LE Banque centrale du Brésil (BCB) publié jeudi (22) l'Instruction normative BCB n° 701, établissant des règles strictes pour la certification technique des entreprises qui souhaitent opérer sur le marché des cryptomonnaies.
La norme détaille les exigences qu'une « société indépendante qualifiée » doit analyser avant qu'une bourse puisse demander sa licence d'exploitation en vertu de la résolution BCB n° 520/2025.
La nouvelle instruction, qui entre en vigueur le 2 février 2026nécessite l’émission d’un avis concluant sur la sécurité, la gouvernance et la solvabilité des prestataires de services sur actifs virtuels (VASP).
🟠Recevez des conseils Bitcoin des plus grands experts du marché.
Si l’entreprise ne présente pas cette certification ou ne satisfait pas aux exigences, la demande d’autorisation sera considérée comme « inefficace », empêchant toute activité légale dans le pays.
Preuve de réserves et séparation des actifs
L’un des points les plus critiques de la nouvelle norme est l’exigence formelle de ce que l’on appelle «Preuve de réserves» (Preuve de réserves) L'auditeur indépendant doit vérifier les mécanismes qui garantissent que le courtier « est effectivement propriétaire des actifs virtuels qu'il déclare détenir pour le compte de ses clients ».
De plus, la certification doit prouver une séparation efficace des actifs. En d’autres termes, l’auditeur doit certifier que les Bitcoins et cryptoactifs des clients ne sont pas mélangés aux actifs propres de l’entreprise, protégeant ainsi les utilisateurs en cas de faillite du courtier.
Qu'est-ce qui sera audité d'autre ?
L'Instruction Normative énumère une série d'éléments obligatoires sur lesquels l'avis technique doit porter :
- Prévention du blanchiment d'argent : les processus doivent être conformes à la législation relative à la lutte contre la criminalité financière et le financement du terrorisme.
- Cybersécurité et redondance : évaluation des plans de réponse aux incidents, des mécanismes de cybersécurité et de redondance pour garantir que le système ne se déconnecte pas ou ne perde pas de données.
- Outsourcing et Cloud : Si la bourse utilise des services tiers (tels que des dépositaires offshore ou le cloud computing), la capacité technique et juridique de ces partenaires doit également être auditée.
- Transparence dans le Staking : Pour les entreprises qui proposent des revenus (staking), l'auditeur doit vérifier que les risques sont clairement communiqués au client.
Indépendance et conflits d’intérêts
Pour éviter la fraude lorsque l'audit est « favorable » à l'entreprise auditée, la Banque centrale exige que l'entreprise certifiante inclue une déclaration formelle d'absence de conflit d'intérêts. Aucune relation d’entreprise ou d’affaires ne peut compromettre l’impartialité de l’analyse.
En outre, tous les documents de travail et mémoires de calcul utilisés pour l'audit doivent être tenus à la disposition de la Banque centrale pendant au moins cinq ans.
Comment c’était avant et qu’est-ce que ça sera maintenant ?
La norme renforce le fait que les institutions financières et autres entités qui opèrent déjà sur le marché ou souhaitent y entrer doivent envoyer cette certification via le système APS-Siscom.
La mesure vise à assurer la transparence et la sécurité juridique du marché brésilien, conformément aux lignes directrices de la loi n° 14 478 (Cadre juridique des crypto-monnaies).
| Comment fonctionnent les courtiers aujourd’hui (la « norme du marché ») | Ce qu'exige désormais la norme IN nº 701/2026 (La loi) | |
| Preuve de réservation (PoR) | La plupart (par exemple Binance, Bitso, Crypto.com) publient un « Merkle Tree » volontaire. Il est souvent auto-déclaré ou audité par des entreprises plus petites, sans normalisation des fréquences. | Obligatoire et certifié. Il doit être audité par une « entreprise qualifiée indépendante » qui certifie que le courtier vraiment posséder les actifs qu'elle prétend détenir au nom de ses clients. |
| Ségrégation patrimoniale | Certains courtiers nationaux (par exemple Mercado Bitcoin) le pratiquent et le défendent déjà. Les entreprises internationales conservent généralement leurs fonds dans des comptes mondiaux (« comptes omnibus »), mélangeant les actifs de clients de plusieurs pays. | Ségrégation efficace et auditée. L'auditeur doit prouver des mécanismes qui séparent complètement les actifs de l'entreprise de ceux des clients. En cas de faillite, l'argent du client n'entre pas dans la masse de la faillite. |
| Audit externe | Certains « Big 4 » (Deloitte, EY, KPMG, PwC) ont refusé d’auditer les courtiers crypto (affaire Mazars/Binance en 2022). Les audits étaient axés sur les états financiers et non sur la conservation technique. | Audit Technique Spécifique. La norme exige un avis technique axé sur la sécurité, la conservation et le cyber-risque, et pas seulement sur la comptabilité. L'auditeur doit déclarer qu'il n'a aucun conflit d'intérêts. |
| Siège social et juridiction | Beaucoup opèrent comme des « entités étrangères » (offshore), sans CNPJ local pour la garde, ce qui rend difficiles les procédures juridiques et la supervision directe par la Colombie-Britannique. | CNPJ et migration obligatoire. Les entreprises étrangères disposeront d'un délai (environ 270 jours) pour migrer leurs clients et leurs opérations vers une entité locale autorisée, sous réserve de la loi brésilienne. |
| Jalonnement et rendements | Les produits « à revenus passifs » (Earn) sont proposés avec des conditions d'utilisation complexes, sans préciser s'il existe des garanties ni où va l'argent. | Transparence des risques. L'auditeur doit vérifier si le courtier informe clairement des risques, de l'absence de FGC (Fonds de Garantie de Crédit) et de la manière dont les revenus sont générés. |
| Cybersécurité | Ils parlent de « sécurité de niveau bancaire » et de « fonds SAFU », mais les détails techniques des plans d’intervention en cas de catastrophe sont rarement publics ou audités extérieurement. | Audit de résilience. Nécessite une certification des plans de réponse aux incidents, de la redondance des systèmes et de la sécurité informatique. Si le système tombe en panne, vous devez disposer d'un plan de récupération audité. |
Voir l’article original en portugais
