O artigo 103 da lei de 2024 estabelece uma base identificável para os ativos virtuais. Este guia transforma sua leitura em perguntas operacionais: quem controla os recursos, quais informações acompanham as transferências, quem decide por um bloqueio e quais provas permanecem disponíveis? Ele não substitui a autorização da autoridade competente nem uma orientação jurídica adequada à empresa.
Em resumo
- O prestador abrangido deve, entre outras medidas, registrar-se e obter uma licença antes do início das operações.
- Uma análise de riscos e informações sobre o originador e o beneficiário integram o marco estabelecido pelo artigo 103.
- Terceirização, interface estrangeira e pagamento móvel não constituem dispensas automáticas.
Regulamentação cripto em Serra Leoa: mapear as funções
Nosso guia sobre critérios e status de plataformas cripto ajuda a começar pelas funções, e não pelas marcas. Um fluxograma operacional deve identificar o cliente, a empresa contratada, o parceiro de pagamentos, o custodiante das chaves e o responsável pela entrega. Sem esse mapa, as obrigações podem se perder entre vários prestadores.
Imagine um projeto fictício: um aplicativo recebe uma solicitação em novos leones, encaminha o dinheiro a um parceiro, compra tokens e os mantém sob custódia até o saque do cliente. Esse modelo não se resume à publicação de uma cotação. Ele envolve pagamento, execução e custódia, com responsabilidades e riscos que precisam ser analisados separadamente.
Para cada função, registre quem toma a decisão e quem detém material ou juridicamente os recursos. Uma empresa pode afirmar que nunca mantém cripto sob custódia e, ainda assim, ter poder de assinatura ou uma instrução decisiva sobre o saque. A análise deve acompanhar os fatos, e não apenas a descrição de marketing ou o nome dado ao contrato de terceirização.
Inclua os agentes e as pessoas que atuam em campo. Um agente que recebe dinheiro em espécie ou usa a própria conta móvel cria uma exposição diferente daquela de um pagamento conciliado diretamente com a conta da empresa. A legalidade do modelo e a responsabilidade de cada envolvido devem ser verificadas antes do recebimento de recursos de clientes, mesmo em uma fase apresentada como experimental.
A lei de 2024 publicada pela FIA define ativo virtual e trata especificamente dos prestadores no artigo 103. Suas definições, seu escopo e os textos complementares devem ser lidos em conjunto. Um protótipo técnico ou um registro comercial, por si só, não comprova o direito de operar todas as funções planejadas.
Transformar o artigo 103 em controles verificáveis
O parágrafo 3 do artigo 103 prevê medidas para identificar, avaliar, administrar e mitigar os riscos mencionados. Ele também exige registro e licença antes do início das operações do prestador abrangido. Portanto, o primeiro documento do processo deve explicar o escopo autorizado, a entidade titular e as atividades efetivamente oferecidas ao público.
Uma análise de riscos não se limita à solicitação de um documento de identidade. Ela deve relacionar clientes, produtos, canais e fluxos aos possíveis cenários de uso indevido. Uma compra por conta própria, uma operação transfronteiriça e transferências repetidas para vários beneficiários não necessariamente expõem o serviço às mesmas situações. Os controles devem ser capazes de justificar essas diferenças.
O texto também trata das informações sobre o originador e o beneficiário nas transferências abrangidas, de sua transmissão imediata e segura e de sua disponibilidade para as autoridades. Isso não significa que dados pessoais devam ser registrados em texto aberto em uma blockchain pública. O sistema deve distinguir o movimento técnico do ativo do canal de transmissão das informações exigidas.
Os princípios de KYC e proteção de dados ajudam a analisar esse último ponto: coleta necessária, acesso limitado, prestadores identificados e tratamento das solicitações. Defina quem pode consultar um documento, quem pode exportá-lo e como um acesso indevido será detectado. Copiar todos os documentos para um aplicativo de mensagens compartilhado não oferece controle suficiente.
O parágrafo 8 estende aos ativos e prestadores abrangidos as obrigações legais de comunicação e monitoramento das entidades envolvidas. Assim, os procedimentos devem identificar as decisões a serem tomadas, seus responsáveis e sua rastreabilidade. Uma ferramenta de filtragem não substitui um processo de tratamento nem a competência de uma pessoa encarregada de analisar um alerta.
Organizar pagamento, custódia e conciliação contábil
A separação entre pagamento móvel e entrega de cripto oferece um ponto de partida para as operações. Uma referência de débito deve ser vinculada a um pedido e à respectiva entrega, sem confusão entre a conta do cliente, a conta de um agente e a conta da empresa. As divergências devem aparecer em um registro, em vez de desaparecer em uma conversa informal.
Use uma unidade monetária explícita em cotações, faturas e conciliações. Em Serra Leoa, documentos antigos e novos podem utilizar escalas diferentes para o leone. Um erro de fator 1.000 distorce os controles de valores tanto quanto as contas. Preserve o valor original e o método de conversão, em vez de substituir um número sem explicar sua origem.
O método de cálculo do custo total de cripto ajuda a distinguir a comissão própria, as tarifas do parceiro e o custo de rede. Essa distinção também é útil para o atendimento ao cliente: um valor faltante não deve ser automaticamente atribuído à blockchain quando resulta de uma margem ou de uma tarifa de saque cobrada pelo operador do serviço.
Na custódia, documente quem autoriza um saque, quem pode alterar um endereço e quais separações de funções impedem que uma única pessoa execute uma operação sensível sozinha. Um registro de auditoria deve permitir reconstruir as decisões sem expor as chaves privadas. Backups, restauração e acesso emergencial exigem procedimentos testados em um ambiente adequado.
Nossa explicação sobre os riscos das carteiras cripto lembra que o controle das chaves cria uma responsabilidade técnica. Uma declaração de conformidade não protege contra a perda de um backup ou um destino incorreto. Da mesma forma, uma infraestrutura tecnicamente robusta não substitui as autorizações e os controles de clientes exigidos para operar o serviço.
Preparar incidentes, monitoramento e responsabilidades
Um cenário de incidente deve especificar as ações autorizadas quando um pagamento chega sem referência, quando um saque falha ou quando uma atividade levanta suspeitas. O serviço deve evitar decisões improvisadas: reembolsar outra pessoa, mudar de rede sem autorização ou contornar controles para acelerar uma entrega. A rapidez comercial não justifica a ruptura da rastreabilidade.
Os artigos 70 e 71 da lei de 2024 tratam do responsável pela conformidade e dos programas internos das entidades abrangidas. Sua leitura ajuda a compreender que a conformidade não pode depender exclusivamente de um prestador de software. A organização deve prever responsabilidades, treinamento e controles adaptados ao seu funcionamento real.
Os artigos 101 e 102 também tratam de determinadas responsabilidades do empregador, do principal e dos administradores nas condições previstas pelo texto. Seria excessivo concluir que existe responsabilidade automática por todo incidente. Seria igualmente imprudente acreditar que um contrato de agente ou uma empresa distinta elimina toda responsabilidade de supervisão.
O relatório do GIABA de 2024 identifica avanços, mas também limitações na data analisada. Uma melhora na avaliação técnica não comprova a eficácia perfeita dos controles de cada empresa. O relatório tampouco constitui uma licença ou garantia pública concedida a um produto comercial.
Por isso, mantenha provas dos testes: alerta fictício, cadastro incompleto, pagamento duplicado, conta comprometida e indisponibilidade de um parceiro. Documente o resultado esperado e o resultado obtido, sem iniciar operações suspeitas reais. Um procedimento escrito, mas impossível de executar com a equipe disponível, cria uma diferença concreta entre a organização anunciada e a proteção efetiva dos clientes.
Definir um dossiê de lançamento e uma revisão periódica
Antes da abertura, reúna a análise jurídica, as autorizações aplicáveis, os contratos com parceiros, o mapeamento dos fluxos e os procedimentos de controle. Inclua também as condições para os clientes, as regras de preços e o tratamento das reclamações. Esse dossiê deve explicar um serviço específico, com seus limites, e não um conceito geral chamado “plataforma blockchain”.
Preveja uma validação quando o modelo mudar: nova rede, custódia de chaves, novo país de clientes ou novo parceiro de pagamentos. Uma autorização para uma atividade limitada não necessariamente cobre a extensão seguinte. Verifique também se uma diretriz mais recente detalha modalidades que a lei estabelece apenas em nível geral.
Para documentos e arquivos, peça a um profissional competente que confirme os prazos e formatos aplicáveis. Deve ser possível reconstruir as operações e proteger os dados, sem inventar um prazo universal para todos os documentos. Organize o acesso aos arquivos, a restauração e a resposta a solicitações legítimas das autoridades conforme as regras efetivamente pertinentes.
Atribua um responsável a cada ação da revisão: quem confirma a licença do parceiro, quem verifica uma alteração contratual e quem autoriza a entrada em produção? Uma data e um responsável permitem acompanhar uma correção. A simples anotação “a verificar” em um documento não protege o cliente quando o pedido seguinte já começa a circular entre as contas.
Por fim, diferencie o lançamento de um serviço financeiro da publicação de um guia informativo. Explicar o Bitcoin não significa automaticamente executar compras para terceiros; receber e movimentar os recursos deles pode mudar a análise. A regulamentação cripto em Serra Leoa deve ser trabalhada a partir dessas funções concretas. O objetivo não é acumular menções tranquilizadoras, mas demonstrar quem atua, sob qual autorização e com quais controles efetivos.
