Compliance para empresas que operam com ativos digitais

A empresa que apenas usa ativos digitais, por exemplo mantendo-os no caixa ou recebendo um pagamento, não está sujeita, só por isso, às exigências feitas às prestadoras de serviços de ativos virtuais. Essas exigências recaem sobre quem executa serviços em nome de terceiros. Mesmo assim, a usuária tem deveres próprios de governança, registro contábil, informação fiscal, proteção de dados e, em certos casos, prevenção à lavagem de dinheiro. Este texto separa os dois planos; o enquadramento de cada empresa exige análise jurídica e contábil.

Usuária ou prestadora: a pergunta que organiza o resto

A Lei nº 14.478/2022 (art. 5º) considera prestadora de serviços de ativos virtuais a pessoa jurídica que executa, em nome de terceiros, ao menos um destes serviços: troca entre ativos virtuais e moeda, troca entre ativos virtuais, transferência, custódia ou administração de ativos virtuais (ou de instrumentos que permitam controlá-los), ou participação em serviços financeiros relacionados à oferta de um emissor ou à venda de ativos virtuais. Prestadoras dependem de autorização prévia de órgão federal e, no desenho atual, do Banco Central, que regulamentou o tema nas Resoluções BCB 519, 520 e 521, de 10/11/2025.

Uma empresa que opera por conta própria (tesouraria, pagamentos de fornecedores, recebimentos de clientes) tende a estar fora dessa definição. O risco aparece quando ela passa a guardar ativos de clientes, intermediar trocas ou transferir valores para terceiros: nesse ponto o modelo de negócio pode se aproximar do de prestadora. Essa fronteira é questão jurídica de caso concreto.

A tabela é síntese da redação, não classificação oficial.

O que se exige de prestadoras: um parâmetro útil, não uma obrigação da usuária

A Resolução BCB 520/2025 serve de referência do que o regulador considera um conjunto mínimo de controles, mesmo quando a empresa usuária não está obrigada a segui-lo:

• Governança e políticas. A prestadora deve manter atualizadas e à disposição do Banco Central políticas sobre conduta de colaboradores, monitoramento de operações, combate a fraudes, gestão de riscos e continuidade, gestão de terceiros, guarda das chaves privadas, PLD, segurança institucional e cibernética (art. 43), além de política de governança (art. 16).
• Responsável nomeado. É exigida pessoa tecnicamente qualificada responsável pelas operações de cada área de atividade (art. 26).
• Terceiros. Ao contratar serviços relevantes, a prestadora deve verificar a capacidade do contratado, manter planos de recuperação e estabelecer controles para identificar listas de sanções e endereços de carteira sancionados (art. 34).
• Guarda de chaves e alçadas (os modelos de custódia têm artigo próprio). Políticas de guarda com regras de acesso e alçadas e, se houver chaves múltiplas, armazenadas em locais diferentes (art. 49).
• Auditoria. Auditoria independente bienal, com asseguração razoável, sobre os ativos virtuais da prestadora e de seus clientes.

Uma empresa usuária pode adaptar essas ideias ao seu porte; a norma não as impõe a ela.

O que a empresa usuária deve observar

Política e governança interna

Defina por escrito quais ativos, quais contrapartes, quais limites e quem aprova, executa e concilia. O conteúdo sobre etapas de avaliação para adoção de ativos digitais detalha esse roteiro. A política precisa ser compatível com o estatuto ou contrato social e com eventuais exigências de investidores, credores e auditores.

Prevenção à lavagem de dinheiro

A Lei 9.613/1998 impõe deveres de identificação de clientes, manutenção de registros e comunicação de operações suspeitas às pessoas listadas no art. 9º, e a Lei 14.478/2022 incluiu as prestadoras de serviços de ativos virtuais nessa lista (art. 9º, parágrafo único, inciso XIX). Se a empresa não está entre as pessoas obrigadas, esses deveres legais específicos não incidem sobre ela por esse motivo. Isso não impede que ela, por prudência e por exigência de bancos e prestadoras com quem opera, verifique a origem dos recursos, a identidade das contrapartes e, quando disponível, listas de sanções. Se a atividade da empresa se enquadra em alguma das hipóteses do art. 9º, a análise muda e deve ser feita por advogado.

Informação à Receita Federal

A Receita Federal divulga os atos da Declaração de Criptoativos (DeCripto), tratada pela IN RFB nº 2.291/2025, que substituiu a sistemática anterior; os efeitos dos dispositivos sobre as informações operacionais (arts. 7º, 9º e 18) começam em 1º de julho de 2026, data que o manual de leiaute da Receita também adota. Segundo a reprodução do texto do DOU lida para este conteúdo (art. 5º), estão obrigadas as prestadoras e também as pessoas físicas e entidades residentes ou domiciliadas no Brasil nas operações feitas por prestadora no exterior, plataforma descentralizada ou fora de prestadora, quando o valor mensal for maior que R$ 35 mil. Assim, uma empresa pode, em tese, estar entre as obrigadas; o alcance de “entidade” e o cálculo do valor mensal devem ser confirmados no texto oficial vigente e com profissional. Também é necessário verificar, com contador ou advogado tributarista, como a tributação de cada operação é tratada, pois a DeCripto trata de prestação de informações e não define, por si, a incidência de tributos.

Contabilidade

A decisão do Comitê de Interpretações do IFRS, de junho de 2019, concluiu que, para as criptomoedas que descreve, aplica-se a IAS 2 (Estoques) quando mantidas para venda no curso normal dos negócios e, caso contrário, a IAS 38 (Ativos Intangíveis). O Comitê também lembra a divulgação de julgamentos relevantes e, quando houver mensuração a valor justo, a divulgação do IFRS 13. No Brasil, o CPC 04 (R1), correlato da IAS 38, exclui de seu alcance os intangíveis mantidos para venda no curso ordinário dos negócios (item 3, “a”), e permite reavaliação apenas com referência a mercado ativo (item 75), quando legalmente permitida. Não localizamos, nas fontes consultadas, norma contábil brasileira específica para criptoativos; o tratamento deve ser definido por contador e validado pelo auditor, e não deve ser tratado como uniforme.

Proteção de dados (LGPD)

Ao coletar dados de clientes, fornecedores e colaboradores para fins de cadastro e verificação, a empresa trata dados pessoais e deve observar os princípios do art. 6º da Lei 13.709/2018, adotar medidas de segurança técnicas e administrativas (art. 46) e comunicar à autoridade nacional e ao titular incidentes que possam acarretar risco ou dano relevante (art. 48). Conciliar registros em blockchain, que em regra não se apagam, com direitos do titular é questão em aberto; por prudência da redação (e não por regra extraída de norma específica), convém evitar gravar dados pessoais em rede pública e submeter o desenho à assessoria de proteção de dados.

Câmbio e operações internacionais

A Resolução BCB 521/2025 incluiu no mercado de câmbio atividades das prestadoras, como o pagamento ou transferência internacional com ativos virtuais (art. 76-A da Resolução BCB 277). A empresa que paga ou recebe do exterior em ativos digitais deve verificar o enquadramento cambial e as informações exigidas.

Checklist de compliance para a empresa usuária

A tabela é síntese da redação e não substitui parecer jurídico ou contábil.

O que não é verdade

• “Quem só usa cripto não tem nenhuma obrigação.” Pode haver obrigações contábeis, fiscais, de proteção de dados e contratuais.
• “Quem usa uma prestadora autorizada está dispensado de controles.” A autorização da contraparte não transfere à empresa a responsabilidade pelo próprio registro e pela própria governança.
• “A DeCripto resolve a questão tributária.” Ela trata de informação, e não da tributação das operações.

O que observar

• Se a empresa presta, ou pode vir a prestar, algum serviço a terceiros com ativos digitais.
• Se a política, a contabilidade e a declaração fiscal foram revisadas por profissionais habilitados.
• Se a prestadora usada tem autorização e como o contrato trata insolvência.
• Se as regras mudam: a regulamentação está em evolução e deve ser revalidada na data da decisão.

Para organizar a revisão de compliance em uma empresa, é possível entrar em contato. Este conteúdo é informativo e não constitui aconselhamento jurídico, contábil, tributário ou de investimento.