Os EUA finalizam as regras para os bancos sobre como manter criptomoedas sem ultrapassar o limite

O Federal Reserve, a Federal Deposit Insurance Corporation e o Office of the Comptroller of the Currency divulgaram oficialmente novas instruções sobre como os bancos podem lidar com serviços de custódia de criptomoedas sem infringir quaisquer limites regulatórios.

As agências, atuando sob a administração dodent Donald Trump, emitiram uma declaração conjunta na segunda-feira, explicando exatamente como as instituições financeiras tradicionais devem gerenciar os ativos em criptomoedas de seus clientes.

Segundo o comunicado analisado pelo Cryptopolitan, essas novas instruções substituem avisos e restrições anteriores que dificultavam a entrada dos bancos no mercado de criptomoedas.

A atualização surge poucos meses depois de os reguladores terem revogado, em abril, as orientações anteriores sobre os riscos relacionados com criptomoedas e anulado a diretiva de 2022 que obrigava os bancos a notificar os reguladores antecipadamente antes de se envolverem em qualquer atividade com criptomoedas.

A partir de agora, as operações com criptomoedas serão monitoradas como parte da supervisão de rotina, assim como qualquer outra atividade bancária. As agências alertaram que qualquer banco que entre na custódia de criptomoedas deve entender o que está fazendo e desenvolver sistemas capazes de lidar com isso.

Os órgãos reguladores exigem sistemas internos rigorosos antes do início da custódia

Os reguladores deixaram claro que a custódia de criptomoedas significa ter o controle das chaves criptográficas que dão acesso a esses ativos, e que esse controle deve atender a todas as leis e regulamentações pertinentes.

Antes mesmo de lançar serviços de custódia, espera-se que os bancos avaliem como essas operações se encaixam em seu perfil e estratégia de risco geral. Eles precisam conhecer a tecnologia, manter-se atualizados sobre as práticas do setor e estar preparados para imprevistos.

“Uma avaliação de risco eficaz consideraria aspectos como os principais riscos financeiros da organização bancária, tendo em conta a sua direção estratégica e o modelo de negócio”, afirmaram as agências em comunicado conjunto.

Todos os funcionários, sejam eles executivos ou da área de TI, devem ter o treinamento e o conhecimento operacional necessários para administrar os serviços de custódia de criptomoedas adequadamente. O comunicado acrescentou que todos os setores do banco devem ser capazes de "estabelecer capacidade operacional adequada e controles apropriados para conduzir a atividade de forma segura e sólida". Sem essa base, eles simplesmente não estão autorizados a oferecer esses serviços.

As diretrizes também exigem planos de contingência. Isso significa ter um plano concreto para quando os sistemas falharem ou se um de custódia de criptomoedas apresentar problemas. Isso não é opcional. Deve ser incorporado à estrutura do banco desde o início. As agências afirmaram que toda a estrutura deve ser flexível o suficiente para se adaptar ao cenário de criptomoedas em constante mudança. O que funciona hoje pode não funcionar amanhã.

Os bancos podem recorrer a ajuda externa, mas permanecem totalmente responsáveis

Os bancos estão autorizados a trabalhar com empresas terceirizadas para a custódia de criptomoedas — como o uso de subcustodiantes ou provedores de tecnologia. No entanto, a declaração enfatizou que os bancos continuarão sendo os únicos responsáveis. "De acordo com os termos e condições do contrato com o cliente, a instituição bancária é responsável pelas atividades realizadas pelo subcustodiante", afirmaram os reguladores.

Essa responsabilidade abrange tudo, desde quais criptoativos o banco suporta até como funciona a tecnologia do subcustodiante. Mesmo que a maior parte do trabalho seja feita por terceiros, o banco deve realizar a devida diligência antecipadamente.

Isso significa verificar como as chaves são criadas, armazenadas e excluídas, e confirmar se o subcustodiante utiliza medidas de segurançatron. Espera-se também que os bancos analisem o que aconteceria com os ativos dos clientes caso o subcustodiante falisse ou enfrentasse problemas operacionais.

Os reguladores também abordaram outra configuração comum: quando um banco realiza a custódia internamente, mas ainda utiliza tecnologia de terceiros. Seja software, hardware ou qualquer outra coisa, espera-se que os bancos avaliem os riscos. 

Isso inclui decidir se é mais seguro construir seus próprios sistemas ou depender de ferramentas de terceiros. A declaração dizia: “O gerenciamento eficaz de riscos... geralmente inclui ponderar os riscos de adquirir software ou hardware de terceiros versus manter esse software ou hardware como um serviço.”

A auditoria também entrou na lista de requisitos. As agências afirmaram que os bancos devem criar programas de auditoria específicos para suas operações de custódia de criptomoedas. Isso inclui a revisão dos processos de geração, armazenamento e exclusão de chaves, a verificação dos controles de transferência e a garantia de que os sistemas de TI atendam aos padrões de segurança. Essas auditorias também devem avaliar se a equipe possui as habilidades necessárias para gerenciar os riscos relacionados a criptomoedas e, caso contrário, deve-se contratar ajuda externa.

“Quando a organização bancária não possui experiência em auditoria, a administração deve contratar recursos externos adequados, com independência suficiente, para avaliar as operações de custódia de criptoativos”, afirmaram as agências.