Autorização CASP de Malta: Por que o KYC pode ser decisivo para a sua licença?

A Unidade de Análise de Inteligência Financeira de Malta (FIAU) recebeu 1,751 relatórios de transações suspeitas do setor de ativos financeiros virtuais em 2024, um aumento em relação aos 1,476 do ano anterior (Relatório Anual da FIAU de 2024). Isso representa um aumento de 18.6% na atenção regulatória em relação ao ano anterior, concentrada no mesmo pequeno grupo de empresas que agora estão reconstruindo suas licenças sob a Lei de Compensação de Malta (MiCA).

Um Provedor de Serviços de Criptoativos (CASP, na sigla em inglês) é qualquer empresa que ofereça serviços relacionados a criptomoedas dentro da União Europeia, de acordo com o regulamento. Regulamentação de Mercados de Criptoativos (MiCA), o conjunto unificado de regras para criptoativos do bloco. Em Malta, os atuais detentores de licenças de Ativos Financeiros Virtuais (VFA) operam sob um período de transição até 1º de julho de 2026, após o qual a licença CASP da Autoridade de Serviços Financeiros de Malta (MFSA) se torna a única base legal para a prestação desses serviços.

O prazo de 1º de julho de 2026 para o CASP é frequentemente apresentado no calendário legal como um evento de transição. Essa classificação oculta o risco real. A autorização do CASP pela MFSA não é um evento de registro. É um evento de infraestrutura KYC. As empresas que ultrapassam o limite do MiCA com suas licenças e acesso bancário intactos são aquelas cujo conjunto de processos de integração consegue sobreviver a três revisores simultaneamente.

Por que o prazo de julho de 2026 para o CASP é um evento de infraestrutura KYC, e não um arquivamento legal?

A MiCA define o quadro de licenciamento. Ela não define a obrigação de KYC (Conheça Seu Cliente). Essa obrigação decorre do Regulamento de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo de Malta (PMLFTR) e das diretivas AML da UE, que operam independentemente da arquitetura de licenciamento da MiCA. Essa distinção é importante porque determina o que os avaliadores da MFSA (Autoridade de Serviços Financeiros de Malta) procuram durante a análise de uma solicitação CASP.

Uma solicitação à MFSA testa se sua infraestrutura de integração atende às normas de AML (Antilavagem de Dinheiro), às expectativas de risco operacional e aos padrões de governança que a MFSA aplica a todas as empresas regulamentadas. Um processo legal pode ser concluído em dias. A infraestrutura de KYC (Conheça Seu Cliente) não. Se sua infraestrutura atual foi construída de acordo com o regime VFA (Virtual Facility Agreement), você está trabalhando com controles projetados segundo uma estrutura nacional de escopo mais restrito do que o que a MFSA agora avalia em relação às expectativas da era MiCA.

A consequência prática para os responsáveis ​​pela conformidade é que a revisão do CASP se torna uma conversa em duas etapas. A MFSA examina a estrutura legal, a avaliação de idoneidade dos diretores e o modelo de negócios. Os avaliadores, então, investigam se o programa de AML, os fluxos de trabalho de CDD e EDD, o sanções e Triagem PEP A cobertura e o registro de auditoria atendem ao padrão exigido no sistema de integração real, não apenas no papel.

Por que a FIAU está monitorando de perto as criptomoedas e o que isso significa para os candidatos ao CASP?

A FIAU é a unidade de inteligência financeira e supervisora ​​de combate à lavagem de dinheiro de Malta. Ela examina minuciosamente todos os setores regulamentados quanto à qualidade dos relatórios de transações suspeitas e aos controles de AML (Antilavagem de Dinheiro) subjacentes. Em 2024, a FIAU recebeu 9,430 relatórios de transações suspeitas em todos os setores, sendo o setor de ativos financeiros virtuais o que apresentou o crescimento mais rápido nesse volume. Qualquer solicitação de CASP (Acordo de Segurança de Transações Suspeitas) chega a uma equipe que já conhece a superfície de ataque do seu negócio.

O Relatório Anual de 2024 da FIAU regista 187 intervenções de supervisão e 70 ações de fiscalização adicionais relativas a pessoas sujeitas a sanções (Recorde da FIAU 2024Os jogos remotos continuam sendo o principal setor a reportar transações suspeitas, mas o setor de ativos financeiros virtuais é o que apresenta o crescimento mais rápido. Empresas focadas em criptomoedas registraram 1,751 relatórios de transações suspeitas (RTS) em 2024, um aumento em relação aos 1,476 de 2023, uma taxa de crescimento que superou todas as outras categorias regulamentadas em termos percentuais.

Para um candidato a CASP, esses números se traduzem em uma expectativa específica. A FIAU, e por meio dela a MFSA, espera que os CASPs mantenham o mesmo nível de programa de AML (Antilavagem de Dinheiro) que uma instituição de moeda eletrônica ou um banco licenciado. Os registros de auditoria devem resistir a uma revisão temática. Clientes sinalizados precisam de uma justificativa documentada. Alertas encerrados precisam de um analista nomeado, um registro de data e hora e um registro de decisão que a FIAU possa reexaminar dois anos depois sem necessidade de reconstrução.

O teste prático consiste em verificar se o seu sistema consegue responder, sob demanda, à pergunta que um supervisor da FIAU realmente faz.

O que a MFSA verifica exatamente em uma revisão de autorização CASP?

O processo de autorização CASP da MFSA está documentado publicamente e ancorado nos requisitos do MiCA da UE. À primeira vista, o formulário de candidatura parece uma lista de verificação de documentos. A verdadeira profundidade reside em cinco áreas de foco, nas quais a MFSA historicamente devolveu candidaturas para reapresentação. Cada uma delas testa a prontidão operacional, e não apenas a elegibilidade legal.

A revisão da MFSA está ancorada em cinco áreas principais, que são:

Os cinco elementos fundamentais de uma estrutura KYC pronta para o CASP

Um conjunto de ferramentas KYC (Conheça Seu Cliente) pronto para o CASP consiste em cinco funcionalidades coordenadas que alimentam uma trilha de auditoria única. Cada uma delas precisa resistir a uma revisão da MFSA (Autoridade de Serviços Financeiros de Malta), a um exame temático da FIAU (Agência de Inteligência Financeira de Malta) e a um questionário de due diligence do banco correspondente. A maioria dos conjuntos de ferramentas da era VFA (Agência de Valores Mobiliários Voluntários) abrange bem uma ou duas dessas funcionalidades e deixa as outras para revisão manual, o que é o principal motivo pelo qual um programa aparentemente em conformidade ainda falha no teste CASP. As empresas que obtêm autorização na primeira tentativa reconstruíram todas as cinco funcionalidades.

1. Due Diligence do Cliente (CDD) Abrange a identidade, residência e nível de risco de cada novo cliente, com os documentos rejeitados sinalizados por código de motivo, em vez de uma reprovação genérica. A MFSA espera um registro completo de auditoria do que foi verificado e por que uma decisão foi tomada.
2. Due Diligence aprimorada (EDD) Aplica-se a clientes de alto risco, pessoas politicamente expostas e padrões de transação que ultrapassam os limites de risco. A Due Diligence Aprofundada (EDD) é onde os conjuntos de ferramentas de Avaliação de Fatores de Risco (VFA) geralmente apresentam desempenho inferior, porque os gatilhos são definidos com valores muito altos.
3. Fonte de renda A verificação da origem dos recursos utiliza fluxos de trabalho estruturados, apoiados por evidências documentais que a FIAU consegue reconstruir dois anos após o ocorrido. Este é o ponto de falha mais comum nas aplicações da MFSA.
4. Sanções, PEP e triagem de mídia negativa Agora, há uma obrigação de monitoramento contínuo, e não apenas uma verificação pontual. Tanto a MFSA quanto a FIAU esperam que a inclusão de um cliente em uma lista de sanções ou em uma mídia com consequências negativas seja sinalizada praticamente em tempo real.
5. O registro de auditoria pronto para a FIAU documenta cada decisão de integração, cada alerta e cada arquivo de cliente com um carimbo de data/hora, o analista responsável e a justificativa da decisão. Esse registro precisa ser reconstruível sob demanda, e não montado durante a auditoria.

Por que os bancos de Malta realizam sua própria verificação KYC antes de abrir uma conta?

O acesso bancário é o requisito de sobrevivência tácito da transição para o CASP. Os bancos malteses são obrigados a realizar a devida diligência em todos os seus relacionamentos comerciais, e os bancos correspondentes em outras jurisdições são obrigados a realizar a devida diligência nos próprios bancos malteses. Um cliente CASP com controles de integração deficientes cria um risco cumulativo que se propaga pela cadeia de correspondentes, e os bancos correspondentes reagem a esse risco cumulativo encerrando o relacionamento.

Os bancos procuram três coisas em um candidato ao CASP. Uma documentação completa. Programa AML O que corresponde às expectativas da MFSA é o ponto de partida. Os controles de integração em tempo real, executados com candidatos reais em vez de ficarem armazenados em um arquivo de apólice, elevam o padrão. E a capacidade de gerar um arquivo completo do cliente sob demanda é o que passa na própria avaliação do banco, porque essa é a velocidade com que os bancos correspondentes respondem às perguntas.

Empresas que não conseguem passar pelo KYC do banco Na prática, o teste resultará na perda de acesso aos sistemas de pagamento denominados em euros. A licença, por si só, não constitui uma posição comercialmente viável após o encerramento da relação bancária.

Como a Shufti ajuda as empresas de criptomoedas de Malta a passar pela avaliação da MFSA e a manter o acesso aos serviços bancários?

A plataforma da Shufti integra a diligência prévia do cliente, a verificação de antecedentes para fins de combate à lavagem de dinheiro e o monitoramento contínuo em um único fluxo de integração, que gera, por padrão, um histórico de auditoria limpo. Isso é importante em Malta porque o mesmo histórico de auditoria precisa ser analisado por três órgãos diferentes em sequência. A MFSA o examina durante o processo de solicitação do CASP, a FIAU o examina durante a supervisão temática e um banco correspondente o examina durante sua própria diligência prévia sobre o banco maltês. Uma única plataforma, um único histórico de auditoria, três públicos.

O Verificação KYC A camada processa verificações de documentos, biometria e dados em uma ampla gama de tipos de documentos e jurisdições, o que é importante quando um CASP registrado em Malta atende a uma base de clientes em toda a UE. Contínuo AML screening Executa verificações de sanções, PEPs e notícias negativas, em vez de apenas na integração, e apresenta o raciocínio por trás de cada alerta para que os analistas fechem os arquivos com justificativas documentadas. Ambos estão inseridos em fluxos de trabalho configuráveis, ajustados para riscos específicos de criptomoedas, e não em uma cascata de triagem genérica.

As empresas que obtêm a autorização CASP da MFSA na primeira tentativa e mantêm seus relacionamentos bancários malteses durante a transição são aquelas cujo sistema de integração consegue responder às perguntas de um avaliador sob demanda.

Nos próximos quinze meses, todas as empresas de criptomoedas licenciadas em Malta serão avaliadas de acordo com os mesmos padrões da MFSA, FIAU e de bancos correspondentes, e o processo de integração tornará isso um evento rotineiro ou uma crise comercial. A abordagem de plataforma única da Shufti para KYC, AML e Monitoramento contínuo é construído em torno do tipo de trilha de auditoria que esses três revisores esperam e resiste ao escrutínio sem complementos ou gambiarras de fornecedores. Veja como A Shufti apoia as empresas regulamentadas de Malta. em sua página dedicada a Malta, ou solicite uma demonstração e comece a verificar em minutos.