Obrigações SPA/MF: como responder a ofício sem improviso

Chegou um ofício da SPA/MF pedindo dados da sua operação. Em quantos dias você responde, quem assina, e o que precisaria estar pronto antes de o pedido chegar? Este texto é para quem responde por licença, compliance e operação em casa de apostas autorizada — não para entender o calendário de entregas, que já está em obrigações SPA/MF: o calendário que sustenta sua licença, mas para montar a rotina interna que transforma cada pedido do regulador em tarefa de um dia útil, e não em mutirão de duas semanas.

Por que a fase mudou: de orientação para prestação de contas

O mercado brasileiro operou o primeiro período regulado sob a Lei 14.790/2023 com o regulador em modo de estruturação: consultas públicas, portarias sucessivas, prazos elásticos na prática. Esse ciclo se encerra por exaustão natural. Quando a base normativa está posta e as autorizações estão emitidas, o instrumento seguinte do regulador não é a orientação, é o pedido de informação — e, se a resposta não convencer, o processo sancionador.

A sinalização veio pelo comportamento recente da administração: bloqueio de domínios, atuação sobre meios de pagamento na Portaria 2.750 e notificações do MJSP a lojas de aplicativos. São medidas dirigidas ao mercado ilegal, mas indicam apetite de fiscalização. O operador autorizado é justamente o que tem endereço, CNPJ e responsável designado — ou seja, é o mais fácil de intimar.

Nota de método: as portarias da SPA/MF continuam sendo editadas, alteradas e revogadas. Prazos de guarda de registros, formatos de reporte e hipóteses de comunicação prévia devem ser conferidos no texto vigente publicado no Diário Oficial da União na data em que você montar o procedimento — e reconferidos a cada revisão trimestral. Este artigo trata da arquitetura da rotina, não substitui a leitura da norma.

O dossiê permanente de licença: o que fica pronto antes do pedido

O erro estrutural mais comum é tratar conformidade como projeto de licenciamento. O time monta um calhamaço para obter a autorização, comemora a publicação e o dossiê congela naquela data. Seis meses depois, mudou o PSP, entrou um provedor de jogos novo, saiu o diretor de PLD/FT e três certificados venceram. Nada disso está refletido no arquivo.

A alternativa é um dossiê permanente: repositório único, versionado, com dono nomeado e data de validade por documento. Não é um drive compartilhado com pastas por ano — é um índice em que cada linha tem responsável, versão vigente, data do último aceite e evidência de onde o dado nasce.

Cadeia de custódia: o dado existe, mas sai no formato pedido?

Na prática, a falha mais cara não é ausência de registro. É registro que existe dentro do PAM e não é exportável no recorte solicitado — por período, por CPF, por método de pagamento, por mercado esportivo, com carimbo de tempo confiável. Quando o operador depende de um chamado ao fornecedor de plataforma para gerar qualquer extração não padronizada, o prazo regulatório passa a ser gerido por um terceiro. Esse é o argumento central de como não virar refém do PAM na camada de dados.

Três perguntas resolvem o diagnóstico em uma reunião de uma hora:

1. O dado bruto está sob controle da operadora ou só dentro do ambiente do fornecedor?
2. Existe cláusula contratual que obriga o fornecedor a entregar evidência em prazo compatível com o prazo regulatório — e com penalidade se não entregar?
3. A extração é reproduzível por uma segunda pessoa, com a mesma consulta, gerando o mesmo resultado seis meses depois?

Se a terceira resposta for não, a operação não tem cadeia de custódia — tem alguém que sabe fazer o relatório. Isso não sobrevive a um desligamento.

Quem assina o quê — e o que acontece quando essa pessoa sai

A norma exige responsáveis designados para funções específicas, e o desenho desses cargos está detalhado em o organograma que a norma exige ter. O recorte aqui é outro: a matriz de assinatura perante o regulador. Para cada tipo de comunicação — reporte periódico, resposta a intimação, comunicação de alteração societária, notificação de incidente —, defina nome, suplente e prazo interno de validação.

Duas patologias recorrentes: o designado formal que não tem acesso aos sistemas sobre os quais assina, e a saída de um designado sem comunicação tempestiva ao regulador. A segunda transforma um problema de RH em irregularidade cadastral. Coloque a comunicação de substituição no checklist de desligamento, ao lado da devolução do crachá.

O fluxo de resposta a ofício, em sete passos

1. Recebimento e registro. Um único canal de entrada (caixa postal institucional monitorada por duas pessoas), protocolo interno com data e hora, contagem de prazo iniciada no mesmo dia.
2. Triagem em 24 horas. Classificar: o que está sendo pedido, qual sistema é a fonte, qual a data-limite e qual o responsável técnico pela produção.
3. Decisão sobre prorrogação. Se a produção do dado exigir mais da metade do prazo, avaliar pedido fundamentado logo no início — e não na véspera.
4. Produção com dupla checagem. Quem extrai não é quem confere. Divergência entre o número do relatório e o número já reportado em entrega periódica anterior precisa ser explicada antes do envio, não depois.
5. Revisão jurídica. O texto da resposta responde exatamente ao que foi perguntado, sem abrir escopo novo e sem omitir item pedido.
6. Protocolo pela via formal indicada no ofício, com comprovante arquivado.
7. Arquivamento da evidência enviada. Congelar a versão exata do que foi entregue, com a consulta que gerou o dado. Pedido complementar quase sempre pede detalhe do que já foi respondido.

Sobre o passo 3, vale a heurística contrária à intuição: resposta incompleta entregue no prazo costuma custar mais que prorrogação pedida com fundamento. A resposta parcial gera inconsistência, a inconsistência gera pedido complementar, e o pedido complementar amplia o escopo da análise. O regulador que recebe dois números diferentes para a mesma pergunta passa a duvidar dos dois.

Gatilhos de comunicação obrigatória

Parte das obrigações não segue calendário: depende de um evento. Mudança de controle societário, alteração de domínio, substituição de fornecedor crítico, troca de responsável designado, incidente relevante de segurança da informação. Em regimes maduros, esse é o núcleo do chamado reporte de eventos-chave — o Reino Unido, pela UKGC, e Malta, pela MGA, trabalham com listas explícitas de eventos que disparam comunicação, além de retornos periódicos. Não é regra brasileira e não deve ser tratada como tal, mas é um bom espelho para desenhar a lista interna.

O procedimento prático: mapear quais eventos, na leitura das portarias vigentes, exigem comunicação ou anuência prévia; escrever essa lista em uma página; e pendurar cada item no processo que o produz. Alteração societária nasce no jurídico; troca de provedor nasce em produto ou tecnologia; incidente nasce em segurança. Se a lista mora só no compliance, o compliance descobre depois de todo mundo.

O simulado que revela o tamanho do problema

Uma vez por trimestre, alguém da diretoria emite um pedido interno redigido como se fosse do regulador — específico, com recorte incômodo e prazo curto. Exemplo: todos os depósitos recusados por um método de pagamento em um mês determinado, segmentados por motivo de recusa, com a política de KYC vigente naquela data anexada. Cronometre.

Quem só descobre onde o dado está no dia em que o regulador pergunta já perdeu metade do prazo antes de começar a produzir a resposta.

O simulado tem um efeito colateral útil: expõe as dependências de fornecedor e as lacunas contratuais antes que elas apareçam em situação real ou em due diligence. Como já se viu em operações de médio porte em processo de consolidação, o comprador que não consegue reconstituir evidência de conformidade passada precifica esse risco — o ponto tratado em o que a licença não transfere no valuation de uma operadora.

O que medir

Os cinco erros que se repetem

• Dossiê congelado na data da autorização, sem versionamento nem validade por documento.
• Dado que existe no sistema, mas não sai no formato e no recorte pedidos.
• Responsável designado sem acesso operacional ao que assina.
• Contrato com fornecedor crítico sem cláusula de auditoria e de entrega de evidência em prazo regulatório.
• Responder com o que se tem, no prazo, em vez de pedir prorrogação fundamentada.

Duas incertezas seguem abertas e afetam o desenho: o desfecho das propostas de alteração do marco legal em discussão, que pode mexer no escopo do que se presta contas, e a eventual consolidação dos reportes em canal único pela SPA. Nenhuma das duas é motivo para adiar. A rotina descrita aqui é agnóstica ao canal: se mudar o formulário, muda o passo final do fluxo — o dossiê, os donos e a cadeia de custódia continuam servindo.

O teste é simples. Se o ofício chegasse hoje à tarde, quem abriria o e-mail, quem começaria a extração e em quanto tempo o documento estaria assinado? Se a resposta depende de uma pessoa específica estar disponível, o problema não é regulatório — é de desenho interno, e custa menos consertar antes.