Lacunas de governança e auditoria que inviabilizam projetos de tokenização

Projetos de tokenização empresarial podem enfrentar problemas na fase de implementação, mesmo que a parte de blockchain funcione corretamente. Um contrato inteligente pode executar transações sem erros, os tokens podem ser criados sem problemas e o sistema pode passar nos testes de segurança. No entanto, o projeto ainda pode ter dificuldades para obter aprovação interna, atender às normas de auditoria, garantir que os registros de propriedade estejam corretos ou demonstrar que as regras para investidores são sempre seguidas.

Para quem toma decisões em uma empresa, essa é uma diferença importante. A tokenização não se trata de transformar um ativo em uma versão digital. Ela adiciona uma componente tecnológica que precisa estar em conformidade com os direitos, os registros financeiros, os procedimentos operacionais e as normas vigentes. Quando esses aspectos são tratados separadamente, problemas costumam surgir quando o projeto é implementado, quando há necessidade de verificação ou quando ele é ampliado além do escopo dos testes.

Uma abordagem robusta para a governança de tokenização empresarial incorpora todas essas tarefas ao sistema desde a sua concepção. Ela define quem pode aprovar ações, como a propriedade é verificada, quais regras se aplicam à movimentação de tokens e qual comprovação é necessária quando uma decisão é tomada.

O objetivo não é adicionar etapas para realizar as tarefas. É criar um sistema que a empresa possa usar, monitorar, explicar e defender durante o período em que o ativo estiver sendo utilizado.

Por que os projetos de tokenização empresarial falham quando avaliados em termos de governança?

Projetos de tokenização empresarial frequentemente enfrentam problemas de governança quando a tecnologia avança mais rápido do que a capacidade da empresa de gerenciá-la. Os engenheiros podem se concentrar em contratos, no uso de carteiras digitais e em como realizar transações, enquanto as equipes de conformidade jurídica, finanças e operações lidam com diferentes documentos e etapas para obter aprovação.

Essa divisão cria um espaço entre o que o sistema pode fazer e o que a empresa está autorizada a fazer.

Imagine uma plataforma imobiliária. O contrato inteligente poderia gerenciar a movimentação de tokens. A empresa também precisa criar os direitos que esses tokens representam, as condições em que a propriedade pode ser transferida e os registros que mostram essas mudanças. Se a forma como o sistema movimenta os tokens não estiver de acordo com as regras, uma transação que funcione tecnicamente ainda pode causar problemas com os registros ou as regras.

O mesmo problema ocorre com dinheiro, empréstimos, títulos, bens e outras coisas que são transformadas em tokens. As regras para cada um variam de acordo com o tipo de coisa e sua localização, mas a necessidade principal é a mesma: a forma como as coisas são feitas precisa estar de acordo com o que a empresa está autorizada a fazer. Quais regras se aplicam.

É aqui que a conformidade com a tokenização se torna parte do projeto do sistema, e não uma verificação final. As regras para estar em conformidade com a lei devem definir quem pode fazer as coisas, como as regras são aplicadas, como os relatórios são feitos e quais provas são mantidas antes que o sistema comece a funcionar de fato.

Uma verificação de governança deve ir além da qualidade do código. Deve verificar se o sistema respeita os direitos dos ativos, segue as regras permitidas, mantém registros das decisões tomadas e permite que as pessoas verifiquem o funcionamento do sistema.

7 maneiras pelas quais problemas de governança podem causar problemas para projetos de tokenização empresarial

Os problemas de governança geralmente não decorrem de uma única falha. É mais provável que surjam quando as responsabilidades, os controles e os registros não estão alinhados ao longo do ciclo de vida do ativo. Os seguintes problemas precisam de atenção antes que o sistema seja usado na prática.

1. Propriedade de ativos e responsabilidade do emissor pouco claras

A criação de tokens por si só não significa que o ativo subjacente tenha sido legalmente transferido ou que as pessoas que possuem os tokens tenham os direitos descritos nos documentos que explicam sua venda. As regras devem especificar se um token se destina a possuir algo, a obter um benefício, a ser um empréstimo, a representar uma parte de um fundo ou a outro tipo de acordo.

Sem esse entendimento, podem surgir discussões sobre pagamentos, votações, devolução do dinheiro ou se a movimentação dos tokens é permitida. A pessoa que criou os tokens também precisa decidir quem é responsável por verificar o sistema, obter a documentação necessária, informar as pessoas sobre ele e manter os relatórios atualizados.

Um modelo de governança ideal vincula cada ativo tokenizado aos documentos que o descrevem, à pessoa que o criou, aos registros de seus proprietários e aos direitos claros das pessoas que possuem os tokens. Alterações no ativo ou em suas regras devem passar por uma verificação documental e obter aprovação antes de serem implementadas.

2. Controles fracos de identidade, acesso e permissões

Um sistema pode ter maneiras de as pessoas realizarem tarefas, mas não deixar claro quem pode iniciar, aprovar e executar as operações importantes. Isso facilita que pessoas sem permissão façam coisas, alterem as regras para movimentar tokens ou acessem informações que não deveriam ver.

Para que a governança da tokenização empresarial seja eficaz, as políticas de acesso devem refletir as responsabilidades organizacionais reais. A criação de tokens altera o funcionamento do sistema, o acesso a uma carteira digital altera as regras e o gerenciamento dos fundos exigem regras claras. Grandes mudanças podem precisar da aprovação de mais de uma pessoa, dependendo do nível de risco envolvido.

As revisões de acesso também devem levar em conta desligamentos de funcionários, mudanças de função, administradores terceirizados e credenciais comprometidas. O objetivo é garantir que tudo o que possa ser feito com privilégios de administrador seja permitido.

3. Trilhas de auditoria de contratos inteligentes incompletas

Um contrato inteligente pode mostrar que uma transação ocorreu, mas pode não contar a história por trás dela. Um auditor pode ver que uma movimentação aconteceu, mas ainda precisa saber quem a aprovou, se as regras corretas foram seguidas e qual versão das regras foi usada.

Isso é importante quando as pessoas alteram as regras, interrompem movimentos, atualizam o sistema ou corrigem erros. Se o sistema não registrar essas escolhas e as respectivas comprovações, pode ser difícil descobrir o que aconteceu.

Para que a tokenização seja eficaz, é necessário mais do que apenas registrar o que aconteceu no blockchain. É preciso acompanhar as ações de quem concordou, o histórico das regras, os registros de eventos e os links para documentos que não estão no blockchain. Informações privadas ou financeiras devem ser protegidas por regras de acesso e armazenamento, em vez de serem registradas publicamente.

4. Lacunas na aplicação das normas KYC, AML e de elegibilidade do investidor 

Verificar quem possui as fichas no início não significa que essa pessoa permanecerá no local durante todo o período em que as fichas estiverem sendo usadas. As regras sobre quem pode possuir as fichas podem variar dependendo do tipo de pessoa, de onde ela está, das regras da oferta, da quantidade que ela pode deter ou se a sua situação mudar.

Se essas regras estiverem na seção onde as pessoas se cadastram no sistema pela primeira vez, elas podem não ser sempre aplicadas. Um token pode ser enviado para uma carteira que não concluiu as verificações ou que não tem permissão para possuir esse tipo de token.

As regras devem conectar a verificação da identidade das pessoas, a verificação se elas estão em uma lista de pessoas com quem não se deve fazer negócios, com a verificação se elas têm permissão para possuir os tokens, as regras sobre a movimentação de tokens e a verificação contínua. O sistema também deve indicar o que fazer se a documentação não estiver atualizada, se uma movimentação não for permitida, se uma transferência for questionada ou se houver algum problema com as regras.

As regras necessárias devem ser definidas de acordo com o contexto em que o token se encontra. Uma abordagem que funciona para uma oferta pode não ser adequada para outra.

5. Ausência de reconciliação on-chain e off-chain

A quantidade de tokens e as movimentações na blockchain não são todos os documentos necessários. As empresas também podem ter documentos que comprovem a propriedade do ativo, registros de quem o possui, extratos bancários, contratos financeiros, acordos de adesão e registros de pagamentos.

Quando esses sistemas não funcionam em conjunto, podem surgir problemas. Uma transação pode ser registrada no blockchain sem que o documento correspondente seja atualizado. Um pagamento pode ser efetuado por um sistema monetário sem que o sistema de tokens seja informado. Nenhuma dessas situações pode ser resolvida por tentativa e erro.

Uma forma de verificar se as diferentes partes correspondem deve indicar qual delas é a correta para cada parte do documento, com que frequência as verificações são feitas e como corrigir problemas quando eles ocorrerem. Os problemas devem permanecer visíveis até que alguém com autoridade para fazê-lo possa corrigi-los mediante comprovação.

6. Procedimentos pouco claros de atualização, recuperação e resposta a incidentes

Sistemas que gerenciam tokens precisam de medidas para lidar com problemas, como roubo de acesso, erros no código, operações incorretas, indisponibilidade do sistema ou funcionamento inesperado. A segurança, por si só, não basta se a empresa não puder agir quando as regras deixarem de funcionar.

As regras de governança devem definir quem pode interromper processos, quem pode alterar o sistema, quem pode retornar ao controle e quem pode solucionar problemas. Devem também estabelecer como registrar as decisões tomadas e comunicá-las aos demais.

A forma de corrigir os problemas também deve levar em consideração o que acontece operacionalmente quando as mudanças são feitas. Pode não ser possível desfazer uma ação realizada na blockchain, e qualquer correção deve seguir as regras do token e a legislação vigente.

7. Evidências insuficientes para auditorias internas e externas

É difícil se preparar para auditorias quando as provas estão em locais como e-mails, planilhas, sistemas separados e equipes diferentes. Mesmo que existam regras estabelecidas, a empresa pode não conseguir demonstrar que elas foram aplicadas da maneira como foram feitas.

Estar preparado para uma verificação exige uma forma de obter, proteger e encontrar as provas. Isso inclui aprovações para regras, verificação de quem tem acesso, escolhas sobre quem pode ter o token, verificações sobre os itens de propriedade, alterações nas regras, problemas que surgem e suas soluções.

A forma como as provas são armazenadas deve indicar por quanto tempo serão mantidas, quem pode vê-las, quem é o responsável por elas e como cada regra está relacionada aos documentos que a comprovam. Também deve permitir que as pessoas as verifiquem sem ter acesso a informações que não deveriam.

Uma plataforma projetada por uma empresa experiente em desenvolvimento de projetos de tokenização empresarial deve abordar esses requisitos como parte do escopo de implementação, em vez de tratá-los como documentação a ser compilada imediatamente antes de uma auditoria.

Por que as auditorias de contratos inteligentes, por si só, não garantem a conformidade com a tokenização?

A verificação do código é uma forma importante de garantir a segurança do sistema, mas resolve apenas parte do problema em um projeto de tokenização empresarial. Geralmente, ela analisa o código em busca de erros, comportamentos inesperados e pontos fracos. Não verifica automaticamente se as regras associadas ao token estão corretas, se a documentação externa ao sistema está adequada ou se os procedimentos da empresa para obter aprovação estão funcionando.

Um contrato pode executar a função para a qual foi instruído, mas pode estar seguindo uma regra incompleta ou incorreta. Por exemplo, um método para movimentar tokens pode funcionar sem erros. No entanto, as regras que o acompanham podem precisar de mais verificações para determinar quem pode possuir o token. Além disso, um contrato pode distribuir tokens corretamente, mas a documentação que explica o que o token representa pode estar incorreta.

Essa distinção tem implicações práticas para soluções de conformidade com a tokenização . Os testes de segurança devem ser complementados por validação de controles, revisão jurídica, testes de reconciliação, avaliações de acesso e testes de cenários operacionais.

A verificação deve garantir que o sistema esteja funcionando conforme o prometido pela empresa. Os testes devem abranger tanto as operações normais quanto situações atípicas, como operações que afetam pessoas não autorizadas a possuir um token, alterações nas regras do sistema e discrepâncias entre os registros no blockchain e a documentação interna da empresa.

Uma auditoria independente pode ser muito útil. No entanto, ela não substitui a responsabilidade da empresa em garantir que as regras sejam cumpridas. É fundamental que a responsabilidade pela implementação das regras seja clara, assim como a definição de quem é o responsável.

O que deve incluir uma estrutura de governança de tokenização empresarial?

Uma estrutura eficaz conecta as responsabilidades de negócios com a aplicação técnica e evidências verificáveis. Em vez de tratar a governança como um documento de política único, as empresas devem estabelecer um conjunto coordenado de controles em toda a plataforma e na organização que a opera. 

Para empresas que buscam gerenciar a tokenização, o sistema deve ser adequado ao risco do ativo, considerando como as transações funcionam, quem está envolvido e quais regras se aplicam. Um investimento privado que não pode ser facilmente transferido pode exigir controles mais rigorosos do que um sistema que lida com diversos tipos de ativos e negociações após a venda inicial.

A governança também precisa mudar conforme o sistema muda. Novos tipos de ativos envolvidos, termos contratuais atualizados e a colaboração com outras empresas podem trazer riscos que não existiam quando tudo começou.

Como as empresas podem identificar lacunas de governança antes do lançamento?

Uma avaliação estruturada antes do lançamento ajuda as empresas a encontrar oportunidades antes que elas se tornem muito caras. Ela deve incluir as pessoas responsáveis ​​pelo ativo, pela tecnologia, pela estrutura jurídica, pela conformidade, pelas finanças e pela operação do sistema.

A lista a seguir oferece um ponto de partida.

• Confirme se os direitos sobre os tokens correspondem aos documentos legais que os regem.
• Atribua responsáveis ​​pela emissão, transferência, atualização, recuperação e geração de relatórios.
• Verificação de identidade e restrições de elegibilidade de investidores.
• Validar permissões administrativas e separação de aprovações.
• Conciliar os saldos de tokens com os registros financeiros e de ativos oficiais.
• Documente as alterações nos contratos inteligentes e as intervenções administrativas.
• Testar os procedimentos de resposta a incidentes, continuidade de negócios e recuperação.
• Verificar se as evidências da auditoria podem ser recuperadas por revisores autorizados.
• Analise as dependências de terceiros e defina suas responsabilidades.
• Obtenha a aprovação documentada dos responsáveis ​​pelas áreas de negócio e controle.

Organizações que contratam uma empresa para o desenvolvimento de projetos de tokenização empresarial também devem estabelecer critérios de aceitação de governança antes do início do desenvolvimento. Isso garante que a equipe saiba quais controles precisam ser implementados, quais sistemas precisam funcionar e qual comprovação é necessária para a entrada em produção.

A verificação da governança é mais eficaz quando ocorre com frequência suficiente para alterar a forma como o sistema é construído. Adicionar regras de acesso, modificar relatórios ou corrigir problemas de dados após a implementação pode prolongar o processo mais do que o necessário.

Incorporar a governança à tokenização desde o início.

A governança funciona melhor quando faz parte do projeto antes mesmo do primeiro investimento ser realizado. Regras sobre verificação de ativos, quem pode participar, aprovações, conferência de números e comprovação para auditorias devem ser claramente definidas nos planos de execução desde as etapas iniciais.

Isso exige que pessoas de diferentes áreas da empresa trabalhem juntas. Cada grupo deve saber quais escolhas fazer, quais regras o sistema deve seguir e como lidar com exceções. O trabalho deve incluir a verificação dos controles no momento da implementação, bem como a verificação das funções e da segurança, com regras claras a serem aprovadas antes da entrada em produção.

As soluções ideais de conformidade com a tokenização devem facilitar esse modo de trabalho sem complicar demais as coisas. Dependendo da necessidade, isso pode significar regras que impeçam certas ações, controle de quem pode fazer o quê, registro de ações, vinculação a pessoas que verificam identidades, formas de verificar números e gerar relatórios claros.

As empresas também devem considerar como essas regras mudarão à medida que o sistema se expandir para diferentes locais ou tipos de ativos. Uma forma de gestão que funciona para um tipo de investimento pode precisar de novas regras, mais formas de reporte ou mais verificações legais quando a empresa adicionar algo novo.

O objetivo é fazer da governança uma parte regular do funcionamento da empresa, e não algo que aconteça apenas antes do início das atividades.

Como a Antier auxilia em projetos de tokenização empresarial

A Antier vê a tokenização empresarial como uma combinação de como o ativo é configurado, como o blockchain funciona, como o sistema opera e as regras que devem ser seguidas. Seu trabalho inclui a criação de sistemas para patrimônio, fundos, bens e outros ativos reais, com designs que se adequam a cada projeto.

Como empresa de desenvolvimento de projetos de tokenização empresarial, a Antier auxilia na criação de tokens, transferências controladas, contratos inteligentes, na captação de participantes, na gestão de responsabilidades e na integração para gerenciar o ciclo de vida do ativo. O trabalho específico depende do tipo de ativo, de seu funcionamento e das necessidades do cliente.

O objetivo é adequar as capacidades do sistema às regras e aos mecanismos de verificação estabelecidos no planejamento. As respostas legais, as regras e as verificações, por parte de terceiros, continuam sendo responsabilidade das pessoas e dos grupos.

Empresas que estejam analisando um projeto de tokenização podem começar identificando seus problemas com as regras que definem os controles necessários e verificando como esses controles devem se refletir no design do sistema.