Gateway FCA crypto UK: checklist KYC 2026

Daqui a dezasseis dias, a Financial Conduct Authority abre o gateway de autorização para empresas de criptoativos do Reino Unido. O período de candidatura decorre de 30 de setembro de 2026 a 28 de fevereiro de 2027. As empresas que não se candidatarem a tempo não poderão operar legalmente sob o novo regime que entra em vigor a 25 de outubro de 2027.

Não se trata de renovar o registo anti-branqueamento de capitais existente. É uma transição completa para o quadro do Financial Services and Markets Act 2000 — o mesmo que regula bancos, corretoras e gestores de fundos. As obrigações KYC e de verificação de identidade que acompanham essa transição são proporcionalmente mais exigentes.

O que o regime abrange, quem deve candidatar-se e o que uma equipa de compliance precisa construir nos próximos doze meses: isso é o que se analisa abaixo.

Do registo MLR à autorização FSMA

Desde 2020, todos os prestadores de serviços de troca de criptoativos e fornecedores de carteiras de custódia ativos no Reino Unido operam sob o registo da FCA ao abrigo dos Money Laundering Regulations (MLRs). O registo é uma porta de entrada AML/CFT — verifica que uma empresa tem controlos adequados contra o branqueamento de capitais. Não é uma licença para prestar serviços financeiros regulados.

Os Financial Services and Markets Act 2000 (Cryptoassets) Regulations 2026, aprovados pelo Parlamento a 4 de fevereiro de 2026, mudaram isso. A partir de 25 de outubro de 2027, exercer uma atividade regulada de criptoativos sem autorização da FCA é um crime penal.

A diferença na prática:

Dimensão	Registo MLR	Autorização FSMA
Base legal	Proceeds of Crime Act / Money Laundering Regulations	Financial Services and Markets Act 2000
Âmbito	Apenas controlos AML/CFT	Prudencial, conduta, integridade de mercado, AML
Condições-limiar	Nenhuma	Adequação de capital, governança, competência
Obrigações KYC	Diligência devida AML baseada em risco	CDD completo + regras de conduta + adequação
Supervisão contínua	Inspeções focadas em AML	Relação de supervisão completa com a FCA
Sanção penal	Aplicação civil, cancelamento do registo	Crime penal

As empresas já registadas sob MLR não recebem automaticamente autorização FSMA. Cada empresa deve candidatar-se através do gateway.

Quem deve candidatar-se

O novo regime enquadra oito categorias de atividade regulada de criptoativos no perímetro da FCA:

• Operar uma plataforma de negociação de criptoativos qualificados do Reino Unido (QCATP)
• Negociar criptoativos como principal
• Negociar criptoativos como agente
• Intermediar transações em criptoativos
• Custódia de criptoativos
• Operar uma plataforma de empréstimo e crédito de criptoativos
• Intermediar o staking de criptoativos
• Emitir stablecoins qualificadas

As empresas que realizem qualquer uma destas atividades a partir do Reino Unido — ou que as comercializem para o Reino Unido — precisam estar no gateway antes de 28 de fevereiro de 2027. As empresas estrangeiras que operem transfronteiriçamente para o Reino Unido também estão no âmbito.

Requisitos KYC sob o novo regime

O salto regulatório em verificação de identidade é substancial. O registo MLR exigia um programa de diligência devida ao cliente baseado em risco. A autorização FSMA exige o mesmo, mais uma camada de conduta retirada do Manual mais amplo da FCA.

Diligência Devida ao Cliente: a base mantém-se mas aprofunda-se

Os requisitos CDD padrão mantêm-se. O que o regime de autorização acrescenta:

Avaliações de adequação. As plataformas de negociação e intermediários devem avaliar se os criptoativos são adequados para cada cliente de retalho. Isso requer uma identidade verificada — o onboarding pseudónimo já não é compatível com o regime.

Divulgações reforçadas ligadas a identidade verificada. As plataformas de empréstimo, crédito e staking devem fornecer divulgações reforçadas a clientes identificados. A divulgação não pode ser entregue sem um registo de identidade ativo.

Resgate de stablecoin. PS26/11 confirma que a verificação KYC deve estar completa antes do início do período de resgate de stablecoins qualificadas. Um emitente de stablecoin que permita o resgate antes de a verificação de identidade ser confirmada está em incumprimento desde o primeiro dia do novo regime.

Custódia e salvaguarda

As empresas que prestam serviços de custódia de criptoativos devem cumprir um novo capítulo do Client Assets Sourcebook — CASS 17 — adaptado para criptoativos. Os requisitos de salvaguarda incluem:

• Segregação de ativos de clientes com prova documental de titularidade
• Reconciliação de registos com posições no livro contabilístico
• Políticas de gestão de chaves privadas revistas pelo menos anualmente
• Comunicações ao cliente que identifiquem com precisão as obrigações legais do custodiante

Cada uma destas funções está ligada a uma identidade de cliente verificada. Uma empresa de custódia que não consiga demonstrar cobertura contínua de identidade em toda a sua carteira de clientes falhará na auditoria CASS 17.

EDD em relações de correspondência

Ao abrigo de um novo regulamento 34A inserido nas MLRs pela emenda de junho de 2026, as empresas de criptoativos devem aplicar Diligência Devida Reforçada antes de estabelecer relações de correspondência com outras empresas de criptoativos. Isso entra em vigor a 1 de fevereiro de 2027 — antes do regime FSMA completo.

Análise completa da emenda MLR de junho de 2026: UK AML 2026: Novas Regras para Crypto, em Vigor a 30 de Junho.

A dinâmica paralela da MiCA

As empresas do Reino Unido e da UE que operam em ambas as jurisdições enfrentam um desafio de coordenação. A MiCA — que tornou obrigatória a Travel Rule da UE desde 1 de julho de 2026 — funciona com normas técnicas diferentes do quadro da FCA britânica.

A Travel Rule britânica, ao abrigo da emenda MLR em vigor desde 30 de junho, exige dados do ordenante e beneficiário em todas as transferências de criptoativos superiores a £1.000. A Travel Rule da MiCA não tem limiar mínimo.

Análise completa da MiCA: A Travel Rule da MiCA: O Que os CASPs Ainda Fazem Mal.

O que o KYC Perpétuo significa para o novo regime

O quadro FSMA não é um filtro de onboarding pontual. A FCA espera monitorização de risco contínua, re-verificação periódica e a capacidade de demonstrar cobertura contínua de identidade em toda a carteira de clientes em qualquer inspeção de supervisão.

Essa é a definição de KYC Perpétuo — a transição da re-verificação desencadeada por eventos para a monitorização contínua baseada em risco. As empresas que construíram o seu stack de compliance em torno de uma verificação de onboarding pontual precisarão reconstruí-lo antes de poderem apresentar um pedido de autorização credível.

Os agentes de IA da Joinble reestruturam essa equação. A monitorização contínua de risco executa-se sobre toda a base de clientes sem desencadear uma re-verificação completa para cada cliente. Apenas os clientes cujo perfil de risco mudou materialmente chegam à fila de revisão, reduzindo o trabalho manual em cerca de 80%.

Para as empresas que constroem agora o seu pedido de autorização FSMA, integrar uma camada de KYC agêntico não é uma melhoria de funcionalidade — é um pré-requisito para demonstrar que o programa KYC é operacionalmente sustentável ao padrão de supervisão que o novo regime espera.

O que construir antes do pedido

Trabalhando retroativamente desde a abertura do gateway a 30 de setembro de 2026 e uma janela de preparação realista de 90 dias, as empresas que ainda não estão em preparação ativa estão atrasadas.

O caminho crítico:

1. Análise do perímetro — confirmar que atividades reguladas a empresa realiza e se alguma linha de negócio fica fora do novo âmbito
2. Avaliação de lacunas face às Condições-Limiar — adequação de capital, governança, política de conflitos, idoneidade da gestão sénior
3. Auditoria do programa KYC — documentar os níveis de risco atuais dos clientes, processos CDD, gatilhos EDD, cadência de monitorização contínua e trilhos de evidência
4. Revisão de custódia e salvaguarda — mapear a gestão atual de chaves, segregação e processos de reconciliação face ao CASS 17
5. Melhoria tecnológica — identificar lacunas na monitorização de transações, cobertura de verificação de identidade e capacidade de monitorização perpétua
6. Redação do pedido — plano de negócio regulatório, documentação do programa AML, pacote de governança

Os passos um a cinco devem estar completos antes de começar o passo seis.

---

Perguntas Frequentes

O registo MLR conta para o processo de autorização FSMA? Não. O registo MLR é um processo separado sob legislação separada. Não confere qualquer crédito na avaliação de autorização FSMA. As empresas devem candidatar-se através do gateway da FCA como uma nova autorização.

Pode uma empresa continuar a operar após 25 de outubro de 2027 se o seu pedido ainda estiver sob análise? Sim, desde que o pedido tenha sido submetido durante a janela do gateway (antes de 28 de fevereiro de 2027). As empresas com pedidos pendentes podem continuar as suas atividades existentes enquanto a FCA processa a sua candidatura.

Os protocolos DeFi estão no âmbito? Os protocolos descentralizados sem entidade legal a operar a partir do Reino Unido estão provavelmente fora do âmbito. No entanto, uma entidade constituída no Reino Unido que desenvolva, implante ou promova comercialmente um protocolo DeFi que realize atividades reguladas está provavelmente no âmbito.

Que documentação KYC a FCA esperará no pedido? A FCA espera um programa AML/CFT documentado na fase do pedido — não um compromisso de construir um. Isso inclui metodologia de risco do cliente, procedimentos CDD e EDD, limiares de monitorização de transações, fluxos de trabalho SAR e um registo de formação.

Como é que a Travel Rule britânica interage com a autorização FSMA? A Travel Rule aplica-se ao abrigo das MLRs desde 30 de junho de 2026, independentemente do estado de autorização FSMA. Uma empresa deve cumprir a Travel Rule agora, independentemente de onde se encontra no processo de autorização.

O que acontece aos registos MLR existentes após o início do regime FSMA? As empresas que obtiverem autorização FSMA não precisarão de manter um registo MLR separado para as suas atividades de criptoativos. As empresas que não obtiverem autorização perderão ambos.