A conformidade de uma mesa P2P ou OTC autorizada pelo Banco Central custa quatro estruturas permanentes: um programa de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, com identificação de clientes, monitoramento e comunicação ao Coaf; contabilidade no padrão Cosif com auditoria independente; controles internos, gestão de riscos e segurança cibernética documentados; e a governança de administradores aptos, com o capital mínimo mantido. Nenhuma delas é um documento que se entrega uma vez; todas são áreas que funcionam todo mês, e o custo delas é o que decide se a mesa pede a própria autorização ou opera sob estrutura de quem já tem.
A mesa que fatura bem com três pessoas, um grupo de clientes e uma planilha tende a subestimar o que a autorização exige, porque vê a norma como uma lista de documentos. Não é. A Resolução BCB 519/2025 pede comprovação de estruturas que, num banco, são departamentos. E o Banco Central não aprova a estrutura no papel: ele a supervisiona depois, com balancetes mensais, auditoria e a possibilidade de pedir explicação a qualquer momento.
Neste artigo, cada uma das quatro estruturas, o que ela exige na prática de uma mesa, o que custa em gente e sistema, o que a camada fiscal tem a ver com tudo isso e a conta que separa quem pede licença de quem opera sob estrutura autorizada.
Estrutura 1: prevenção à lavagem (PLD/FT)
A PSAV é obrigada pela Lei 9.613/1998 e pela regulamentação do Banco Central a manter um programa de prevenção à lavagem de dinheiro e ao financiamento do terrorismo no padrão das instituições financeiras, alinhado às recomendações do GAFI. Na prática, para uma mesa P2P, isso significa:
- Conhecer o cliente (KYC): identificar cada contraparte, com documento, comprovante e, para valores relevantes, origem dos recursos e capacidade financeira. O cliente “de confiança” que negocia sem cadastro deixa de existir;
- Classificar risco: cada cliente e cada operação recebem um grau de risco, com diligência reforçada para pessoas expostas politicamente, valores altos e padrões atípicos;
- Monitorar: as operações são acompanhadas em busca de indícios de lavagem, como fracionamento, movimentação incompatível com o perfil e uso de terceiros;
- Comunicar ao Coaf as operações suspeitas e as que ultrapassem os limites de comunicação obrigatória, nos prazos da regulamentação;
- Guardar tudo pelo prazo mínimo exigido, com trilha de auditoria.
O que muda no dia a dia da mesa
O cliente que hoje manda um Pix e recebe cripto em dez minutos passa por cadastro, verificação de documento, análise de risco e, em valores altos, por comprovação de origem, antes da primeira operação. O grupo de WhatsApp em que a mesa negocia deixa de ser o registro da operação e vira, no máximo, um canal de atendimento; o registro é o sistema. E a operação atípica, como um cliente novo que quer negociar R$ 500 mil em dinheiro, gera comunicação ao Coaf, não uma negociação de taxa.
A DeCripto já exige parte disso: o Anexo II da IN RFB 2.291/2025 traz procedimentos de diligência no padrão GAFI, e a prestadora reporta as operações identificadas por cliente. A mesa que já entrega a DeCripto direito tem o embrião do KYC; a que não entrega tem o problema em dobro. A relação entre as duas obrigações está em DeCripto para empresas: obrigações da PJ.
Estrutura 2: contabilidade Cosif e auditoria
A PSAV escritura como instituição supervisionada: plano de contas padronizado pelo Banco Central, balancetes mensais enviados ao regulador, demonstrações auditadas por auditor independente registrado e segregação contábil dos ativos de clientes. É a estrutura que mais muda a rotina de uma mesa acostumada a balanço anual e lucro presumido, e a que mais depende da camada fiscal: o balanço que o auditor assina precisa bater com a DeCripto que a Receita recebe e com o resultado que o IRPJ tributa. O detalhe está em o que o Banco Central exige de contabilidade de uma PSAV.
Estrutura 3: controles internos, riscos e segurança
A Resolução 519 exige comprovar gestão de riscos, controles internos e segurança cibernética, além do cumprimento da Lei 13.810/2019, sobre bloqueio de ativos de pessoas sancionadas. Para uma mesa, isso vira:
- Política de gestão de riscos escrita e aplicada: risco de mercado da tesouraria, de liquidez, operacional, de contraparte;
- Controles internos com segregação de funções: quem negocia não é quem liquida, quem liquida não é quem concilia;
- Segurança cibernética no padrão da regulamentação do Banco Central para instituições financeiras: gestão de chaves, autenticação, resposta a incidentes, testes;
- Verificação de sanções em toda contraparte, com bloqueio quando houver determinação;
- Plano de continuidade, para a operação não parar quando um sistema ou uma pessoa parar.
O item 4 é o que menos mesa conhece e o que mais expõe: a Lei 13.810/2019 obriga a cumprir sanções do Conselho de Segurança da ONU, com bloqueio imediato de ativos de pessoas e entidades listadas, e a operação que não checa a lista antes de negociar responde por isso.
A gestão de chaves é o ponto em que cripto é mais exigente do que o sistema financeiro tradicional: a custódia de ativos de terceiros depende de quem controla a chave, e o Banco Central quer saber como, com que redundância e com que segregação.
Estrutura 4: governança e capital
Administradores aptos, com origem lícita de recursos e sem impedimentos, e capital mínimo integralizado e mantido como patrimônio líquido, apurado pela Resolução Conjunta CMN/BCB 14/2025, que segundo a comunicação do Banco Central fica entre R$ 10,8 milhões e R$ 37,2 milhões para as SPSAV conforme as atividades. O capital não é depósito no BC; é dinheiro da empresa, e precisa continuar lá. O cálculo está em capital mínimo de PSAV: como se calcula de verdade.
Quanto isso custa numa mesa?
Não vou cravar valor, porque depende do porte, mas dá para dimensionar em gente e sistema:
| Estrutura | O que exige de forma permanente | Onde a mesa costuma estar hoje |
|---|---|---|
| PLD/FT e KYC | Responsável designado, sistema de cadastro e monitoramento, rotina de comunicação ao Coaf | Cadastro informal, sem monitoramento nem comunicação |
| Cosif e auditoria | Contador habilitado para instituição supervisionada, sistema contábil no padrão, auditor independente contratado | Contador generalista, balanço anual, sem auditoria |
| Controles, riscos e segurança | Políticas escritas, segregação de funções, infraestrutura de segurança, testes periódicos | Uma ou duas pessoas fazendo tudo |
| Governança e capital | Administradores aprovados, capital na casa dos milhões mantido | Sócios operadores, patrimônio de empresa comercial |
O custo de tempo da análise
Há ainda o custo de tempo: a análise do Banco Central pode levar até 360 dias, prorrogáveis por mais 720, segundo leitura de consultoria citada pelo Valor, e as quatro estruturas precisam existir antes do protocolo e ser mantidas durante toda a análise, sem receita adicional para pagá-las.
Somando, é a estrutura de uma instituição financeira pequena, com uma folha que uma mesa de três pessoas não tem e um capital que ela não tem. É por isso que apenas cinco empresas protocolaram pedido de autorização até 18 de setembro de 2026, num mercado de centenas, como comentei em só 5 pedidos de licença no BC a 6 semanas do prazo.
A camada que a mesa consegue resolver primeiro é a fiscal: o Blue Cripto processa as operações em lote, identifica clientes e gera o reporte individualizado que a DeCripto e o KYC pedem. Comece grátis.
Pedir a licença ou operar sob estrutura autorizada?
A conta é a das quatro estruturas contra a receita da mesa. Uma operação que gera margem suficiente para sustentar PLD, Cosif, auditoria, segurança e o capital, e que quer ser uma instituição supervisionada, pede a própria autorização. Uma operação rentável que não sustenta isso, e é a maioria, tem duas saídas: encerrar ou operar sob estrutura de quem já tem as quatro.
O PSAV as a Service que a Blue Consult estruturou com uma instituição financeira e um escritório jurídico especializado é a segunda saída: a mesa mantém os clientes e a relação comercial; a estrutura regulatória, a bancária e o compliance vêm dos parceiros; a Blue entra na camada fiscal e contábil, que é o que fazemos desde 2018. O que não muda é a responsabilidade da mesa pelas próprias obrigações fiscais: DeCripto, apuração do resultado, contabilidade das operações. A conformidade regulatória é fornecida; a fiscal é cumprida.
Na Blue Consult, nunca prometemos enquadramento nem “licença compartilhada” sem análise jurídica do caso concreto. O modelo funciona para operação saudável, com histórico apurável e clientes identificáveis; não funciona para quem quer continuar informal com outro nome. Conteúdo educativo não substitui serviço técnico.
Perguntas frequentes
O que uma PSAV precisa ter de PLD?
Um programa de prevenção à lavagem de dinheiro e ao financiamento do terrorismo no padrão das instituições financeiras, pela Lei 9.613/1998 e pela regulamentação do Banco Central: identificação de clientes (KYC), classificação de risco, monitoramento de operações, comunicação ao Coaf e guarda de registros. É uma estrutura permanente, com responsável designado.
Mesa P2P precisa de auditoria independente?
A PSAV autorizada, sim. As demonstrações contábeis no padrão Cosif são auditadas por auditor independente registrado, com conferência dos ativos em custódia, da segregação e dos controles. É uma das exigências da Resolução BCB 519/2025 para autorização e funcionamento.
Quanto custa a conformidade de uma PSAV?
Não há valor único: depende do porte e das atividades. O que existe são quatro estruturas permanentes (PLD/FT, contabilidade Cosif com auditoria, controles e segurança, governança com capital mínimo), que somadas equivalem à de uma instituição financeira pequena, com folha e capital que a maioria das mesas não tem.
Operar sob estrutura autorizada dispensa a mesa de obrigações?
Das regulatórias e bancárias, que passam a ser fornecidas pela estrutura, sim. Das fiscais, não: a mesa continua responsável pela DeCripto da pessoa jurídica, pela apuração do resultado e pela contabilidade das próprias operações. É por isso que a camada fiscal é parte central do PSAV as a Service, e não um anexo.
Faça a conta das quatro estruturas
Conformidade de PSAV não é um dossiê; é uma folha de pagamento e um capital. Se a sua mesa quer saber se sustenta as quatro ou se cabe numa estrutura que já as tem, fale com a Blue sobre o PSAV as a Service. Imposto de Renda Cripto com Método.
Contador (CRC-DF 028007-O), fundador e CEO da Blue Consult, o maior escritório do Brasil especializado em Imposto de Renda de criptoativos. Desde 2018, a Blue processou mais de 10.000 declarações e analisou mais de R$ 5 bilhões em ativos digitais. Mychel também é cofundador da Tokeniza e mantém o maior acervo de conteúdo sobre IR Cripto do país, com mais de 1.700 vídeos publicados.
