Regra de viagens da GAFI: O que os provedores de serviços de telecomunicações precisam saber em 2026

Os responsáveis ​​pela conformidade em corretoras de criptomoedas frequentemente descobrem que seus fluxos de trabalho da Regra de Viagem estão desatualizados em anos quando um auditor solicita a documentação. A própria regra, fundamentada em FATF A Recomendação 16 existe desde 2019, mas uma grande revisão em junho de 2025 ampliou seu escopo para abranger a prevenção de fraudes e o financiamento da proliferação, e para muitos VASPs (provedores de serviços de valor agregado) a antiga lista de verificação de conformidade não se aplica mais. O texto a seguir explica o que a Regra de Viagem exige, como as obrigações diferem entre as jurisdições e o que as mudanças de 2025 significam para suas operações neste ano.

A Regra de Viagem da GAFI (Grupo de Ação Financeira contra a Lavagem de Dinheiro e o Financiamento do Terrorismo) é um padrão global que exige que os Provedores de Serviços de Ativos Virtuais (VASPs) coletem, verifiquem e transmitam informações de identificação sobre o remetente e o beneficiário de uma transferência de ativos virtuais ao VASP receptor antes ou durante a transação.

A jurisdição de origem do seu VASP determina como a regra se aplica, mas a expectativa fundamental é consistente em todos os mercados. O dinheiro não deve ser movimentado sem uma identidade rastreável associada a ele.

O que é a regra de viagens da GAFI?

A Recomendação 16 do GAFI (Grupo de Ação Financeira contra a Lavagem de Dinheiro e o Financiamento do Terrorismo), comumente chamada de Regra de Viagem, estende aos ativos virtuais os padrões de transferência eletrônica que os bancos seguem há décadas. Quando um provedor de serviços de ativos virtuais (VASP, na sigla em inglês) envia ativos virtuais em nome de um cliente, ele deve repassar os dados do remetente e do beneficiário para a instituição receptora juntamente com a transação. O termo vem da regulamentação financeira dos EUA, onde a regra historicamente exigia que os dados de identificação "viajassem" com os fundos.

O mecanismo para compartilhar esses dados entre pares de VASPs baseia-se no padrão de mensagens IVMS101, um protocolo de interoperabilidade que estrutura os campos de origem e destino em um formato que os sistemas da contraparte podem validar automaticamente. A adoção do IVMS101 cresceu substancialmente desde 2022, embora ainda existam lacunas de implementação em mercados de alto crescimento.

Em junho de 2025, 73% das jurisdições que responderam, especificamente 85 de 117, haviam aprovado legislação implementando a Regra de Viagem, um aumento em relação às 65 jurisdições do ano anterior. Esse número continua crescendo e é importante para qualquer VASP (provedor de serviços de valor agregado) que cadastra clientes ou realiza transações internacionais.

Que dados os VASPs devem coletar e compartilhar?

Os provedores de serviços de valor agregado (VASPs) de ambos os lados de uma transferência devem coletar campos específicos sobre o remetente e o beneficiário, embora o limite de transação que aciona essa obrigação varie conforme a jurisdição. Os campos exigidos são, em grande parte, consistentes na maioria dos principais regimes.

Informações do originador que seu VASP deve obter e manter:

• Nome legal completo

• Número da conta ou da carteira

• Endereço físico, número de identificação nacional ou data e local de nascimento (pelo menos um destes)

• Nome e identificação da instituição de origem

Informações sobre o beneficiário que seu VASP deve obter e transmitir:

• Nome legal completo

• Número da conta ou da carteira

• Nome do VASP receptor

O VASP de origem deve transmitir esses dados de forma imediata e segura, mantendo-os disponíveis para inspeção regulatória mediante solicitação. Os VASPs também devem verificar as instituições contrapartes antes de realizar transações com elas. Aceitar transferências de um VASP não licenciado ou sujeito a sanções gera exposição regulatória direta.

Como os limites de transação variam de acordo com a jurisdição?

O padrão da GAFI recomenda um limite de USD/EUR 1,000, mas os reguladores nacionais definiram o limite de forma diferente.

O limiar da UE é o mais exigente. Regulamento da UE sobre a Transferência de Fundos (Regulamento 2023/1113) Entrou em vigor em 30 de dezembro de 2024 e exige que os provedores de serviços de criptoativos incluam informações completas sobre o remetente e o beneficiário em todas as transferências, independentemente do valor. Os VASPs que operam na UE ou realizam transações com contrapartes da UE deveriam ter atualizado seus fluxos de trabalho antes do final de 2024. Aqueles que ainda utilizam lógica baseada em limites para fluxos da UE já estão em desacordo com a regulamentação.

Os EUA aplicam a Regra de Viagem por meio da Lei de Sigilo Bancário, com FinCEN O limite foi definido em US$ 3,000 para empresas de serviços monetários que processam ativos virtuais. Na UE, as obrigações de conformidade com a MiCA e os requisitos da Regra de Viagem agora correm em paralelo para provedores de serviços de criptoativos licenciados.

O que mudou com a revisão de junho de 2025 do GAFI?

O Revisão da Recomendação 16 em junho de 2025 Esta é a atualização mais significativa desde que a regra foi estendida aos ativos virtuais em 2019. Três mudanças se destacam.

A prevenção de fraudes é agora um objetivo explícito.

A Recomendação 16 anterior focava-se no combate à lavagem de dinheiro e ao financiamento do terrorismo. A versão de 2025 adiciona a prevenção de fraudes e o financiamento da proliferação de armas de destruição em massa aos seus objetivos declarados. Os Prestadores de Serviços de Ativos Virtuais (VASPs) não podem mais tratar a Regra de Viagem puramente como uma medida de segurança. Mecanismo AML, e o compartilhamento de dados com a contraparte agora deve ser avaliado diretamente em relação ao risco de fraude.

A confirmação do beneficiário agora é obrigatória.

A norma revisada exige que os VASPs (provedores de serviços de valor agregado) verifiquem se as informações do beneficiário fornecidas pela instituição de origem correspondem aos registros mantidos pela instituição receptora. Trata-se de uma verificação ativa, não de uma simples retransmissão passiva de dados. Sistemas que apenas encaminham dados sem validá-los na extremidade receptora precisarão ser reformulados.

Espera-se o alinhamento com a norma ISO 20022.

O GAFI esclareceu que os dados do remetente e do beneficiário devem ser estruturados de forma a estarem em conformidade com as normas de mensagens ISO 20022, sempre que possível. Os VASPs que utilizam o IVMS101 devem confirmar se o formato das suas mensagens corresponde corretamente aos campos de dados ISO 20022.

Os requisitos revistos entram em vigor a nível nacional até ao final de 2030. A Taxa de Fecundidade Total (TFT) da UE e os quadros nacionais existentes já impõem condições mais rigorosas, pelo que a data de 2030 funciona como um limite mínimo global, e não como um limite máximo.

Como os VASPs podem implementar a Regra de Viagem na prática?

A conformidade com as regras de viagem se divide em cinco requisitos operacionais para a maioria dos VASPs (provedores de serviços de valor agregado).

1. Identificação VASP

Antes de transferir ativos virtuais, confirme se a instituição receptora é um VASP (Provedor de Serviços de Ativos Virtuais) registrado ou licenciado em sua jurisdição de origem. Apenas 33% das jurisdições avaliadas exigem licenciamento de VASP de forma satisfatória, o que significa que as listas regulatórias por si só não são suficientes. A verificação da contraparte em bancos de dados de sanções e fontes de notícias negativas adiciona uma camada prática de segurança.

2. Coleta de dados na integração

Os campos obrigatórios (nome completo, endereço da carteira, dados de identificação) devem ser coletados dos clientes antes que eles iniciem transações iguais ou superiores ao limite aplicável. Integrar a coleta de dados ao processo de integração é muito mais eficiente do que adaptá-la posteriormente como uma verificação no momento da transação.

3. Transmissão segura de dados

Utilize mensagens compatíveis com o protocolo IVMS101 para transmitir os dados do remetente e do beneficiário ao provedor de serviços de telecomunicações (VASP) receptor. Mantenha registros de todas as transmissões e disponibilize-os ao seu órgão regulador mediante solicitação.

4. Triagem de sanções das contrapartes

Antes de concluir uma transferência, verifique se o provedor de serviços de ativos virtuais (VASP) destinatário e seus clientes estão listados nas listas de sanções relevantes. A verificação de pagamentos para transferências de ativos virtuais deve abranger tanto as partes envolvidas na transação quanto a própria instituição contraparte.

5. Confirmação de cheques do beneficiário

Os provedores de serviços de valor agregado (VASPs) que se preparam para a revisão de 2025 devem implementar uma etapa de validação que confirme os dados do beneficiário em relação aos registros da instituição receptora antes de liberar a transferência. Isso agora faz parte do padrão da GAFI (Grupo de Ação Financeira contra a Lavagem de Dinheiro).

Revendo Conformidade com as normas de AML (Anti-Money Laundering) em 2025 Além disso, vale a pena fazer o mesmo, pois as duas estruturas se sobrepõem em relação à triagem de sanções, verificações de PEPs (Pessoas Politicamente Expostas) e monitoramento de transações.