Obrigações SPA/MF: como responder a ofício sem improviso

Chegou um ofício da SPA/MF pedindo dados da sua operação. Em quantos dias você responde, quem assina, e o que precisaria estar pronto antes de o pedido chegar? Este texto é para quem responde por licença, compliance e operação em casa de apostas autorizada — não para entender o calendário de entregas, que já está em obrigações SPA/MF: o calendário que sustenta sua licença, mas para montar a rotina interna que transforma cada pedido do regulador em tarefa de um dia útil, e não em mutirão de duas semanas.

Por que a fase mudou: de orientação para prestação de contas

O mercado brasileiro operou o primeiro período regulado sob a Lei 14.790/2023 com o regulador em modo de estruturação: consultas públicas, portarias sucessivas, prazos elásticos na prática. Esse ciclo não se encerrou: migrou de estruturação para agenda declarada — a SPA publicou agenda regulatória com temas prioritários para 2026 e 2027 (Yogonet, 13/02/2026), o que significa fila de temas com previsão de normatização. Quando a base normativa está posta e as autorizações estão emitidas, o instrumento seguinte do regulador não é a orientação, é o pedido de informação — e, se a resposta não convencer, o processo sancionador.

A sinalização veio pelo comportamento recente da administração: bloqueio de domínios, atuação sobre meios de pagamento na Portaria 2.750 e notificações do MJSP a lojas de aplicativos. Essas medidas já têm série histórica: a SPA reportou bloqueio de mais de 66 mil domínios e R$ 18 milhões em multas aplicadas na fiscalização de apostas online (iGaming Brazil, 11/09/2026), e o governo federal aplicou sanções a 56 bets infratoras até agosto de 2026 (Metrópoles, set/2026). O operador autorizado é justamente o que tem endereço, CNPJ e responsável designado — ou seja, é o mais fácil de intimar.

Nota de método: as portarias da SPA/MF continuam sendo editadas, alteradas e revogadas. Prazos de guarda de registros, formatos de reporte e hipóteses de comunicação prévia devem ser conferidos no texto vigente publicado no Diário Oficial da União na data em que você montar o procedimento — e reconferidos a cada revisão trimestral. Este artigo trata da arquitetura da rotina, não substitui a leitura da norma.

O dossiê permanente de licença: o que fica pronto antes do pedido

O erro estrutural mais comum é tratar conformidade como projeto de licenciamento. O time monta um calhamaço para obter a autorização, comemora a publicação e o dossiê congela naquela data. Seis meses depois, mudou o PSP, entrou um provedor de jogos novo, saiu o diretor de PLD/FT e três certificados venceram. Nada disso está refletido no arquivo.

A alternativa é um dossiê permanente: repositório único, versionado, com dono nomeado e data de validade por documento. Não é um drive compartilhado com pastas por ano — é um índice em que cada linha tem responsável, versão vigente, data do último aceite e evidência de onde o dado nasce.

Cadeia de custódia: o dado existe, mas sai no formato pedido?

Na prática, a falha mais cara não é ausência de registro. É registro que existe dentro do PAM e não é exportável no recorte solicitado — por período, por CPF, por método de pagamento, por mercado esportivo, com carimbo de tempo confiável. Quando o operador depende de um chamado ao fornecedor de plataforma para gerar qualquer extração não padronizada, o prazo regulatório passa a ser gerido por um terceiro. Esse é o argumento central de como não virar refém do PAM na camada de dados.

Três perguntas resolvem o diagnóstico em uma reunião de uma hora:

1. O dado bruto está sob controle da operadora ou só dentro do ambiente do fornecedor?
2. Existe cláusula contratual que obriga o fornecedor a entregar evidência em prazo compatível com o prazo regulatório — e com penalidade se não entregar?
3. A extração é reproduzível por uma segunda pessoa, com a mesma consulta, gerando o mesmo resultado seis meses depois?

Se a terceira resposta for não, a operação não tem cadeia de custódia — tem alguém que sabe fazer o relatório. Isso não sobrevive a um desligamento.

Quem assina o quê — e o que acontece quando essa pessoa sai

A norma exige responsáveis designados para funções específicas, e o desenho desses cargos está detalhado em o organograma que a norma exige ter. O recorte aqui é outro: a matriz de assinatura perante o regulador. Para cada tipo de comunicação — reporte periódico, resposta a intimação, comunicação de alteração societária, notificação de incidente —, defina nome, suplente e prazo interno de validação.

Duas patologias recorrentes: o designado formal que não tem acesso aos sistemas sobre os quais assina, e a saída de um designado sem comunicação tempestiva ao regulador. A segunda transforma um problema de RH em irregularidade cadastral. Coloque a comunicação de substituição no checklist de desligamento, ao lado da devolução do crachá.

O fluxo de resposta a ofício, em sete passos

1. Recebimento e registro. Um único canal de entrada (caixa postal institucional monitorada por duas pessoas), protocolo interno com data e hora, contagem de prazo iniciada no mesmo dia.
2. Triagem em 24 horas. Classificar: o que está sendo pedido, qual sistema é a fonte, qual a data-limite e qual o responsável técnico pela produção.
3. Decisão sobre prorrogação. Se a produção do dado exigir mais da metade do prazo, avaliar pedido fundamentado logo no início — e não na véspera.
4. Produção com dupla checagem. Quem extrai não é quem confere. Divergência entre o número do relatório e o número já reportado em entrega periódica anterior precisa ser explicada antes do envio, não depois.
5. Revisão jurídica. O texto da resposta responde exatamente ao que foi perguntado, sem abrir escopo novo e sem omitir item pedido.
6. Protocolo pela via formal indicada no ofício, com comprovante arquivado.
7. Arquivamento da evidência enviada. Congelar a versão exata do que foi entregue, com a consulta que gerou o dado. Pedido complementar quase sempre pede detalhe do que já foi respondido.

Sobre o passo 3, vale a heurística contrária à intuição: resposta incompleta entregue no prazo costuma custar mais que prorrogação pedida com fundamento. A resposta parcial gera inconsistência, a inconsistência gera pedido complementar, e o pedido complementar amplia o escopo da análise. O regulador que recebe dois números diferentes para a mesma pergunta passa a duvidar dos dois.

Gatilhos de comunicação obrigatória

Parte das obrigações não segue calendário: depende de um evento. Mudança de controle societário, alteração de domínio, substituição de fornecedor crítico, troca de responsável designado, incidente relevante de segurança da informação. No Brasil isso é obrigação posta: a SPA definiu regras para comunicação de mudanças por operadores de apostas em dezembro de 2025 (Yogonet, 16/12/2025). A numeração e o texto vigente da norma devem ser conferidos no DOU antes de montar o procedimento. O Reino Unido, pela UKGC, e Malta, pela MGA, trabalham com listas explícitas de eventos que disparam comunicação, além de retornos periódicos — servem como referência de desenho de processo, não como fonte da obrigação.

O procedimento prático: mapear quais eventos, na leitura das portarias vigentes, exigem comunicação ou anuência prévia; escrever essa lista em uma página; e pendurar cada item no processo que o produz. Alteração societária nasce no jurídico; troca de provedor nasce em produto ou tecnologia; incidente nasce em segurança. Se a lista mora só no compliance, o compliance descobre depois de todo mundo.

O simulado que revela o tamanho do problema

Uma vez por trimestre, alguém da diretoria emite um pedido interno redigido como se fosse do regulador — específico, com recorte incômodo e prazo curto. Exemplo: todos os depósitos recusados por um método de pagamento em um mês determinado, segmentados por motivo de recusa, com a política de KYC vigente naquela data anexada. Cronometre.

Quem só descobre onde o dado está no dia em que o regulador pergunta já perdeu metade do prazo antes de começar a produzir a resposta.

O simulado tem um efeito colateral útil: expõe as dependências de fornecedor e as lacunas contratuais antes que elas apareçam em situação real ou em due diligence. Como já se viu em operações de médio porte em processo de consolidação, o comprador que não consegue reconstituir evidência de conformidade passada precifica esse risco — o ponto tratado em o que a licença não transfere no valuation de uma operadora.

O que medir

Os cinco erros que se repetem

• Dossiê congelado na data da autorização, sem versionamento nem validade por documento.
• Dado que existe no sistema, mas não sai no formato e no recorte pedidos.
• Responsável designado sem acesso operacional ao que assina.
• Contrato com fornecedor crítico sem cláusula de auditoria e de entrega de evidência em prazo regulatório.
• Responder com o que se tem, no prazo, em vez de pedir prorrogação fundamentada.

Duas incertezas seguem abertas e afetam o desenho: o desfecho das propostas de alteração do marco legal em discussão, que pode mexer no escopo do que se presta contas, e a eventual consolidação dos reportes em canal único pela SPA. Nenhuma das duas é motivo para adiar. A rotina descrita aqui é agnóstica ao canal: se mudar o formulário, muda o passo final do fluxo — o dossiê, os donos e a cadeia de custódia continuam servindo.

O teste é simples. Se o ofício chegasse hoje à tarde, quem abriria o e-mail, quem começaria a extração e em quanto tempo o documento estaria assinado? Se a resposta depende de uma pessoa específica estar disponível, o problema não é regulatório — é de desenho interno, e custa menos consertar antes.

Atualização — 14/10/2026

Desde a publicação deste texto, em 23/09/2026, a arquitetura da rotina segue válida — dossiê permanente, cadeia de custódia, matriz de assinatura, fluxo em sete passos e simulado trimestral. O que mudou foi o entorno normativo e o volume de atuação fiscalizatória. Ressalva de método: não foi possível confirmar nesta revisão a numeração exata das portarias de junho, julho, setembro e outubro de 2026 citadas abaixo; nenhuma delas deve entrar em procedimento interno sem checagem do número e da data de publicação no DOU.

O dossiê de saída: o que a norma exige de quem para de operar

Em outubro de 2026 a SPA publicou portaria regulamentando as obrigações das empresas após a proibição de operar, normatizando devolução de valores aos apostadores, regularização de obrigações financeiras e atualização de dados cadastrais (Ministério da Fazenda, 06/10/2026). É o capítulo que faltava: o operador que perde a autorização passa a ter obrigações documentais e financeiras com prazo, executadas justamente quando o time já está se desfazendo. Defina desde já quem assina a devolução de saldos, quem responde pela quitação das obrigações financeiras, quem atualiza o cadastro e quem guarda os registros depois do encerramento. Nenhum desses atos é improvisável.

Do ofício ao processo sancionador: o que muda na postura

Com 56 operadores sancionados até agosto de 2026 e R$ 18 milhões em multas aplicadas, a hipótese de a resposta não convencer deixou de ser teórica. O que sustenta a defesa depois é o que foi congelado no primeiro ofício: a versão exata do que foi entregue, a consulta que gerou cada número e a data de cada documento anexado. Defina antes quem assina a defesa, qual o suplente e qual o prazo interno de validação — o prazo de defesa no processo sancionador não admite a mesma triagem de 24 horas usada para um pedido de informação comum.

Alvo duplo: a portaria de enfrentamento ao mercado ilegal

Em 16/09/2026 a SPA publicou portaria de enfrentamento ao mercado ilegal de apostas, ampliando o instrumental de atuação contra operação não autorizada. O argumento de que o operador autorizado é "o mais fácil de intimar" continua de pé, mas o alvo agora é declaradamente duplo — a atuação sobre o mercado ilegal não substitui a fiscalização sobre quem tem CNPJ, endereço e responsável designado.

O fornecedor dentro do perímetro

A consulta pública aberta pela SPA em fevereiro de 2026 sobre reconhecimento de fornecedores de serviços para operadores de apostas coloca o fornecedor dentro do perímetro regulatório. A cláusula de entrega de evidência em prazo compatível com o prazo regulatório, com penalidade, deixa de ser boa prática e vira item de due diligence: exija-a em todo contrato novo e abra a renegociação dos contratos vigentes com PSP, provedor de jogos e plataforma. O diagnóstico das três perguntas sobre cadeia de custódia ganhou peso com isso.

Dois blocos novos no dossiê: publicidade e design de produto

Em junho de 2026 a SPA vetou funcionalidades de interação social nas plataformas e, em julho, o Ministério da Fazenda ampliou as exigências de publicidade de apostas no país. Ambos geram evidência que o regulador pode pedir e nenhum dos dois tem linha no quadro de blocos do dossiê publicado acima.

Responsabilidade tributária como gatilho contratual

Portaria da Fazenda de junho de 2026 ampliou a responsabilidade tributária sobre apostas irregulares (iGaming Brazil, 18/06/2026). Na prática, isso entra no bloco contratual do dossiê: contratos com PSP e fornecedores precisam prever repasse desse risco e a entrega da evidência que o sustenta.

Calendário de revisão ancorado na agenda regulatória

Em vez de uma revisão trimestral genérica, amarre cada revisão aos temas com previsão de normatização na agenda regulatória 2026–2027 da SPA. O ponto operacional é o mesmo do texto original: nada aqui substitui a leitura do texto vigente no Diário Oficial da União na data em que o procedimento for montado.