As expectativas regulatórias em Malta e na UE estão a entrar numa nova fase. À medida que avançamos para 2026 e para além dessa data, as autoridades de supervisão estão a dar cada vez mais ênfase à forma como os quadros de governação, risco e controlo funcionam na prática, e não apenas à forma como são concebidos ou documentados.
Esta série de três partes reúne perspetivas regulatórias fundamentais nas áreas da governação, criminalidade financeira, resiliência digital, pagamentos, ativos digitais e estruturas de fundos. Cada artigo agrupa desenvolvimentos relacionados num tema claro, proporcionando uma visão prática sobre a direção que a supervisão está a tomar e sobre como as companhias podem manter-se alinhadas, adaptáveis e preparadas para as mudanças em curso.
Esta série destina-se exclusivamente a fins informativos gerais. Não constitui aconselhamento jurídico, regulamentar, fiscal ou outro tipo de aconselhamento profissional, e não deve ser considerada um substituto da consulta da legislação relevante, das publicações regulamentares ou da procura de aconselhamento junto de consultores devidamente qualificados.
Na parte 1, abordámos as expectativas em matéria de governação, garantia e supervisão e, na parte 3, analisamos as alterações regulamentares específicas do setor nas áreas dos pagamentos, dos ativos digitais e dos fundos.
Crime financeiro, transparência fiscal e resiliência digital
Em áreas como a criminalidade financeira, a transparência fiscal e a resiliência digital, as entidades reguladoras estão a dar maior ênfase à coerência, à defensabilidade e à capacidade de comprovar como os controlos funcionam na prática. Este segundo artigo analisa as áreas em que as companhias poderão querer avaliar se a implementação, a supervisão e a documentação são suficientemente sólidas para demonstrar que os processos de gestão de risco não só estão concebidos de forma adequada, como também estão integrados e prontos para serem inspecionados.
Partindo dos temas de governação e garantia abordados na Parte 1, este artigo analisa a forma como essas expectativas se traduzem em áreas de controlo mais específicas. O foco passa a centrar-se nas evidências práticas que se espera que as companhias mantenham em matéria de resiliência das TIC, supervisão da externalização, controlos em matéria de combate ao branqueamento de capitais e à criminalidade financeira, bem como governação no âmbito da FATCA e do CRS.
O que é que as companhias precisam de saber sobre a DORA e a resiliência digital?
A DORA na prática: da conformidade à resiliência operacional
A Lei sobre a Resiliência Operacional Digital (DORA) introduz um quadro abrangente para a gestão de riscos das TIC em todas as entidades reguladas. Um requisito fundamental é o Registo de Informação (RoI), que deve incluir todos os acordos com terceiros no domínio das TIC.
No entanto, as expectativas regulamentares vão além da simples manutenção de um registo. Espera-se que as companhias abrangidas demonstrem que este é utilizado ativamente para gerir o risco, com mecanismos claros de governação, monitorização e responsabilização. O retorno do investimento (RoI) deve ser considerado em conjunto com a supervisão da externalização, a gestão de incidentes e os quadros de risco mais amplos.
O desafio não reside na compilação dos dados, mas sim em comprovar que os sistemas e processos funcionam eficazmente na prática e se mantêm sempre prontos para serem inspecionados.
Expectativas da MFSA em matéria de governação das TIC e externalização
As orientações da MFSA reforçam a importância de uma governação robusta das TIC, especialmente no contexto das dependências em relação a terceiros. Espera-se que as companhias mantenham registos precisos, apliquem uma supervisão consistente e garantam que os quadros de governação apoiam a resiliência operacional.
As entidades reguladoras estão cada vez mais atentas à forma como as companhias gerem, na prática, os riscos relacionados com a externalização e a tecnologia, exigindo documentação clara, monitorização contínua e estruturas de controlo eficazes.
Isto reflete uma tendência mais ampla no sentido de uma gestão integrada do risco, em que as funções de TIC, conformidade e auditoria interna operam de forma coesa.
Como estão a evoluir as expectativas em matéria de combate ao branqueamento de capitais e à criminalidade financeira?
Apresentação de REQ: coerência e fundamentação
À medida que as companhias se aproximam dos prazos para a apresentação de documentos regulamentares, como o Questionário de Avaliação de Risco (REQ) da FIAU, surgem frequentemente problemas comuns. Estes incluem desfasamentos entre as avaliações de risco e as respostas apresentadas, provas de apoio insuficientes e inconsistências entre as diferentes funções de reporte.
Nesta fase, as companhias poderão querer concentrar-se em garantir que os documentos apresentados ofereçam uma visão coerente e defensável do modo como os controlos de combate ao branqueamento de capitais funcionam na prática. As entidades reguladoras estão cada vez mais preocupadas com a coerência e a credibilidade, em vez do volume da documentação.
Um REQ bem elaborado demonstra uma ligação clara entre o risco, os controlos e a governação.
Criminalidade financeira: evolução das expectativas e diferenciação dos riscos
Análises temáticas recentes destacam uma mudança nas expectativas regulatórias em torno da gestão do risco de criminalidade financeira. Em vez de tratar riscos como o financiamento do terrorismo, o financiamento da proliferação e a evasão de sanções como subconjuntos dos quadros de combate ao branqueamento de capitais, espera-se agora que as companhias identifiquem e gerem estas áreas de forma mais pormenorizada.
As autoridades de supervisão estão também a dar maior ênfase à governação, à formação e à utilização da tecnologia, sendo esperado que as companhias compreendam e demonstrem como funcionam os seus controlos. À medida que os riscos de criminalidade financeira evoluem, nomeadamente com a digitalização e as atividades transfronteiriças complexas, as companhias poderão ter de adotar uma abordagem mais adaptável e voltada para o futuro.
A ênfase recai agora em garantir que os controlos sejam orientados para o risco, adequados e aplicados de forma coerente.
Em que é que as companhias se devem concentrar para garantir a conformidade com a FATCA e a CRS?
FATCA e CRS: da conformidade ao controlo integrado
A introdução do Questionário Anual de Autoavaliação da Conformidade (SCQ) reforçou a atenção dada às obrigações decorrentes da FATCA e da CRS em Malta. Embora o conhecimento dos requisitos esteja, em geral, bem consolidado, o feedback das autoridades de supervisão indica que o nível de maturidade das estruturas de governação e controlo varia significativamente.
Entre os desafios mais comuns contam-se a integração insuficiente dos controlos nas operações do dia-a-dia, a dependência de prestadores de serviços externos sem uma supervisão clara e lacunas na documentação e nos ciclos de revisão.
As entidades reguladoras estão a reiterar que a responsabilidade recai sobre a instituição. Espera-se que as companhias demonstrem que os controlos estão integrados, são aplicados de forma consistente e estão alinhados com quadros de conformidade mais amplos.
O fio condutor que une estas áreas é a necessidade de as companhias articularem as obrigações regulamentares com as atividades práticas de controlo. Quer se trate de declarações no âmbito da luta contra o branqueamento de capitais, do risco de criminalidade financeira, da governação da FATCA e da CRS ou da resiliência das TIC, as autoridades de supervisão procuram uma atribuição clara de responsabilidades, provas consistentes e quadros capazes de resistir ao escrutínio tanto nas operações do dia-a-dia como durante as revisões ou inspeções.
Na parte final da série, abordamos os desenvolvimentos específicos de cada setor que afetam as instituições de pagamento e as instituições de moeda eletrónica, os prestadores de serviços de criptoativos e as estruturas de fundos ou de family offices. Estas áreas demonstram como as expectativas mais amplas em matéria de governação, resiliência e eficácia do controlo estão a ser aplicadas a modelos de negócio e quadros regulamentares específicos.
A última parte irá analisar as alterações regulamentares específicas de cada setor nas áreas dos pagamentos, dos ativos digitais e dos fundos.
Leituras complementares
Circular da MFSA – Prazos para a apresentação do Registo de Informação da DORA para o ano de 2026 e seguintes
Guia do Utilizador da MFSA para a apresentação do Registo de Informações
Carta da MFSA aos Diretores Executivos / Análise Temática – Riscos de financiamento do terrorismo, financiamento da proliferação e evasão de sanções financeiras específicas
Questionário de Avaliação de Risco da FIAU
Circular da MTCA sobre as conclusões e as expectativas de supervisão na sequência do exercício do questionário de autoavaliação de conformidade com o CRS/FATCA de 2026