Todas as empresas financeiras licenciadas na União Europeia precisam de uma pessoa designada que responda pelos seus controlos de prevenção do branqueamento de capitais e do financiamento do terrorismo (AML/CFT). A legislação nacional chama-lhe pessoa de contacto, trabalhador sénior ou compliance officer; o mercado chama-lhe MLRO ou AML officer. Seja qual for a designação, a nomeação é uma condição de licenciamento, e não uma formalidade interna, e o regulador analisa a pessoa que ocupa o cargo.
Esta página explica o que a função envolve, o que o direito da UE exige, o que um candidato deve cumprir e como a Eesti Firma ajuda empresas reguladas em toda a Europa a encontrar, contratar e formar o especialista adequado.
MLRO, AML officer, compliance officer: uma função, muitos nomes
A função é a mesma em toda a UE; só muda o vocabulário. A prática internacional prefere money laundering reporting officer, abreviado para MLRO. O Regulamento da UE relativo ao Branqueamento de Capitais refere-se a um compliance officer. A legislação nacional utiliza as suas próprias designações: pessoa de contacto da unidade de informação financeira, trabalhador sénior responsável pela organização de medidas de prevenção do branqueamento de capitais, responsável pelo branqueamento de capitais com suplente obrigatório, ou nominated officer. No uso quotidiano, a função é simplesmente AML officer, AML compliance officer ou anti-money laundering officer.
Um MLRO é o mesmo que um compliance officer? Numa instituição de grande dimensão, não: o compliance officer tem o mandato regulatório mais amplo e o MLRO detém o dever legal de analisar e apresentar relatórios de atividade suspeita (SARs ou STRs, conforme a jurisdição). Na maioria das empresas fintech e de criptomoedas, uma só pessoa acumula ambas as funções, e é essa pessoa que consta da licença. Por essa razão, esta página usa os termos de forma intercambiável.
Duas características da função repetem-se em todos os regimes e estão agora fixadas no direito da UE. O compliance officer reporta diretamente ao órgão de administração, e não a um gestor de linha, e a empresa deve fornecer-lhe as competências, os meios e o acesso à informação necessários em todas as unidades de negócio. Um MLRO que não consegue consultar os dados das transações ou interromper um onboarding não cumpre a definição legal.
Responsabilidades do MLRO: o que faz um money laundering reporting officer
As leis nacionais enumeram os deveres essenciais; as regras internas da empresa e as condições da licença acrescentam outros. Na prática, o MLRO assume as seguintes responsabilidades:
- organiza a recolha e a análise de informação sobre transações e circunstâncias invulgares ou suspeitas na atividade da empresa;
- apresenta relatórios de transações suspeitas e outras notificações à unidade nacional de informação financeira (FIU) e atua como ponto de contacto da autoridade competente;
- exige que as unidades de negócio corrijam deficiências nos procedimentos de prevenção do branqueamento de capitais dentro de um prazo razoável;
- reporta periodicamente ao órgão de administração sobre o cumprimento da lei;
- gere o programa AML quotidiano: KYC e diligência devida do cliente no onboarding, monitorização de transações, verificação de sanções, conservação de registos, formação de pessoal e manutenção das regras internas e da avaliação de risco à escala da empresa.
O peso de cada dever depende do modelo de negócio; dois setores merecem uma referência específica.
AML officer para um prestador de serviços de criptoativos (CASP)
Uma empresa que detenha ou solicite uma licença de cripto na Europa opera ao abrigo do quadro MiCA e responde perante um supervisor financeiro, e não apenas perante uma FIU. O AML officer de uma empresa de criptomoedas deve compreender a análise de blockchain, aplicar a Travel Rule, que associa dados do ordenante e do beneficiário a cada transferência de criptoativos, e demonstrar à autoridade competente que todo o órgão de administração satisfaz os requisitos de idoneidade e conhecimento. Os pedidos ao abrigo do MiCA incluem o MLRO entre os titulares de funções essenciais cujos CVs e declarações de idoneidade integram o processo; por isso, o candidato é escolhido antes da apresentação do pedido, e não depois. Quem conhece a lei, mas nunca rastreou uma transação on-chain, terá dificuldades.
MLRO para instituição de pagamento, EMI ou fintech
As instituições de pagamento, instituições de moeda eletrónica (EMIs), mutuantes e outros titulares de uma licença de instituição financeira processam grandes volumes em tempo real. O MLRO de uma empresa de pagamentos é avaliado pela conceção da monitorização: as regras que sinalizam uma transação, os limiares que desencadeiam diligência devida reforçada e o percurso de escalonamento até ao relatório. Os bancos correspondentes e parceiros adquirentes realizam as suas próprias verificações à função AML da fintech, acrescentando uma dimensão comercial à função.
A base da UE: compliance manager e compliance officer
O Regulamento da UE relativo ao Branqueamento de Capitais substitui as transposições nacionais das diretivas AML por um conjunto único de regras diretamente aplicável em todos os Estados-Membros. Quanto à função de compliance, prevê uma estrutura de dois níveis que a maioria dos regimes nacionais já reflete: um compliance manager do órgão de administração, responsável pela política e pelos recursos, e um compliance officer nomeado por esse órgão, que executa os controlos diários, apresenta relatórios à FIU e atua como ponto de contacto dos supervisores.
Quatro aspetos são importantes na contratação. O compliance officer deve ocupar uma posição hierárquica suficientemente elevada, reportar diretamente ao órgão de administração e poder levantar preocupações por iniciativa própria; o Regulamento protege-o contra retaliação e pressão comercial. A empresa deve dotar a função de pessoal e tecnologia proporcionais à sua dimensão e risco. Quando a direção sénior está sujeita a verificações de idoneidade, o compliance officer é avaliado pelo mesmo padrão. E a destituição de um compliance officer exige aviso prévio ao órgão de administração e comunicação ao supervisor, pelo que uma má nomeação é difícil de desfazer discretamente.
Os Estados-Membros mantêm os seus próprios mecanismos de nomeação acima deste mínimo: expectativas de residência, notificação à FIU ou ao supervisor e aprovação prévia do candidato. Verificamos essas regras em cada jurisdição antes de propor um nome.
Duas funções, não uma
Nos termos do Regulamento, e dos regimes nacionais que o refletem, o gestor ao nível do conselho e o responsável operacional são funções distintas. O primeiro é responsável pela política e pelos recursos; o segundo executa os controlos e assina os relatórios. Uma pessoa só pode exercer ambas as funções quando a natureza, os riscos, a complexidade e a dimensão da empresa o justificarem.
Requisitos do MLRO: o que os reguladores esperam de um candidato
O direito da UE não exige diploma ou certificação para a função, e as leis nacionais geralmente pedem formação, adequação, experiência e reputação, em vez de uma qualificação específica. Os requisitos do MLRO são qualitativos: um teste de fit and proper aplicado pela autoridade competente ou pela FIU quando a nomeação é coordenada ou quando um pedido de licença identifica o futuro responsável. Os elementos são, em geral, os mesmos em toda a parte:
- formação relevante para as funções, normalmente em direito, finanças ou auditoria;
- experiência profissional numa função AML/CFT, idealmente numa instituição supervisionada;
- qualidades pessoais e capacidade de agir de forma independente da vertente comercial da empresa;
- reputação irrepreensível, verificada através de registos criminais e historial de supervisão anterior;
- presença na jurisdição quando a lei o exige e capacidade real para desempenhar a função.
A continuidade faz parte da avaliação. Vários regimes nacionais exigem um MLRO suplente, e todos os supervisores perguntam o que acontece quando o responsável está de licença ou se demite. Nomear um suplente ou organizar cobertura interina responde a isso antes de a pergunta surgir.
A capacidade é avaliada, não presumida
Os reguladores analisam se o candidato consegue realmente fazer o trabalho: horas disponíveis, outras nomeações e distância entre a pessoa e o fluxo de transações. Um AML officer que serve várias empresas sem relação entre si, ou que está no estrangeiro e só visita ocasionalmente, suscita precisamente as questões que um requerente de licença pretende evitar.
MLRO interno, externalizado ou fracionado: o que os reguladores aceitam
A maioria das empresas que procura um MLRO recebe primeiro uma proposta de externalização: um MLRO virtual, um responsável fracionado partilhado entre várias start-ups ou uma empresa que disponibiliza um nome. A viabilidade de qualquer uma dessas soluções depende dos requisitos da licença e da lei nacional, e a resposta varia consoante o modelo.
| Modelo | Como funciona | Onde os reguladores colocam objeções |
|---|---|---|
| MLRO interno | Trabalhador nomeado pelo conselho, identificado na licença e contactável pela FIU | Apenas quanto à pessoa: formação, experiência, reputação e capacidade |
| MLRO externalizado | Empresa externa fornece uma pessoa designada ao abrigo de um contrato de externalização | Permitido em alguns Estados, excluído noutros; quando permitido, são analisados o contrato, a idoneidade da pessoa e a responsabilidade que o conselho mantém |
| MLRO fracionado | Um responsável serve várias empresas sem relação entre si, a tempo parcial | Capacidade e conflitos de interesses; supervisores de cripto e pagamentos esperam cada vez mais um responsável por licença |
| MLRO interino | Responsável temporário enquanto se encontra uma contratação permanente ou durante uma ausência | Aceite como solução transitória se o regulador for informado; não é aceite como estrutura permanente |
A Eesti Firma trabalha com os quatro modelos. Recrutamos responsáveis internos, fornecemos serviços de MLRO externalizado ou um responsável fracionado quando a jurisdição e a licença o permitem, e organizamos um MLRO interino quando uma empresa necessita de uma solução transitória. Se já tiver um candidato em mente, avaliamos essa pessoa segundo os critérios do regulador antes de o nome ser apresentado à autoridade.
Recrutamento de MLRO e serviços de AML officer da Eesti Firma
A Eesti Firma apoia projetos de cripto e fintech desde a primeira vaga de licenciamento europeia, e a questão de quem contratar como MLRO surge em quase todos eles. Mantemos uma prática dedicada à procura, avaliação, contratação e formação de AML compliance officers para empresas reguladas em qualquer jurisdição da UE, trabalhando com parceiros locais quando a nomeação tem de ser efetuada no local.
Procura de MLRO e avaliação de candidatos
Selecionamos candidatos segundo o briefing do cliente e as expectativas do regulador em simultâneo. Na avaliação, analisamos primeiro:
- formação e experiência prática em AML, idealmente numa instituição regulada;
- conhecimento prático da lei nacional, do quadro AML/CFT da UE e das normas FATF;
- reputação empresarial, verificada antes de apresentar um nome;
- disponibilidade real para trabalhar na jurisdição e estar acessível à FIU.
A mesma avaliação está disponível como verificação autónoma de um candidato encontrado pelo próprio cliente: analisamos o processo como o regulador o fará, assinalamos o que provavelmente suscitará perguntas e dizemos claramente se vale a pena submeter a nomeação. Depois de escolhido o candidato, preparamos o pacote de nomeação: a resolução do conselho, a descrição da função e da linha de reporte, os documentos que a FIU ou o supervisor analisa durante a coordenação e o registo laboral.
Formação de AML officer e cursos de atualização
Um compliance officer recém-nomeado raramente chega já adaptado ao negócio. Prestamos formação de onboarding ao novo AML officer, baseada na avaliação de risco e nas regras internas do cliente, cursos de atualização quando a lei ou as orientações de supervisão mudam, e o programa de formação AML para trabalhadores que fazem onboarding de clientes ou concluem transações, exigido por lei.
Apoio contínuo de compliance AML para o MLRO
Além da contratação, os nossos advogados apoiam o compliance officer na prática: redigem e revêem regras internas e a avaliação de risco, analisam cenários de monitorização, preparam correspondência com a FIU ou o supervisor financeiro e aconselham sobre ferramentas de KYC e monitorização de transações. Quando um responsável sai com pouca antecedência, ajudamos a empresa a colmatar a lacuna sem violar as condições da licença.
A quem se destina este serviço
Prestadores de serviços de criptoativos, instituições de pagamento e de moeda eletrónica, mutuantes, plataformas de crowdfunding, prestadores de serviços fiduciários e societários, e qualquer empresa que prepare um pedido de licença num Estado-Membro da UE e tenha de indicar o seu compliance officer antes da apresentação.
Se o seu projeto necessita de um MLRO, AML officer ou de uma equipa completa de compliance, descreva o modelo de negócio, a jurisdição e a licença que detém ou procura, e apresentaremos perfis de candidatos e um plano.
Perguntas frequentes
Não. O dever aplica-se às entidades obrigadas pela legislação de prevenção do branqueamento de capitais: instituições de crédito e financeiras, prestadores de serviços de criptoativos, prestadores de serviços fiduciários e societários e negócios semelhantes. Algumas leis nacionais permitem que outras entidades obrigadas nomeiem um voluntariamente e, caso contrário, mantêm os deveres no conselho de administração; o Regulamento da UE exige uma função de compliance de todas as entidades obrigadas, dimensionada à sua dimensão.
Normalmente, sim, desde que a pessoa tenha tempo, independência e competência para gerir a função, e o supervisor aceite a acumulação. O gestor ao nível do conselho responsável pela política AML continua a ser uma designação distinta em todos os regimes.
Depende da jurisdição. Alguns Estados-Membros exigem que o responsável trabalhe permanentemente no país, outros associam um teste de residência a um gestor sénior e não ao responsável, e alguns não impõem qualquer requisito. Mesmo quando não existe regra, o regulador pergunta se um responsável remoto tem acesso real ao negócio e pode ser contactado pela FIU.
A procura e a avaliação demoram de dias a algumas semanas, conforme a jurisdição, o idioma exigido e o setor. A coordenação com a FIU ou o supervisor segue depois o calendário da própria autoridade, pelo que o candidato deve estar pronto antes da apresentação de um pedido de licença, e não depois.
Em alguns Estados-Membros, sim, ao abrigo de um contrato escrito de externalização e mantendo o conselho a responsabilidade; noutros, o responsável designado deve ser trabalhador da empresa. Em qualquer caso, a pessoa deve cumprir pessoalmente os requisitos legais e reportar ao órgão de administração. Fornecemos responsáveis externalizados e fracionados quando as regras o permitem e recrutamos um trabalhador quando não permitem.
A nomeação não é coordenada e, para um requerente de licença, o pedido pode ser recusado por esse motivo. A empresa deve encontrar um substituto que cumpra os requisitos. A pré-avaliação dos candidatos segundo os critérios do regulador antes da apresentação evita o atraso.
Nenhum certificado é exigido pelo direito da UE, e as leis nacionais geralmente pedem formação, adequação e experiência, em vez de uma qualificação específica. Certificações AML reconhecidas reforçam o processo do candidato e reduzem as perguntas do regulador, mas não substituem a experiência numa empresa supervisionada.
