Attestation vs Auditoria de Stablecoins: O que os Relatórios de Reservas Provam

Porque é que os relatórios de reservas de stablecoins confundem quase toda a gente

Se alguma vez comparou USDC, USDT, BUSD ou TUSD e tentou perceber qual é a mais segura, provavelmente esbarrou numa parede. Todos os emissores dizem que estão respaldados. Todos os emissores publicam um relatório. E todos os emissores chamam a esse relatório, em linguagem corrente, uma auditoria. Não são a mesma coisa, e a diferença entre eles é suficientemente grande para mudar a forma como deve pensar sobre o risco de deter qualquer stablecoin.

A confusão não é acidental. Palavras como audited, verified, attested e reviewed são usadas como sinónimos em textos de marketing, embora descrevam serviços com níveis de escrutínio muito diferentes. Uma auditoria com garantia razoável, o tipo que a maioria dos leitores imagina quando ouve a palavra, exige que uma empresa de contabilidade reúna provas, teste controlos internos, analise amostras de transações e emita uma opinião formal. Uma attestation, pelo contrário, pode ser um compromisso muito mais limitado, no qual a empresa expressa um nível de confiança inferior, frequentemente sobre uma única data, utilizando um conjunto restrito de procedimentos.

Compreender a diferença é importante porque as stablecoins detêm, na totalidade, milhares de milhões de dólares em fundos dos utilizadores e já falharam. O colapso da TerraUSD em 2022 mostrou que as alegações algorítmicas de estarem respaldadas não valiam nada no momento em que a confiança se quebrou. O episódio da BUSD emitida pela Paxos mostrou um problema diferente: um emissor cujas reservas eram attestadas em vez de auditadas, e cujo regime de attestations terminou silenciosamente quando os reguladores intervieram. Se detém stablecoins, está a confiar na declaração do próprio emissor sobre a sua solvência. O nível de verificação independente por trás dessa alegação é a diferença entre confiar e verificar.

Os riscos reais de confundir uma attestation com uma auditoria

O primeiro risco é a falsa sensação de segurança. Quando a Circle publica um relatório e a comunicação social o apelida de auditoria, o leitor parte, razoavelmente, do princípio de que uma empresa de contabilidade analisou cada transação, testou cada controlo e concluiu que a USDC é solvente. O que a empresa realmente fez, em muitos casos, foi verificar que, numa data específica, os ativos reportados pela Circle correspondiam, de forma aproximada, aos passivos reportados pela Circle. Isso é relevante, mas é uma afirmação muito mais fraca.

O segundo risco é a dependência da data. Um relatório de reservas numa data específica, que é o que a maioria das attestations de stablecoins são, nada diz sobre o que aconteceu no dia anterior ou no dia seguinte. Se o emissor tivesse transferido dinheiro para fora das reservas a 31 de março às 23:59 e o tivesse transferido de volta a 1 de abril às 00:01, uma opinião pontual poderia ainda assim ser emitida. Esta não é uma preocupação hipotética. Vários emissores de stablecoins já foram criticados por estruturarem as suas janelas de reporte de forma a coincidirem com saldos favoráveis.

O terceiro risco é o problema de quem paga à empresa. A empresa de contabilidade que assina a opinião é paga pelo emissor da stablecoin. Isto também é verdade nas auditorias a empresas cotadas, mas, no mundo das empresas cotadas, um comité de auditoria composto por administradores independentes escolhe a empresa, e o auditor enfrenta responsabilidades graves se falhar em detetar uma distorção material. Nas attestations de stablecoins, o compromisso é frequentemente mais limitado, a responsabilidade está muitas vezes limitada por contrato, e o incentivo da firma para contestar um cliente de grande dimensão pode ser real.

O quarto risco é o precedente do colapso. A BUSD foi, durante a maior parte da sua existência, attestada em vez de auditada. Quando as autoridades de Nova Iorque obrigaram a Paxos a parar de emitir BUSD, o regime de attestations simplesmente terminou, e os detentores ficaram sem saber como estavam as reservas no momento do encerramento. A lição não foi que a BUSD fosse uma fraude. A lição foi que os regimes de attestation podem desaparecer de um dia para o outro, sem aviso, enquanto as opiniões de auditoria têm peso legal e continuidade.

O que é efetivamente uma certificação, em linguagem simples

Uma certificação (attestation) é um serviço prestado por um contabilista certificado independente, ao abrigo das normas profissionais definidas pelo AICPA, o American Institute of Certified Public Accountants. As normas relevantes encontram-se nas secções AT-C da codificação do AICPA. Essas secções abrangem várias modalidades de certificação, que diferem na quantidade de trabalho realizado pelo contabilista e no grau de confiança expresso no parecer.

O nível mais comum é um compromisso de garantia limitada, por vezes designado certificação de nível de revisão. O contabilista realiza procedimentos de indagação e analíticos, verifica se os valores conferem com os documentos de origem e emite um parecer que indica se algo lhe chamou a atenção sugerindo que os valores estão materialmente incorretos. A linguagem do parecer é cuidadosamente prudente: nada nos chamou a atenção, em vez de estes valores estão corretos.

Existe também uma certificação de garantia razoável, que se aproxima de uma auditoria em profundidade, mas que continua a não ser equivalente a uma auditoria completa às demonstrações financeiras. O contabilista reúne mais provas, realiza mais testes substantivos e expressa uma garantia positiva: no seu entendimento, os valores estão fielmente apresentados. Muitos relatórios de reservas de stablecoins emitidos por firmas mais pequenas enquadram-se nesta categoria, sendo mais sólidos do que os relatórios de nível de revisão, mas ainda mais restritos do que uma auditoria completa.

O ponto crucial é que uma certificação é definida pelo compromisso e pela norma, e não pela palavra na capa do documento. Se um contabilista assina um relatório e declara que se trata de uma certificação ao abrigo da secção 205 ou 210 das AT-C, é isso que ele é, independentemente da forma como o emitente o apresenta. Se o relatório afirma ser uma auditoria, mas não segue as normas de auditoria das secções AU-C do AICPA, então não se trata de uma auditoria, independentemente do que o título indique.

O que é efetivamente uma auditoria, em linguagem simples

Uma auditoria rege-se por um conjunto diferente de normas, igualmente redigidas pelo AICPA, mas nas secções AU-C e não nas secções AT-C. São estas as normas utilizadas para auditar empresas abertas nos Estados Unidos, e exigem um nível de trabalho consideravelmente mais profundo do que qualquer certificação.

Concretamente, uma auditoria exige que o contabilista obtenha um entendimento dos controlos internos da entidade, avalie o risco de distorção material, conceba procedimentos de auditoria em resposta a esse risco, realize testes substantivos com base em amostras, avalie o princípio da continuidade (going concern) e emita um parecer formal sobre se as demonstrações financeiras estão fielmente apresentadas em conformidade com o referencial de relato aplicável. O parecer abrange as demonstrações financeiras no seu todo, e não apenas uma data ou um valor isolado.

No caso dos stablecoins, uma auditoria completa significaria que a firma testou se as reservas existiam efetivamente na data do relatório, se estavam devidamente controladas pelo emitente, se os passivos correspondiam ao que tinha sido emitido e resgatado, e se os controlos em torno da emissão e da queima estavam a funcionar. A firma confirma ainda que os ativos são aquilo que o emitente declara serem, o que é relevante para stablecoins que detêm papel comercial, bilhetes do tesouro, certificados de depósito e outros instrumentos que variam em liquidez e qualidade creditícia.

Apenas um número reduzido de emitentes de stablecoins alguma vez obteve uma auditoria completa ao nível de garantia razoável. A Circle, emitente da USDC, obteve historicamente certificações e não auditorias completas, embora tenha vindo a aumentar o rigor do seu relato ao longo do tempo. A Tether, emitente da USDT, publicou consistentemente certificações e recusou explicitamente obter uma auditoria completa, invocando custos e complexidade. A TUSD e a BUSD publicaram historicamente certificações de firmas mais pequenas. O padrão é consistente: as certificações dominam, as auditorias são raras.

Porque é que as auditorias das Big-4 não são equivalentes a "totalmente respaldado"

Há uma segunda camada de confusão pelo facto de as grandes firmas de auditoria (as Big-4: Deloitte, PwC, EY e KPMG) serem frequentemente as envolvidas. Quando uma Big-4 assina um relatório de um stablecoin, os leitores tendem a assumir que foi aplicado o nível máximo de escrutínio. Regra geral, não é esse o caso, porque o próprio compromisso da Big-4 é, em regra, uma certificação e não uma auditoria.

Uma certificação emitida por uma Big-4 continua a ser melhor do que uma certificação de uma firma pequena em vários aspetos. A firma dispõe de mais recursos, de competências mais especializadas em instrumentos financeiros e tem uma reputação profissional mais sólida em jogo. É também mais difícil para um emitente mudar discretamente de firma se não gostar das respostas, uma vez que as Big-4 são poucas e a relação é mais visível. Mas a norma subjacente, se for AT-C em vez de AU-C, continua a ser a norma de certificação, e o parecer diz o que essa norma diz.

É por esta razão que a distinção entre Big-4 e firmas pequenas é relevante, mas não decisiva. Uma certificação de uma Big-4 é mais sólida do que uma certificação de uma firma pequena. Uma auditoria de garantia razoável de uma Big-4 é mais sólida do que uma certificação de uma Big-4. E nenhum relatório, de qualquer tipo, prova que o emitente se manteve solvente todos os dias do ano, apenas que as provas examinadas pela firma sustentam o parecer emitido na data em que foi emitido.

Para o detentor de um stablecoin, a conclusão prática é ler o parágrafo do parecer propriamente dito de qualquer relatório de reservas, e não apenas o título. Procurar a norma do compromisso (secção 205, 210, 305 das AT-C, ou a secção global AU-C), o nível de garantia (limitada ou razoável), a data ou o período abrangido e o objeto específico do parecer. Se estes quatro elementos não corresponderem ao que a comunicação indica, então a comunicação está a exagerar.

O precedente da BUSD: o aspeto de um regime de certificação não regulamentado

A BUSD é o caso de estudo mais claro sobre o motivo pelo qual os regimes de certificação não são equivalentes a auditorias. A BUSD era emitida pela Paxos Trust Company, um trust regulado pelo estado de Nova Iorque, e durante a maior parte da sua existência as suas reservas foram certificadas por uma firma de auditoria mais pequena. Os relatórios eram rotulados de formas que sugeriam uma verificação independente rigorosa, e foram geralmente aceites como tal.

Quando o Departamento de Serviços Financeiros do estado de Nova Iorque ordenou à Paxos que parasse de emitir BUSD, em fevereiro de 2023, o regime de certificação não提供了一个encerramento ordenado. Os detentores não tinham demonstrações financeiras auditadas a que pudessem recorrer, nem um parecer de continuidade, nem qualquer garantia formal de que as reservas no momento do encerramento correspondiam aos passivos em circulação. A Paxos honrou os resgates e o stablecoin foi encerrado sem perdas para os detentores, mas esse resultado resultou do envolvimento do regulador e da própria capacidade operacional da Paxos, e não do regime de certificação em si.

A lição a retirar da BUSD é que um regime de certificação só é tão sólido quanto o enquadramento regulatório que o envolve. Quando um regulador intervém, uma certificação deixa de ser útil porque o emitente já não pode operar da forma que a certificação pressuponha. Uma auditoria, em contrapartida, produz um registo histórico com peso legal, e as demonstrações financeiras continuam a ser úteis mesmo que o negócio do emitente mude de um dia para o outro.

É também por isto que vale a pena compreender a posição da Tether. A Tether recusou, durante anos, obter uma auditoria completa e publicou, em vez disso, certificações de firmas mais pequenas, mais recentemente da BDO. A escolha foi deliberada e foi justificada pela Tether como uma questão de custo, complexidade e pelo facto de as suas reservas incluírem instrumentos mais difíceis de auditar ao nível de garantia razoável. Independentemente de essa explicação ser ou não satisfatória, o efeito prático é que os detentores de USDT sempre confiaram numa forma de verificação mais fraca do que os detentores de USDC, independentemente da forma como os relatórios são descritos nos títulos.

Como ler um relatório de reservas de uma stablecoin sem ser enganado

O hábito mais útil é procurar o parágrafo da opinião propriamente dita. Está geralmente perto do final do relatório, numa secção com um título como Relatório dos Revisores Oficiais de Contas Independentes ou Opinião. A opinião indicará o que foi examinado, que norma foi seguida e qual o nível de garantia que está a ser expresso. Se o relatório não incluir esse parágrafo, ou o esconder, isso é, por si só, um sinal.

Em seguida, verifique a data. Um relatório datado de 31 de março indica-lhe as reservas a 31 de março, e não em qualquer outra data. Se o emissor afirma estar totalmente respaldado de forma contínua, o relatório não sustenta essa afirmação. Sustenta um instantâneo.

Depois, observe em que consistem efetivamente as reservas. Letras do tesouro são diferentes de papel comercial, que é diferente de certificados de depósito, que é diferente de bitcoin, que é diferente de créditos a receber. Um relatório que afirme que as reservas totalizam $X mil milhões é menos informativo do que outro que detalhe a composição por classe de ativo, prazo e qualidade de crédito. As atestações incluem frequentemente esta desagregação, mas o nível de detalhe varia bastante.

Por fim, verifique quem assinou o relatório. Uma firma Big-4 não é o mesmo que uma pequena firma, e uma longa relação de trabalho com a mesma firma não é o mesmo que uma relação recente. Os emissores de stablecoins que mantêm relações estáveis e duradouras com as suas firmas de auditoria tendem a fornecer relatórios mais consistentes do que aqueles que mudam de firma com frequência. Trata-se de um sinal subjetivo, mas vale a pena considerá-lo.

O que fazer efetivamente com esta informação

Se detém stablecoins, a implicação prática é que não deve assumir que qualquer stablecoin é auditada a menos que o tenha confirmado pessoalmente. A presunção por defeito deve ser a de que o relatório de reservas do emissor é uma atestação, de que abrange uma única data e de que a firma que o assina é paga pelo emissor. Nenhum destes factos torna a stablecoin insegura, mas devem definir as suas expectativas.

Para posições maiores, a diferença importa ainda mais. Algumas centenas de dólares em USDC representam um perfil de risco diferente de algumas centenas de milhares de dólares numa única stablecoin, porque as consequências do fim repentino de um regime de atestações aumentam com o tamanho da posição. Diversificar por mais do que um emissor é a forma mais simples de cobrir o risco de falência de um único regime de atestações.

Nada disto constitui aconselhamento financeiro, e nada altera a verdade fundamental de que as stablecoins comportam riscos que nenhum relatório consegue eliminar por completo. Os relatórios são úteis, e são muito melhor do que nada, mas não equivalem a um depósito bancário assegurado por um regulador e não devem ser tratados como tal.

Mantenha-se a par das mudanças na divulgação de stablecoins

A comunicação de reservas de stablecoins está a evoluir, com novos regulamentos nos Estados Unidos, na Europa e noutros locais a empurrar os emissores para normas mais rigorosas. Os relatórios que os emissores publicam mudarão de forma e de substância nos próximos anos, e os nomes das firmas que os assinam também rodarão. Acompanhar essas mudanças manualmente é impraticável para a maioria dos utilizadores. Zippfeed destaca notícias sobre stablecoins com classificação de sentimento e um índice de importância, para que possa ver quais relatórios de reservas são realmente relevantes e quais são rotineiros.