Política de Controles Internos, Cumplimiento y Gobernanza Operativa

Objetivo, alcance y principios

La política establece la estructura de controles internos, cumplimiento, gobernanza operativa, gestión de riesgos y ambiente de control de Swapo, con principios, responsabilidades, procedimientos, pruebas, registros, monitoreo, reporte, corrección de deficiencias y cooperación con las autoridades. Busca asegurar:

• el cumplimiento de la Ley n.º 14.478/2022, de las Resoluciones BCB n.º 519, 520 y 521/2025 y de las demás normas aplicables;
• la integridad operativa, la seguridad patrimonial y la protección de los activos bajo responsabilidad de Swapo;
• la segregación entre los recursos y activos virtuales propios y los de los clientes;
• la prevención del lavado de dinero, del financiamiento del terrorismo y del financiamiento de la proliferación de armas de destrucción masiva (PLA/FT/FP);
• la protección de los datos personales y la observancia del secreto bancario (Ley Complementaria n.º 105/2001);
• la ciberseguridad, la continuidad del negocio, la calidad de los registros y la atención adecuada al cliente;
• la gestión de terceros y la entrega oportuna de información al Banco Central de Brasil y a las demás autoridades.

La política alcanza toda la estructura, los procesos, sistemas, productos, activos y alianzas de Swapo, incluidos la gobernanza, la intermediación de activos virtuales, las operaciones de clientes y las operaciones propias, la liquidación, la conciliación, los precios y cotizaciones, RFQ y OTC, los proveedores de liquidez y prestadores de servicios relevantes, PLA/FT/FP y sanciones, la ciberseguridad, la protección de datos, la contabilidad, la atención, el reporte regulatorio, la continuidad, la auditoría, las capacitaciones y la gestión de incidentes.

Los controles siguen los principios de proporcionalidad al tamaño y a los riesgos, independencia de las funciones de control, segregación de funciones, formalización documental, trazabilidad, monitoreo continuo, rendición de cuentas, corrección oportuna de fallas, protección de los clientes y de sus activos, prevención del uso indebido de activos de terceros, secreto, cooperación con las autoridades y mejora continua.

Directores responsables, directorio y comités

La política prevé administradores o directores responsables ante el Banco Central de Brasil, en los términos de la Resolución BCB n.º 520/2025, de los siguientes frentes:

• conducción de las actividades y de los negocios;
• PLA/FT/FP;
• controles internos y cumplimiento;
• gestión de riesgos, capital y divulgación de información;
• ciberseguridad y plan de respuesta a incidentes.

Las designaciones deben formalizarse en un acto societario registrado. La acumulación de funciones se admite dentro de los límites de la regulación, salvo incompatibilidad, conflicto de intereses o prohibición regulatoria. Swapo debe mantener un control actualizado de las designaciones, de los suplentes y de las atribuciones de cada director.

Corresponde al directorio aprobar y revisar las políticas internas, el apetito de riesgo, la estructura organizacional, las atribuciones, la matriz de responsabilidades y el plan de negocios, dar seguimiento a los indicadores de controles, riesgos, cumplimiento e incidentes y garantizar recursos para las funciones de control. Cuando exista, el Consejo de Administración realiza la supervisión estratégica, con atención a la efectividad de los controles, a la integridad financiera y al cumplimiento.

Observada la proporcionalidad, la política prevé, como mínimo, los siguientes comités o equivalentes funcionales, cada uno con su propio reglamento:

• Comité de Riesgos y Controles Internos;
• Comité de Conflictos de Interés;
• Comité de PLA/FT/FP;
• Comité de Ciberseguridad y Tecnología, cuando corresponda;
• Comité de Productos, cuando corresponda al perfil de Swapo.

Las funciones de los comités pueden acumularse cuando sea proporcional, con autorización del directorio, siempre que se preserven la efectividad del control y la ausencia de conflicto. Los administradores deben mantener conocimiento adecuado del modelo de negocio, de los riesgos, de la regulación y de los controles, con educación continua y sometimiento a los procesos de evaluación de idoneidad exigidos por el Banco Central de Brasil. El plan de negocios debe ser revisado por el directorio al menos una vez al año.

Tres líneas, matriz de riesgos y procesos críticos

Swapo adopta el modelo de tres líneas. La primera línea reúne negocios, operaciones, atención, tesorería, tecnología y productos, que ejecutan los controles primarios. La segunda línea reúne Cumplimiento (Compliance), Gestión de Riesgos, PLA/FT/FP, Controles Internos, Seguridad de la Información, Privacidad y Jurídico Regulatorio, responsables de la normatización, el monitoreo, la orientación, las pruebas y el reporte. La tercera línea es la auditoría interna, la auditoría independiente u otra evaluación independiente.

La segunda y la tercera línea tienen independencia jerárquica y presupuestaria y acceso directo al directorio. La política prohíbe que sus integrantes ejerzan una función operativa en la misma materia evaluada, que la remuneración perjudique su independencia y que se subordinen a las áreas de negocio.

La matriz de riesgos y controles debe estar versionada y registrar, para cada proceso, el riesgo, el impacto, la probabilidad, los controles preventivos y detectivos, la evidencia, el responsable, la periodicidad, la atribución para excepciones, el indicador de efectividad y el plan de acción. La revisión es como mínimo anual, con actualización extraordinaria tras un evento relevante, un incidente, un cambio regulatorio o de producto, o una recomendación de auditoría.

Reciben control reforzado, entre otros, los procesos de registro e identificación de clientes, socios y colaboradores, clasificación de riesgo para PLA/FT/FP, sanciones, monitoreo transaccional, depósitos y retiros en moneda fiduciaria y en activos virtuales, compra, venta y canje de activos virtuales, RFQ y OTC, proveedores de liquidez, custodia cuando corresponda y gestión de billeteras, segregación patrimonial, prueba de reservas, precios, liquidación y conciliación, operaciones propias y con partes relacionadas, listado y deslistado de activos, incidentes y continuidad, protección de datos, ciberseguridad, contratación de terceros, reporte regulatorio y tratamiento de reclamos.

Segregación patrimonial y custodia

La política determina una segregación patrimonial absoluta entre los recursos propios de Swapo y los recursos y activos virtuales de los clientes, conforme a la Resolución BCB n.º 520/2025. La segregación abarca recursos financieros, activos virtuales, activos destinados a la liquidez inmediata cuando se admitan, billeteras en la infraestructura on-chain, cuentas operativas y de liquidación, registros contables, controles tecnológicos y perfiles de acceso.

Si Swapo contrata a un custodio, la política exige una política de custodia documentada y disponible para el Banco Central de Brasil, con separación de billeteras on-chain y off-chain, métodos de prueba de reservas con criterio y periodicidad definidos, auditoría independiente bienal, supuestos de transferencia de activos en caso de interrupción, discontinuidad o liquidación, gestión de claves criptográficas y tratamiento de eventos como forks, airdrops y actualizaciones de protocolo.

En esos casos, los controles deben asegurar el registro individualizado de las posiciones de cada cliente, la conciliación oportuna entre los registros internos y los saldos on-chain, la autorización múltiple para los movimientos, la autenticación multifactor, registros inmutables, auditoría periódica y un plan de respuesta a incidentes. Los custodios contratados deben ser evaluados y monitoreados de forma continua.

La política prevé una auditoría independiente bienal específica sobre la segregación patrimonial, realizada por un prestador calificado, para verificar la segregación efectiva, los métodos de prueba de reservas, los controles de claves y accesos, los registros contables y operativos y los planes de transferencia en caso de discontinuidad. El informe queda a disposición del Banco Central de Brasil, y sus conclusiones generan un plan de acción con seguimiento hasta la remediación.

Operaciones, PLA/FT/FP, precios y terceros

Toda operación debe tener registros suficientes para su reconstrucción integral: cliente, fecha y hora, activo y par, cantidad, precio y fuente del precio, spread, tarifas, costos e impuestos, contraparte, proveedor de liquidez cuando lo haya, billeteras o cuentas, hash de la transacción cuando corresponda, estado, liquidación, aprobaciones, comunicaciones y comprobantes. Las operaciones canceladas, modificadas, rechazadas o fuera de banda también se registran, con causa, hora, responsable y resultado.

En PLA/FT/FP, la política prevé la identificación completa de clientes personas naturales y jurídicas, con beneficiarios finales, personas expuestas políticamente, listas de sanciones, evaluación de riesgo y actualización periódica de datos de registro; controles sobre el origen y el destino de los recursos y activos virtuales y sobre la compatibilidad de las operaciones con el perfil del cliente; monitoreo transaccional y análisis on-chain con registros auditables; y verificación continua de clientes, contrapartes, billeteras, transacciones y prestadores frente a las listas del Consejo de Seguridad de las Naciones Unidas, otras listas de sanciones aplicables y listas internas. Los indicios de ilícitos deben comunicarse oportunamente a las autoridades competentes.

La política prevé controles sobre precios y cotizaciones: adherencia a la jerarquía de fuentes, monitoreo de spreads, registro de cotizaciones y RFQ, tratamiento de precios fuera de banda, control de operaciones con partes relacionadas, monitoreo de slippage y de fallas de ejecución y liquidación, y alertas para operaciones atípicas o potencialmente manipulativas.

La contratación de prestadores de servicios relevantes, incluidos los proveedores de liquidez, exige due diligence documental, regulatoria, técnica, operativa y financiera, evaluación de PLA/FT/FP, sanciones, seguridad de la información y continuidad, aprobación por la instancia competente, contrato con las cláusulas mínimas exigidas, niveles de servicio, derecho de auditoría, acceso del Banco Central de Brasil a documentos, información e instalaciones del contratado, monitoreo periódico, reevaluación anual y plan de transición. Para los proveedores de liquidez, la política prevé además límites de exposición por contraparte, monitoreo de precios y de la calidad de ejecución, control de concentración, gestión de conflictos de intereses y plan de contingencia para su sustitución.

Ciberseguridad, datos, registros y continuidad

La estructura de ciberseguridad queda bajo la responsabilidad del director designado y debe incluir gestión de accesos por mínimo privilegio, autenticación multifactor para accesos privilegiados y operaciones sensibles, segregación de ambientes, cifrado de datos sensibles, monitoreo continuo, registros protegidos contra alteración, respaldo probado, pruebas de vulnerabilidad y de intrusión, gestión de cambios, homologación de sistemas y controles sobre integraciones y servicios en la nube. Los incidentes se clasifican, registran, tratan y, cuando corresponda, se comunican a las autoridades. Los relevantes generan un informe con causa raíz y plan de acción.

El tratamiento de datos personales sigue la LGPD (Ley General de Protección de Datos de Brasil), con bases legales adecuadas, minimización, control de acceso, retención limitada, eliminación segura, atención de los derechos de los titulares y encargado de protección de datos, cuando corresponda. Los datos financieros y operativos de los clientes reciben un nivel reforzado de secreto, en los términos de la Ley Complementaria n.º 105/2001. Los incidentes con datos personales se comunican a la Autoridad Nacional de Protección de Datos de Brasil y a los titulares afectados, cuando corresponda.

Los registros deben conservarse durante los plazos legales y regulatorios, con un mínimo de 10 años para los documentos vinculados a operaciones de cambio y de 5 años para los documentos de PLA/FT/FP, en un medio que preserve integridad, disponibilidad y legibilidad.

El plan de continuidad del negocio debe estar documentado, ser probado y revisado al menos una vez al año, con análisis de impacto en el negocio, estrategias para procesos críticos, recuperación ante desastres, comunicación interna y externa y procedimientos para la transferencia de posiciones y activos en caso de discontinuidad prolongada. Contempla la continuidad de la segregación patrimonial, de la custodia cuando la haya, de la atención al cliente y de las obligaciones regulatorias.

Gestión de riesgos y capital

La estructura de gestión de riesgos es conducida por el Director Responsable de la Gestión de Riesgos, con independencia jerárquica y presupuestaria, y abarca la identificación, evaluación, medición, mitigación, monitoreo y reporte. Están previstos, entre otros, los riesgos operacional, de mercado, de crédito cuando corresponda, de liquidez, de contraparte, de concentración, de PLA/FT/FP, cibernético, de continuidad, regulatorio y legal, reputacional, de contratos inteligentes cuando corresponda, de claves criptográficas y de custodia cuando corresponda, y de forks y protocolos.

El directorio aprueba la declaración de apetito de riesgo, con límites por categoría, indicadores de monitoreo y tratamiento de los excesos, revisada anualmente o tras un evento relevante, y recibe un informe consolidado de riesgos al menos cada trimestre.

Swapo debe mantener un capital compatible con las exigencias regulatorias, con seguimiento periódico de los requerimientos, margen adicional conforme al apetito de riesgo, planificación de capital integrada al plan de negocios, pruebas de estrés proporcionales, comunicación oportuna al Banco Central de Brasil de cualquier incumplimiento de los límites y un plan de acción para recuperar el cumplimiento. El directorio da seguimiento mensual a los indicadores de adecuación de capital.

Pruebas, reporte, no conformidades y auditoría

Controles Internos ejecuta pruebas periódicas sobre registro, PLA/FT/FP y sanciones, monitoreo transaccional, precios, RFQ, proveedores de liquidez, custodia cuando corresponda, segregación patrimonial, conciliación, operaciones propias, terceros, incidentes, reclamos, reporte regulatorio, accesos y partes relacionadas. Cada prueba genera un informe con hallazgos clasificados como bajo, medio, alto o crítico, recomendación, responsable, plazo y seguimiento.

Los indicadores de controles internos, como alertas de PLA/FT/FP, fallas de liquidación y de conciliación, incidentes, indisponibilidad, reclamos por causa raíz, niveles de servicio de proveedores, excepciones aprobadas y planes de acción vencidos, son objeto de seguimiento por el directorio. Los informes de controles internos se presentan al directorio al menos cada trimestre, y las obligaciones de reporte regulatorio tienen control centralizado de plazos, responsables y evidencias.

Las no conformidades se clasifican como bajas, medias, altas o críticas y reciben un plan de acción con responsable, plazo y evidencia de remediación. Las fallas críticas se comunican de inmediato al director responsable y al directorio, que evalúan la necesidad de comunicarlo al Banco Central de Brasil y a las demás autoridades.

Los administradores, colaboradores y terceros relevantes reciben capacitación al menos anual sobre controles internos, PLA/FT/FP, sanciones, protección de datos, seguridad de la información, conflictos de intereses, precios, contacto con proveedores de liquidez, incidentes y ética, con registros conservados por un mínimo de 5 años.

La auditoría interna, o función de evaluación independiente equivalente, evalúa periódicamente la estructura de controles, con acceso irrestricto a sistemas, registros y personas. Swapo debe cooperar plenamente con el Banco Central de Brasil y las demás autoridades, con atención oportuna de las solicitudes, puntos focales designados, registro centralizado de las interacciones y tratamiento prioritario de las determinaciones y recomendaciones.

Atención y reclamos

La política prevé una estructura de atención al cliente con:

• canales formales de atención, con horarios y medios divulgados;
• procedimiento de tratamiento de reclamos con plazo de respuesta definido;
• escalamiento interno para los casos no resueltos en la primera atención;
• seguimiento mediante indicadores de satisfacción y de causa raíz;
• eventual defensoría o estructura equivalente, conforme a la proporcionalidad (la defensoría de Swapo está constituida en el contrato social, en los términos de la Resolución BCB n.º 28/2020);
• interacción con el sistema de atención y reclamos del Banco Central de Brasil, cuando corresponda.

Los reclamos se usan para identificar deficiencias de control, con revisión periódica de las causas y acciones correctivas.

Revisión, vigencia y base normativa

La política debe revisarse como mínimo cada 24 meses, o antes en caso de un cambio regulatorio relevante, un cambio del modelo de negocio, un incidente relevante, una recomendación de auditoría, una exigencia del Banco Central de Brasil o un cambio operativo significativo. Los casos no previstos los resuelve el Director Responsable de Controles Internos y Cumplimiento, previa consulta a Cumplimiento, Riesgos y Jurídico. La política entra en vigor en la fecha de su aprobación.

Normas citadas por el documento:

• Ley n.º 14.478/2022;
• Resoluciones BCB n.º 519, 520 y 521/2025;
• Resolución BCB n.º 277/2022 y demás normas cambiarias aplicables;
• Instrucción Normativa BCB n.º 693/2025;
• Ley Complementaria n.º 105/2001;
• Ley n.º 9.613/1998 y Circular BCB n.º 3.978/2020, observada la regulación del COAF (Unidad de Inteligencia Financiera de Brasil), en lo que corresponda;
• Ley n.º 13.709/2018 (LGPD);
• Resolución CMN n.º 4.893/2021 y Resolución BCB n.º 85/2021, en lo que sean aplicables;
• Recomendaciones del GAFI/FATF para activos virtuales y prestadores de servicios de activos virtuales.

Sobre esta versión

Versión pública del documento “Política de Controles Internos, Cumplimiento y Gobernanza Operacional”, del 21/09/2026, que forma parte de la solicitud de autorización presentada al Banco Central de Brasil. La autorización aún no ha sido concedida.

El texto resume el documento interno. Se omitieron datos personales (LGPD), parámetros de monitoreo y detalles técnicos cuya divulgación perjudicaría la seguridad, la prevención de fraudes y la prevención del lavado de dinero, además de condiciones sujetas a confidencialidad comercial (Resolución BCB n.º 520/2025, art. 52, § 2). Esta versión no sustituye el contrato de prestación de servicios ni la regulación aplicable.

Todas las políticas · Centro de Transparencia