como um documento. Passei a enxergá-lo como uma fotografia.
E fotografias envelhecem.
O erro de criar uma empresa paralela dentro da instituição
Vejo algumas instituições tratarem ativos virtuais como uma exceção permanente. Criam fluxo, processo, comitê e linguagem diferentes. Mas será que esse é o caminho? Ou o desafio é justamente integrar essa nova atividade à estrutura de governança já existente com adaptações necessárias?
Entender como a operação de ativos virtuais vai se encaixar dentro da instituição é fundamental para desenhar seu fluxo e isso é muito estratégico e deve ser discutido estrategicamente, não apenas em nível operacional.
O Conselho faz perguntas diferentes das áreas técnicas
Foi ali que descobri que Conselho e Compliance fazem perguntas completamente diferentes.
Eu perguntava: Como funciona essa operação? O Conselho perguntava: Vale a pena fazer essa operação?
Eu perguntava: Como controlamos esse risco? O Conselho perguntava: Queremos assumir esse risco?
Foi uma das maiores lições da minha carreira. Governança não existe para responder perguntas técnicas.
Ela existe para tomar decisões.
O maior erro é começar pelas políticas
Minha impressão é que muitas instituições começam escrevendo documentos. Mas políticas não criam governança. Elas documentam decisões que já foram tomadas e processos que já foram discutidos. Antes de criar políticas é preciso, ao menos, discutir processos.
Começar esse processo escrevendo políticas é desviar a atenção daquilo que é realmente importante, que é entender o fluxo, os riscos e aí sim desenvolver os processos ideais. Não é possível criar políticas antes de entender quais são os processos necessários para evitar os riscos.
O que mudou depois da regulamentação?
A regulamentação resolveu muitas dúvidas. Mas não resolveu perguntas sobre como organizar as áreas, integrar tecnologia e compliance, envolver auditoria, desenhar responsabilidades ou preparar o Conselho.
Essas continuam sendo decisões estratégicas da instituição e é fundamental se debruçar sobre elas. E esse é um exercício que envolve todo mundo, operação e estratégico, porque já vimos que são perguntas e demandas diferentes, mas que se complementam.
Conclusão
Depois de viver esse processo em um momento em que praticamente não existiam respostas prontas, talvez eu tenha aprendido que implantar uma operação com ativos virtuais nunca foi um exercício de interpretação normativa.
Sempre foi um exercício de desenho organizacional. A regulamentação trouxe segurança jurídica. Mas continua sendo a governança que determina se uma operação será sustentável no longo prazo.
Hoje existe regulamentação, consultas públicas, exigências prudenciais, manuais. Tudo isso é um enorme avanço. Mas continuo acreditando na mesma coisa que aprendi quando nenhuma dessas respostas existia.
A regulamentação pode dizer o que uma instituição deve fazer. Mas ela nunca dirá como aquela instituição deve decidir.
E talvez seja justamente aí que a governança continue sendo o maior desafio.
| Cinco perguntas que eu faria antes de implantar qualquer operação com ativos virtuais |
| 1. Quem será o verdadeiro dono da operação dentro da instituição? |
| 2. Quais riscos realmente são novos? |
| 3. Quais decisões ainda não têm um responsável claramente definido? |
| 4. O Conselho entende o modelo de negócio ou apenas aprovou o projeto? |
| 5. Estamos desenhando processos ou apenas escrevendo políticas? |
Emília Malgueiro Campos © 2026
