Dossiê de licença: a evidência que a SPA/MF vai pedir

Se o regulador notificar sua operação amanhã pedindo comprovação de conformidade sobre uma obrigação específica, quanto tempo leva até a entrega completa — e quem, dentro da casa, gera cada peça? Este texto é para quem responde por licença, compliance ou operação e precisa transformar a lista de obrigações em rotina com dono, prazo e trilha probatória. Não é a enumeração dos deveres: é o desenho interno que sustenta a prova deles.

Conformidade não é o que você afirma; é o que você consegue demonstrar com data

Quem já passou por fiscalização sabe que o pedido do regulador raramente é aberto. Ele chega apontando um dispositivo, um período e um tipo de registro. A resposta aceitável é um arquivo datado, versionado e rastreável até o sistema que o produziu. Uma política de jogo responsável assinada pela diretoria, sem o log que mostre a aplicação dela sobre contas reais em datas reais, demonstra intenção — não cumprimento.

Essa distinção organiza tudo o que vem a seguir. Documento normativo interno prova desenho. Log, relatório e exportação provam execução. A maioria dos acervos que vi montados às pressas tem o primeiro e não tem o segundo, porque o primeiro é produzido pelo jurídico e o segundo depende de produto, dados e de fornecedores que ninguém contratou pensando em fiscalização.

As três camadas da prestação de contas — e por que tratá-las como uma é erro

Separar as camadas muda o desenho do time e do calendário. Cada uma tem periodicidade, gatilho e risco próprios.

A terceira camada é a que derruba operação madura. Ela não aparece no calendário, não tem dono natural e depende de sistemas que não são seus. É exatamente nela que o contrato com o fornecedor decide se existe prova.

O índice de obrigações: uma linha por dever, seis colunas obrigatórias

O dossiê de licença não é uma pasta. É um índice vivo, e a pasta é consequência dele. O ponto de partida precisa ser o texto normativo — Lei 14.790/2023, as portarias da SPA/MF aplicáveis ao seu escopo, a Lei 9.613/1998 para PLD/FT e comunicação ao COAF, e a Lei 13.709/2018 para base legal e retenção dos dados de KYC. Não comece por checklist de fornecedor: ele cobre o que o produto dele faz, não o que a norma exige de você. O portal já detalhou o calendário das obrigações SPA/MF e quem assina cada uma; o índice é a camada que falta embaixo desse calendário.

Para cada linha do índice, nomeie:

• Dispositivo — lei e artigo, ou portaria e item. Sem isso, ninguém consegue reconferir quando a norma mudar.
• Camada — reporte periódico, atualização por evento ou evidência sob demanda.
• Sistema de origem — onde o dado nasce, com nome do ambiente e do responsável técnico.
• Quem gera — a pessoa ou a área que produz o arquivo.
• Quem assina — o agente responsável ou o diretor indicado, que responde pessoalmente.
• Prazo interno — sempre anterior ao prazo legal, com folga para revisão e assinatura.
• Última evidência — data, versão e local do arquivo mais recente.

Operações que sustentam esse índice o tratam como planilha viva revisada mensalmente, não como projeto anual de auditoria. A diferença prática aparece no dia da notificação: ou a linha aponta para um arquivo existente, ou aponta para uma tarefa.

O lado contratual: quatro cláusulas sem as quais a prova evapora

A evidência que você precisará entregar sobre transações, sessões de jogo, régua de CRM ou certificação de título está, em boa parte, em ambiente de terceiro. Se o contrato não previu isso, você tem um prazo curto para pedir algo que o fornecedor não se obrigou a produzir. Quatro cláusulas resolvem a maior parte do problema:

• Cooperação em fiscalização — obrigação expressa de atender pedido originado de autoridade regulatória, com indicação de ponto focal nomeado.
• SLA de atendimento — prazo em dias úteis para entrega de extração, necessariamente menor que o prazo legal que recai sobre você.
• Direito de auditoria — acesso a logs e ambientes, com periodicidade e custo definidos antes, não negociados no meio da crise.
• Sobrevivência — as três cláusulas acima continuam válidas por período determinado após o término do contrato, alinhado ao prazo de guarda mais longo que se aplica ao dado.

A cláusula de sobrevivência é a mais negligenciada e a mais cara. Encerrar contrato sem ela significa, na prática, apagar a prova de um período em que a obrigação de guarda continua existindo. Vale tanto para o processador quanto para a plataforma: os roteiros de o que pedir ao PAM antes de desligar e de como encerrar o contrato com o PSP sem perder a reserva tratam da logística; aqui o recorte é o efeito probatório do que sobra depois.

Integridade: o que separa evidência de alegação

Para log transacional, registro de identificação de apostador e trilha de KYC, a pergunta que importa é se o arquivo pode ter sido alterado depois da extração. A resposta se constrói na hora da exportação, não depois: gerar hash do pacote, registrar carimbo de tempo e guardar esse registro em repositório separado do arquivo. É barato quando é rotina e impossível de reconstruir retroativamente.

O mesmo raciocínio vale para a retenção. A política de descarte precisa se alinhar ao prazo de guarda mais longo que recaia sobre cada tipo de dado e, ao mesmo tempo, à minimização exigida pela LGPD — e o descarte, quando ocorre, também é evento documentado. Apagar sem registro cria a pior combinação: você não tem o dado e não consegue provar por que não tem.

Política assinada sem log de aplicação demonstra desenho. O regulador cobra execução, e execução só existe com data, versão e sistema de origem.

Comunicar antes que o regulador descubra: o conceito que vale observar lá fora

Em mercados com ciclo regulatório mais antigo, parte da disciplina de prestação de contas se organiza em torno da comunicação proativa de eventos relevantes — mudança de controle, incidente, falha material — em prazo curto, antes que o regulador os descubra por outra via. Reino Unido, Espanha e Malta operam com variações desse arranjo, cada uma com regras próprias de reporte periódico e de monitoramento de dados.

Registre-se o óbvio, porque confundir isso custa caro: nada disso é regra brasileira, e a tradução direta não tem respaldo normativo aqui. O que se aproveita é o conceito interno — ter um gatilho definido e um responsável nomeado para comunicar evento relevante, em vez de descobrir junto com a fiscalização. A nota técnica da SPA que apontou falha de PLD na operadora da Blaze é um lembrete de que o achado do regulador costuma ser mais caro que a comunicação espontânea.

A rotina em dez passos

1. Mapear obrigação por obrigação a partir do texto normativo, uma linha por dever.
2. Preencher as seis colunas obrigatórias do índice para cada linha.
3. Classificar cada linha em uma das três camadas.
4. Definir gatilhos das atualizações por evento e quem comunica em cada caso.
5. Revisar os contratos de PSP, plataforma, provedores e laboratório atrás das quatro cláusulas.
6. Montar o repositório único com versionamento, hash e carimbo de tempo nas exportações.
7. Alinhar política de retenção ao prazo legal mais longo e documentar o descarte.
8. Ensaiar: simular uma notificação com prazo real sobre uma obrigação sorteada e cronometrar a entrega completa.
9. Revisar o índice mensalmente e levar relatório trimestral ao board com pendências e risco associado.
10. Manter pronto o pacote de recomprovação: societário, idoneidade, certificações e comprovação financeira.

O passo 8 é o único que revela a verdade. Até o primeiro ensaio, todo índice parece completo. A simulação mede o que importa: tempo até a entrega, não existência de pasta.

Sete erros que se repetem

• Concentrar compliance em uma pessoa só — quando ela sai, o conhecimento do acervo sai junto.
• Guardar a política e não guardar o log que prova a aplicação dela.
• Encerrar contrato de fornecedor sem extrair a base e sem cláusula de sobrevivência.
• Adotar prazo interno igual ao prazo legal, sem folga para revisão e assinatura.
• Confiar em relatório de terceiro sem conciliar com a base própria.
• Tratar comunicação legal e marketing na mesma régua de CRM, perdendo o registro de consentimento e de supressão.
• Supor que a obrigação de guarda se encerra junto com a operação comercial.

O primeiro erro ganhou peso neste ciclo. Operações que reduziram equipe perderam justamente quem produzia a evidência, e não só quem a arquivava — a leitura de o que custa religar depois de férias coletivas ou demissão em massa trata do custo trabalhista; o custo probatório raramente entra na conta. Quem fica na folha precisa cobrir, no mínimo, geração de evidência, assinatura e ponto focal de fiscalização.

O que medir

Por que isso não depende do desfecho regulatório em curso

O ambiente normativo brasileiro segue em movimento, com discussão judicial e legislativa aberta sobre o escopo do mercado. O conteúdo exato de algumas obrigações pode mudar conforme esse desfecho — e textos ainda em tramitação ou em consulta pública não devem ser tratados como vigentes.

A rotina descrita aqui, porém, não depende disso. Índice com dono, prazo interno com folga, cláusula contratual que sobrevive ao contrato e evidência com hash e data valem igual em cenário de expansão, de suspensão ou de recomprovação de requisitos. Se houver retomada com nova comprovação, quem manteve o acervo íntegro parte de um inventário; quem não manteve parte de uma reconstrução — e reconstrução de prova transacional sobre período encerrado, com fornecedor desligado, costuma ser impossível, não cara.

Uma observação final sobre números: valores de multa, prazos de guarda e prazos de resposta a notificação devem ser lidos diretamente no texto da Lei 14.790/2023 e nas portarias da SPA/MF publicadas no Diário Oficial da União, com data de consulta registrada no próprio índice. Parâmetro citado de memória, sem dispositivo ao lado, é a primeira linha que falha em qualquer revisão.