Não existe arranjo sem risco
A discussão sobre custódia costuma ser apresentada como uma escolha entre segurança e conveniência. É uma simplificação ruim: os dois arranjos têm risco, só que de naturezas diferentes, e a escolha certa depende de quem opera.
Na custódia própria, o risco é concentrado em você: perda de chave, cópia mal guardada, dispositivo comprometido, sucessão não planejada. Nenhum desses é segurável, porque todos são erro próprio de operação - e essa é a parte que a maioria das pessoas descobre tarde.
Na custódia de terceiro, o risco muda de dono, mas não some. Passa a ser a solidez daquela empresa, a independência real dos seus signatários, o processo interno e a capacidade dela de devolver o que guardava. Esse risco é, esse sim, o objeto de uma cobertura.
A pergunta que revela a redundância de mentira
Custodiantes descrevem a sua arquitetura pelo número de assinaturas: “três de cinco”, “quatro de sete”. O número sozinho não diz muita coisa. A pergunta útil é outra: as chaves são operadas por pessoas diferentes, em lugares diferentes, com processos diferentes?
Se as três assinaturas exigidas partem do mesmo processo interno, do mesmo escritório e do mesmo tipo de dispositivo, o que parecia exigir três decisões independentes exige, na prática, uma. A redundância existe no diagrama e não existe no risco.
Distribuir é mais barato do que segurar
Quando a resposta for desconfortável, a primeira reação não deveria ser contratar cobertura. Deveria ser distribuir: parte em custódia própria bem operada, parte com custodiantes distintos, nenhum arranjo concentrando o que você não pode perder.
Cobertura entra depois disso, sobre o risco residual - o que continua exposto mesmo com o arranjo já melhorado. Contratar proteção sobre um arranjo concentrado é pagar duas vezes pelo mesmo problema.