Defina o caso de uso da exchange para a equipe de compliance
Uma equipe de compliance deve começar com uma pergunta simples: qual tarefa essa exchange vai cumprir? Se a resposta for “tudo”, o projeto já está mal definido.
Para a maioria das empresas, a exchange não é um brinquedo para mesas de trading. Ela dá suporte à análise de onboarding, ao monitoramento contínuo, à aplicação de políticas ou a investigações — e esses quatro casos de uso puxam em direções diferentes. Uma equipe que trata alertas para 50 clientes por semana não precisa do mesmo fluxo de trabalho de uma mesa que movimenta fundos entre 3 jurisdições antes do almoço.
Escreva o caso de uso em uma página. Depois elimine tudo o que não apoiar essa página.
Isso importa porque, muitas vezes, as equipes de compliance herdam a linguagem dos traders. O trader se preocupa com velocidade e execução; a equipe de compliance se preocupa com trilhas de auditoria, permissões e com a capacidade de um revisor explicar uma decisão seis meses depois sem precisar adivinhar.
Se sua empresa está se perguntando como escolher exchange de criptomoedas para compliance, comece separando suporte operacional de conveniência para trading. Um painel bonito é útil. Um conjunto de controles realmente utilizável é melhor.
Mapeie os controles exigidos às políticas internas e às obrigações regulatórias
Transforme o texto da política em uma checklist. Isso parece entediante — e é —, mas é nela que o trabalho real começa.
Suas regras de AML/KYC devem ser vinculadas a recursos específicos da exchange: quais campos de identidade são coletados, quem pode aprovar exceções, que tipo de triagem de sanções existe e o que acontece quando uma wallet dispara uma regra de risco. Obrigações de travel rule, prazos de retenção de registros e limites de escalonamento devem aparecer ao lado desses controles no mesmo documento. Em especial, vale exigir que os controles de AML KYC em exchange de criptomoedas estejam claramente documentados e rastreáveis até as políticas internas.
Não pare em “a exchange oferece suporte a compliance”. Pergunte quais obrigações ela suporta, pelo nome. Se a sua política diz “reter registros de transações por 7 anos”, então a exchange deve mostrar onde esses registros ficam e como podem ser exportados.
Um método prático é montar uma tabela com três colunas: item da política, controle da exchange, fonte de evidência. Simples. Difícil de falsificar.
| Requisito interno | Capacidade da exchange | Evidência a solicitar |
|---|---|---|
| Revisão AML | Sinais de risco e alertas | Exemplo de saída de alerta |
| Aprovação KYC | Fluxo de aprovação baseado em funções | Matriz de permissões |
| Triagem de sanções | Triagem de wallets ou endereços | Nota sobre a metodologia de triagem |
| Retenção de registros | Logs e arquivos para download | Trecho da política de retenção |
Se você já tem um modelo de risco de fornecedor, reutilize-o. Se não tiver, aproveite a lógica de uma boa checklist de controles, como esta checklist de segurança de exchange de criptomoedas, e adapte-a para operações de compliance, não para usuários de varejo.
Verifique controles de identidade, acesso e permissões prontos para auditoria
O controle de acesso é onde muitas avaliações de exchange falham. O problema raramente é falta de recursos. O problema é um recurso que existe, mas não consegue ser explicado em uma auditoria.
Procure acesso baseado em funções, segregação de funções, cadeias de aprovação e logs detalhados de atividade do usuário. O responsável de compliance que aprova uma conta não deve ser a mesma pessoa que altera a regra de risco subjacente sem revisão. Essa separação parece óbvia. Muitos sistemas ainda a embaralham.
Peça uma matriz de permissões com funções nomeadas: revisor, aprovador, auditor, administrador e usuário somente leitura. Depois teste um caso-limite. Um analista júnior consegue visualizar um caso sem alterá-lo? Um administrador consegue redefinir credenciais sem deixar rastros? Essas não são perguntas teóricas.
Os logs de atividade devem mostrar quem fez o quê, quando e de onde. Um log que diz “usuário atualizou configuração” é vago demais. Um log que inclui a ação exata, o carimbo de data/hora, o objeto afetado e o valor anterior é muito melhor.
Em resumo: se a plataforma não consegue sustentar uma auditoria, ela não consegue sustentar compliance.
Avalie recursos de monitoramento, triagem e gestão de casos
Monitoramento não é uma única ferramenta. É uma sequência: triar, sinalizar, investigar, documentar, escalar. A exchange deve dar suporte a essa sequência, ou ao menos se encaixar nela sem obrigar a equipe a fazer trabalho manual a cada alerta.
Verifique se a exchange oferece triagem de wallets, sinalização de transações, indicadores de risco de endereço, alertas e suporte à investigação. Um alerta útil diz ao revisor por que a transação foi sinalizada, não apenas que foi sinalizada. O motivo importa. A repetibilidade também.
A gestão de casos costuma ser negligenciada. Uma equipe de compliance pode precisar atribuir um caso a um analista, solicitar uma segunda revisão, adicionar notas, anexar evidências e encerrar o caso com um código de motivo. Se a exchange não tiver espaço para essas etapas, a equipe acaba usando e-mail, planilhas e memória. Isso funciona exatamente até parar de funcionar.
Peça uma demonstração ao vivo usando um caso de exemplo. Uma wallet recebe fundos de um endereço triado, e depois ocorre uma segunda transferência 12 minutos depois. O que o sistema mostra? Quem recebe o alerta? O revisor pode congelar o caso enquanto a investigação está aberta? Esses detalhes dizem mais do que qualquer apresentação comercial.
Se você precisar de uma estrutura mais ampla para avaliar controles de exchange, o guia sobre como verificar se uma exchange de criptomoedas é legítima pode ajudar a checar fatos básicos antes mesmo de chegar à demonstração de triagem.
Teste os fluxos de captura de evidências, relatórios e retenção
Evidência é o ponto central. Uma boa exchange produz registros que resistem a questionamentos de auditoria, jurídico e reguladores.
Confirme como a exchange lida com registros para download, logs com carimbo de data/hora, dados acessíveis por API e períodos de retenção necessários para auditorias, revisões internas e solicitações regulatórias. Uma exportação limpa é melhor do que uma tela bonita. Capturas de tela envelhecem mal; arquivos, não.
Verifique se os dados podem ser exportados em um formato que sua equipe realmente usa. CSV é comum. PDF é útil para assinaturas. O acesso por API é melhor quando seus sistemas precisam de extrações regulares sem cópia manual. Se a exportação omite carimbos de data/hora ou IDs de usuário, peça uma amostra com esses campos visíveis.
Retenção não é detalhe secundário. Se a exchange mantém logs por 90 dias e sua política exige 7 anos, a ferramenta já falha antes do início da implementação. Essa lacuna é cara, e não só em dinheiro. Ela gera retrabalho, exceções e conversas desconfortáveis com examinadores.
Aqui vai um teste prático: solicite um mês de atividade de exemplo e veja se a equipe consegue reconstruir a trilha de revisão em menos de 1 hora. Se a resposta for não, o fluxo de relatórios é fraco demais.
Revise governança do fornecedor, segurança e termos de resposta a incidentes
A exchange é uma dependência de terceiros, então a governança importa tanto quanto a funcionalidade. Uma equipe de compliance só pode aprovar uma plataforma se o contrato e os termos operacionais derem suporte a essa aprovação.
Examine tratamento de dados, notificação de incidentes, subprocessadores, recuperação de conta e caminhos de escalonamento. Pergunte quem é notificado primeiro após um incidente, qual janela de tempo se aplica e se a notificação inclui as categorias de dados afetadas. Um dia é diferente de cinco. “Vamos notificar” também é diferente de “vamos notificar por escrito em até 24 horas”.
Os subprocessadores merecem atenção. Se a exchange compartilha dados com outro provedor para armazenamento, triagem ou suporte, sua equipe deve conhecer o nome, a localização e o papel desse provedor. Cadeias ocultas de dependência são incômodas nos negócios em geral. Em trabalho de compliance, podem virar achado.
A recuperação de conta também precisa de um caminho documentado. Se um administrador de compliance ficar bloqueado, quem pode restaurar o acesso e quais etapas de verificação são necessárias? A resposta não deve depender da memória de um único funcionário.
Uma verificação externa útil é comparar a exchange com um modelo básico de due diligence, de forma semelhante a como traders comparam plataformas em um guia geral como como escolher uma exchange de criptomoedas. Equipes de compliance precisam do mesmo rigor, só que com mais papelada e menos desculpas.
Valide a aderência da implementação às operações de compliance
Bons controles falham se não se encaixarem nas ferramentas diárias da equipe. Essa é a parte que muitos fornecedores ignoram.
Verifique como a exchange vai se integrar a sistemas de tickets, GRC, SIEM ou gestão de casos, e se a equipe consegue executar um piloto controlado com critérios de aceitação documentados antes da implementação. Se sua equipe usa ServiceNow, Jira ou outra fila interna, pergunte como os alertas chegam até lá. Redigitação manual de 30 alertas por dia não é um piloto. É um plano de contratação oculto.
Defina critérios de aceitação antes de a primeira conta de teste entrar em produção. Exemplos: entrega de alertas dentro de um prazo definido, sucesso da exportação em um arquivo de amostra, logs de alteração de permissões visíveis para auditores e um plano de reversão caso uma integração quebre. Coloque os critérios por escrito. Depois avalie o piloto com base neles.
Teste a implementação com membros reais da equipe, não apenas com o fornecedor. Um analista deve revisar um caso. Um gerente deve aprová-lo. Um auditor deve tentar recuperar a evidência. Se qualquer uma dessas etapas travar, a aderência é incompleta.
Este também é o ponto em que um link interno pode ajudar sua equipe a padronizar a linguagem. O artigo sobre o que torna uma exchange de criptomoedas a melhor opção é voltado para iniciantes, mas a estrutura é útil para pensar em usabilidade, suporte e atrito básico de fluxo de trabalho.
Crie uma estrutura de aprovação para revisão contínua
A aprovação de uma exchange não deve ser um carimbo único. As políticas mudam. Os reguladores mudam. Seu negócio também muda.
Estabeleça um processo de revisão recorrente ligado a mudanças de política, achados de auditoria e atualizações regulatórias. Uma revisão trimestral é comum em muitas empresas, mas a cadência deve acompanhar seu risco e volume de transações. Se a exchange adicionar um novo recurso ou trocar um subcontratado, essa revisão deve ocorrer antes do próximo trimestre.
Use uma estrutura simples: reavaliar controles, reavaliar evidências, reavaliar termos de incidentes, reavaliar papéis de acesso. Se algum item falhar, documente a lacuna e atribua um responsável com prazo. “Vamos ver isso depois” não é um controle.
Mantenha um registro de mudanças da própria aprovação. Anote a data, o revisor, o problema encontrado, a medida de correção e o status final. Uma página basta. Dez páginas também servem, mas só se as pessoas realmente lerem.
As melhores aprovações permanecem válidas porque alguém é responsável por elas. Sem um responsável, a exchange se afasta silenciosamente da política. Com um responsável, a revisão passa a fazer parte da operação normal — que é exatamente onde ela deve estar.
