Política de Controles Internos, Conformidade e Governança Operacional

Objetivo, abrangência e princípios

A política estabelece a estrutura de controles internos, conformidade, governança operacional, gerenciamento de riscos e ambiente de controle da Swapo, com princípios, responsabilidades, procedimentos, testes, registros, monitoramento, reporte, correção de deficiências e cooperação com autoridades. Ela busca assegurar:

• conformidade com a Lei nº 14.478/2022, com as Resoluções BCB nº 519, 520 e 521/2025 e com as demais normas aplicáveis;
• integridade operacional, segurança patrimonial e proteção dos ativos sob responsabilidade da Swapo;
• segregação entre recursos e ativos virtuais próprios e os de clientes;
• prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa (PLD/FTP);
• proteção de dados pessoais e observância do sigilo bancário (Lei Complementar nº 105/2001);
• segurança cibernética, continuidade de negócios, qualidade dos registros e atendimento adequado ao cliente;
• gestão de terceiros e prestação tempestiva de informações ao Banco Central do Brasil e às demais autoridades.

A política alcança toda a estrutura, os processos, sistemas, produtos, ativos e parcerias da Swapo, incluindo governança, intermediação de ativos virtuais, operações de clientes e operações próprias, liquidação, conciliação, preços e cotações, RFQ e OTC, fornecedores de liquidez e prestadores de serviços relevantes, PLD/FTP e sanções, segurança cibernética, proteção de dados, contabilidade, atendimento, reporte regulatório, continuidade, auditoria, treinamentos e gestão de incidentes.

Os controles seguem os princípios de proporcionalidade ao porte e aos riscos, independência das funções de controle, segregação de funções, formalização documental, rastreabilidade, monitoramento contínuo, prestação de contas, correção tempestiva de falhas, proteção dos clientes e de seus ativos, prevenção do uso indevido de ativos de terceiros, sigilo, cooperação com as autoridades e melhoria contínua.

Diretores responsáveis, Diretoria e comitês

A política prevê administradores ou diretores responsáveis perante o Banco Central do Brasil, nos termos da Resolução BCB nº 520/2025, pelas seguintes frentes:

• condução das atividades e dos negócios;
• PLD/FTP;
• controles internos e conformidade;
• gerenciamento de riscos, capital e divulgação de informações;
• segurança cibernética e plano de resposta a incidentes.

As designações devem ser formalizadas em ato societário registrado. A acumulação de funções é admitida nos limites da regulamentação, salvo incompatibilidade, conflito de interesses ou vedação regulatória. A Swapo deve manter controle atualizado das designações, dos substitutos e das alçadas de cada diretor.

Cabe à Diretoria aprovar e revisar as políticas internas, o apetite a risco, a estrutura organizacional, as alçadas, a matriz de responsabilidades e o plano de negócios, acompanhar os indicadores de controles, riscos, conformidade e incidentes e garantir recursos para as funções de controle. Quando existente, o Conselho de Administração faz a supervisão estratégica, com atenção à efetividade dos controles, à integridade financeira e à conformidade.

Observada a proporcionalidade, a política prevê, no mínimo, os seguintes comitês ou equivalentes funcionais, com regimento próprio:

• Comitê de Riscos e Controles Internos;
• Comitê de Conflitos de Interesse;
• Comitê de PLD/FTP;
• Comitê de Segurança Cibernética e Tecnologia, quando aplicável;
• Comitê de Produtos, quando aplicável ao perfil da Swapo.

Funções de comitês podem ser acumuladas quando proporcional, com autorização da Diretoria, desde que preservadas a efetividade do controle e a ausência de conflito. Os administradores devem manter conhecimento adequado do modelo de negócio, dos riscos, da regulamentação e dos controles, com educação continuada e submissão aos processos de avaliação de aptidão exigidos pelo Banco Central do Brasil. O plano de negócios deve ser revisado pela Diretoria ao menos uma vez por ano.

Três linhas, matriz de riscos e processos críticos

A Swapo adota o modelo de três linhas. A primeira linha reúne negócios, operações, atendimento, tesouraria, tecnologia e produtos, que executam os controles primários. A segunda linha reúne Compliance, Gerenciamento de Riscos, PLD/FTP, Controles Internos, Segurança da Informação, Privacidade e Jurídico Regulatório, responsáveis por normatização, monitoramento, orientação, testes e reporte. A terceira linha é a auditoria interna, a auditoria independente ou outra avaliação independente.

A segunda e a terceira linhas têm independência hierárquica e orçamentária e acesso direto à Diretoria. A política veda que seus integrantes exerçam função operacional na mesma matéria avaliada, que a remuneração prejudique sua independência e que elas se subordinem às áreas de negócio.

A matriz de riscos e controles deve ser versionada e registrar, para cada processo, o risco, o impacto, a probabilidade, os controles preventivos e detectivos, a evidência, o responsável, a periodicidade, a alçada para exceções, o indicador de efetividade e o plano de ação. A revisão é no mínimo anual, com atualização extraordinária após evento relevante, incidente, mudança regulatória ou de produto, ou recomendação de auditoria.

Recebem controle reforçado, entre outros, os processos de cadastro e identificação de clientes, parceiros e colaboradores, classificação de risco para PLD/FTP, sanções, monitoramento transacional, depósitos e saques em moeda fiduciária e em ativos virtuais, compra, venda e troca de ativos virtuais, RFQ e OTC, provedores de liquidez, custódia quando aplicável e gestão de carteiras, segregação patrimonial, prova de reservas, preços, liquidação e conciliação, operações próprias e com partes relacionadas, listagem e deslistagem de ativos, incidentes e continuidade, proteção de dados, segurança cibernética, contratação de terceiros, reporte regulatório e tratamento de reclamações.

Segregação patrimonial e custódia

A política determina segregação patrimonial absoluta entre os recursos próprios da Swapo e os recursos e ativos virtuais de clientes, conforme a Resolução BCB nº 520/2025. A segregação abrange recursos financeiros, ativos virtuais, ativos destinados à liquidez imediata quando admitidos, carteiras na infraestrutura on-chain, contas operacionais e de liquidação, registros contábeis, controles tecnológicos e perfis de acesso.

Se a Swapo contratar custodiante, a política exige política de custódia documentada e disponível ao Banco Central do Brasil, com separação de carteiras on-chain e off-chain, métodos de prova de reservas com critério e periodicidade definidos, auditoria independente bienal, hipóteses de transferência de ativos em caso de interrupção, descontinuidade ou liquidação, gestão de chaves criptográficas e tratamento de eventos como forks, airdrops e atualizações de protocolo.

Nesses casos, os controles devem assegurar registro individualizado das posições de cada cliente, conciliação tempestiva entre registros internos e saldos on-chain, autorização múltipla para movimentações, autenticação multifator, registros imutáveis, auditoria periódica e plano de resposta a incidentes. Custodiantes contratados devem ser avaliados e monitorados continuamente.

A política prevê auditoria independente bienal específica sobre a segregação patrimonial, realizada por prestador qualificado, para verificar a segregação efetiva, os métodos de prova de reservas, os controles de chaves e acessos, os registros contábeis e operacionais e os planos de transferência em caso de descontinuidade. O relatório fica à disposição do Banco Central do Brasil, e suas conclusões geram plano de ação acompanhado até a remediação.

Operações, PLD/FTP, preços e terceiros

Toda operação deve ter registros suficientes para sua reconstrução integral: cliente, data e horário, ativo e par, quantidade, preço e fonte de preço, spread, tarifas, custos e tributos, contraparte, provedor de liquidez quando houver, carteiras ou contas, hash da transação quando aplicável, status, liquidação, aprovações, comunicações e comprovantes. Operações canceladas, alteradas, rejeitadas ou fora de banda também são registradas, com causa, horário, responsável e desfecho.

Em PLD/FTP, a política prevê identificação completa de clientes pessoas naturais e jurídicas, com beneficiários finais, pessoas expostas politicamente, listas de sanções, avaliação de risco e atualização cadastral periódica; controles sobre a origem e o destino de recursos e ativos virtuais e sobre a compatibilidade das operações com o perfil do cliente; monitoramento transacional e análise on-chain com registros auditáveis; e verificação contínua de clientes, contrapartes, carteiras, transações e prestadores contra as listas do Conselho de Segurança das Nações Unidas, outras listas de sanções aplicáveis e listas internas. Indícios de ilícitos devem ser comunicados tempestivamente às autoridades competentes.

A política prevê controles sobre preços e cotações: aderência à hierarquia de fontes, monitoramento de spreads, registro de cotações e RFQs, tratamento de preços fora de banda, controle de operações com partes relacionadas, monitoramento de slippage e de falhas de execução e liquidação e alertas para operações destoantes ou potencialmente manipulativas.

A contratação de prestadores de serviços relevantes, inclusive provedores de liquidez, exige due diligence documental, regulatória, técnica, operacional e financeira, avaliação de PLD/FTP, sanções, segurança da informação e continuidade, aprovação por alçada competente, contrato com as cláusulas mínimas exigidas, níveis de serviço, direito de auditoria, acesso do Banco Central do Brasil a documentos, informações e dependências do contratado, monitoramento periódico, reavaliação anual e plano de transição. Para provedores de liquidez, a política prevê ainda limites de exposição por contraparte, monitoramento de preços e da qualidade de execução, controle de concentração, gestão de conflitos de interesses e plano de contingência para substituição.

Segurança cibernética, dados, registros e continuidade

A estrutura de segurança cibernética fica sob responsabilidade do diretor designado e deve incluir gestão de acessos por menor privilégio, autenticação multifator para acessos privilegiados e operações sensíveis, segregação de ambientes, criptografia de dados sensíveis, monitoramento contínuo, registros protegidos contra alteração, backup testado, testes de vulnerabilidade e de intrusão, gestão de mudanças, homologação de sistemas e controles sobre integrações e serviços em nuvem. Incidentes são classificados, registrados, tratados e, quando cabível, comunicados às autoridades. Os relevantes geram relatório com causa raiz e plano de ação.

O tratamento de dados pessoais segue a LGPD, com bases legais adequadas, minimização, controle de acesso, retenção limitada, descarte seguro, atendimento aos direitos dos titulares e encarregado de proteção de dados, quando aplicável. Dados financeiros e operacionais dos clientes recebem nível reforçado de sigilo, nos termos da Lei Complementar nº 105/2001. Incidentes com dados pessoais são comunicados à Autoridade Nacional de Proteção de Dados e aos titulares afetados, quando aplicável.

Os registros devem ser mantidos pelos prazos legais e regulatórios, com no mínimo 10 anos para documentos vinculados a operações de câmbio e 5 anos para documentos de PLD/FTP, em meio que preserve integridade, disponibilidade e legibilidade.

O plano de continuidade de negócios deve ser documentado, testado e revisado ao menos uma vez por ano, com análise de impacto nos negócios, estratégias para processos críticos, recuperação de desastres, comunicação interna e externa e procedimentos para transferência de posições e ativos em caso de descontinuidade prolongada. Ele contempla a continuidade da segregação patrimonial, da custódia quando houver, do atendimento ao cliente e das obrigações regulatórias.

Gerenciamento de riscos e capital

A estrutura de gerenciamento de riscos é conduzida pelo Diretor Responsável pela Gestão de Riscos, com independência hierárquica e orçamentária, e abrange identificação, avaliação, mensuração, mitigação, monitoramento e reporte. Estão previstos, entre outros, os riscos operacional, de mercado, de crédito quando aplicável, de liquidez, de contraparte, de concentração, de PLD/FTP, cibernético, de continuidade, regulatório e legal, reputacional, de smart contracts quando aplicável, de chaves criptográficas e de custódia quando aplicável, e de forks e protocolos.

A Diretoria aprova a declaração de apetite a risco, com limites por categoria, indicadores de monitoramento e tratamento de extrapolações, revista anualmente ou após evento relevante, e recebe relatório consolidado de riscos ao menos a cada trimestre.

A Swapo deve manter capital compatível com as exigências regulatórias, com acompanhamento periódico dos requerimentos, margem adicional conforme o apetite a risco, planejamento de capital integrado ao plano de negócios, testes de estresse proporcionais, comunicação tempestiva ao Banco Central do Brasil de eventual desenquadramento e plano de ação para retomar o enquadramento. A Diretoria acompanha mensalmente os indicadores de adequação de capital.

Testes, reporte, não conformidades e auditoria

Controles Internos executa testes periódicos sobre cadastro, PLD/FTP e sanções, monitoramento transacional, preços, RFQ, provedores de liquidez, custódia quando aplicável, segregação patrimonial, conciliação, operações próprias, terceiros, incidentes, reclamações, reporte regulatório, acessos e partes relacionadas. Cada teste gera relatório com achados classificados como baixo, médio, alto ou crítico, recomendação, responsável, prazo e acompanhamento.

Indicadores de controles internos, como alertas de PLD/FTP, falhas de liquidação e de conciliação, incidentes, indisponibilidade, reclamações por causa raiz, níveis de serviço de provedores, exceções aprovadas e planos de ação vencidos, são acompanhados pela Diretoria. Relatórios de controles internos são apresentados à Diretoria ao menos a cada trimestre, e as obrigações de reporte regulatório têm controle centralizado de prazos, responsáveis e evidências.

Não conformidades são classificadas como baixas, médias, altas ou críticas e recebem plano de ação com responsável, prazo e evidência de remediação. Falhas críticas são comunicadas imediatamente ao diretor responsável e à Diretoria, que avaliam a necessidade de comunicação ao Banco Central do Brasil e às demais autoridades.

Administradores, colaboradores e terceiros relevantes recebem treinamento ao menos anual sobre controles internos, PLD/FTP, sanções, proteção de dados, segurança da informação, conflitos de interesses, preços, contato com fornecedores de liquidez, incidentes e ética, com registros mantidos por no mínimo 5 anos.

A auditoria interna, ou função de avaliação independente equivalente, avalia periodicamente a estrutura de controles, com acesso irrestrito a sistemas, registros e pessoas. A Swapo deve cooperar plenamente com o Banco Central do Brasil e as demais autoridades, com atendimento tempestivo de demandas, pontos focais designados, registro centralizado das interações e tratamento prioritário de determinações e recomendações.

Atendimento e reclamações

A política prevê estrutura de atendimento ao cliente com:

• canais formais de atendimento, com horários e meios divulgados;
• procedimento de tratamento de reclamações com prazo de resposta definido;
• escalonamento interno para casos não resolvidos no primeiro atendimento;
• acompanhamento por indicadores de satisfação e de causa raiz;
• eventual ouvidoria ou estrutura equivalente, conforme a proporcionalidade (a ouvidoria da Swapo está constituída no contrato social, nos termos da Resolução BCB nº 28/2020);
• interação com o sistema de atendimento e reclamações do Banco Central do Brasil, quando aplicável.

As reclamações são usadas para identificar deficiências de controle, com revisão periódica das causas e ações corretivas.

Revisão, vigência e base normativa

A política deve ser revista no mínimo a cada 24 meses, ou antes em caso de alteração regulatória relevante, mudança do modelo de negócio, incidente relevante, recomendação de auditoria, exigência do Banco Central do Brasil ou alteração operacional significativa. Casos omissos são resolvidos pelo Diretor Responsável por Controles Internos e Conformidade, ouvidos Compliance, Riscos e Jurídico. A política entra em vigor na data de sua aprovação.

Normas citadas pelo documento:

• Lei nº 14.478/2022;
• Resoluções BCB nº 519, 520 e 521/2025;
• Resolução BCB nº 277/2022 e demais normas cambiais aplicáveis;
• Instrução Normativa BCB nº 693/2025;
• Lei Complementar nº 105/2001;
• Lei nº 9.613/1998 e Circular BCB nº 3.978/2020, observada a regulamentação do Coaf, no que couber;
• Lei nº 13.709/2018 (LGPD);
• Resolução CMN nº 4.893/2021 e Resolução BCB nº 85/2021, no que aplicáveis;
• Recomendações do GAFI/FATF para ativos virtuais e prestadores de serviços de ativos virtuais.

Sobre esta versão

Versão pública do documento “Política de Controles Internos, Conformidade e Governança Operacional”, de 21/09/2026, que integra o pedido de autorização apresentado ao Banco Central do Brasil. A autorização ainda não foi concedida.

O texto resume o documento interno. Foram omitidos dados pessoais (LGPD), parâmetros de monitoramento e detalhes técnicos cuja divulgação prejudicaria a segurança, a prevenção a fraudes e a prevenção à lavagem de dinheiro, além de condições sujeitas a sigilo negocial (Resolução BCB nº 520/2025, art. 52, § 2º). Esta versão não substitui o contrato de prestação de serviços nem a regulamentação aplicável.

Todas as políticas · Central de Transparência