Dejan Jasnic · Cofundador e Responsável de Compliance, Trusty · Mais de 20 anos em antifraude e compliance · Membro da direção do ACFE Swiss Chapter
Para uma empresa de cripto a entrar no mercado da UE, obter uma licença MiCA é apenas uma parte do panorama de conformidade.
A MiCA responde a questões como:
Pode prestar legalmente serviços de criptoativos na UE e como é que a empresa tem de operar?
A legislação da UE contra o branqueamento de capitais pergunta algo diferente:
Como tem de identificar clientes, avaliar o risco de branqueamento de capitais, monitorizar transações e responder a atividade suspeita?
Para muitos prestadores de serviços de criptoativos, a resposta não é, por isso, MiCA ou AMLD.
É MiCA e conformidade AML.
desde o primeiro dia
Está a preparar a sua candidatura à MiCA? O Trusty MiCA Booster Pack dá-lhe políticas prontas a implementar, formações para a equipa e um canal de denúncias, pré-mapeados com a MiCA e a DORA.
MiCA vs AMLD num relance
MiCA | Quadro AML da UE | |
|---|---|---|
Objetivo principal | Regular os mercados de criptoativos na UE e os prestadores de serviços de criptoativos | Prevenir o branqueamento de capitais e o financiamento do terrorismo |
Principais empresas afetadas | Prestadores de serviços de criptoativos, emitentes e outros participantes do mercado cripto | CASPs e outras entidades obrigadas financeiras/não financeiras |
Autorização CASP | Sim | O registo AML existia historicamente ao abrigo de regimes nacionais, mas não substitui a autorização MiCA |
Identificação do cliente | Os controlos AML fazem parte do ambiente de conformidade do CASP | Sim |
Verificações do beneficiário efetivo | Relevante através da conformidade AML | Sim |
Verificação de PEP | Não é a função principal da MiCA | Sim |
Controlos de sanções | Relevante para a conformidade geral | Sim |
Monitorização de transações | Sistemas AML exigidos | Sim |
Comunicação de transações suspeitas | Regido pelas regras AML | Sim |
Abuso de mercado | Sim, a MiCA contém regras de integridade do mercado cripto | Não é o foco principal |
Proteção do cliente | Sim | Não é o foco principal |
Requisitos prudenciais | Sim para os CASPs | Não é o foco principal |
O que é que a MiCA exige às empresas de cripto?
O Regulamento relativo aos mercados de criptoativos, ou MiCA, estabelece um quadro regulamentar harmonizado para os criptoativos e os serviços de criptoativos na UE.
Entre outras coisas, a MiCA regula:
- a autorização de prestadores de serviços de criptoativos;
- a governação;
- salvaguardas prudenciais;
- proteção do cliente;
- custódia de ativos de clientes;
- conflitos de interesses;
- manutenção de registos;
- requisitos operacionais;
- abuso de mercado;
- requisitos de divulgação.
Em geral, uma empresa não pode prestar serviços de criptoativos na UE a menos que esteja devidamente autorizada ao abrigo da MiCA ou se qualifique como outra entidade financeira regulada autorizada a prestar esses serviços nos termos do Regulamento.
As disposições transitórias da MiCA para prestadores nacionais pré-existentes não podiam ir além de 1 de julho de 2026. Até setembro de 2026, o prazo máximo de transição a nível da UE já terá, portanto, expirado.
A MiCA inclui requisitos de AML?
A MiCA interage diretamente com a conformidade AML, mas não substitui o quadro de AML da UE.
Por exemplo, a MiCA exige que os prestadores de serviços de criptoativos mantenham sistemas e procedimentos adequados para a avaliação de risco e o cumprimento da legislação AML/CFT aplicável.
Uma falha grave na manutenção de controlos eficazes contra o branqueamento de capitais e o financiamento do terrorismo pode também ter consequências para a autorização de um CASP.
A conformidade AML não é, por isso, um complemento opcional ao licenciamento MiCA.
Faz parte da manutenção de um negócio cripto em conformidade.
O que é que a AMLD exige das empresas de cripto?
A UE tem progressivamente integrado as empresas de cripto no seu quadro AML/CFT.
Ao abrigo do quadro atual, os prestadores de serviços de criptoativos abrangidos são tratados como entidades obrigadas.
Isto traz para as operações cripto controlos habituais de criminalidade financeira, incluindo:
- identificação e verificação de clientes;
- identificação do beneficiário efetivo;
- avaliação de risco;
- diligência reforçada para relações de maior risco;
- controlos de PEP;
- verificações relacionadas com sanções;
- monitorização contínua;
- comunicação de transações suspeitas;
- manutenção de registos;
- políticas e controlos AML internos.
Os procedimentos exatos devem refletir a natureza e o risco dos serviços cripto prestados.
A AMLD ainda é o termo correto em 2026?
No uso corrente, sim, mas a nível legal o quadro da UE está a mudar.
Muitas empresas ainda falam de “requisitos AMLD para cripto”, “MiCA vs AMLD” ou “5AMLD cripto”, pelo que o termo continua comum.
No entanto, a UE adotou um novo pacote legislativo de AML em 2024.
Uma parte central desse pacote é o Regulamento (UE) 2024/1624, normalmente designado por Regulamento AML ou AMLR.
A maior parte do AMLR aplica-se a partir de 10 de julho de 2027.
Isto significa que as empresas de cripto que preparam os seus sistemas em 2026 devem pensar para além do quadro histórico da AMLD e garantir que a sua arquitetura de conformidade consegue acomodar os futuros requisitos do AMLR.
De que verificações AML precisa uma empresa de cripto?
Para um CASP, a conformidade AML começa, em geral, antes de um cliente fazer a sua primeira transação relevante.
1. Identificação do cliente
A empresa precisa de identificar os clientes e verificar as suas identidades com base em informação fiável.
No caso de pessoas coletivas, isso também significa perceber quem, em última instância, detém ou controla o cliente.
2. Verificações do beneficiário efetivo
Uma conta empresarial não deve ficar pelo nome da empresa.
O CASP precisa de identificar os beneficiários efetivos relevantes e compreender a estrutura de propriedade e controlo.
3. Triagem de PEP
Os clientes e os beneficiários efetivos devem ser avaliados quanto ao estatuto de pessoa politicamente exposta, quando aplicável.
Uma relação com um PEP não é automaticamente proibida.
Normalmente, desencadeia medidas adicionais de gestão de risco, incluindo um escrutínio reforçado.
4. Verificação de sanções
As sanções financeiras estão relacionadas com a AML, mas são legalmente distintas desta.
Os CASPs precisam de controlos capazes de identificar clientes, beneficiários efetivos e contrapartes relevantes sujeitos às restrições de sanções aplicáveis.
5. Avaliação de risco do cliente
Nem todos os clientes de cripto apresentam o mesmo risco de branqueamento de capitais.
Os fatores relevantes podem incluir:
- geografia;
- tipo de cliente;
- estrutura de propriedade;
- produto ou serviço utilizado;
- comportamento transacional;
- origem dos fundos;
- canal de distribuição;
- exposição a jurisdições de alto risco.
O resultado deve determinar o nível de diligência devida e de monitorização adequado à relação.
6. Monitorização de transações
A integração do cliente é apenas o início.
As empresas de cripto precisam de monitorizar a atividade para detetar padrões invulgares, inconsistentes com o perfil conhecido do cliente ou indicativos de branqueamento de capitais ou financiamento do terrorismo.
Isto pode incluir a consideração de:
- frequência das transações;
- montante das transações;
- contrapartes;
- exposição da carteira;
- risco geográfico;
- movimentos invulgares entre moeda fiduciária e cripto;
- interações com serviços de maior risco.
7. Comunicação de transações suspeitas
Sempre que o limiar legal aplicável para suspeita seja atingido, as entidades obrigadas devem comunicar à Unidade de Informação Financeira relevante, nos termos do quadro nacional aplicável.
E as carteiras autoalojadas?
Os endereços autoalojados são uma questão particularmente importante e específica do setor cripto.
O quadro da UE exige que os CASPs identifiquem e avaliem os riscos de branqueamento de capitais e financiamento do terrorismo associados a transferências para ou de endereços autoalojados.
A mitigação de risco pode incluir:
- obter informação adicional;
- identificar ou verificar o ordenante ou o beneficiário;
- monitorização reforçada;
- determinar a origem e o destino dos criptoativos;
- aplicar controlos adicionais quando o risco é elevado.
Ao abrigo do futuro AMLR, estes requisitos são tornados ainda mais explícitos.
Existe um limiar de KYC de 1000 € para cripto?
Isto exige uma interpretação cuidadosa.
Ao abrigo das regras do AMLR que entram em vigor em 2027, os prestadores de serviços de criptoativos têm de aplicar diligência devida ao cliente a transações cripto ocasionais de 1000 € ou mais.
Para transações ocasionais abaixo de 1000 €, os CASPs devem, mesmo assim, aplicar pelo menos as medidas de identificação do cliente especificadas.
E os limiares nunca significam que as transações suspeitas possam simplesmente ser ignoradas.
A CDD também é exigida em circunstâncias como:
- o estabelecimento de uma relação comercial;
- suspeita de branqueamento de capitais ou de financiamento do terrorismo;
- dúvidas sobre informações de identificação obtidas anteriormente.
Por isso, dizer que “o KYC cripto começa nos 1000 €” é demasiado simplista.
O que é a Travel Rule da UE para cripto?
As empresas de cripto também têm de ter em conta o Regulamento de Transferência de Fundos, Regulamento (UE) 2023/1113.
Alarga os requisitos de rastreabilidade às transferências de criptoativos.
Na prática, os CASPs podem ter de obter e transmitir informação sobre o ordenante e o beneficiário ao processar transferências de cripto.
Isto torna a conformidade cripto na UE num quadro de três partes:
MiCA → autorização e regulação do mercado cripto
Quadro AML → risco do cliente e de criminalidade financeira
Regulamento das Transferências de Fundos → rastreabilidade das transações
Interagem, mas não são intercambiáveis.
Exemplo: uma exchange de cripto a entrar na UE
Imagine que uma exchange de cripto quer prestar serviços a clientes em toda a UE.
Obter a autorização MiCA resolve a questão de saber se a empresa pode prestar serviços regulados de criptoativos.
Mas a exchange continua a precisar de um programa AML operacional.
Isso pode incluir:
Cliente → identidade → beneficiário efetivo → sanções → PEP → pontuação de risco → monitorização de transações → alertas → investigação → comunicação
A autorização MiCA não faz desaparecer estes passos.
Na verdade, controlos AML fracos podem comprometer a capacidade da empresa de se manter em conformidade enquanto CASP regulado.
Autorização MiCA vs conformidade AML
Uma forma útil de memorizar a diferença é:
A MiCA pergunta: está autorizado e a operar corretamente como prestador de serviços de criptoativos?
As regras AML perguntam: sabe exatamente quem são os seus clientes e controla adequadamente o risco de crime financeiro?
Uma empresa de cripto normalmente precisa de responder sim a ambas.
Os CASPs precisam de verificação de sanções e de PEP?
Para uma conformidade AML prática, a triagem deve fazer parte de um quadro mais amplo de risco do cliente.
Um fluxo de trabalho básico pode incluir:
Integração do cliente
↓
Verificação de identidade e do beneficiário efetivo
↓
Triagem de sanções e PEP
↓
Avaliação do risco do cliente
↓
Diligência reforçada quando necessário
↓
Monitorização contínua e nova triagem
↓
Monitorização de transações
↓
Investigação e comunicação
Fazer triagem apenas na integração pode falhar alterações posteriores, como um cliente passar a estar sujeito a sanções ou ganhar estatuto de PEP.
já incluída
Precisa de verificação de sanções e de PEP para o seu CASP? A Trusty faz verificações AML em conjunto com as suas políticas, formações para a equipa e canal de denúncias, tudo numa só plataforma. Ou então marque uma demonstração.
A MiCA não cria um atalho de conformidade
Este é um ponto importante para empresas que tratam a autorização MiCA como a meta final.
Estar autorizado ao abrigo da MiCA não significa:
- que todos os clientes passaram automaticamente verificações AML;
- que a triagem de sanções é desnecessária;
- que a triagem de PEP é desnecessária;
- que a monitorização de transações é desnecessária;
- que a atividade suspeita já não precisa de investigação;
- que o risco de carteiras autoalojadas pode ser ignorado.
O licenciamento e a conformidade em matéria de crime financeiro são responsabilidades distintas, mas interligadas.
Perguntas frequentes
Não. A MiCA regula os mercados cripto e os prestadores de serviços de criptoativos, enquanto a legislação AML da UE rege os controlos de branqueamento de capitais e de financiamento do terrorismo. Os CASPs podem estar sujeitos a ambas.
Sim. A legislação da UE integra os prestadores de serviços de criptoativos definidos pela MiCA no quadro AML/CFT.
A MiCA exige que os CASPs mantenham sistemas e procedimentos que apoiem o cumprimento da legislação AML/CFT aplicável. As obrigações detalhadas de diligência devida ao cliente provêm sobretudo do quadro AML, e não da MiCA a funcionar como um manual de KYC autónomo.
Os CASPs precisam de controlos capazes de identificar pessoas politicamente expostas relevantes e de aplicar medidas reforçadas sempre que exigido pela legislação AML.
Sim, as sanções financeiras aplicáveis têm de ser respeitadas. A verificação eficaz de clientes, beneficiários efetivos e contrapartes relevantes é uma componente importante desse processo.
A UE adotou um novo pacote AML em 2024, incluindo o Regulamento AML diretamente aplicável. A maior parte das disposições do AMLR aplica-se a partir de 10 de julho de 2027, pelo que as empresas devem verificar tanto os requisitos atuais como o futuro quadro.
Não. A autorização MiCA resolve apenas parte do quadro regulamentar. Consoante as suas atividades, uma empresa de cripto pode também ter de cumprir as regras AML/CFT, a Travel Rule cripto, a DORA e outros requisitos aplicáveis da UE e nacionais.
Conclusão
A MiCA regula o negócio cripto. As regras AML regulam o risco de criminalidade financeira dentro desse negócio.
Por isso, um CASP em conformidade precisa de mais do que uma licença.
Precisa de um sistema contínuo para compreender clientes, identificar beneficiários efetivos, detetar exposição a sanções e PEP, avaliar risco e monitorizar alterações ao longo do tempo.
Para empresas de cripto que lidam com grandes volumes de clientes ou contrapartes, é aqui que a verificação automatizada se torna particularmente valiosa: as verificações de sanções, PEP e notícias adversas podem passar a fazer parte de um fluxo de trabalho repetível de risco de cliente e de terceiros, em vez de um exercício único de integração.
Fontes:
Comissão Europeia, Criptoativos e MiCA
EUR-Lex, Regulamento (UE) 2024/1624 (AMLR)
Leitura relacionada: o que significa o fim do período de transição da MiCA para os CASPs, como funciona a verificação de PEP, e o MiCA Booster Pack com as políticas e formações de que um CASP precisa.
PRONTO PARA A AUTORIZAÇÃO
MiCA Booster Pack: 17 políticas prontas a implementar, 11 formações para a equipa, um canal de denúncias e verificação AML integrada, pré-mapeados com a MiCA, a DORA e a Travel Rule.