Conformidade com o MiCA para CASPs em 2026

Explicamos o que precisa de saber sobre a conformidade com o MiCA este ano.

O Regulamento dos Mercados de Criptoativos está em vigor desde 30 de dezembro de 2024. O Regulamento da Resiliência Operacional Digital (DORA) aplica-se aos prestadores de serviços de criptoativos desde 17 de janeiro de 2025. As regras de conhecimentos e competências da ESMA ao abrigo do artigo 81.º, n.º 7, do MiCA aplicam-se a partir de 28 de julho de 2026. Até ao final de 2026, todos os prestadores de serviços de criptoativos (CASP) autorizados na União Europeia terão sido avaliados face a três pilares de conformidade operacional: um conjunto completo de políticas nativas do MiCA, evidência de que o pessoal foi formado ao nível adequado e um canal de denúncia (whistleblowing) funcional que cumpra três regimes europeus sobrepostos. É isto que, na prática, realmente significa.

A Trusty disponibiliza um canal de denúncias interno conforme a Lei 93/2021 para empresas com 50 ou mais trabalhadores, operacional em minutos.

Porque a conformidade operacional é agora o estrangulamento

A maior parte da conversa pública sobre o MiCA tem sido sobre autorização: quem foi licenciado, onde e com que rapidez. A conversa mais discreta, que importa mais para o ano que se segue, é sobre o que vem depois da licença. Os processos de autorização incluem o quadro organizacional da empresa, mas esse quadro é depois testado todos os dias por clientes, por contrapartes e por supervisores. As autoridades nacionais competentes iniciaram revisões temáticas. A ESMA publicou as suas primeiras orientações, perguntas e respostas (Q&A) e declarações. Os primeiros sinais de aplicação apontam numa direção: as empresas que construíram, desde o primeiro dia, uma estrutura de conformidade com o MiCA limpa, comprovada e multilingue manterão a sua licença; as empresas que acrescentaram políticas a partir de um modelo MiFID acabarão em remediação.

Três pilares operacionais definem agora o que é um CASP credível:

1. Um conjunto completo de políticas nativas do MiCA que abrangem todos os artigos aplicáveis.
2. Formação do pessoal que cumpra a norma de conhecimentos e competências da ESMA, com evidência documentada para cada indivíduo.
3. Um canal de denúncia que satisfaça simultaneamente a Diretiva da UE relativa à proteção de denunciantes, o artigo 116.º do MiCA e o conjunto de regras de branqueamento de capitais (AML).

O resto deste artigo é um guia prático para os três.

Pilar um: o conjunto de políticas de conformidade MiCA que todos os CASP precisam

A espinha dorsal da governação

O artigo 68.º do MiCA é a espinha dorsal do quadro de conformidade. Todos os CASP autorizados devem ter mecanismos de governação robustos com linhas de responsabilidade claras, coerentes e bem documentadas, procedimentos eficazes para a identificação, gestão, monitorização e comunicação de riscos, mecanismos de controlo interno adequados e um sistema sólido de conservação de registos. O artigo 68.º, n.º 8, exige explicitamente um plano de encerramento ordenado. O artigo 68.º, n.º 9, exige a conservação de registos num suporte duradouro por um período mínimo de cinco anos, prorrogável para sete a pedido da autoridade competente. As normas técnicas de regulamentação da ESMA adotadas ao abrigo do artigo 68.º, n.º 10, detalham o resto.

Os blocos de construção artigo a artigo

Em torno do artigo 68.º, o MiCA prescreve um conjunto de áreas políticas designadas:

• Os artigos 7.º e 66.º regem as comunicações de marketing e as comunicações com os clientes: justas, claras e não enganosas, identificáveis como marketing, com os avisos de risco prescritos.
• O artigo 70.º rege a salvaguarda dos criptoativos e dos fundos dos clientes, incluindo a segregação, os mecanismos de subcustódia e a informação aos clientes.
• O artigo 71.º estabelece o regime de tratamento de reclamações, complementado pelas RTS da ESMA adotadas ao abrigo do artigo 71.º, n.º 5.
• O artigo 72.º rege os conflitos de interesses, com uma revisão anual obrigatória, publicação no sítio Web e atenção explícita às decisões de admissão de fichas (tokens) e à negociação por conta própria em plataformas exploradas.
• O artigo 73.º estabelece as regras para a externalização, complementadas pelas Orientações da EBA sobre externalização aplicadas por analogia e, para os serviços de TIC, pelos artigos 28.º a 30.º do DORA.
• O Título VI (artigos 86.º a 92.º) importa um regime de abuso de mercado para criptoativos e obriga as empresas a detetar e comunicar ordens e transações suspeitas (STOR) ao abrigo do artigo 92.º.
• O artigo 66.º, n.º 5, exige a divulgação no sítio Web dos principais impactos ambientais adversos do mecanismo de consenso para cada criptoativo para o qual o CASP presta serviços, com a metodologia definida pelas RTS adotadas ao abrigo do artigo 6.º, n.º 11.

Os quadros horizontais sobrepostos

Para além das obrigações específicas do MiCA, todos os CASP são também:

• Uma entidade obrigada ao abrigo do quadro da UE contra o branqueamento de capitais: Regulamento (UE) 2024/1624 (AMLR), Diretiva (UE) 2024/1640 (AMLD6) e Regulamento (UE) 2024/1620 que cria a AMLA.
• Sujeitos ao Regulamento (UE) 2023/1113 (a Regra de Viagem), em vigor desde 30 de dezembro de 2024, com regras de verificação para endereços auto-hospedados acima de 1.000 €.
• Uma entidade financeira ao abrigo do DORA, com obrigações plenas de gestão de riscos de TIC, comunicação de incidentes relacionados com as TIC, testes de resiliência operacional digital e risco de terceiros de TIC ao abrigo dos artigos 28.º a 30.º.

Um conjunto de políticas MiCA defensável

Um conjunto de políticas de um CASP credível abrange, portanto, no mínimo: salvaguarda, governação e controlo interno, abuso de mercado e STOR, gestão de riscos de TIC e resiliência operacional DORA, comunicações de marketing, encerramento, conflitos de interesses, tratamento de reclamações, AML/CFT e Regra de Viagem, externalização, continuidade do negócio, conservação e retenção de registos, divulgação de sustentabilidade ao abrigo do artigo 66.º, n.º 5, e um pequeno grupo de políticas de “segunda vaga” que as autoridades nacionais procuram cada vez mais, incluindo a integração de clientes e classificação de riscos, negociação em conta própria e admissão de fichas.

Aplicam-se duas regras práticas operacionais. Primeiro, redija as políticas com base no MiCA e não num modelo genérico de serviços financeiros: as referências aos artigos e as obrigações específicas dos artigos são importantes e os supervisores procuram-nas. Segundo, traduza-as para as línguas dos Estados-Membros onde presta serviços, porque o artigo 66.º exige comunicações justas, claras e não enganosas numa língua que o cliente compreenda.

Pilar dois: formação e o prazo de 28 de julho de 2026

O que o artigo 81.º, n.º 7, do MiCA realmente exige

A formação já não é uma reflexão tardia da conformidade. O artigo 81.º, n.º 7, do MiCA, complementado pelo Relatório Final da ESMA sobre as Orientações relativas a certos aspetos dos requisitos de adequação e ao formato do extrato periódico para atividades de gestão de carteiras ao abrigo do MiCA (publicado em 22 de maio de 2025, aplicável a partir de 28 de julho de 2026), exige que os CASP que prestam aconselhamento sobre criptoativos ou gestão de carteiras garantam, e sejam capazes de demonstrar à autoridade competente a pedido, que as pessoas singulares que prestam aconselhamento ou informações sobre criptoativos ou serviços de criptoativos possuem os conhecimentos e competências necessários.

Os dois níveis que a ESMA espera que aplique

As orientações da ESMA dividem o pessoal em dois níveis:

• O nível de Informação abrange o pessoal que presta aos clientes informações sobre criptoativos, serviços de criptoativos, custos ou riscos, mas que não fornece recomendações personalizadas. Isto inclui equipas de integração, apoio ao cliente, vendas, gestão de contas, revisores de textos de marketing, revisores de KYC, gestores de reclamações e apoio à negociação.
• O nível de Aconselhamento abrange o pessoal que fornece recomendações personalizadas ou que gere carteiras. A fasquia para conhecimentos e competências é mais elevada e os requisitos de documentação mais rigorosos.

Para ambos os níveis, a empresa deve demonstrar que cada pessoa abrangida possui os conhecimentos e competências exigidos. Na prática, isto significa uma avaliação inicial na contratação, um módulo de formação concluído, uma avaliação documentada com nota de aprovação, formação de atualização pelo menos anual, supervisão contínua nos primeiros meses de uma nova função e registos ao nível individual que cubram todo o percurso. A partir de 28 de julho de 2026, os supervisores esperarão ver esses registos a pedido.

Formação para além do artigo 81.º, n.º 7

A mesma disciplina de formação apoia o quadro mais amplo do MiCA:

• Os mecanismos de governação do artigo 68.º exigem que o pessoal tenha conhecimentos suficientes sobre a empresa.
• O Título VI sobre abuso de mercado exige que o pessoal em funções de negociação, vigilância e produto reconheça sinais de alerta e os reporte como STOR.
• O artigo 13.º, n.º 6, do DORA exige programas de sensibilização para a segurança das TIC e formação em resiliência operacional digital para todo o pessoal.
• O artigo 12.º do AMLR e o conjunto de regras de AML exigem formação em AML/CFT adaptada a cada função, incluindo as regras operacionais da Regra de Viagem, informações sobre o ordenante e o beneficiário, o limiar de 1.000 € e a verificação de endereços auto-hospedados.

Um catálogo prático de formação para CASP

Um catálogo prático de formação para CASP inclui, portanto, pelo menos: fundamentos do MiCA como base para todo o pessoal; o conhecimento e competência da ESMA (nível de Informação) e o nível de Aconselhamento para empresas que aconselham ou gerem carteiras; um módulo de abuso de mercado de cripto e STOR; DORA e resiliência operacional de TIC; salvaguarda de criptoativos de clientes; e formação em AML, sanções e Regra de Viagem.

Pilar três: denúncia de irregularidades sob três regimes ao mesmo tempo

Porque é que um único canal já não é suficiente

A denúncia de irregularidades (whistleblowing) é onde muitos CASP subestimam a exigência regulamentar. Um único canal precisa de satisfazer três regimes europeus sobrepostos.

O primeiro é a Diretiva (UE) 2019/1937, a Diretiva da UE relativa à proteção de denunciantes, transposta por cada Estado-Membro. Aplica-se horizontalmente a entidades jurídicas do setor privado com 50 ou mais trabalhadores, com um limiar inferior para entidades de serviços financeiros. Exige um canal de denúncia interna que permita denúncias confidenciais (e, em muitas transposições, denúncias anónimas), acuse a receção no prazo de sete dias, forneça feedback no prazo de três meses, proteja os denunciantes de retaliação e ofereça um canal externo através da autoridade competente. Os CASP estão claramente dentro do âmbito de aplicação.

O segundo é o artigo 116.º do MiCA (“Comunicação de infrações e proteção das pessoas que comunicam infrações”). Exige que os Estados-Membros garantam que as autoridades competentes estabeleçam mecanismos eficazes para permitir e incentivar a comunicação de infrações reais ou potenciais ao MiCA, e exige que os CASP autorizados e outras entidades jurídicas em causa tenham procedimentos internos adequados para que os seus funcionários e pessoas em posição comparável comuniquem infrações através de um canal específico, independente e autónomo. As proteções incluem a confidencialidade estrita da identidade, a proteção contra a discriminação ou o tratamento injusto e a proibição de cláusulas contratuais que impeçam a denúncia.

O terceiro é o conjunto de regras de AML. Ao abrigo da AMLD6 (Diretiva (UE) 2024/1640), as entidades obrigadas devem estabelecer procedimentos internos para a comunicação de infrações às obrigações de AML/CFT através de um canal específico, independente e anónimo. A AMLA, criada pelo Regulamento (UE) 2024/1620, coordenará cada vez mais estes canais de denúncia a nível europeu.

O que um canal pronto para CASP deve fazer

Um único canal CASP que cumpra os três regimes deve:

• Aceitar denúncias de infrações ao MiCA, infrações de AML/CFT e violações legais gerais.
• Permitir denúncias por escrito e oralmente, com a opção de anonimato.
• Encaminhar as denúncias para uma pessoa ou função imparcial designada com autoridade para investigar.
• Acusar a receção no prazo de sete dias e fornecer feedback ao denunciante no prazo de três meses.
• Proteger a identidade do denunciante com controlos de acesso rigorosos e barreiras de informação.
• Proibir a retaliação sob qualquer forma e fornecer um caminho de escalonamento para a autoridade competente e, se for caso disso, para a unidade de informação financeira.
• Conservar os registos pelo período exigido pela legislação nacional aplicável.
• Ser operado sob procedimentos documentados por gestores formados, porque o supervisor pedirá para ver como um caso específico foi tratado.

A forma mais simples de falhar é manter um canal de ética genérico que foi configurado ao abrigo da Diretiva relativa à proteção de denunciantes em 2022 e nunca reavaliado face ao artigo 116.º do MiCA ou à AMLD6. A próxima empresa autorizada será a empresa que conseguir demonstrar, numa única página, como o seu canal se mapeia em cada um dos três regimes.

Uma lista de verificação prática de conformidade MiCA para 2026

Antes de 28 de julho de 2026, um CASP credível pode demonstrar:

• Um conjunto completo de políticas nativas do MiCA que abranja pelo menos as treze áreas centrais acima, além de políticas de segunda vaga relevantes para os seus serviços, traduzidas para as línguas dos Estados-Membros que serve.
• Um programa de formação que cumpra a norma de Conhecimentos e Competências da ESMA no nível de Informação, e no nível de Aconselhamento quando aplicável, com registos individuais de avaliação, conclusão e atualização.
• Formação para todo o pessoal sobre os fundamentos do MiCA, abuso de mercado, DORA, salvaguarda e a sobreposição da Regra de Viagem/AML.
• Um canal de denúncia mapeado para a Diretiva da UE relativa à proteção de denunciantes, o artigo 116.º do MiCA e a AMLD6, com procedimentos documentados, gestores formados e registos de auditoria.
• Um rasto de evidências, reconhecimentos, conclusões, certificações, ficheiros de casos, histórico de versões, que possa ser apresentado a pedido da autoridade competente.

Este é o ponto de partida, não a ambição.

Como o MiCA Booster Pack da Trusty ajuda

Se preferir não construir tudo isto do zero, o MiCA Booster Pack da Trusty foi concebido para fazer a maior parte do trabalho por si. Fornece 17 políticas nativas do MiCA e 11 documentos de formação prontos a usar, todos disponíveis em seis línguas (inglês, alemão, italiano, espanhol, francês e português), redigidos por especialistas em conformidade face ao MiCA, à Regra de Viagem, ao AMLR, à AMLD6, ao DORA e às orientações da ESMA. Funciona na Trusty Compliance Platform, com um rasto de auditoria integrado de reconhecimentos de políticas e conclusões de formação, um fluxo de trabalho de tratamento de reclamações alinhado com o artigo 71.º e um canal de denúncia mapeado para a Diretiva da UE relativa à proteção de denunciantes, o artigo 116.º do MiCA e a AMLD6.

O preço é de 1.900 € por ano, mais de 40 % abaixo do preço de venda dos componentes. Os CASP que adotam o pack tendem a estar prontos para autorização em dias em vez de meses.

Para ver como se ajustaria à sua estrutura, visite trusty.report ou escreva para sales@trusty.report.

Aviso legal: este artigo é publicado para informação geral e não constitui aconselhamento jurídico. Sempre que o MiCA, a Regra de Viagem, o AMLR, a AMLD6, o DORA ou as orientações da ESMA se apliquem à sua situação específica, consulte um consultor qualificado nos Estados-Membros onde opera.