Obrigações SPA/MF: o calendário que sustenta sua licença

Este texto responde a uma pergunta específica de quem já tem a autorização na mão: quais obrigações a SPA/MF cobra todo mês, todo trimestre e todo ano — e como montar o calendário interno e o dossiê de evidências que sustentam a licença quando a fiscalização chegar? Não é um texto para quem está pedindo autorização. É para o diretor de operação, o head de compliance e o CFO de operador autorizado que descobriram, no primeiro ano de atividade regulada, que licença é assinatura mensal, não compra única.

O mercado saiu da fase de habilitação e entrou na fase de manutenção

Em 2025, a energia do setor foi toda direcionada ao pedido: documentação societária, integralização de capital, garantia financeira, contratação de laboratório, escolha de plataforma. Em 2026, o esforço mudou de natureza. O universo de autorizadas publicado pela SPA/MF já é grande e relativamente estável — o número exato varia conforme a compilação porque algumas contam marcas e outras contam CNPJs, e o critério só se resolve consultando a planilha oficial de autorizações na página da secretaria, com data de acesso registrada.

Quando o regulador deixa de priorizar habilitação, ele passa a priorizar acompanhamento. E o primeiro filtro para separar operador estruturado de operador problemático não é tamanho de operação nem volume de mídia: é a qualidade e a pontualidade daquilo que a empresa reporta. Foi essa a leitura que já apareceu em o que a fiscalização da SPA mostrou sobre suas prioridades no primeiro ciclo.

Há um segundo motivo de urgência silenciosa. A régua de entrada continua sendo recalibrada — a consulta pública da SPA sobre autorização de bets tratou justamente disso. Quem já opera será medido pela régua vigente no momento da renovação, não pela régua de quando pediu. E a renovação, na prática, é a apresentação de um histórico: não existe forma de fabricar três anos de prestação de contas no último semestre.

As quatro camadas de obrigação — e por que separá-las muda a rotina

A maioria dos calendários internos que circulam no setor é uma lista plana de datas. O problema é que obrigações com naturezas distintas falham por motivos distintos. Separar em camadas permite atribuir dono, sistema de origem e tipo de evidência coerentes com cada uma.

Dois pontos merecem alerta. O primeiro é o escopo de certificação: certificado não é permanente nem elástico. Ele cobre uma versão e um escopo. Troca de plataforma, entrada de novo provedor de cassino, novo módulo de pagamento ou alteração na lógica de liquidação abrem a pergunta "isso continua dentro do escopo certificado?" — e a resposta errada tende a aparecer na fiscalização, não antes. É por isso que migrar de PAM é o projeto que mais subestimam no setor: migração é evento de compliance, não apenas de tecnologia.

O segundo é a camada de conduta, que não gera envio e por isso costuma ser negligenciada. Ela gera evidência. Bloqueou o autoexcluído? Mostre o log com horário, a origem do pedido, a tentativa de login barrada e a supressão daquele CPF das réguas de marketing. Sem artefato datado e imutável, do ponto de vista de quem fiscaliza nada aconteceu.

Obrigação não é o mesmo que evidência

É a distinção mais rentável deste texto. O operador brasileiro médio cumpre a obrigação e não produz a evidência — ou produz em sistema que não retém, ou em log que rotaciona em 30 dias, ou em captura de tela sem metadado. Print datado não é evidência: é lembrança.

Mercados mais antigos resolveram isso por desenho institucional, e vale observar como referência — não como regra brasileira. No Reino Unido, a Gambling Commission combina reportes periódicos padronizados com dever de autodenúncia de eventos relevantes, o que inverte a cultura: comunicar problema é sinal de maturidade. Na Espanha, a DGOJ padroniza o reporte operacional e audita sistemas homologados. Em Malta, a MGA exige auditoria de conformidade periódica e nomeia titulares de função-chave pessoalmente responsáveis. No Brasil, função de compliance nomeada e canal formal com o regulador ainda são construídos caso a caso — leitura que também aparece em o que a experiência regulatória europeia sugere sobre os próximos passos.

Os dez passos para montar o calendário-mestre

1. Inventarie a obrigação, não a norma. Leia os atos aplicáveis e extraia verbos com prazo: enviar, comunicar, manter, publicar, bloquear, guardar. Cada verbo é uma linha. Uma operação completa termina com dezenas de linhas; quem termina com doze não leu até o fim.
2. Classifique por frequência. Contínua (transmissão de dados), mensal (tributos, destinações, reportes), gatilhada (mudança societária, incidente, troca de fornecedor) e anual (certificação, auditoria, renovação de garantias).
3. Nomeie dono e suplente por linha. Nome de pessoa, não de área. Sem suplente, férias derrubam prazo.
4. Amarre cada obrigação a um sistema de origem. PAM, ERP, gateway, CRM, ferramenta de KYC. Obrigação cujo dado sai de extração manual é a que falha primeiro — marque em vermelho e automatize essas antes das outras.
5. Defina a evidência antes de precisar dela. Para cada linha: qual artefato prova o cumprimento, onde ele fica, quanto tempo é retido e quem consegue recuperá-lo sem pedir ajuda.
6. Crie a lista de gatilhos de comunicação obrigatória. Mudança de controle ou de administrador, incidente de segurança, indisponibilidade relevante, suspeita de manipulação de resultado, troca de provedor crítico, alteração de escopo certificado — cada um com prazo e destinatário.
7. Feche o mês com rito. Reunião curta e fixa, checklist do período, tudo verde antes do vencimento; o que ficou amarelo entra em plano de ação com data e responsável.
8. Faça ensaio de fiscalização por semestre. Alguém de fora da operação pede cinco evidências aleatórias e cronometra a entrega.
9. Revise o calendário a cada norma nova. Responsável nomeado para acompanhar o DOU e a página de legislação da SPA, com revisão do calendário em até dez dias úteis e registro do que mudou.
10. Monte o dossiê de renovação desde o primeiro ano. Organize por camada e por período, com índice. Renovação é histórico apresentado, não pedido refeito.

Os erros que aparecem sempre nas mesmas operações

• Tratar compliance como projeto. A licença sai, a consultoria vai embora e o conhecimento vai com ela. Seis meses depois ninguém sabe qual ato exige o quê.
• Confundir entrada com permanência. Capital e garantia integralizados para o pedido, e nenhuma rotina de verificação de que seguem nos níveis exigidos.
• Escopo de certificação desatualizado. Mudança material de sistema sem análise registrada de aderência de escopo.
• Achar que o fornecedor responde pelo operador. Plataforma, PSP, provedor de jogos e afiliado são contratados; o titular da autorização é quem responde — ponto já demonstrado em afiliados sob escrutínio: o que muda quando o operador responde pelo parceiro. Contrato sem cláusula de cooperação com fiscalização, SLA de entrega de evidência e direito de auditoria é passivo.
• Compliance sem acesso a dado bruto. Time que depende de pedir extração ao time de dados perde prazo. Precisa de consulta própria, em leitura.
• Ignorar obrigação gatilhada. As de calendário todos lembram. Mudança de administrador, incidente e indisponibilidade passam batido — e são as que o regulador percebe por fora.
• Reportar tarde para reportar certo. Em regimes maduros, atraso pesa mais que imprecisão corrigível; presumir tratamento diferente é hipótese, não estratégia.
• Depender de uma pessoa. Rotina sustentada por um profissional insubstituível é risco operacional, agravado pelo cenário descrito em disputa por talento em compliance eleva custo e trava planos de licenciamento.

O que medir para saber se a rotina existe

Sobre o último indicador, uma ressalva honesta: não existe levantamento público brasileiro com metodologia transparente sobre quanto custa manter a função de compliance de um operador autorizado, nem sobre prazo típico de recertificação após mudança material de sistema. Quem precisa desses números para orçamento tem de levantá-los com fonte nomeada — laboratório credenciado, escritório especializado, entidade setorial — e registrar a atribuição. Arredondar estimativa de corredor é pior do que admitir a lacuna.

O que ainda não está resolvido

• Versão vigente dos atos. As portarias da SPA/MF foram alteradas e retificadas diversas vezes desde 2024. Qualquer calendário interno deve citar número, data e versão consolidada, com data de consulta à página de legislação da secretaria.
• Periodicidade e campos do relatório periódico. A SPA produziu material de orientação específico sobre o tema; o conteúdo deve ser lido no documento oficial antes de virar linha no calendário.
• Destinações sociais. A operacionalização foi objeto de consulta pública da SPA/MF em 2025. Proposta em consulta não é obrigação vigente e não entra no calendário como tal.
• Renovação. O primeiro ciclo de autorizações da Lei 14.790/2023 ainda não venceu. Não há rito de renovação testado na prática — o que reforça, e não reduz, a importância de guardar o histórico.
• Camada estadual e municipal. Loterias estaduais e restrições locais de publicidade criam obrigações paralelas ao calendário federal, como mostrou o caso de Niterói, que proibiu publicidade de bets com prazo de dez dias. Elas precisam de linha própria.

A conclusão é pouco glamourosa e sobrevive a qualquer troca de portaria: a rotina de prestação de contas não muda de natureza quando a norma muda — muda de campo e de prazo. Quem tem calendário com dono nomeado, evidência definida e rito de fechamento absorve norma nova em duas semanas. Quem não tem recomeça do zero a cada publicação no Diário Oficial, e é nesse recomeço que a licença fica exposta.