Resumo

  • Uma negociação de títulos não é o mesmo evento que a liquidação. Entre o acordo e o lançamento contábil final estão a alocação, correspondência, validação, disponibilidade de recursos, instruções de liquidação e um ponto definido de irrevogabilidade.
  • A Diretiva Europeia sobre Definitividade da Liquidação protege ordens de transferência e compensação contra efeitos de insolvência posteriores, uma vez que entram em um sistema designado sob suas regras, e impede a revogação pelo participante após o ponto estipulado do sistema.
  • Entrega contra pagamento não exige que toda ação técnica seja simultânea. Exige que a liquidação final de uma obrigação vinculada ocorra se e somente se a outra se tornar final, de modo que nenhuma das partes assuma o risco principal total.
  • A liquidação falha e a liquidação final exigem tratamento oposto. Antes do comprometimento, uma transação incompleta pode permanecer pendente, ser cancelada bilateralmente ou retornar a um estado anterior limpo. Após o comprometimento, a correção deve ocorrer por meio de um novo evento atribuível, e não por exclusão ou reversão unilateral.
  • Uma regra de definitividade IPv4 deve vincular autoridade autenticada do vendedor, aceitação do comprador, reconhecimento do registro, qualquer reconciliação entre registros e liberação de pagamento em uma condição de liquidação declarada, deixando a implantação de roteamento e reivindicações legais privadas em suas instituições adequadas.
  • A NRS pode usar a definitividade como uma disciplina de defesa, publicando pesquisas sobre deveres dos participantes, estados de falha, regras de inadimplência, poderes de correção e evidências de auditoria. Os RIRs, serviços de transferência autorizados, órgãos arbitrais e tribunais mantêm a responsabilidade pela execução ou aplicação da definitividade.

Uma negociação é uma promessa; a liquidação muda o estado autoritativo

Os mercados financeiros distinguem execução de liquidação porque o acordo por si só não move o ativo e o dinheiro para suas contas finais. Após uma negociação, as partes alocam a transação, confirmam os termos, combinam instruções, organizam títulos e liquidez, submetem-se às infraestruturas relevantes e aguardam a data de liquidação. Uma negociação pode ser válida enquanto a liquidação falha. Uma liquidação pode ser atrasada sem cancelar a obrigação contratual subjacente.

A distinção tornou-se mais visível quando os Estados Unidos moveram a maioria das transações de corretagem de T+2 para T+1 em 28 de maio de 2024. ASecurities and Exchange Commissionnão disse que as negociações ocorreram subitamente um dia depois. Ela encurtou o intervalo padrão entre a data de negociação e a liquidação e adicionou requisitos destinados a melhorar alocações, confirmações, afirmações e processamento direto no mesmo dia. A mudança reconheceu que o tempo entre o acordo e a conclusão contém risco de crédito, mercado, liquidez e operacional.

As transações IPv4 precisam do mesmo vocabulário. Um contrato de venda assinado cria obrigações privadas. Fundos em depósito mostram que a contraprestação pode estar disponível. A solicitação de um vendedor mostra uma instrução. A aprovação do registro mostra uma decisão institucional. A publicação de um novo registro mostra uma mudança de estado. Uma rota do comprador mostra uso operacional. Esses eventos podem ocorrer em ordens diferentes, e nenhum deve ser autorizado a se passar por todos os outros.

O objetivo do design da liquidação é definir qual combinação completa a transferência para fins de registro. Até esse ponto, as partes sabem que a transação está pendente e quais obrigações permanecem. Naquele ponto, o registro reconhecido muda uma vez. Após esse ponto, o estado anterior não pode retornar porque um participante mudou de ideia ou uma instituição reabriu o arquivo informalmente.

Este é um uso mais restrito e valioso da analogia de valores mobiliários do que dizer que os endereços são ativos. Transforma uma sequência administrativa ambígua em uma transição de estado na qual contratos e operadores podem confiar.

A diretiva de 1998 foi escrita contra o perigo do desfazimento

ADiretiva sobre Definitividade da Liquidaçãoda União Europeia abordou um problema sistêmico específico. Se a lei de insolvência pudesse desfazer retroativamente ordens de transferência ou compensação já processadas em um sistema de pagamento ou liquidação de títulos, a falência de um participante poderia reabrir obrigações em todo o sistema. Outros participantes descobririam que os saldos que tratavam como finais eram, afinal, contingentes.

O Artigo 3 torna as ordens de transferência e compensação qualificadas legalmente executáveis e vinculativas para terceiros, mesmo quando processos de insolvência são abertos contra um participante, desde que as ordens tenham entrado no sistema antes do momento legalmente definido. Impede que regras comuns para anular transações anteriores desfaçam a compensação protegida. O Artigo 5 diz que uma ordem de transferência não pode ser revogada por um participante ou terceiro a partir do momento definido pelas regras do sistema.

A diretiva não impõe um único timestamp técnico em todos os sistemas. O momento de entrada é definido pelas regras de cada sistema designado, sujeito à lei aplicável. Essa é uma escolha de design crucial. A definitividade precisa de um efeito legal comum, mas a infraestrutura deve especificar exatamente quando seu próprio estado atinge o ponto protegido.

Os considerandos preservam um limite igualmente importante. Fraude, erro técnico ou outro defeito na transação subjacente ainda pode sustentar uma reivindicação legal de recuperação ou restituição, desde que o remédio não desfaça a compensação ou revogue a ordem de transferência dentro do sistema. A definitividade protege o estado liquidado. Não declara que toda causa, representação ou contrato por trás desse estado é legal.

Para as transferências IPv4, a lição não é imunizar a fraude. É separar a integridade do registro comum dos remédios disponíveis entre as partes. Se um registro final pode ser silenciosamente excluído sempre que uma reivindicação posterior aparecer, ninguém sabe se o estado é final. Se um registro final nunca pode ser corrigido por qualquer processo, a fraude se torna enraizada. A resposta é um novo evento corretivo sob uma autoridade publicada, não um desaparecimento retroativo.

Definitividade é o ponto em que o risco muda de mãos

OsPrincípios CPMI-IOSCO para Infraestruturas do Mercado Financeirodefinem a definitividade da liquidação como um momento legalmente definido. O Princípio 8 exige liquidação final clara e certa, o mais tardar no final da data-valor e, quando necessário, durante o dia ou em tempo real. As regras devem definir tanto quando a liquidação é final quanto quando um participante não pode mais revogar uma instrução aceita, mas não liquidada.

Essa clareza serve a mais do que a contabilidade. Antes da definitividade, um participante pode enfrentar risco de contraparte, risco de custo de reposição e incerteza sobre liquidez ou entrega. Após a definitividade, os saldos e exposições podem ser calculados com base no estado liquidado. Em resolução ou insolvência, os administradores podem identificar quais transações foram concluídas e quais permanecem como reivindicações.

Uma transferência IPv4 também redistribui o risco em um momento definível. Antes da definitividade, o vendedor deve permanecer como o detentor reconhecido e o comprador deve saber que a implantação baseada em uma transferência esperada é prematura. O depósito não deve ser liberado apenas porque um revisor disse sim. Os serviços de segurança controlados pelo registro e DNS reverso não devem ser entregues irreversivelmente enquanto a transferência ainda pode falhar.

Após a definitividade, o comprador deve poder confiar no reconhecimento sem temer que o vendedor revogue sua instrução. O vendedor deve poder confiar na remoção da responsabilidade futura de detentor. Um provedor de depósito deve poder liberar sob uma condição objetiva. Um credor deve saber qual parte está sendo financiada. Um segundo serviço de registro não deve continuar apresentando o vendedor como atual.

A definitividade não é, portanto, uma afirmação de que todo risco desaparece. O valor de mercado pode mudar. Os tribunais podem emitir ordens. As rotas podem falhar. O ponto é que o risco de registro muda de "esta instrução será concluída?" para "que novo evento, se houver, muda legalmente o estado concluído?" Essa mudança é o que torna a confiança possível.

Um CSD é uma instituição de registro contábil com um papel delimitado

A comparação com valores mobiliários só se torna útil quando a instituição é descrita com precisão. Um depositário central de valores mobiliários apoia a integridade, custódia e transferência de valores mobiliários, comumente na forma imobilizada ou desmaterializada. Ele mantém contas e opera ou apoia um sistema de liquidação de títulos. Não toma todas as decisões de investimento, define todos os preços de mercado ou decide todas as disputas entre proprietários beneficiários.

O Princípio 11 dos padrões CPMI-IOSCO exige que um CSD mantenha valores mobiliários na forma imobilizada ou desmaterializada para transferência contábil e minimize os riscos associados à custódia e transferência. Na União Europeia, oArtigo 39 do Regulamento dos Depositários Centrais de Valores Mobiliáriosexige que cada sistema de liquidação operado por CSD defina momentos de entrada e irrevogabilidade, divulgue as regras de definitividade, busque transferências finais em tempo real ou durante o dia e o mais tardar no final do dia útil real de liquidação, e liquide transações em dinheiro entre participantes diretos em regime de entrega contra pagamento.

Este é um papel de infraestrutura forte, mas sua força vem de regras delimitadas. Os participantes sabem o que significa um lançamento em conta. Eles sabem quais regras do sistema governam. Os supervisores podem examinar a certeza legal, eficiência da liquidação, resiliência operacional e inadimplência do participante. O CSD não pode tornar a definitividade crível apenas através da reputação.

Um registro IPv4 não é um CSD. Ele não liquida valores mobiliários regulamentados, detém moeda do banco central ou herda as mesmas proteções legais. No entanto, ele desempenha uma função restrita comparável quando um recurso escasso muda de detentor reconhecido por lançamento contábil. A questão útil é se suas regras declaram entrada, irrevogabilidade, falha e correção com algo parecido com a mesma precisão.

Se a resposta for não, chamar o registro de administrador confiável não preenche a lacuna. Confiança é o resultado de uma regra de definitividade, não um substituto para ela.

Entrega contra pagamento é condicionalidade, não um instante cinematográfico

O DvP é frequentemente descrito como uma troca simultânea: os títulos se movem enquanto o dinheiro se move. O princípio funcional é um pouco mais amplo e mais útil. O Princípio 12 diz que a liquidação final de uma obrigação vinculada deve ocorrer se e somente se a liquidação final da outra ocorrer. O sistema deve eliminar o risco de que um vendedor entregue irrevogavelmente o ativo completo, mas nunca receba o preço, ou que o comprador pague, mas nunca receba o ativo.

Os passos técnicos não precisam acontecer no mesmo microssegundo. A explicação do CPMI-IOSCO permite designs em que os títulos são bloqueados, o pagamento liquida em outro sistema e a entrega segue apenas após a confirmação. O que importa é que o design legal, contratual e técnico mantenha as pernas finais condicionais e minimize o intervalo em que os recursos bloqueados estão expostos.

A plataformaTARGET2-Securitiesdo Banco Central Europeu fornece uma implementação concreta. Os participantes usam contas de títulos com CSDs conectados e contas de dinheiro dedicadas com bancos centrais. O T2S combina instruções de liquidação e liquida em moeda do banco central em regime de DvP. Também usa liquidação parcial, autocolateralização e otimização para reduzir falhas.

Uma transação IPv4 pode aplicar o princípio através de entrega condicional do registro e liberação do depósito. O registro não precisa processar o pagamento comercial em si. Pode publicar um compromisso assinado de que a transferência autenticada se tornará final quando uma condição de depósito nomeada confirmar os fundos, enquanto o contrato de depósito libera quando o registro emitir o evento final. Um coordenador neutro pode garantir que nenhuma condição se torne irrevogável sozinha.

O sistema não deve reivindicar atomicidade perfeita se as instituições se comunicam por e-mails e portais manuais sem um protocolo de commit protegido. Deve declarar a sequência real, reservar um estado pendente seguro e definir a recuperação se um serviço estiver indisponível. A condicionalidade honesta é mais segura do que uma afirmação de marketing de simultaneidade.

A liquidação falha pertence antes da definitividade

A frase "rollback" é perigosa, a menos que o estado que está sendo revertido seja identificado. Antes da definitividade, uma tentativa de liquidação falha pode retornar ao último estado final. Uma instrução combinada pode permanecer pendente porque o comprador não tem fundos, o vendedor não tem títulos entregáveis, um participante está indisponível ou uma validação necessária falha. O sistema pode tentar novamente, liquidar parcialmente sob regras definidas ou cancelar bilateralmente. Como nenhum novo estado final foi cometido, restaurar o estado anterior não é uma reversão da liquidação final.

Após a definitividade, o rollback tem um significado diferente. Apagaria um estado no qual outros participantes confiaram. O relatório doBIS de 1992 sobre entrega contra pagamentoexaminou modelos de liquidação líquida nos quais as transferências de um participante falido poderiam ser desfeitas e as obrigações recalculadas. Advertiu que tais desfazimentos poderiam impor pressão substancial de liquidez sobre outros participantes. Os padrões posteriores de definitividade buscam evitar tratar a liquidação concluída como provisória.

O design da transferência IPv4 deve tornar este limite temporal explícito. Se a evidência de autoridade falhar antes do comprometimento, a solicitação retorna a rejeitada ou incompleta sem alterar o detentor atual. Se a aceitação do comprador ou a confirmação dos fundos expirar, a reserva pendente é liberada. Se um RIR não puder completar seu lado de uma transferência inter-regional, nenhum registro deve publicar um estado de detentor final contraditório.

Depois que o evento de transferência final é emitido e reconciliado, uma alegação não invoca "rollback" como um poder de emergência indefinido. O sistema abre um caso de correção, preserva o evento concluído, registra qualquer restrição temporária e exige uma decisão competente. Se a correção for justificada, um novo evento transfere ou restaura o reconhecimento com seu próprio tempo efetivo e motivo.

Esta distinção permite que o sistema seja reversível enquanto é incerto e durável quando se torna final. Sem ela, toda transferência bem-sucedida permanece um rascunho indefinidamente revogável.

A correspondência é o controle subestimado

Os sistemas de títulos não dependem da narrativa de uma parte sobre a negociação. As instruções de liquidação são combinadas em campos como instrumento, quantidade, partes, contas, preço e data. Uma incompatibilidade não convida a infraestrutura a adivinhar qual lado está certo. Permanece uma exceção a ser resolvida pelas partes.

As transferências IPv4 precisam de uma correspondência igualmente rigorosa. A instrução do vendedor e a aceitação do comprador devem identificar o prefixo exato, tipo de transferência, entidades legais de origem e destino, serviços de registro atual e receptor, condição de contraprestação, tempo efetivo pretendido e tratamento de quaisquer faixas pai ou filhas. Os identificadores corporativos devem ser estáveis o suficiente para distinguir uma variação de nome legal de uma entidade diferente.

As transferências entre registros adicionam outra correspondência. O serviço de origem confirma a liberação autenticada e o estado atual do recurso. O serviço receptor confirma o destinatário, as condições de aceitação aplicáveis e a prontidão para assumir o registro. Ambos devem derivar um identificador de transação comum dos mesmos termos canônicos. Se qualquer serviço apresentar um prefixo ou parte diferente, a transação não progride.

A correspondência reduz a discricionariedade porque transforma ambiguidade em estado visível. "Precisa de mais informações" deve identificar o campo incompatível. Um comprador não deve descobrir após o pagamento que o registro de origem processou uma faixa menor. Um vendedor não deve descobrir que o serviço receptor anexou uma entidade legal diferente. Um agente de depósito não deve interpretar prosa em duas cartas de aprovação.

O registro deve preservar cada versão submetida e os termos finais combinados. A alteração antes da irrevogabilidade consome a instrução anterior e cria uma nova versão aceita por ambos os lados. Não há razão para que uma infraestrutura que lida com faixas numéricas exatas tolere menos precisão do que um sistema de títulos que lida com quantidades e contas.

A irrevogabilidade deve começar antes que as partes possam armar a demora

A liquidação final e a irrevogabilidade da instrução estão relacionadas, mas não são idênticas. Um sistema pode aceitar uma instrução antes de liquidá-la definitivamente. Se um participante puder revogar a qualquer momento nesse intervalo, outros não podem planejar liquidez ou entrega. O Princípio 8 exige, portanto, um ponto definido após o qual a revogação unilateral é proibida, mesmo para uma instrução aceita, mas não liquidada.

Para transferências IPv4, o vendedor deve poder retirar-se durante um período de revisão inicial se o comprador não tiver aceito, nenhuma condição de contraprestação final tiver sido bloqueada e nenhuma outra parte tiver confiado. Uma vez que a transferência seja combinada, aprovada e comprometida com uma janela de liquidação programada, a retirada unilateral deve terminar. O cancelamento bilateral pode permanecer disponível antes da definitividade se for autenticado por ambas as partes e não frustrar uma restrição legal ou direito de terceiro.

O registro também precisa de um limite. Não deve revogar seu próprio compromisso aceito porque um funcionário muda de interpretação depois que toda condição publicada foi cumprida. Uma emergência de integridade estreitamente definida pode pausar a definitividade antes da conclusão, mas deve identificar evidência, escopo, tomador de decisão, prazo de validade e revisão rápida. "Discricionariedade do registro" não é uma categoria de emergência.

Após a definitividade, nem vendedor, nem comprador, nem registro podem cancelar o evento. Eles podem iniciar uma nova transferência, correção, disposição ordenada pelo tribunal ou reversão consensual. A distinção pode parecer formal, mas protege a história. Um novo evento mostra que a primeira transferência ocorreu e foi alterada posteriormente; o cancelamento falsamente diz que nunca aconteceu.

É assim que a definitividade e a responsabilidade coexistem. O estado liquidado permanece estável, enquanto a lei e a evidência posteriores ainda podem produzir um estado sucessor visível.

A falha deve criar responsabilidade, não ambiguidade

A regulamentação moderna de títulos trata a falha de liquidação como algo a ser monitorado e atribuído. OArtigo 7 do CSDRexige que os CSDs monitorem falhas e as relatem. Seu mecanismo de penalidade atual impõe penalidades diárias em dinheiro aos participantes que causam falhas atribuíveis após a data de liquidação pretendida até a liquidação ou cancelamento bilateral, com exceções para causas não atribuíveis aos participantes e circunstâncias especificadas. A falha persistente e sistemática pode levar a procedimentos de suspensão após uma oportunidade de fazer observações.

O ponto não é que toda falha merece punição. O ponto é que o sistema distingue um participante do mercado que não entregou de uma interrupção de infraestrutura, insolvência e outras causas. A responsabilidade é classificada em vez de dissolvida em um atraso genérico.

As transferências IPv4 frequentemente carecem dessa clareza. Uma solicitação pode parar porque o vendedor forneceu autoridade incompleta, o comprador falhou em uma condição declarada, um RIR não respondeu, duas políticas são incompatíveis, um portal falhou, a revisão legal se expandiu sem prazo, ou um serviço adjacente não pôde preparar a transferência. Essas causas impõem obrigações diferentes e devem produzir métricas diferentes.

Um regime de definitividade deve atribuir um cronômetro e um ator responsável a cada estado. A parte que causa uma falha evitável pode arcar com custos incrementais documentados sob o acordo de transferência. Um serviço de registro que perde um compromisso pode reembolsar taxas, compensar perda coberta ou financiar a conclusão substituta. Uma restrição legal externa pausa o ato afetado sem ser atribuída a nenhuma parte comercial. Uma interrupção do sistema desencadeia procedimentos de continuidade em vez de um julgamento moral.

A atribuição disciplina tanto instituições quanto usuários. Se o atraso é sempre descrito como incompletude do solicitante, o desempenho do registro não pode ser medido. Se toda negação é descrita como risco de mercado, a incompatibilidade de políticas permanece oculta. As estatísticas de liquidação devem expor onde o processo realmente quebra.

As regras de inadimplência do participante tornam a definitividade crível sob estresse

A definitividade é mais fácil quando ambas as partes cumprem e todos os sistemas estão disponíveis. Seu valor é revelado pela inadimplência. O Princípio 13 exige regras eficazes e claramente definidas de inadimplência do participante que permitam que uma infraestrutura do mercado financeiro aja rapidamente, contenha perdas e pressão de liquidez e continue cumprindo obrigações. Os procedimentos principais devem ser públicos e testados com os participantes. OArtigo 41 do CSDRimpõe deveres semelhantes aos CSDs.

Uma regra de liquidação IPv4 precisa de seu próprio mapa de inadimplência menor. E se o vendedor entrar em insolvência após a instrução, mas antes da definitividade? E se o comprador se tornar insolvente depois que os fundos forem reservados? E se um banco depositário congelar o pagamento? E se um registro perder o acesso aos seus sistemas? E se o funcionário autorizado sair? E se uma ordem judicial chegar entre a irrevogabilidade e a conclusão?

A resposta não pode ser improvisada através da instituição mais poderosa naquele dia. As regras devem identificar quais estados pendentes terminam, quais sobrevivem, quais exigem um administrador de insolvência e como os fundos e registros permanecem protegidos. Um compromisso feito antes da insolvência pode precisar de aconselhamento legal específico para a jurisdição governante; nenhum padrão técnico pode substituir essa lei. Mas o sistema pode preservar evidências e impedir ações unilaterais contraditórias enquanto a questão é decidida.

O próprio serviço de registro deve ser tratado como capaz de inadimplência operacional. Um mecanismo de continuidade deve exportar eventos pendentes e finais, referências de evidências autenticadas, estados de disputa e autoridade de assinatura para um sucessor qualificado. A definitividade não pode depender da saúde contínua de uma corporação que apenas mantém a conta atual.

Testar importa. Uma regra que nunca foi exercida em um registro indisponível, serviço de pagamento falho e signatário contestado é uma declaração de espera. Simulações periódicas devem mostrar se o último estado final sobrevive e se uma transação pendente limpa pode ser concluída ou cancelada sem duplicação.

A unidade de liquidação IPv4 deve ser definida antes que possa ser final

Os sistemas de títulos conhecem o instrumento, quantidade, contas e valor em dinheiro aos quais a liquidação se aplica. As transferências IPv4 às vezes usam uma unidade imprecisa: "o bloco", "os recursos" ou "a conta". Isso é insuficiente quando um prefixo maior pode ser dividido e serviços adjacentes seguem limites diferentes.

A unidade de liquidação deve incluir o conjunto exato de prefixos e qualquer tratamento necessário de registros pai ou filho. Deve nomear a organização registrada atual, organização destinatária, serviços de origem e recepção, categoria de transferência, tempo efetivo e identificador de evento comum. Deve indicar se a unidade é indivisível ou permite liquidação parcial declarada.

A liquidação parcial pode ser útil. Se um comprador adquire vários prefixos independentes e um carrega uma restrição legal, os prefixos limpos não precisam falhar. Mas a liquidação parcial nunca deve ser inventada após o fato. O contrato e as instruções devem dizer quais componentes podem liquidar separadamente, como o preço é alocado, como o depósito é liberado e se a divisão criaria uma estrutura de rota ou RPKI operacionalmente prejudicial.

A unidade também precisa de um cronograma de serviço adjacente. Quais objetos RPKI devem mudar? Quais delegações de DNS reverso devem ser movidas? As atualizações do IRR são realizadas pelas partes? Nem todos fazem parte da definitividade do registro, mas a falha em nomeá-los pode deixar o comprador com um registro final e nenhuma prontidão operacional.

O evento final deve distinguir o que foi comprometido do que permanece. "Registro liquidado" pode ser final mesmo enquanto um comprador não anunciou uma rota. "Transferência operacional pendente" pode permanecer um estado separado honesto. A precisão evita tanto a conclusão falsa quanto as condições ilimitadas.

A liquidação entre RIRs precisa de uma condição de commit

Uma transferência intra-registro pode atualizar um serviço autoritativo. Uma transferência inter-RIR exige que as instituições de origem e destinatária coordenem. Se cada uma tratar sua própria atualização como final em um momento diferente, uma falha entre elas pode produzir uma lacuna ou duas verdades rivais.

O RIR de origem pode confirmar a liberação somente após autenticar o detentor e verificar as restrições de política. O RIR destinatário pode confirmar a aceitação somente após revisar o comprador e suas próprias condições. Os registros então precisam de um ponto de commit compartilhado: o status de origem torna-se transferido se e somente se o status do destinatário se tornar atual. Ambos preservam o mesmo tempo efetivo e identificador de transação.

A implementação técnica pode usar estados preparados. Cada serviço assina uma mensagem de prontidão que ainda não é definitividade pública. Um coordenador verifica ambas, bloqueia a transação combinada e emite uma mensagem de commit. Cada registro aplica a mudança de estado e retorna um recibo. Se um não puder preparar, nenhum commita. Se um aplicar, mas perder a conexão antes do recibo, a repetição idempotente e a reconciliação determinam se o evento já foi cometido, em vez de criar uma segunda transferência.

O design não exige um registro global. Exige um protocolo comum para o evento estreito de liquidação. Cada instituição pode reter sua forma legal e responsabilidades de serviço enquanto concorda que uma faixa de endereços não pode ter dois estados de transferência atuais.

Se os RIRs atuais não puderem fornecer essa coordenação, as instituições competentes poderiam autorizar um serviço de reconciliação qualificado através de acordos reconhecidos. A NRS pode defender o design, convocar membros afetados e publicar evidências sobre seu desempenho, mas não deve operar ou autorizar a camada de reconciliação. A autoridade do coordenador deve vir do acordo do participante e da estrutura de registro relevante.

Atomicidade aqui significa um commit lógico entre registros, não o monopólio de uma instituição.

O pagamento deve ser vinculado sem tornar o registro um banco

O DvP de títulos muitas vezes usa moeda do banco central ou comercial dentro de acordos de liquidação regulamentados. Os registros de números não são instituições de pagamento e não devem se tornar custodiantes de fundos de transação apenas para imitar um CSD.

O vínculo funcional pode ser alcançado com depósito ou outro provedor de pagamento regulamentado. Antes da liquidação, o provedor confirma que os fundos estão irrevogavelmente disponíveis sujeitos ao evento de registro acordado. Os serviços de registro confirmam que a transferência combinada está pronta. Uma instrução de liquidação comum então aciona o evento de registro final e a liberação do pagamento sob regras mutuamente dependentes.

Permanece um problema de última milha: nenhuma mensagem comum da internet torna os atos em sistemas legalmente separados matematicamente simultâneos. Os contratos devem alocar o risco residual. O provedor de depósito pode se comprometer a liberar mediante um recibo de registro verificado e assinado. O registro pode se comprometer a emitir o recibo somente após o novo registro ser durável. Se o recibo for emitido, mas o provedor de pagamento falhar, o comprador pode permanecer registrado enquanto o vendedor tem uma reivindicação contra o depósito.

Se o pagamento for liberado em um recibo falsificado, o provedor de pagamento assume a responsabilidade sob seu dever de verificação.

Esses resultados não são DvP perfeito. Eles são melhores do que sequências vagas porque cada falha tem uma instituição responsável e um remédio. Transferências de maior valor podem justificar garantias pré-financiadas, seguro ou um agente de liquidação que aceita risco principal. Transferências rotineiras podem usar depósito mais simples com limites transparentes.

A proibição essencial é a exposição unilateral por design. Um vendedor não deve perder o registro final enquanto o pagamento permanece livremente revogável. Um comprador não deve liberar pagamento incondicional enquanto a conclusão do registro permanece sujeita a discricionariedade aberta.

A definitividade não deve ser confundida com a ativação de rota

A tentação de fazer a liquidação esperar pelo roteamento vem de uma preocupação legítima: o comprador quer endereços utilizáveis, não uma entrada decorativa. No entanto, o roteamento é uma condição pobre de definitividade porque redes independentes o controlam.

ORFC 7020afirma que se os endereços são anunciados e como são anunciados são questões operacionais fora do Sistema de Registro de Números da Internet. As rotas BGP podem mudar após a liquidação por razões comuns de engenharia. Um comprador pode adquirir espaço para implantação futura, mantê-lo não anunciado, usar um provedor de mitigação, anunciar de vários locais ou mudar origens.

A definitividade pode exigir evidência de prontidão operacional sem exigir observação global de rota. O comprador pode identificar uma origem pretendida e confirmar o controle das contas necessárias. O vendedor pode remover ROAs obsoletas em um momento coordenado. O acesso RPKI controlado pelo registro e a delegação de DNS reverso podem ser incluídos em um plano de transferência. Cartas de upstream e mudanças no IRR podem ser condições se as partes escolherem.

Mas um coletor de rotas vendo o comprador não é prova de que o pagamento foi liquidado ou a autoridade corporativa foi válida. Por outro lado, a ausência de uma rota não torna uma transferência final defeituosa. Um registro não deve reverter uma alteração concluída porque o comprador ainda não anunciou.

O evento de liquidação muda quem é reconhecido no sistema de registro. A implantação operacional segue através de decisões do operador e serviços adjacentes. Manter o limite claro dá às partes um ponto estável a partir do qual realizar o resto.

A recuperação de fraude deve criar uma transferência corretiva, não amnésia histórica

A objeção mais difícil à definitividade é uma credencial roubada. Se uma instrução falsificada do vendedor produz uma transferência final, por que o registro deveria se recusar a revertê-la? Porque "reverter" pode significar duas coisas diferentes.

O sistema deve absolutamente restaurar o estado legítimo quando um processo competente estabelecer fraude. Deve congelar rapidamente novas disposições, preservar os serviços seguros existentes quando possível e impedir que o destinatário fraudulento agrave o dano. Mas a restauração deve aparecer como um novo evento de correção vinculado ao evento fraudulento. O registro deve indicar qual autoridade ordenou a correção, quando entrou em vigor e quais interesses ou reivindicações de compensação permanecem.

Excluir a transferência fraudulenta produz história falsa. Torna os auditores incapazes de explicar o período em que a parte errada estava registrada. Oculta quem controlava RPKI ou DNS reverso. Pode fazer com que um provedor de depósito ou comprador posterior confie em uma continuidade fabricada. Também permite que o registro evite mostrar que seus controles falharam.

O limite da diretiva de títulos é instrutivo. Reivindicações subjacentes de fraude ou erro técnico podem sobreviver sem revogar a ordem de transferência protegida dentro do sistema. Os remédios podem operar através de restituição, danos ou uma nova disposição. As ferramentas legais exatas para IPv4 variarão por jurisdição, mas o princípio de manutenção de registros é universal: a correção sucede o erro; não finge que o erro nunca entrou no estado compartilhado.

Isto também é onde a compensação pertence. Um comprador inocente que perde o reconhecimento após uma cadeia falsificada pode ter uma reivindicação contra o vendedor, seguradora, provedor de depósito ou registro, dependendo da responsabilidade. A definitividade preserva a história comum enquanto a lei aloca a perda.

A NRS deve defender a disciplina, não vestir o traje institucional

A Number Resource Society defende publicamente por registro preciso, controle do operador e autoridade de registro menos concentrada. A definitividade da liquidação pode transformar esses princípios em um padrão concreto para RIRs e serviços de transferência autorizados. Isso os trairia se a NRS se apresentasse como um novo depositário central de valores mobiliários, operador de liquidação ou fonte de autoridade global exclusiva.

O modelo construtivo é um manual para liquidação de registro interoperável. Define participantes, evidência, formatos de instrução, correspondência, estado preparado, irrevogabilidade, commit, falha, cancelamento, correção e inadimplência. Publica quais partes são automatizadas e onde o julgamento humano permanece. Identifica a lei aplicável para cada serviço e exige análise legal entre serviços antes de reivindicar proteção de insolvência.

A NRS pode comissionar pesquisa de conformidade, defender um coordenador substituível, comparar designs de prova de evento público e representar membros em debates sobre serviços de disputa e continuidade. Certificação, coordenação, compromisso de evento autoritativo e remédios devem permanecer com RIRs, operadores técnicos autorizados, instituições arbitrais ou tribunais. A NRS não deve deter fundos de transação ou transformar uma posição de membro em título universal.

A responsabilidade do participante deve incluir todos os coordenadores autorizados. Se ele assinar um commit falso, perder um estado pendente ou permitir conclusão duplicada, uma regra de correção e responsabilidade deve ser aplicada. A responsabilidade da NRS é diferente: pesquisar com precisão suas fontes, divulgar interesses dos membros e corrigir alegações de defesa quando as evidências mudam.

A lição institucional mais forte dos mercados de títulos não é a centralização. É a alocação explícita de autoridade e risco em cada estado. Uma camada comum fina pode fornecer essa disciplina enquanto os serviços de registro permanecem plurais e portáteis.

Um modelo de estado prático tem nove etapas

Primeiro, proposto: uma parte abre uma transação nomeando recursos e contrapartes exatas. Nenhuma mudança de registro pública ocorre.

Segundo, autenticado: o serviço de origem verifica a instrução do detentor atual e a autoridade corporativa sob um padrão publicado.

Terceiro, combinado: vendedor, comprador e serviços afetados aceitam termos canônicos idênticos. Emendas consomem a versão anterior.

Quarto, condicionado: garantia de pagamento, restrições legais, elegibilidade do destinatário e pré-requisitos técnicos declarados estão satisfeitos ou identificados como pendentes.

Quinto, preparado: cada serviço necessário para registro autoritativo assina prontidão. A transação obtém um identificador de liquidação e janela programada.

Sexto, irrevogável: o cancelamento unilateral termina. Uma emergência de integridade definida pode pausar, mas apenas através de um ato limitado no tempo e revisável.

Sétimo, comprometido: todos os registros autoritativos aplicam uma mudança de detentor efetiva, enquanto o provedor de pagamento torna a liberação combinada irrevogável sob a condição comum de liquidação. O evento emparelhado é durável, seguro contra repetição e reconciliado.

Oitavo, descarregado: os serviços de registro e pagamento emitem recibos finais e completam qualquer lançamento mecânico que permaneceu após o compromisso irrevogável emparelhado. Se uma instituição de pagamento separada inadimplir em sua liberação comprometida, sua garantia e regra de responsabilidade se aplicam em vez de restaurar silenciosamente o vendedor.

Nono, concluído com ações adjacentes: RPKI, DNS reverso, IRR e contatos operacionais se movem de acordo com o cronograma declarado. Seu status é visível, mas não reabre a definitividade do registro, a menos que os termos de liquidação expressamente tornem uma ação controlada pelo registro parte do commit.

Uma transação rejeitada ou expirada pode sair dos primeiros quatro estados sem alterar o último registro final. Uma transação preparada que não pode commitar entra em um estado de recuperação definido. Uma transação comprometida só pode mudar através de outro evento final. Esta gramática de estado simples removeria grande parte da incerteza que atualmente aparece como discricionariedade.

A analogia tem limites estritos

A liquidação de títulos repousa sobre fundamentos legais e institucionais que o registro de números não compartilha. Os CSDs são autorizados e supervisionados. Sistemas designados podem receber proteção legal contra insolvência. Os participantes são geralmente instituições financeiras regulamentadas. Os ativos de liquidação são comumente fungíveis, as contas são legalmente caracterizadas, o pagamento ocorre através de sistemas monetários estabelecidos e as regras prudenciais apoiam a gestão de inadimplência.

Os prefixos IPv4 não são títulos meramente porque são escassos e transferidos. Seu caráter legal varia. Os RIRs são instituições privadas com diferentes acordos e jurisdições. Compradores e vendedores variam de operadoras globais a pequenas empresas. Não existe perna de banco central para liquidação de endereços. O roteamento permanece uma atividade operacional descentralizada. Uma ordem judicial que afeta uma parte pode não vincular todos os serviços envolvidos.

Essas diferenças descartam o transplante mecânico. A NRS não pode citar a Diretiva sobre Definitividade da Liquidação e assim obter suas proteções de insolvência. Um RIR não pode declarar um momento arbitrário legalmente vinculante para terceiros em todos os países. Um protocolo comum não pode resolver leis conflitantes de propriedade, sanções ou insolvência. Requisitos de capital projetados para infraestruturas financeiras podem ser desproporcionais para um serviço de registro fino.

A analogia fornece perguntas de design e um padrão de precisão. Onde uma instrução entra? Quando pode ser revogada? Que condições estão vinculadas? O que acontece se um participante falha? Qual estado é autoritativo após o compromisso? Quem pode corrigi-lo? Que reivindicação sobrevive sem desfazê-lo? Quem arca com a perda?

Responder a essas perguntas em termos de recursos numéricos seria um grande avanço. Fingir que a lei de títulos já as respondeu para IPv4 seria outro erro de categoria.

A definitividade deve ser medida pela confiança reproduzível

Um regime de liquidação deve publicar a parcela de instruções completas que atingem cada estado, o tempo gasto ali e a razão atribuível para a falha. O tempo mediano de conclusão não é suficiente. Casos de cauda longa, ciclos de evidência repetidos, condições expiradas e interrupções de infraestrutura revelam se a promessa de definitividade funciona sob estresse.

O sistema deve reconciliar eventos comprometidos entre serviços e relatar lacunas, duplicatas, tentativas de repetição e confirmações tardias. Deve contar com que frequência um evento final é posteriormente corrigido, por que, sob que autoridade e depois de quanto tempo. Uma taxa de correção mais alta pode revelar autenticação fraca; uma taxa zero pode revelar exclusão oculta ou remédios inacessíveis.

O vínculo de pagamento deve ser testado através de exceções: registro comprometido, mas pagamento não liberado; pagamento liberado sem um commit válido; depósito expirado após irrevogabilidade; um recibo falsificado rejeitado. Cada cenário deve ter um portador de perda predefinido.

A continuidade operacional deve ser medida separadamente. Os serviços de RPKI e DNS reverso controlados pelo registro foram movidos conforme o cronograma? As observações de rota mostraram interrupção? Os dados nunca devem implicar que o registro garante acessibilidade mundial, mas devem revelar se seus próprios atos de transição contribuíram para uma interrupção.

Exercícios de inadimplência devem testar insolvência do participante, falha de serviço, comprometimento de credenciais e ordens legais conflitantes. Os resultados podem ser agregados sem expor detalhes da transação. As mudanças de regras devem mostrar a evidência que as motivou e preservar períodos de transição para casos pendentes.

A medida final é se um terceiro não relacionado pode inspecionar o evento e responder a uma pergunta: qual organização foi reconhecida em um momento especificado e que evento válido mudou esse estado? Se a resposta depender de e-mails privados ou memória institucional, a definitividade não foi alcançada.

Conclusão: irreversível após o commit, reversível através de um novo evento

A liquidação de títulos dá à governança de recursos numéricos uma maneira precisa de pensar sobre irreversibilidade. Acordo não é liquidação. Aprovação não é liquidação. Pagamento sozinho não é liquidação. Um estado se torna final quando condições definidas foram cumpridas, o lançamento contábil autoritativo foi cometido, obrigações vinculadas não podem deixar um lado exposto e as regras do sistema proíbem revogação unilateral.

Antes desse ponto, a falha deve ser limpa. Uma instrução incompatível, com poucos fundos, não autorizada ou legalmente restrita permanece pendente, expira, é cancelada bilateralmente ou retorna ao último estado final. Não deve deixar pagamento liberado contra nenhum registro, um comprador registrado em um registro e um vendedor registrado em outro, ou controle de segurança perdido entre as partes.

Após esse ponto, o princípio oposto se aplica. A transferência é durável. A insolvência do vendedor não ressuscita automaticamente o registro antigo. A reconsideração da equipe não o apaga. Uma descoberta posterior de fraude, ordem judicial ou reversão consensual pode mudar o estado através de um novo evento atribuível. A história permanece intacta, e a compensação ou restituição aloca a perda resultante.

O design é exigente porque a transferência IPv4 junta instituições que não compartilham uma lei ou plataforma técnica. A resposta não é fingir que um único RIR já fornece definitividade global. É definir a unidade exata de liquidação, combinar ambas as partes, coordenar serviços de origem e destinatário, vincular o compromisso do registro com a garantia de pagamento, publicar estados de falha e tornar cada poder excepcional revisável.

A NRS pode ajudar defendendo regras interoperáveis e portáteis e publicando evidências comparáveis das instituições que as operam. Seu sucesso não deve ser medido por transações controladas — a NRS não deve controlar nenhuma — mas se sua defesa ajuda a prevenir transferências provisórias indefinidas, revogação insegura e rollback ambíguo.

A definitividade da liquidação é uma ferramenta de design institucional porque diz a cada ator quando a discricionariedade termina. O comprador obtém um registro durável. O vendedor obtém quitação. O registro obtém um papel delimitado. O provedor de pagamento obtém uma condição objetiva de liberação. Os tribunais mantêm autoridade sobre reivindicações legais sem forçar o livro-razão compartilhado a esquecer sua história.

A regra pode ser declarada em uma frase: uma mudança de registro IPv4 deve se tornar irreversível quando instruções autenticadas, combinadas e condicionadas commitaram em um registro reconciliado; depois disso, pode ser alterada apenas por outro evento válido.

Isso não é lei de títulos para a Internet. É a disciplina da definitividade adaptada a um sistema global de números que operou por muito tempo sem nomear o momento no qual todos devem confiar.

Fontes